Virus Hall of Fame: SQL Slammer-virus

Leestijd: 3 minuten

Elke lijst met onvergetelijk computer virussen zou het SQL Slammer-virus moeten bevatten, dat in 2003 werd gelanceerd. Ik herinner het me zeker. Ik was op dat moment bij UPS IT en we hadden meerdere servers die er vanaf gingen.

De virusnaam is een beetje misleidend omdat er geen gebruik werd gemaakt van SQL, de Structured Query Language voor databasesystemen. Het misbruikte een probleem met bufferoverlopen in het SQL Server-databasesysteem van Microsoft. Het kon niet alleen de database neerhalen, maar in sommige gevallen hele netwerken.

Het virus, eigenlijk een worm, was opmerkelijk eenvoudig. Het genereerde willekeurige IP-adressen en stuurde zichzelf vervolgens naar die adressen. Als de SQL Server Resolution Service wordt gebruikt om meerdere exemplaren van SQL Server op één computer te ondersteunen, raakt de host geïnfecteerd. De Resolution Services beheert een UDP-poort die wordt gebruikt om internetdatagrammen te verzenden, kleine berichten die snel kunnen worden verzonden. Heel snel zoals dit virus zou bewijzen.

Het virus werd gebruikt om de databaseserver op twee manieren te laten falen. Het kan ertoe leiden dat delen van het systeemgeheugen worden overschreven door willekeurige gegevens die al het beschikbare geheugen van de server zouden verbruiken. Het kan ook code uitvoeren in de beveiligingscontext van de SQL Server-service die de server kan uitschakelen.

Een derde gebruik van het virus was het creëren van een "Denial of Service". Een aanvaller kan een adres maken zodat het afkomstig lijkt te zijn van één SQL Server 2000-systeem en het vervolgens naar een naburig SQL Server 2000-systeem te sturen. Hierdoor ontstond een eindeloze reeks berichtenuitwisseling, die bronnen op beide systemen verbruikte en de prestaties vertraagde.

Er zijn maar weinig virussen die ooit zo snel zo veel openbare verstoring hebben veroorzaakt. Volgens een studie van de University of Indiana naar het virus en zijn impact: “Het belangrijkste kenmerk van de worm is zijn buitengewone voortplantingssnelheid. Naar schatting bereikte het binnen tien minuten na de release het volledige niveau van wereldwijde internetinfectie. Op het maximum (bereikt op zondag 26 januari) waren ongeveer 120,000 individuele computers wereldwijd besmet en die computers genereerden in totaal meer dan 1 terabit / seconde aan infectieverkeer ”.

Ze schatten dat 15% van de internethosts tijdens de piekinfectie onbereikbaar waren vanwege het virus.

In Zuid-Korea hadden de meeste gebruikers ongeveer 10 uur geen toegang tot internet. Het bracht geldautomaten van de Bank of America omlaag en veroorzaakte uitval van het 911-systeem in Seattle. Het bracht het netwerk van Akamai naar beneden, die de websites beheerde voor vooraanstaande bedrijven zoals Ticketmaster en MSNBC. Continental Airlines moest vluchten annuleren vanwege problemen met het ticketingsysteem.

Het goede nieuws was het virus verwijdering was relatief eenvoudig om op te reageren. Het was gemakkelijk uit het geheugen te wissen en te voorkomen door de getroffen poorten een firewall te bieden. In feite had Microsoft een jaar eerder een patch voor overflow-kwetsbaarheid uitgebracht. Er was al een oplossing beschikbaar om te downloaden.

Wat leidt tot een interessant deel van dit verhaal. De oorsprong van het virus bij David Litchfield, een onderzoeker, die het probleem identificeerde en een "proof of concept" -programma ontwikkelde. Litchfield presenteerde zijn bevindingen aan mensen bij Microsoft die het helaas goed vonden dat hij ze presenteerde en het proof of concept op de beroemde jaarlijkse Black Hat-conferentie. Aangenomen wordt dat de makers de code en het concept uit zijn presentatie hebben gehaald.

Hoe kon Microsoft hem dat toestaan?

Ze beschouwden het blijkbaar als oud nieuws. Ze hadden de patch uit en waren druk bezig met de volgende versie, SQL Server 2005.

Natuurlijk veroorzaakte het incident een brand onder de digitale achterkant van Microsoft om zich te concentreren op de beveiliging van SQL Server 2005. Het werkte omdat sindsdien op afstand niets is gebeurd met SQL Server.

START GRATIS VERZOEK KRIJG GRATIS UW DIRECTE BEVEILIGINGSSCOREKAART