Premium

Získejte všechny články mimořádně
jen za 49 Kč/3 měsíce

Červ CodeRed v2: nebezpečí stále hrozí!

  5:00
Pokud jste si mysleli, že internetový červ CodeRed v2 je již starou a téměř zapomenutou záležitostí, pak jste se hluboce zmýlili! Devět měsíců po svém zrození se tato kyberinfekce stále šíří internetem, napadá další servery a otvírá je možnému napadení ze strany hackerů...

Pokud jste si mysleli, že internetový červ CodeRed v2 je již starou a téměř zapomenutou záležitostí, pak jste se hluboce zmýlili! Devět měsíců po svém zrození se tato kyberinfekce stále šíří internetem, napadá další servery a otvírá je možnému napadení ze strany hackerů...

Podle bezpečnostních expertů je v současnosti červem CodeRed v2 napadeno přibližně 18 tisíc systémů, které mohou být pomocí jednoduchého příkazu aktivovány a využity např. k DDoS útoku na libovolné webové servery. Varující je fakt, že se infekce stále šíří – zatímco v prosinci minulého roku bylo napadeno necelých 14 tisíc systémů, k dnešnímu dni je jich o více než 4 tisíce více. A nebezpečí, že takové útoky nastanou, je více než reálné!

Internetový červ CodeRed zneužívá chybu v ISAPI modulu IIS (Internet Information Server). Tato chyba umožňuje vzdálenému uživateli spouštět na serveru prakticky libovolnou vlastní aplikaci. V nebezpečí jsou zejména servery Microsoft Index Server 2.0 nebo Indexing Service s nainstalovanými Windows 2000 či IIS. Pokud červ díky výše uvedené chybě pronikne na server, spustí 100 vlastních procesů a v 99 % případů se pokusí o své rozšíření na náhodně vygenerované IP adresy. V případě, že nalezne server s neopravenou chybou, napadne jej. Na napadeném serveru pak na 10 hodin změní výchozí stránku webového serveru a zobrazí text: "Welcome to http://www.worm.com!, Hacked By Chinese!". Toto však nemusí být nutným pravidlem, protože některé z dalších modifikací červa již obsah webových stránek nemění. Původní červ CodeRed byl naprogramován tak, aby se od 1. do 19. v měsíci pouze šířil. Od 20. do 27. dne v měsíci pak zneužíval napadený server k distribuovanému DoS útoku na doménu www.whitehouse.gov. Útok prováděl tak, že z infikovaných serverů posílal na cílový server pakety o velikosti 100 kB. Původní verze červa byla po dobu své podvratné činnosti aktivní pouze v paměti a činnost tohoto červa bylo možno ukončit restartováním serveru.

Mnohem více problémů však způsobuje další verze tohoto červa, známá právě jako Code Red v2. Ta je ve většině znaků shodná s původní, ale navíc obsahuje trojského koně, který provádí zápis na disky napadeného počítače. Tato varianta využívá stejnou bezpečnostní chybu Microsoft IIS ve verzi 4.0 a 5.0, avšak pouze v kombinaci s operačním systémem Windows 2000. V okamžiku proniknutí do systému si tato varianta červa ověří systémové datum a pokud je rok menší než 2002 a měsíc menší než 10, začne se šířit na další počítače. V opačném případě napadený počítač jen restartuje. IP adresy počítačů, které červ prohledává, jsou náhodně generovány jen v jednom z osmi případů. Ve zbývajících sedmi případech používá červ algoritmus, který generuje IP adresu blízkou adrese právě napadeného počítače. Autor červa pravděpodobně vycházel z předpokladu, že ISP svým zákazníkům přidělují IP adresy v určité posloupnosti. Červ se navíc snaží generovat IP adresy náležející do bloku totožného s napadeným počítačem, což významně zvyšuje jeho úspěšnost.

Trojský kůň, kterého CodeRed v2 do systému vypouští, nakopíruje do virtuálních adresářů Scripts a MSADC nakopíruje soubor ROOT.EXE, což je ve skutečnosti přejmenovaný soubor CDM.EXE, který zabezpečuje přístup do systému. Po provedení této operace na disku C: i D: je v kořenovém adresáři obou disků vytvořen soubor EXPLORER.EXE, který se díky relativní cestě ke stejnojmennému souboru spustí po přihlášení do systému jako první. Následně je pak spuštěn skutečný EXPLORER.EXE. Výsledkem je to, že se při každém spuštění počítače vytvoří virtuální adresáře /C a /D, které svým obsahem odpovídají kořenovým adresářům disků C: a D:. Touto cestou se pak lze dostat k libovolnému souboru či adresáři pomocí obyčejného internetového prohlížeče.

Výroky bezpečnostních expertů o nebezpečnosti a zákeřnosti tohoto internetového červa potvrzuje fakt, že jeho původní varianta stačila během prvních 24 hodin infikovat více než 350 tisíc serverů. Infikované stroje mohou být podle jejich názoru využity jako „útočná síť“. Aktivovat ji může prakticky libovolný on-line útočník, který má dostatečné technické znalosti...

  • Nejčtenější

Sověti neuměli zkonstruovat těžký tank. Pomohl jim až německý inženýr

v diskusi je 51 příspěvků

19. května 2024

Když je řeč o sovětských těžkých tancích, výčet zpravidla začíná pětivěžovým typem T-35. Jenže...

Nejzajímavější sluchátka na trhu? Novinka Sonosu je první svého druhu

v diskusi je 17 příspěvků

21. května 2024

Úderem patnácté hodiny skončilo embargo na první sluchátka společnosti Sonos, které po krátkém...

{NADPIS}

{LABEL} {POPISEK}

KVÍZ: Znáte letadla československých pilotů?

v diskusi nejsou příspěvky

24. května 2024

Typů letadel, do kterých usedali českoslovenští letci, bylo nepřeberné množství. Zlomkové množství...

Rusko vypustilo družici schopnou sledovat a ničit jiné satelity, míní Američané

v diskusi je 55 příspěvků

22. května 2024  8:30

Rusko 16. května vypustilo satelit, o němž se americké zpravodajské služby domnívají, že je to...

{NADPIS}

{LABEL} {POPISEK}

Kennedy ho vybral jako prvního černocha. Do vesmíru letěl až teď, v 90 letech

v diskusi je 16 příspěvků

21. května 2024  7:42

Do vesmíru ho vybral jako prvního černošského adepta už prezident John Kennedy. Na svůj let ale...

Na olympiádě v Paříži propukly před 100 lety výtržnosti proti sportovcům USA

v diskusi nejsou příspěvky

26. května 2024

Olympiáda v Paříži začala 4. května 1924 a trvala až do 27. července. Soutěžilo přes 3 tisíce...

OBRAZEM: Na Dračí skálu. Nejstarší německá zubačka má všechny pražce ocelové

v diskusi nejsou příspěvky

26. května 2024

Nejstarší německou ozubnicovou železnicí je Drachenfelsbahn. Při svém zprovoznění v roce 1883 byla...

Zamáčkněte slzu, ICQ definitivně končí. Zprávy doručoval 28 let

v diskusi je 23 příspěvků

25. května 2024  15:13

S tou slzou je to samozřejmě trochu vtip, protože většina uživatelů již dávno přešla ke konkurenci...

Rozhlas místo rádia. O novém názvu rozhodl jediný článek v Národních listech

v diskusi je 25 příspěvků

25. května 2024

Rok po začátku vysílání v Československu nastal konec „radiofonie“ a „broadcastingu“. V květnu 1924...

Akční letáky
Akční letáky

Všechny akční letáky na jednom místě!

Nejhorší noční můra, řekla žena, která v botě syna objevila cizí AirTag

Mého syna někdo sleduje. S takovým pocitem několik týdnů žila žena z Floridy poté, co na svůj iPhone začala dostávat...

Párkům odzvonilo. Podnikatel lije do rohlíků svíčkovou a dobývá benzinky

Na pracovních cestách se podnikatel v gastronomii Lukáš Nádvorník přejedl párků v rohlíku. Napadlo ho, že by do pečiva...

Herec Lukáš Vaculík se oženil, dívčí idol 80. let si vzal ředitelku z Primy

Lukáš Vaculík (61) se tajně oženil. Vzal si výrobní ředitelku a producentku FTV Prima Luciu Kršákovou (46). Herec a...

Klavírista Petr Malásek si zlomil obě ruce. Mohlo to dopadnout hůř, říká

Klavírista Petr Malásek (59) spadl z kola a zlomil si obě ruce. V pořadu 7 pádů Honzy Dědka popsal nehodu i jaká je...

Milan Hein odhalil neshody mezi Simonou Postlerovou a její matkou

Smrt herečky Simony Postlerové (†59) byla ranou pro celou její rodinu. Na parte ale chybělo jméno hereččiny matky Jany...