Code Red er ikke "rocket science". Den ukendte programmør har ikke fundet et nyt sikkerhedshul, som endnu ikke kendes - i så fald havde Code Red sandsynligvis inficeret alle 6 millioner webservere med Microsoft Internet Information Server (IIS), og ikke "kun" 300.000 - men programmøren har læst på lektien og benyttet viden, der allerede blev publiceret i sidste måned.
Den såkaldte .ida sårbarhed i IIS 4.0 og IIS 5.0 blev offentliggjort i midten af juni, og Microsoft kunne traditionen tro samtidig præsentere en patch, der lukkede hullet. Tilsyneladende har omkring 5 pct. af system-administratorerne med IIS "glemt" at installere denne vigtige patch fra Microsoft.
Sikkerhedsekspert Peter Kruse fortæller at sårbarheden kan udnyttes ved at sende en simpel GET /NULL.ida?[buffer]=XHTTP/1.1 (hvor "buffer" erstattes med ca. 240 bytes - f.eks. 240 A'er) forespørgsel.
Code Red erstatter index.htm under IIS med en ny hjemmeside, som indeholder teksten:
HELLO!
Welcome to http://www.worm.com !
Hacked By Chinese
Samtidig begynder ormen at søge efter andre sårbare IIS-servere. Den indeholder en "tilfældigheds-generator", som skal generere tilfældige IP-adresser og dermed sikre en effektiv spredning over nettet, men programmet indeholder en fejl, som betyder at de samme adresser angribes i den samme rækkefølge hver gang ormen har overtaget en ny server.
Hvis man sidder med en af de servere, der scannes først når ormen har kopieret sig selv over på en ny maskine, kan man dermed opbygge en liste over alle inficerede computere. Det har gjort det muligt at udarbejde en meget præcis statistik over, hvor mange servere der er inficeret med Code Red - men hackerne kunne også misbruge informationerne til at starte målrettede angreb mod sårbare maskiner.
Peter Kruse fortæller at følgende mønster skal oprettes i IDS (Intrusion Detection Systemet) for at registrere og afværge angreb fra ormen:
/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%uc
bd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%
u53ff%u0078%u0000%u00=a HTTP/1.0
Læs også:
ormen
