كود رد
| هذه المقالة يتيمة حيث أن عددًا قليلاً من المقالات أو لا مقالات إطلاقًا تصل إليها. ساعد من فضلك بإضافة وصلات في المقالات ذات العلاقة. (مايو_2011) |
كود رد عبارة عن دودة حاسوب تم ملاحظتها على شبكة الإنترنت في الثالث عشر من يوليو 2011 حيث هاجمت أجهزة كمبيوتر تقوم بإدارة جهاز الخادم ويب آي آي اس التابع لشركة مايكروسوفت. اُكتشفت دودة رد لأول مرة على أيدي موظفي خدمة الأمن الرقمي إي آي مارك ميفرت وريان بيرميه وقاما بعمل أبحاث عنها. وأطلقا على هذه الدودة اسم "كود رد" لأنهما كانوا يتناولان شراب اسمه كود رد ماونتن ديو في ذالك الوقت، وبسبب عبارة "اختطفه الصينيون!" التي تكتبها الدودة على مواقع الويب التي تخترقها[١]. على الرغم من إطلاق هذه الدودة في الثالث عشر من يوليو إلا أن المجموعة الأكبر من أجهزة الكمبيوتر المخترقة ظهرت في التاسع عشر من يوليو. إذ وصل عدد الأجهزة المضيفة المخترقة في هذا اليوم إلى 359.000.[٢]
كيف تعمل
استغلت مواطن الضعف
استغلت الدودة موطن ضعف أو عيبا في برمجيات الفهرسة الموزعة مع برنامج آي آي اس الموصوف في ام اس 01-033 (MS01-033) والذي تتوفر له رقعة منذ شهر. نشرت الدودة نفسها باستخدام نوع مشهور من العيوب المعروف باسم فيض الدارئ (Buffer Overflow). وفعلت ذلك من خلال استخدام سلسلة طويلة من حرف “N” المكرر لتدفق عازل حيث يسمح للدودة بتنفيذ كود تحكمي وإصابة الجهاز. وكان كينيث دي ايتشمان هو أول من اكتشف طريقة وقفها وقد دعاه البيت الأبيض لزيارته لهذا السبب[٣].
حمولة الدودة
حمولة الدودة تشمل ما يلي:
- تشويه موقع الويب المتأثر ليعرض الجملة الآتية:
HELLO! Welcome to http://www.worm.com! Hacked By Chinese! (وآخر جملة تصبح "ميمي" meme للإشارة إلى هزيمة أونلاين)
- أنشطة أخرى تعتمد على كل يوم من أيام الشهر [٤]
- الأيام من 1 – 19 تحاول الدودة فيها نشر نفسها من خلال البحث عن مزيد من أجهزة خوادم آي آي اس على شبكة الإنترنت.
- الأيام 20 – 27: تشن الدودة هجمات رفض الخدمة على العديد من عناوين آي بي الثابتة. وقد كان عنوان آي بي الخاص بخادم الويب للبيت الأبيض من بين هذه العناوين.[٢]
- من يوم 28 إلى نهاية الشهر: تنام الدودة أي لا تطلق أي هجمات فعالة.
عندما تقوم الدودة بمسح الأجهزة المعرضة للهجوم لا تهتم الدودة بما إذا كان جهاز الخادم الذي يعمل على جهاز بعيد يعمل بنسخة آي آي اس عُرضة للهجوم أو حتى الاهتمام بما إذا كان يشغل نسخة آي آي اس أم لا على الأطلاق. ويكون لدخول أباتشي Apache من هذا الوقت مداخل متكررة مثل:
- GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
- NNNNNNNNNNNNNNNNNNN
- %u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801
- %u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3
- %u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
وحمولة الدودة هي السلسلة التي تتبع آخر حرف “N”، حيث يترجم الجهاز الضعيف هذه السلسلة كتعلميات من الكمبيوتر.
ديدان مشابهة
في الرابع من أغسطس 2001 ظهرت كود رد 2، وهي عبارة عن شكل آخر من دودة كود رد الأصلية. وعلى الرغم من أنها تستخدم نفس اسم انجيكشن فيكتوري injection vectori إلا أن لها حمولة مختلفة تماما. إذ أنها تستهدف بصورة عشوائية زائفة أهدافا على نفس الشبكات الفرعية أو شبكات فرعية مختلفة كأجهزة مخترقة وفق توزيع ثابت تماما، وأهداف مرجوة على شبكتها الفرعية الخاصة في أكثر الأحيان. بالإضافة إلى أنها تستخدم نسق تكرار حروف “x” بدلا من حروف “N” لتدفق الحاجز. تعتقد إي آي eEye أن الدودة نشأت في مدينة ماكاتي في الفلبين (نفس أصل VBS/Loveletter (المعروفة أيضا باسم دودة "ILOVEYOU worm))
انظر أيضا
المراجع
- ^ ANALYSIS:.ida "Code Red" Worm, Section Technical Details, Introduction
- ^ أ ب Moore، David; Colleen Shannon (2001?). The Spread of the Code-Red Worm (CRv2). CAIDA Analysis. Retrieved 2006-10-03.
- ^ Lemos، Rob. Virulent worm calls into doubt our ability to protect the Net. Tracking Code Red. CNET News. Retrieved 14 March 2011.
- ^ CERT Advisory CA-2001-19. CERT/CC. (2001). Retrieved 2010-06-29.
وصلات خارجية
de:Code Red (Computerwurm) Code Red (computer worm)]] fr:Code Red hr:Code Red ja:Code Red ko:코드 레드 웜 pl:Code Red (wirus) ru:Code Red (червь) sl:Code Red sv:Code Red (internetmask)
