Code Red

Code Red（コードレッド）は、2001年ねん 7月がつ13日にちにインターネットで発見はっけんされたワームである。マイクロソフトの IIS Webサーバが動作どうさするコンピュータを攻撃こうげきした。このワームについて最もっとも深ふかく調査ちょうさしたのは、eEye Digital Security のプログラマ達たちであった。彼かれらはワームの名称めいしょうも決きめたが、その由来ゆらいはソフトドリンク「マウンテンデュー」のチェリー味あじの商品しょうひん名めい（CODE RED）と、このワームに攻撃こうげきされたWebサイトで見みられた "Hacked By Chinese!" という文字もじ列れつからの連想れんそうである（赤狩あかがり参照さんしょう）。このワームが出現しゅつげんしたのは7月がつ13日にちだが、被害ひがいが拡大かくだいしたのは2001年ねん7月がつ19日にちのことだった。この日ひ感染かんせんしたホスト数すうは359,000に達たっした^[1]。当日とうじつは、世界中せかいじゅうのネットワークのトラフィックの急増きゅうぞうにより、どのサイトへもつながりにくい状態じょうたいが発生はっせいし、唯一ゆいいつインターネットが麻痺まひした日ひとされる。

概説がいせつ

利用りようされた脆弱ぜいじゃく性せい

このワームは IIS に付属ふぞくして配布はいふされたインデックスサーバの脆弱ぜいじゃく性せいを利用りようした。この脆弱ぜいじゃく性せいについては MS01-033 で説明せつめいされている。それによると、ワーム出現しゅつげんの約やく1ヵ月かげつ前まえにパッチが公開こうかいされている。

このワームは自身じしんの拡散かくさんのために、いわゆるバッファオーバーランと呼よばれる脆弱ぜいじゃく性せいを利用りようした。'N' を繰くり返かえした長ながい文字もじ列れつでバッファをオーバーフローさせ、任意にんいのコードを実行じっこうしてマシンに感染かんせんする。

ワームのペイロード

このワームのペイロードには、以下いかが含ふくまれる。

感染かんせんしたWebサイトは次つぎのように表示ひょうじさせられる（最後さいごの部分ぶぶんはネット上じょうでの敗北はいぼくを表あらわす決きまり文句もんくとなった。外部がいぶリンク参照さんしょう）

HELLO! Welcome to http://www.worm.com! Hacked By Chinese!

インターネット上じょうのIISサーバを探さがし、さらに感染かんせんさせようとする。
感染かんせん後ご20日はつかから27日にち待まって、いくつかの固定こていのIPアドレスにDoS攻撃こうげきを仕掛しかけるようになっていた。攻撃こうげき目標もくひょうにはホワイトハウスのWebサーバも含ふくまれていた^[1]。

感染かんせん可能かのうなマシンを探さがす際さいに、このワームは IIS の脆弱ぜいじゃく性せいのあるバージョンが動作どうさしているかをチェックしていない。さらに言いえば、IIS が動作どうさしているかどうかすらチェックしていなかった。そのため、当時とうじの Apache のアクセスログを調しらべると、以下いかのようなエントリが頻繁ひんぱんに見みつかる^{[注釈ちゅうしゃく 1]}

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNN

NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN

NNNNNNNNNNNNNNNNNNN

%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801

%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3

%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0

類似るいじのワーム

2001年ねん 8月がつ4日にち、Code Red II が出現しゅつげんした。Code Red II は、Code Red ワームから派生はせいしたものではない。感染かんせん方法ほうほうが同おなじであるものの、ペイロードは全まったく異ことなる。感染かんせんしたマシンと同おなじサブネットかまたは異ことなるサブネットのターゲットを、ある固定こていの確かく率りつ分布ぶんぷに従したがった擬似ぎじ乱数らんすう的てきな手法しゅほうで選択せんたくする。通常つうじょう、同おなじサブネット内ないのターゲットを選えらぶことが多おおい。さらに、Code Red で 'N' を繰くり返かえしていた部分ぶぶん（バッファオーバーランを発生はっせいさせる文字もじ列れつ）が 'X' の繰くり返かえしになっている。

eEye はワームの発信はっしん地ちがフィリピンのマカティであると考かんがえている（VBS/Loveletter ワームと同おなじ発信はっしん地ちである）。

脚注きゃくちゅう

[脚注きゃくちゅうの使つかい方かた]

注釈ちゅうしゃく

^ このワームのペイロードは 'N' の羅列られつの後のちの文字もじ列れつである。脆弱ぜいじゃくなホストはこの文字もじ列れつを命令めいれい列れつとして実行じっこうしてしまう。

出典しゅってん

^ ^a ^b Moore, David; Colleen Shannon (2001年ねん?). “The Spread of the Code-Red Worm (CRv2)”. CAIDA Analysis. 2006年ねん10月がつ3日にち閲覧えつらん。

外部がいぶリンク

CERT Advisory CA-2001-19
eEye Code Red advisory
Code Red II analysis
Urban Dictionary における "Hacked by Chinese" というフレーズについての説明せつめい

[2] このワームのペイロードは 'N' の羅列られつの後のちの文字もじ列れつである。脆弱ぜいじゃくなホストはこの文字もじ列れつを命令めいれい列れつとして実行じっこうしてしまう。

[caida-1] Moore, David; Colleen Shannon (2001年ねん?). “The Spread of the Code-Red Worm (CRv2)”. CAIDA Analysis. 2006年ねん10月がつ3日にち閲覧えつらん。

[1]

[注釈ちゅうしゃく 1]