Blaster

Podle soudních dokumentů, původní Blaster byl vytvořen poté, co bezpečnostní výzkumníci z čínské skupiny Xfocus použili reverzní inženýrství na původní Microsoft patch, který dovolil^[zdroj?] provedení útoku[3]

Červ šíří tím, že využívá přetečení vyrovnávací paměti objevené polským bezpečnostním výzkumníkem skupiny Last Stage of Delirium[4] v DCOM RPC služby na dotčených operačních systémech, pro které byla oprava vydána o jeden měsíc dříve v [ https://web.archive.org/web/20050225010955/http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx MS03 - 026 ] a později v [ https://web.archive.org/web/20040603065110/http://www.microsoft.com/technet/security/bulletin/MS03-039.mspx MS03 - 039 ]. To umožnilo červovi se šířit bez otevírání příloh uživatelů jednoduše tím, že "spamoval" do velkého počtu náhodných IP adres. Byly zjištěny čtyři aktivní verze po internetu[5]

Červ je naprogramován, aby začal SYN flood na portu 80 z windowsupdate.com v případě, že datum systému je po 15. srpnu a před 31. prosincem a po 15. dni dalších měsíců, čímž se vytváří DDoS proti stránce.[6]Poškození Microsoftu bylo minimální, protože cílená stránka byla windowsupdate.com, a ne windowsupdate.microsoft.com, na které byl přesměrován. Microsoft dočasně vypnul cílenou stránku ve snaze minimalizovat potenciální účinky červa.

Červí spustitelný soubor obsahuje dvě zprávy. První zní:

I just want to say LOVE YOU SAN!! soo much

Tato zpráva se dala červu alternativní název Lovesan. Druhá zní:

Billy Gates why do you make this possible? Stop making money
and fix your software! !

To je zpráva, Bill Gatesovi, spoluzakladateli společnosti Microsoft a cíl tohoto červa.

Červ také vytvoří následující položku registru tak, že se spustí při každém spuštění systému Windows:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update=msblast. exe

Ačkoli červ může šířit pouze na počítačích s operačním systémem Windows 2000 nebo Windows XP (32 bit), může způsobit nestabilitu ve službě RPC na systémech Windows NT, Windows XP (64 bit) a Windows Server 2003 . Zejména, červ se nešíří v systému Windows Server 2003, protože systém Windows Server 2003 byl kompilován s /GS spínačem, který odhalil přetečení vyrovnávací paměti a ukončil RPCSS proces[7] Pokud dojde k infekci, buffer overflow způsobí, že služba RPC havaruje, vedoucí k tomu, že Windows zobrazí následující zprávu a poté se automaticky restartuje, obvykle po 60 sekundách.[8]

System Shutdown:

This system is shutting down. Please save all work in progress and log off. Any unsaved changes will be lost. This shutdown was initiated by NT AUTHORITY\SYSTEM

Time before shutdown: hh: mm: ss

Message:

Windows must now restart because the Remote Procedure Call

(RPC) Service terminated unexpectedly.

To byl první náznak toho, že uživatel měl infekci, často k tomu došlo několik minut po každém startu na napadených počítačů. Jednoduché řešení k zastavení odpočítávání je spustit "shutdown -s" příkaz v příkazovém řádku Windows,[9] což mělo vedlejší následky, jako například prázdný (bez uživatelů) welcome screen.[10] Welchia červ měl podobný účinek. O několik měsíců později se vynořil červ Sasser, který způsoboval zobrazení podobných zpráv.

V tomto článku byl použit překlad textu z článku Blaster (computer worm) na anglické Wikipedii.