Code Red fue un gusano informático detectado en Internet el 15 de julio de 2001. Atacó a equipos que ejecutaban el servidor web IIS de Microsoft . Fue el primer ataque de amenaza mixta a gran escala que tuvo como blanco con éxito redes empresariales. [1]
El gusano Code Red fue descubierto e investigado por primera vez por los empleados de eEye Digital Security Marc Maiffret y Ryan Permeh cuando explotó una vulnerabilidad descubierta por Riley Hassell. Lo llamaron "Code Red" porque estaban bebiendo Mountain Dew con el mismo nombre de sabor en el momento del descubrimiento. [2]
Aunque el gusano había sido liberado el 13 de julio, el grupo más grande de computadoras infectadas fue visto el 19 de julio de 2001. Ese día, el número de hosts infectados alcanzó los 359.000. [3]
El gusano se propagó por todo el mundo, volviéndose particularmente frecuente en América del Norte, Europa y Asia (incluidas China e India). [4]
El gusano mostró una vulnerabilidad en el software distribuido con IIS, descrita en el Boletín de Seguridad de Microsoft MS01-033, [5] para el cual había estado disponible un parche un mes antes.
El gusano se propagó utilizando un tipo común de vulnerabilidad conocida como desbordamiento de búfer . Lo hizo utilizando una larga cadena de la letra 'N' repetida para desbordar un búfer, lo que le permitió ejecutar código arbitrario e infectar la máquina con el gusano. Kenneth D. Eichman fue el primero en descubrir cómo bloquearlo y fue invitado a la Casa Blanca para su descubrimiento. [6]
La carga útil del gusano incluía:
¡HOLA! ¡Bienvenido a http://www.worm.com! ¡Hackeado por chinos!
Al escanear en busca de máquinas vulnerables, el gusano no probó si el servidor que se ejecutaba en una máquina remota estaba ejecutando una versión vulnerable de IIS, o incluso si estaba ejecutando IIS. Los registros de acceso de Apache de esta época con frecuencia tenían entradas como estas:
OBTENER /default.ida?NN ... NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
La carga útil del gusano es la cadena que sigue a la última "N". Debido a un desbordamiento del búfer, un host vulnerable interpretó esta cadena como instrucciones de computadora y propagó el gusano.
El 4 de agosto de 2001 apareció Code Red II . Aunque utilizaba el mismo vector de inyección, tenía una carga útil completamente diferente . Elegía de forma pseudoaleatoria objetivos en la misma o en diferentes subredes que las máquinas infectadas según una distribución de probabilidad fija, favoreciendo a los objetivos de su propia subred la mayoría de las veces. Además, utilizaba el patrón de repetición de caracteres "X" en lugar de "N" para desbordar el búfer.
eEye creía que el gusano se originó en Makati , Filipinas , el mismo origen que el gusano VBS/Loveletter (también conocido como "ILOVEYOU").