Что такое бластерный червь?

Червь-бластер был вредоносной компьютерной программой, которая впервые появилась в Интернете в 2003 году. Через несколько дней после появления в начале августа 2003 года червь заразил несколько сотен тысяч компьютеров под управлением Windows. Бластерный червь не был атакой с нулевым днем, поскольку он использовал дыру в безопасности, которая была на самом деле исправлена ​​в июле того же года. Компьютеры, на которых уже было исправление, не были уязвимы, и те, которые могли успешно загрузить его, были защищены от дальнейшей эксплуатации. Одной из функций, которую выполнял бластерный червь, было использование зараженных компьютеров в серии атак распределенного отказа в обслуживании (DDoS) на серверах, отвечающих за предоставление исправлений безопасности.

В июле 2003 года Microsoft® выпустила исправление безопасности, касающееся протокола удаленного вызова процедур (RPC) объектной модели распределенного компонента (DCOM). Хакерские группы смогли перепроектировать патч, чтобы обнаружить и затем использовать уязвимость, которую он должен был исправить. Они разработали червя с использованием файла MSblast.exe, откуда и взято имя blaster.

Бластерный червь был разработан для распространения непосредственно через Интернет и не требовал от пользователя загрузки файла или открытия вложения. После заражения компьютера червь связывался с большим количеством адресов интернет-протокола (IP) через порт 135. Если с таким способом связаться с уязвимой машиной с Windows XP®, червь мог реплицировать себя и затем повторить процесс.

Одним из следствий заражения бластерным червем было участие во временной DDoS-атаке. Каждый зараженный компьютер был настроен на направление большого количества трафика на серверы, отвечающие за распространение исправлений. Эти атаки зависели от локальных часов зараженного компьютера, что привело к непрерывной волне избыточного трафика, направленного на серверы. Эта стратегия вызвала возможные изменения в том, как работают эти системы обновлений, так что критические исправления будут оставаться доступными перед лицом будущих атак.

Как только природа заражения была обнаружена, многие интернет-провайдеры начали блокировать трафик через порт 135. Это фактически остановило распространение червя через этих интернет-провайдеров, хотя большое количество машин уже было заражено. Когда начались операции по очистке, начал появляться ряд вариантов. Из этих вариантов один использовал те же эксплойты для попытки принудительного исправления проблемы. Это упоминается как полезный червь, несмотря на то, что он привел к ряду собственных проблем.