• صبح روز ۱۵ ژوئیه ۲۰۰۱: تحلیلگران شرکت eEye Digital Security در حالی که آخرین جرعه‌های نوشیدنی گازدار محبوبشان، Code Red Mountain Dew، را می‌نوشیدند، با هشدارهایی درباره گسترش سریع یک کرم کامپیوتری جدید مواجه شدند. همین موضوع باعث شد نام این بدافزار را به یاد نوشیدنی مورد علاقه‌شان، «کد رد» بگذارند. این نام برای بسیاری از قربانیان کرم به یاد ماندنی شد، چرا که در عرض چند روز، کد رد اینترنت را تسخیر کرد.
• چگونگی گسترش کرم: بعدها مشخص شد که گسترش این کرم از ۱۳ ژوئیه ۲۰۰۱ آغاز شده بود. این بدافزار از یک آسیب‌پذیری در وب‌سرور Internet Information Server (IIS) استفاده می‌کرد که مربوط به سرریز بافر (Buffer Overflow) بود. اگرچه مایکروسافت یک ماه قبل از این اتفاق، وصله‌ای برای رفع این آسیب‌پذیری منتشر کرده بود، اما بسیاری از مدیران سیستم‌ها به‌موقع این به‌روزرسانی را نصب نکرده بودند. همین موضوع دلیل اصلی شیوع گسترده این کرم شد.
• آسیب‌پذیری مورد استفاده: کرم اینترنتی از یک آسیب‌پذیری ساده در یکی از ماژول‌های وب‌سرور، به‌طور خاص در بخش افزونه‌ایندکس کردن داده‌ها، سوءاستفاده می‌کرد. در کتابخانه idq.dll یک اشکال مربوط به سرریز بافر وجود داشت. این آسیب‌پذیری با شناسه MS01-33 شناخته می‌شد. با استانداردهای امروزی، این یک اشکال بسیار ساده است که می‌توان با ارسال یک درخواست بسیار طولانی به سرور، آن را مورد سوءاستفاده قرار داد. مثلاً:
GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
در این درخواست، داده‌های بعد از کاراکترهای N به عنوان دستورات تفسیر و اجرا می‌شوند. تمام کد مخرب در خود درخواست قرار دارد، بنابراین اگر سرور آسیب‌پذیر باشد، بلافاصله و با احتمال ۱۰۰٪ آلوده می‌شود.
• رفتار کرم: رفتار کرم بسته به تاریخ روز متفاوت بود. از روز ۱ تا ۱۹ هر ماه، کرم فقط به گسترش خود می‌پرداخت: با اسکن سرورهای اینترنتی، درخواست‌های مخرب را به آن‌ها ارسال می‌کرد. برای این کار، روی هر سیستم آلوده، ۹۹ thread موازی ایجاد می‌شد که هر کدام لیستی از کامپیوترهای جدید برای آلوده‌سازی را تولید می‌کردند. از روز ۲۰ تا ۲۷ هر ماه، کرم حملات DDoS را علیه لیستی از آدرس‌های IP که در کد آن تعبیه شده بود، انجام می‌داد. یکی از این آدرس‌ها، مربوط به وب‌سایت کاخ سفید بود.
• اوج شیوع: اگرچه گسترش کرم در ۱۵ ژوئیه ۲۰۰۱ گزارش شد، اما اوج آن در ۱۹ ژوئیه اتفاق افتاد، زمانی که بیش از ۳۵۹ هزار سرور آلوده شده بودند. بعدها، با نصب به‌روزرسانی‌های امنیتی مایکروسافت توسط مدیران سیستم‌ها، شیوع کرم کاهش یافت. البته نسخه دوم کرم با نام Code Red II نیز ظهور کرد که از کاراکترهای X به جای N در درخواست‌های خود استفاده می‌کرد.
• نتیجه‌گیری: از این ماجرا دو درس مهم می‌توان گرفت. اول اینکه نصب به‌موقع وصله‌های امنیتی که ۲۴ سال پیش اهمیت زیادی داشت، هنوز هم موضوعی حیاتی است. دوم اینکه خوش‌شانسی بزرگی بود که کد رد فایل‌ها را رمزنگاری نمی‌کرد، پسوردها را نمی‌دزدید یا داده‌ها را نابود نمی‌کرد. اگر هدف مهاجمان مخرب‌تر بود، عواقب این حمله می‌توانست بسیار فاجعه‌بارتر باشد.
@TryHackBoxStory