Code Red: Der Wurm, der in 14 Stunden 359.000 Server infizierte

Am 19. Juli 2001 infizierte ein Wurm namens Code Red in weniger als 14 Stunden 359.104 Computer. Ein Wurm ist ein Programm, das sich selbstständig von einem Computer auf den nächsten kopiert, ohne dass jemand etwas anklicken muss. Code Red nutzte eine Sicherheitslücke in IIS aus, der Webserver-Software von Microsoft, und das einen Monat, nachdem Microsoft einen Patch dafür veröffentlicht hatte.

So funktionierte der Wurm

IIS brachte eine Erweiterung für den Indexdienst von Microsoft mit, der Dateien durchsuchbar macht. Diese Erweiterung kopierte einen Teil der angefragten Webadresse in einen Speicherbereich fester Größe, einen sogenannten Puffer, ohne die Länge zu prüfen. Eine Anfrage mit einer sehr langen Adresse brachte den Puffer zum Überlaufen, und die überzähligen Daten konnten Programmcode enthalten. Der Server führte diesen Code aus, noch bevor er irgendeine Anmeldung prüfte. Weil die Erweiterung mit den höchsten Rechten in Windows lief, übernahm der Code des Angreifers die volle Kontrolle über den Server.

Windows 2000 Server installierte IIS standardmäßig, und die fehlerhafte Erweiterung war erreichbar, sobald IIS lief, auch wenn niemand den Indexdienst nutzte.

Code Red trug sein gesamtes Programm, etwa 4 KB, in einer einzigen Anfrage mit. Jeder infizierte Server schickte diese Anfrage an zufällige Internetadressen auf Port 80, dem üblichen Netzwerkport für Websites, mit etwa 11 Versuchen pro Sekunde. Die erste Version, aktiv ab dem 12. Juli 2001, verbreitete sich langsam, weil jede Kopie dieselben Adressen in derselben Reihenfolge ausprobierte. Die zweite Version ab dem 19. Juli wählte auf jedem Server andere Adressen und verbreitete sich weit schneller. Sie änderte Webseiten auf infizierten Servern so, dass dort die Worte „Hacked by Chinese“ erschienen. Sie war so programmiert, dass sie um Mitternacht UTC aufhörte, sich zu verbreiten, und einen Angriff begann: Ab dem 20. jedes Monats überflutete sie eine Website des Weißen Hauses mit Datenverkehr.

Reichweite und Schaden

Die Ausbreitung hat CAIDA gemessen, ein Internet-Forschungszentrum an der University of California San Diego. CAIDA zeichnet den Datenverkehr auf, der an großen Blöcken von Internetadressen ankommt; infizierte Server trafen diese Adressen zufällig, wenn sie nach neuen Opfern suchten. Bis zum Ende des 19. Juli (UTC) zählte CAIDA 359.104 infizierte Computer, gemessen an ihren Internetadressen, und sieht diese Zahl als Untergrenze. Auf dem Höhepunkt wurden jede Minute mehr als 2.000 Computer infiziert. Eine spätere Studie, die Code Red mit SQL Slammer verglich, gibt die Verdopplungszeit von Code Red mit etwa 37 Minuten an: die Zeit, in der sich die Zahl der infizierten Computer verdoppelte.

Nicht nur große Unternehmen waren betroffen. Anhand der Netzwerknamen der infizierten Computer schätzte CAIDA, dass 21 % davon Rechner in Privathaushalten und kleinen Unternehmen waren. Der Wurm erreichte außerdem 136 Computer mit .mil-Adressen und 213 mit .gov-Adressen, die zum US-Militär und zu US-Regierungsbehörden gehören.

Die Kosten lassen sich schwerer beziffern. Das Unternehmen Computer Economics schätzte, dass die Epidemie einschließlich späterer Versionen von Code Red mehr als 2,6 Milliarden US-Dollar gekostet hat. Die Studie von CAIDA zitiert diese Zahl; sie ist eine Schätzung, keine Messung.

Der Patch und die Reaktion

Das Sicherheitsunternehmen eEye Digital Security hatte Microsoft die Sicherheitslücke gemeldet. Am 18. Juni 2001 machte eEye seine Erkenntnisse öffentlich, und Microsoft veröffentlichte einen Patch im Sicherheitsbulletin MS01-033. Als der Wurm auftauchte, analysierte eEye ihn am 13. Juli und gab ihm seinen Namen. Einen Monat nach dem Patch fand Code Red noch immer Hunderttausende Server ohne ihn.

Auch nach dem Ausbruch wurde nur schleppend gepatcht. CAIDA prüfte täglich eine Stichprobe von 10.000 der am 19. Juli infizierten Computer. Zwischen dem 24. und dem 31. Juli stieg der Anteil der gepatchten Rechner im Schnitt um nur 1,5 Prozentpunkte pro Tag.

Am 1. August begann Code Red, sich erneut zu verbreiten. Bis Mitternacht verbreiteten etwa 275.000 Internetadressen den Wurm, und allein in der Stunde nach 14:00 Uhr UTC wurden 29.710 Computer neu infiziert. Erst dann stieg der Anteil der gepatchten Rechner in der Stichprobe von CAIDA deutlich, von 32 % auf 64 %.

Am 4. August begann ein anderer Wurm, CodeRedII, dieselbe Sicherheitslücke auszunutzen. Er war keine neue Version von Code Red: Er installierte eine Hintertür, einen versteckten Weg zurück in den Server, und griff bevorzugt Adressen in der Nähe seiner eigenen an.

Bis zum 14. August hing der Anteil der gepatchten Computer von der Art des Netzwerks ab: