SQL Slammer: Der Wurm, der in 10 Minuten 90 % seiner Ziele infizierte

Am frühen Morgen des 25. Januar 2003, einem Samstag, infizierte ein Wurm namens SQL Slammer, auch Sapphire genannt, in 10 Minuten mehr als 90 % der verwundbaren Computer im Internet. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Slammer griff die Datenbanksoftware SQL Server 2000 von Microsoft über eine Sicherheitslücke an, die Microsoft sechs Monate zuvor behoben hatte, und schon sein Datenverkehr legte Netzwerke und andere Systeme lahm.

So funktionierte der Wurm

SQL Server 2000 kann auf einem Rechner mehrere Kopien des Datenbankservers betreiben, sogenannte Instanzen. Ein kleines Hilfsprogramm, der SQL Server Resolution Service, teilt Programmen mit, welchen Netzwerkport – eine Art nummerierte Tür – jede Instanz verwendet. Der Dienst selbst wartet auf UDP-Port 1434 auf Anfragen. UDP ist ein Verfahren, einzelne Datenpakete zu verschicken, ohne vorher eine Verbindung aufzubauen.

Ein Teil dieses Dienstes kopierte Daten aus einem eingehenden Paket in einen Speicherbereich fester Größe, einen sogenannten Puffer, ohne die Länge zu prüfen. Ein einziges präpariertes Paket konnte den Puffer überlaufen lassen und Code im Datenbankserver ausführen. Derselbe Dienst steckt auch in MSDE 2000, einer Datenbank-Engine, die Microsoft zudem in anderen Produkten auslieferte, etwa in Visual Studio.

Slammer war nichts anderes als ein solches Paket: 376 Byte Code, 404 Byte als vollständiges Paket. Er trug keine Schadfunktion, nur den Code, um sich zu verbreiten. Jeder infizierte Computer verschickte Kopien an zufällige Adressen, so schnell seine Netzwerkverbindung es zuließ. Weil UDP keine Antwort braucht, begrenzte nur die Bandbreite der Netze das Tempo. Der Wurm lebte nur im Arbeitsspeicher und hinterließ keine Datei. Ein Neustart entfernte ihn, doch ein nicht gepatchter Server war innerhalb weniger Minuten erneut infiziert.

Tempo und Reichweite

Forscher von CAIDA und anderen Instituten rekonstruierten den Ausbruch anhand von Daten zum Netzwerkverkehr und veröffentlichten 2003 ihre Studie „Inside the Slammer Worm“. Ein Scan ist in der Tabelle unten ein Versuch, eine zufällige Adresse zu erreichen.

Für den Ausbruch von Code Red im Jahr 2001 nennt die Studie eine Verdopplungszeit von etwa 37 Minuten. Slammer war laut der Studie zwei Größenordnungen schneller, also etwa hundertmal so schnell. Ein einzelner infizierter Computer schickte bis zu 26.000 Scans pro Sekunde; im Durchschnitt waren es etwa 4.000.

Die Forscher zählten mindestens 75.000 infizierte Computer, „vielleicht erheblich mehr“. Der größte Anteil entfiel auf die USA:

Was der Datenverkehr traf

Slammer veränderte oder löschte keine Daten. Der Schaden entstand durch seinen Datenverkehr, der Netze überlastete und andere Systeme mit sich riss.

Der am besten dokumentierte Fall ist das Kernkraftwerk Davis-Besse in Ohio, USA. Nach Angaben der US-Atomaufsicht Nuclear Regulatory Commission (NRC) gelangte der Wurm am 25. Januar in das Netzwerk des Kraftwerks. Das Safety Parameter Display System, das wichtige Sicherheitswerte anzeigt, war 4 Stunden und 50 Minuten lang nicht verfügbar, der Prozessrechner des Kraftwerks 6 Stunden und 9 Minuten lang. Laut NRC waren die Steuerungs- und Schutzfunktionen des Kraftwerks nicht betroffen.

Presseberichte aus jener Zeit, die die Studie zitiert, nannten außerdem Geldautomaten, Notruf-Terminals und gestrichene Flüge. Eine verlässliche Zahl zu den Gesamtkosten gibt es nicht: Es liegen nur Schätzungen aus Presse und Branche vor.

Der Patch und die Reaktion

Das britische Unternehmen NGSSoftware hatte Microsoft die Sicherheitslücke gemeldet. Am 24. Juli 2002 veröffentlichte Microsoft das Sicherheitsbulletin MS02-039 mit einem Patch und der Empfehlung: „Systemadministratoren sollten den Patch unverzüglich installieren.“ Einen Tag später nahm Microsoft MSDE 2000 in das Bulletin auf, und der Fix wurde später Teil von SQL Server 2000 Service Pack 3. Laut Microsoft schützt der Patch „SQL Server 2000 und MSDE 2000 wirksam vor dem Wurm SQL Slammer“. Sechs Monate nach seiner Veröffentlichung fehlte er noch auf mindestens 75.000 Computern.

Während des Ausbruchs begannen viele Netzwerke binnen einer Stunde, in ihren Routern und Firewalls alle Pakete an UDP-Port 1434 zu sperren. Da hatte der Wurm fast alle verwundbaren Computer längst erreicht.

Die US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 7,5 von 10; einen Wert nach der neueren Version 3 gibt es nicht. Der Wert ist nicht höher, weil SQL Server standardmäßig mit den Rechten eines gewöhnlichen Benutzerkontos läuft, nicht mit vollen Systemrechten.