Azjatyckie serwery odcięte od sieci

Złośliwy robak od dwóch dni w kilku krajach azjatyckich poważne utrudnienia w korzystaniu z sieci internetowej. Najdotkliwiej ucierpiała sieć w Korei Południowej, a przez kilka godzin tamtejsze serwery nie działały praktycznie w ogóle.

Problemem jest robak który wykorzystuje dziurę w serwerze MS SQL, który wysyła olbrzymie ilości danych na port 1432/UDP, blokując tym samym sieć. Podobnie było w Japonii, Tajlandii, Malezji, Indiach i na Filipinach.

Więcej informacji na ten temat znajduje się na stronach securityfocus, zaś poniżej informacja nadesłana przez Pooh’a odnośnie nowego robaka:

2003-01-25
Dziś w nocy zaczął działać nowy robal internetowy, tym razem wykorzystujący dziury w serwerach MSSQL. Nie byłoby w tym nic strasznego, w końcu to nie pierwsza i zapewne nie ostatnia dziura w produktach MS, gdyby nie to, że robal przystąpił do masowego skanowania sieci w poszukiwaniu nowych ofiar. Operatorzy firewalli powinni zauważyć tony pakietów UDP przychodzących na port 1434. U mnie pojawiły się punktualnie o 6:30 rano i przybywają do tej pory (15:30) w tempie dochodzącym momentami do 10/s.

Rozprzestrzenianie sie robala zawdzięczamy po pierwsze, starej (ma już ponad pół roku) dziurze w MSSQL, a po drugie niefrasobliwości adminów, którzy nie pomyśleli o załataniu swoich serwerków. Patch również jest dostępny od ponad pół roku, trzeba go było sciągnąć i zainstalować…

Robal generuje spory ruch, zwłaszcza, że swoje pakiety wysyła multicastami, więc w niektórych sieciach ruch ten dodatkowo się zwieksza. Podobno w niektórych rejonach sieci robal pozapychał łącza i spowodował straty pakietów sięgające nawet do 95%

W chwili obecnej pozostaje nam blokowanie przychodzącego ruchu UDP 1434, dodatkowo admini posiadający w swoich sieciach serwery MSSQL powinni zablokować ruch wychodzący na ten port, aby zablokować rozprzestrzenianie się robala, jeśli już go mają u siebie.

Na koniec kilka przydatnych linków
– Unauthenticated Remote Compromise in MS SQL Server 2000
– łatka bezpieczeństwa na serwer MS SQL