O vírus de computador Code Red de 2001 – MCC

Gostou? Curta, comente e compartilhe a publicação original! Ajude a divulgar o projeto! Deixe seu comentário no final desta postagem!

Em 13 de julho de 2001, os engenheiros de segurança Marc Maiffret e Ryan Pernmeh detectavam pela primeira vez o vírus de computador Code Red, responsável por tirar de operação milhares de servidores de páginas web ao redor do mundo.

Um dos mais famosos e destrutivos do início do século XXI, o vírus de computador Code Red (mais precisamente um “worm” ou verme de computador) marcaria uma mudança importante no cenário da segurança digital, ao demonstrar a velocidade com que um programa malicioso podia se espalhar automaticamente pela rede, sem depender da ação do usuário.

Detectado pela primeira vez no dia 13 de julho de 2001 pelos engenheiros de segurança Marc Maiffret e Ryan Pernmeh, que trabalhavam na oportunidade empresa eEye Digital Security, o Code Red foi descoberto enquanto a dupla investigava o comportamento “estranho” em servidores que utilizavam o sistema operacional Microsoft Windows NT.

O alvo principal do ataque eram os servidores de internet que rodavam o software Internet Information Services (IIS), presente nos sistemas Microsoft Windows NT 4.0 e Windows 2000. Para tanto, o vírus se aproveitava de uma vulnerabilidade conhecida como estouro de buffer (buffer overflow) existente na extensão Index Server ISAPI (.ida) do software, que já havia recebido uma correção disponibilizada pela própria Microsoft no dia 18 de junho de 2001 (boletim de segurança MS01-033).

Como seria de se esperar, apesar da disponibilização da correção quase um mês antes da epidemia, milhares de administradores ainda não haviam aplicado a atualização em seus servidores, deixando-os vulneráveis ao ataque.😒

O nome “Code Red” surgiria de uma forma curiosa durante as longas horas de trabalho dos analistas que descobriram a praga. Naquela ocasião, os funcionários da eEye Digital Security consumiam bastante um refrigerante tipo cola chamado Mountain Dew Code Red, que serviria de inspiração para batizar a ameaça, denominação que acabaria sendo rapidamente adotada pela imprensa internacional.

O funcionamento do Code Red se estruturava em fases temporais bem definidas e programadas de acordo com os dias do mês. Entre o dia 1º e o dia 19 de cada mês, o worm entrava em seu ciclo de propagação ativa, onde buscava de forma incansável e aleatória por novos endereços de IP na internet para tentar infectar outros servidores vulneráveis, num processo automatizado que gerava um tráfego de dados massivo nas redes mundiais da época.

A partir do dia 20 até o dia 27 do mês, o código mudava seu comportamento original para iniciar um ataque coordenado de negação de serviço distribuído, conhecido pela sigla DDoS, tendo como objetivo principal o de inundar de acessos simultâneos endereços específicos na internet, como o portal oficial da Casa Branca dos Estados Unidos. Do dia 28 até o final do mês, o danado permanecia inativo, aguardando o início do mês seguinte para reiniciar seu ciclo de propagação.

O impacto visual do ataque era evidente. Quando o vírus conseguia assumir com sucesso o controle das páginas web hospedadas no servidor infectado, ele substituía o conteúdo original do site por uma página contendo a mensagem “HELLO! Welcome to http://www.worm.com! Hacked By Chinese!”, grafada em letras na cor vermelha.

Embora a frase, que fazia parte do próprio código do programa, viesse a se tornar uma das imagens mais conhecidas da história da segurança da informação, apesar da referência à China, nunca foram encontradas evidências de que o worm tivesse sido criado realmente por hackers chineses.

vírus de computador Code Red 2 — Cenário mundial do estrago causado pelo worm

Para evitar o ataque contra seu site, a Casa Branca adotaria uma medida relativamente simples, alterando apenas o endereço IP do servidor antes do início da ofensiva. Isso porque, como o Code Red atacava exclusivamente um “IP” originalmente programado em seu código, a mudança tornava o ataque ineficaz, com o caso se transformando em um exemplo clássico de resposta rápida a incidentes de segurança, ressaltando a importância da coordenação entre órgãos governamentais e especialistas em segurança digital.

Uma das características técnicas mais marcantes do Code Red foi o fato dele ser um vírus residente puramente na memória RAM do computador afetado, não se “escondendo” nem se gravando em nenhum arquivo físico no disco rígido do servidor durante a infecção. Bastava localizar um servidor IIS vulnerável conectado à Internet para explorá-lo automaticamente, instalar-se na memória do sistema e iniciar imediatamente a busca por novos alvos.

Por conta disso, uma medida simples como reiniciar o computador era capaz de eliminar temporariamente o vírus da máquina, embora o servidor permanecesse sujeito a ser reinfectado em poucos minutos se continuasse conectado à internet sem a instalação da correção de software.

No dia 19 de julho de 2001, a disseminação do vírus atingiria seu ápice global ao infectar mais de 359 mil computadores em um intervalo de apenas 14 horas, com picos superiores a 2.000 novas infecções por minuto. Esse volume gigantesco de máquinas infectadas tentando escanear a internet ao mesmo tempo sobrecarregaria a infraestrutura global de telecomunicações, deixando a navegação significativamente mais lenta em diversos países e derrubando os sistemas de milhares de empresas ao redor do globo.

A situação ganharia contornos ainda mais graves no dia 04 de agosto de 2001, quando surgiria uma nova variante do código destrutivo, batizada pelos especialistas de Code Red II, que apesar do nome semelhante e da exploração da mesma vulnerabilidade do IIS, tratava-se de um worm diferente, desenvolvido de forma independente.

Em vez de apenas realizar desfiguração de páginas e ataques DDoS, o novo Code Red II instalava uma porta oculta de acesso (backdoor), permitindo que invasores assumissem o controle remoto total do servidor comprometido. Sua estratégia de propagação também seria modificada para priorizar computadores pertencentes à mesma rede local da máquina infectada, aumentando ainda mais sua eficiência.

O declínio definitivo das infecções e o controle sobre o Code Red só seriam alcançados por meio de um esforço conjunto global que envolveria órgãos governamentais, empresas de segurança e a própria Microsoft. Uma intensa campanha de conscientização forçaria os administradores de sistemas a instalarem em larga escala o pacote de correção lançado lá em junho, o que gradualmente removeria os alvos vulneráveis da rede e neutralizaria a capacidade de replicação do vírus.

E você, lembra de ter sido afetado pelo Code Red?

Clique aqui e deixe seu comentário no final desta postagem! Sua participação é muito importante pra nós!

Vídeo(s):

*legendas disponíveis nos controles do Youtube, na opção “⚙ >> Legendas/CC >> Traduzir automaticamente”.

O vírus Code Red em ação

Mais em:

*As imagens utilizadas nesta postagem são meramente ilustrativas e foram obtidas da internet.

Quer nos ajudar com doações de itens para o acervo do Museu Capixaba do Computador – MCC?

Entre em contato conosco por meio dos canais de comunicação identificados nos ícones abaixo, ou ainda por quaisquer uma das nossas redes sociais listadas no topo da página.