Черви Blaster и Sasser: почему Windows XP перезагружалась сама и что изменил SP2
В августе 2003 года червь Blaster заразил сотни тысяч компьютеров с Windows XP и Windows 2000, а в апреле 2004 года Sasser показал тот же сценарий с окном обратного отсчёта. Причиной был выключенный по умолчанию файрвол и разрыв между выходом исправлений и атаками, который становился всё меньше.
Главное в цифрах
- Заражённых Blaster по оценкам того времени: около 423 тысяч
- Исправление для DCOM RPC: 16 июля 2003 года, за 25 дней до появления червя
- Разрыв между исправлением и червём: Nimda 331 день, Sasser 17 дней
- Награда Microsoft за информацию о Sasser: 250 тысяч долларов
- Приговор Яшану: 21 месяц условно и 30 часов общественных работ
Blaster проникал на компьютеры через сетевой порт 135, если машина подключалась к интернету напрямую. Уязвимость находилась в службе DCOM RPC, а исправление Microsoft выпустила 16 июля 2003 года, примерно за 25 дней до появления червя. По оценкам того времени, заражённых было около 423 тысяч компьютеров.
Встроенный файрвол Windows XP существовал, но по умолчанию был выключен, и включать его нужно было вручную. Большинство пользователей этого не делало.
Почему компьютеры перезагружались
Оба червя били по важным службам системы: Blaster атаковал RPC, Sasser, LSASS, службу, связанную с проверкой входа в систему. Когда такая служба падала, Windows сама назначала перезагрузку через 60 секунд. Червь не нажимал кнопку перезагрузки, он ломал службу, а систему перезапускала сама Windows.
Пока исправление не было установлено, а доступ к компьютеру извне оставался открытым, ситуация могла повториться.
Сокращение разрыва и авторы
По данным Microsoft, между выходом исправления и появлением червя проходило: у Nimda 331 день, у SQL Slammer 180, у Welchia 151, у Blaster 25, у Sasser 17. Sasser заметили 30 апреля 2004 года, исправление для LSASS вышло 13 апреля.
Автора Sasser, немецкого подростка Свена Яшана, арестовали 7 мая 2004 года. В июле 2005 года суд приговорил его к 21 месяцу условно и 30 часам общественных работ. Автора варианта Blaster.B, 18-летнего Джеффри Ли Парсона из Миннесоты, приговорили к 18 месяцам лишения свободы.
Ответ Microsoft
Ответом Microsoft стал Service Pack 2 для Windows XP, вышедший в августе 2004 года. Встроенный файрвол в нём был включён по умолчанию, работал с самой загрузки системы и защищал все сетевые подключения. Комментатор Пол Турротт писал в мае 2004 года, что при готовом SP2 Sasser не превратился бы в очередную эпидемию в XP.
