Net-Worm.Win32.Slammer

技術的な詳細

Helkern （別名Helkern、別名Sapphire）は、Microsoft SQL Server 2000に影響を及ぼす非常に小さい（わずか376バイト）インターネットワームです。犠牲PCに侵入するために、ワームはバッファオーバーランの脆弱性を悪用します。

ワームコードが脆弱なSQLサーバーに侵入すると、バッファオーバーラントリックを使用して制御され、3つのWin32 API関数が使用されます。

GetTickCount（KERNEL32.DLL）
ソケット、sendto（WS2_32.DLL）

ワームは、GetTickCount関数を使用してランダムなカウンタを取得し、無限に拡散または「発生する」ループに入ります。拡散ループでは、ワームは、（ランダムカウンタに応じて）ランダムなIPアドレスをMS SQLポート1434に送信します。

ワームはマルチキャストパケットを送信します。つまり、1つの "send"コマンドだけがサブネット内の255台のマシンすべてにヒットします。結果として、このワームは、現在知られている他のどのワームよりも255倍速く広がっています。

MS SQLサーバはWeb上で頻繁に使用されるため、このワームはグローバルなINet DoS攻撃を引き起こす可能性があります。感染したすべてのサーバが無作為に選択された他のマシンに接続しようとするため、グローバルなINetトラフィックがオーバーフローします。

ワームはメモリだけで、感染したマシンのメモリから被害者のマシンのメモリに広がります。このワームは、追加ファイルを一切削除せず、いかなる形でも現れません。

ワームコード（ワームコードとデータが混在している）に表示されるテキスト文字列があります。

h.dllhel32hkernQhounthickChGet
Qh32.dhws2_f
etQhsockf
toQhsend

バッファオーバーフロー

このバッファオーバーランエクスプロイトには、次の名前があります。
MS SQL Server 2000での認証されていないリモート侵害

影響を受けるシステムは次のとおりです。
Microsoft SQL Server 2000、すべてのサービスパック

このセキュリティ侵害は2002年7月に発見され、後に「MS SQL Server 2000」パッチで修正されました。

詳細については、次のアドレスでお読みください：
マイクロソフトセキュリティ情報MS02-039
NGSSoftware Insight Security Research Advisory

MS SQL Server 2000用のパッチは、次のサイトから入手できます。http : //www.microsoft.com/Downloads/Release.asp?ReleaseID=40602