books red code

عندما ظهرت الشيفرة الحمراء في عام 2001 قدّر بعض الخبراء الخسائر الناجمة عن هذا الفيروس بنحو 2 مليار دولار والاسم التقني لهذا الفيروس يشير إلى الثغرة التي يستغلها هذا الفيروس وهو Buffer overflow، وهي ثغرة موجودة في مزودات مايكروسوفت IIS في الإصدارات 4 و 5 التي تعمل ضمن ويندوز 2000 أو الإصدارات التجريبية من ويندوز إكس بي.

تخيل موقعا تحتاج للدخول إليه إلى اسم مستخدم وكلمة سر، ثم تخيل أنك قمت باستعمال اسم مستخدم يتكون من مليون حرف!! ما يحصل في بعض النظم، والتي لم يتم بها تحديد الحد الأقصى لحجم المتغيرات، هو أنها إما تنهار أو تسمح للمستخدم بالدخول. أما في حالة الثغرة الموجودة في برمجيات مايكروسوفت المذكورة أعلاه فهو أن النظام يسمح للهكرز بالدخول، ومن ثم تنفيذ أية مجموعة يريدها من الأوامر. ويستغل فيروس، أو دودة، الشيفرة الحمراء هذه الثغرة لينفذ إلى المزودات، ومن ثم الانتشار إلى مزودات أخرى، ليتحول إلى هجمة حرمان من الخدمات، حيث يقوم باستهلاك نطاقات الموجة للبحث عن ومسح مجموعات من عناوين IP المولّدة شبه عشوائيا.

كان الفيروس فعالا في الانتشار إلى حد أنه تمكن من الوصول إلى 250 ألف نظام في الساعات التسعة الأولى من ظهوره. وخلال هذه الساعات قام الفيروس بوضع العبارة " Welcome to www.worm.com Hacked by Chinese!" كاستجابة لأية طلبات لوصلات HTTP. وتتكرر هذه المرحلة من اليوم الأول حتى اليوم التاسع عشر من كل الشهر. وفي مرحلة الإغراق، وهي المرحلة الثانية، والتي تتواصل في الفترة ما بين 20 و 27 من أي شهر، فإن الفيروس قام باستهداف عناوين IP الخاصة بالبيت الأبيض الأمريكي، والذي تمكن من مكافحة الهجوم بتغيير عنوان IP ضمن نظام أسماء النطاقات المركزي. ومع ذلك، فإن مشتقات هذه الدودة، والتي ظهرت لاحقا، تقوم باستخدام أساليب أخرى للإستهداف. فبالإضافة إلى استخدام العناوين المكتوبة بالحروف، وليس بأرقام IP فقط، فإن المشتقات الجديدة يمكنها استهداف مواقع في بلدان معينة، أو أقاليم معينة. وفي المرحلة الثالثة فإن الدودة تخلد إلى النوم، حتى بداية الدورة في الشهر التالي.

مشتقات الشيفرة الحمراء

وبالنسبة لمشتقات دودة الشيفرة الحمراء الأصلية، فقد كانت أكثر ذكاء وقدرة على الانتشار، حيث أنها لم تقم بالبحث عن نفس القائمة من عناوين IP، كما أنها لم تستخدم الرسالة الإنجليزية الأصلية، مما أطال من فترة الاكتشاف والانتشار. وبدلا من أسلوب التخريب الأول فإن المشتقات الجديدة تقوم بوضع فيروسات طروادية، تقوم بفتح مسالك للنفاذ إلى الأجهزة المصابة بالفيروس، والتي لم يتم معالجة الثغرة بها، مما يسمح للهكرة مستقبلا باستخدام هذه الأجهزة لشن هجمات جديدة للحرمان من الخدمات. كما أن المشتقات الجديدة كما ذكرنا تقوم بتوليد عناوين IP عشوائية للعثور على أجهزة جديدة لاختراقها.

الشيفرة الحمراء ليست حكرا على مايكروسوفت فقط

وأثناء بحث دودة الشيفرة الحمراء عن عناوين جديدة لاختراقها، ترسل رسائلها إلى جميع المزودات دون استثناء، حيث تقوم بإرسال أمر GET بحثا عن الملف default.ida يتبع ذلك أمر طويل ليس له معنى. ويعني ذلك أنه يصبح لزاما على المزود أن يقوم بمعالجة مجموعة كبيرة من حزم get، مما قد يؤدي إلى إحداث بعض الضغوط على الأداء. وبالإضافة إلى ذلك، إذا كان لديك مزود وسيط يقوم بتسريع أداء مزود ويب، فإنه يقوم بإرسال هذه الأوامر إلى مزود الويب، والذي رغم أنه قد لا يتعرض للعدوى بالفيروس، فإنه حتما سيعاني من تراجع في الأداء نتيجة للكم الهائل من الحزم التي سيكون عليه معالجتها. لذلك احرص على زيارة موقع إنترنت الخاص بالشركة المنتجة لمزود الويب الذي تستخدمه، وابحث عن الرقع البرمجية الخاصة بدودة الشيفرة الحمراء.