SQL Slammer
folcloresegurançaredes
O worm de 376 bytes que cabia em um único pacote UDP e infectou a maioria de suas 75.000 vítimas em dez minutos, em 25 de janeiro de 2003.
O Slammer vivia apenas na memória e nos pacotes de rede, sem tocar o disco: uma carga de 376 bytes otimizada à mão, disparada contra a porta UDP 1434, dobrando de tamanho a cada 8,5 segundos no pico. Caixas eletrônicos falharam, boa parte da Coreia do Sul perdeu conectividade e roteadores caíram sob a carga de varredura, tudo por uma falha que a Microsoft havia corrigido seis meses antes. Segue sendo a prova canônica de que é a demora em aplicar patches, e não o brilhantismo do atacante, que incendeia a Internet.
O SQL Slammer, em janeiro de 2003, tinha 376 bytes, cabia num único pacote UDP, dispensava conexão, e dobrava sua população infectada a cada oito segundos aproximadamente. Alcançou essencialmente toda máquina vulnerável da internet em cerca de dez minutos, mais rápido que qualquer resposta humana possível.
A velocidade vinha do projeto. Como usava um protocolo sem conexão e não precisava de handshake, cada host infectado podia disparar pacotes tão rápido quanto sua interface de rede permitisse, sem esperar. O dano foi sobretudo colateral: o volume de tráfego saturou enlaces e derrubou redes, incluindo caixas eletrônicos e ao menos um sistema de chamadas de emergência, de organizações que sequer rodavam o banco de dados vulnerável.
Duas lições ficaram. Havia correção disponível havia seis meses, então a exposição era problema de atualização, e não vulnerabilidade desconhecida, que é o mesmo achado que a maioria das estatísticas de violação ainda produz. E ele demonstrou que a propagação automatizada pode superar por completo a resposta humana a incidentes, que é o argumento a favor de defesas que agem em velocidade de máquina e de segmentação de rede que limita até onde algo consegue chegar.
Também conhecido como: Sapphire worm