Subota 25. januara osvanula je kao sasvim obican dan kojima je svima ( pa i administratorima) obećavao običan i miran vikend.Ali,ubrzo se pretvorila u ono što svaki administrator smatra jednom od svojiih gorih noćnih mora.Svako ko je pokušao da koriti Internet te subote ujutro (po našem vremenu) sasvim sigurno je primijetio probleme ili potpunu nemogućnost korištenja, već zavisno od provajdera i toga koliko je isti bio pogođen.Osim toga, velika većina SQL servera bila je gotovo onesposlobljena.
Ono što tvorci antivirus programa inače nazivaju virus-like attack, bacilo ja na koljena mnoge servere širom svijeta.Virus, koji je dobio ime W32/SQLSlammer, iskoristio je sigurnosnni propust u Microsoft-ovom SQL Server-u 2000 i na taj način blokirao rad mnogih servera širom svijeta.Pored toga što je pristup ntrenetu i korištenje osnobnih servisa bilo jako usporeno ili čak onemogućeno, ovaj napad paralisao je i mnoge službe koje se oslanjaju na rad ove poznate Microsoft-ove baze podataka(poput nekih američkih banaka).Za kratko vrijeme inficirano je preko 200.000 hiljada servera koji na sebi "vrte" SQL Server 2000.Virus velik manje od 1kB nije se kopirao na disk servera, pa ga tako0 antivirusni programi nisu ni mogli otkriti, već se izvršavao u radnoj memoriji računara.Generisao je ogroman broj zahtjeva upućenih prema SQL Serveru i time uzrokovao veliko usporenje ili lak potpuni kolaps servera.
Kako niko nije bio imun na ovo, najbolje govori činjenica da je Microsoft-ov servis aktivacije proizvoda bio nedostupan nekoliko sati, kao i popularni .NET passport.Mnogi internet provajderi (i neki bosanski) koji svoje baze korisnika drže na SQL sereru, bili su potpuno onesposobljeni, pa se niti jedan korisnik nije mogao logirati na sistem.Pojedinačni korisnici ovim nisu bili pogoženi - meta napada bili su isključivo sistemi sa SQL Server-om.U istragu o incidentu uključio se i FBI, koji je u početnom stadiju istrage izjavio da će krivca za ovo biti teško pronaći, jer se ne može utvrditi odakle je napad zapravo počeo.Ipak, zna se da su se prvi simptomi napada pojavili u SAD odmah iza ponoći.Inače, ovaj napad najviše liči na napad Code Red virusa prije nekih godinu i pol, kada su rezultati bili lični.
Ono što je dozvolilo ovako dobar "uspjeh" virusa zavedeno je kao MS02-39 članak u Technet bazi Microsoft-a.
Tehnička pozadina je sljedeća
QL Server 2000 ima mogućnost da računar na kojem je instaliran bude host višestrukim instancama tog servera kojima mogu biti dodjeljeni različiti zadaci.S obzirom da default instanca SQL-a "sluša" na portu 1433, to se drugim instancama otvara UDP port 2434 kako bi klijenti mogli da dođu baš do instance koja im je potrebna.
Za dodjelu prave instance brine se SQL Server Resolution servis.Zlonamjerni haker može napraviti takav paket koji će,uslovno rečeno "zbuniti" ovaj servis i uzrokovati beskonačnu petlju među susjednim instancama, te potom poznatu Denial of Service (DoS) situaciju.Eto to je upravo iskoristio tvorac virusa koji je uzrokovao svu ovu gužvu.
Et to je jedan od "najgorih" virusa koji napada Servere zabilježen do sada...
