بلاستر (دودة حاسوبية)

كان Blaster (المعروف أيضًا باسم Lovsan أو Lovesan أو MSBlast ) دودة حاسوبية انتشرت على أجهزة الكمبيوتر التي تعمل بنظامي التشغيل Windows XP و Windows 2000 خلال شهر أغسطس 2003. ^{[ 1 ]}

رُصدت الدودة لأول مرة وبدأت بالانتشار في 11 أغسطس/آب 2003. وتزايد معدل انتشارها حتى بلغ عدد الإصابات ذروته في 13 أغسطس/آب 2003. وبمجرد إصابة شبكة ما (مثل شبكة شركة أو جامعة)، انتشرت الدودة بسرعة أكبر داخلها لأن جدران الحماية عادةً لا تمنع الأجهزة الداخلية من استخدام منفذ معين. ^{[ 2 ]} وقد ساهمت إجراءات التصفية التي تتبعها شركات تزويد خدمة الإنترنت والحملات الإعلامية الواسعة حول الدودة في الحد من انتشار دودة بلاستر.

في سبتمبر 2003، تم توجيه الاتهام إلى جيفري لي بارسون، وهو شاب يبلغ من العمر 18 عامًا من هوبكنز، مينيسوتا ، بإنشاء النسخة B من دودة بلاستر؛ وقد اعترف بمسؤوليته وحُكم عليه بالسجن لمدة 18 شهرًا في يناير 2005. ^{[ 3 ]} ولا يزال مؤلف النسخة A الأصلية مجهولاً.

بحسب وثائق المحكمة، تم إنشاء برنامج Blaster الأصلي بعد أن قام باحثون أمنيون من المجموعة الصينية Xfocus بهندسة عكسية لتحديث مايكروسوفت الأصلي الذي سمح بتنفيذ الهجوم. ^{[ 4 ]}

ينتشر هذا الفيروس الخبيث باستغلال ثغرة تجاوز سعة المخزن المؤقت التي اكتشفها فريق أبحاث الأمن البولندي "لاست ستيج أوف ديليريوم" ^{[ 5 ]} في خدمة DCOM RPC على أنظمة التشغيل المتأثرة، والتي صدر لها تحديث أمني قبل شهر واحد في MS03-026 ^{[ 6 ]} (CVE-2003-0352) ولاحقًا في MS03-039. ^{[ 7 ]} وقد سمح هذا للفيروس بالانتشار دون أن يفتح المستخدمون المرفقات، وذلك ببساطة عن طريق إرسال رسائل عشوائية متكررة إلى عدد كبير من عناوين IP. تم رصد أربع نسخ منه في بيئات التشغيل الحقيقية. ^{[ 8 ]} هذه هي أشهر استغلالات الثغرة الأصلية في RPC، ولكن في الواقع، كانت هناك 12 ثغرة أخرى مختلفة لم تحظَ بنفس القدر من الاهتمام الإعلامي. ^{[ 9 ]}

تمت برمجة الدودة لشن هجوم SYN flood على المنفذ 80 لموقع windowsupdate.com إذا كان تاريخ النظام بعد 15 أغسطس وقبل 31 ديسمبر، وبعد اليوم الخامس عشر من الأشهر الأخرى، مما يُسبب هجوم حجب الخدمة الموزع (DDoS) على الموقع. ^{[ 8 ]} كان الضرر الذي لحق بمايكروسوفت ضئيلاً لأن الموقع المستهدف كان windowsupdate.com، وليس windowsupdate.microsoft.com، الذي تم تحويل المستخدم إليه. أغلقت مايكروسوفت الموقع المستهدف مؤقتًا للحد من الآثار المحتملة للدودة.

يحتوي الملف التنفيذي للدودة، MSBlast.exe، ^{[ 10 ]} على رسالتين. نص الرسالة الأولى هو:

أريد فقط أن أقول أحبك يا سان!!

أعطت هذه الرسالة الدودة الاسم البديل "لوفسان". أما الرسالة الثانية فتقول:

بيلي غيتس، لماذا تسمح بحدوث هذا  ؟ توقف عن جني المال وأصلح برنامجك!

هذه رسالة إلى بيل غيتس ، المؤسس المشارك لشركة مايكروسوفت والهدف من هذه الدودة.

يقوم الفيروس أيضاً بإنشاء إدخال التسجيل التالي بحيث يتم تشغيله في كل مرة يبدأ فيها نظام التشغيل ويندوز:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ windows auto update=msblast.exe

• في 28 مايو 2003، أصدرت مايكروسوفت تحديثًا أمنيًا لحماية المستخدمين من ثغرة أمنية في بروتوكول WebDAV استغلها برنامج Welchia . (استخدم Welchia نفس الثغرة التي استخدمها برنامج MSBlast، ولكن مع طريقة انتشار إضافية تم إصلاحها في هذا التحديث. كانت هذه الطريقة تُستخدم فقط بعد 200,000 هجوم RPC DCOM - وهي الطريقة التي استخدمها برنامج MSBlast). ^{[ 11 ] [ 12 ]}
• 5 يوليو 2003: الطابع الزمني للتحديث الذي أصدرته مايكروسوفت في السادس عشر من الشهر. ^{[ 2 ]}
• في 16 يوليو 2003، أصدرت مايكروسوفت تحديثًا أمنيًا لحماية المستخدمين من ثغرة MSBlast التي لم تكن معروفة آنذاك. وفي الوقت نفسه، أصدرت أيضًا بيانًا يصف الثغرة. ^{[ 2 ] [ 13 ]}
• حوالي 16 يوليو 2003: قام قراصنة القبعة البيضاء بإنشاء رمز تجريبي للتحقق من أن الأنظمة غير المحدثة معرضة للاختراق. لم يتم نشر هذا الرمز. ^{[ 5 ]}
• 17 يوليو 2003: أصدر مركز تنسيق الاستجابة للطوارئ الحاسوبية تحذيرًا واقترح حظر المنفذ 135. ^{[ 14 ]}
• 21 يوليو 2003: اقترح مركز تنسيق الاستجابة للطوارئ الحاسوبية (CERT/CC) أيضًا حظر المنفذين 139 و445. ^{[ 14 ]}
• 25 يوليو 2003: أصدرت شركة xFocus معلومات حول كيفية استغلال ثغرة RPC التي أصدرت مايكروسوفت تصحيحها في 16 يوليو. ^{[ 15 ]}
• 1 أغسطس 2003: أصدرت الولايات المتحدة تنبيهاً بضرورة توخي الحذر من البرامج الضارة التي تستغل ثغرة RPC. ^{[ 5 ]}
• في وقت ما قبل 11 أغسطس 2003: توجد فيروسات أخرى تستخدم ثغرة RPC. ^{[ 9 ]}
• 11 أغسطس 2003: ظهرت النسخة الأصلية من الدودة على الإنترنت. ^{[ 16 ]}
• 11 أغسطس 2003: أصدرت شركة Symantec Antivirus تحديثًا سريعًا للحماية. ^{[ 8 ]}
• مساء يوم 11 أغسطس 2003: أصدرت شركات مكافحة الفيروسات والأمن تنبيهات لتشغيل تحديثات ويندوز. ^{[ 16 ]}
• 12 أغسطس 2003: تم الإبلاغ عن عدد الأنظمة المصابة بـ 30000. ^{[ 16 ]}
• 13 أغسطس 2003: ظهر نوعان جديدان من الديدان وبدأا بالانتشار. (سوفوس، وهو نوع مختلف من MSBlast و W32/RpcSpybot-A، وهو دودة جديدة تمامًا استخدمت نفس الثغرة) ^{[ 17 ]}
• 15 أغسطس 2003: تم الإبلاغ عن عدد الأنظمة المصابة بـ 423000. ^{[ 18 ]}
• 16 أغسطس 2003: بدأ هجوم DDoS على موقع windowsupdate.com. (لم ينجح الهجوم إلى حد كبير لأن هذا الرابط هو مجرد إعادة توجيه إلى الموقع الحقيقي، windowsupdate.microsoft.com.) ^{[ 16 ]}
• 18 أغسطس 2003: أصدرت مايكروسوفت تنبيهًا بشأن برنامج MSBlast ومتغيراته. ^{[ 19 ]}
• 18 أغسطس 2003: ظهرت الدودة المفيدة ذات الصلة ، ويلشيا ، على الإنترنت. ^{[ 20 ]}
• 19 أغسطس 2003: رفعت شركة سيمانتك تقييمها لمخاطر فيروس ويلشيا إلى "عالية" (الفئة 4). ^{[ 21 ]}
• 25 أغسطس 2003: خفضت شركة McAfee تقييمها للمخاطر إلى "متوسط". ^{[ 22 ]}
• 27 أغسطس 2003: تم اكتشاف هجوم DDoS محتمل ضد شركة HP في أحد أنواع الديدان. ^{[ 8 ]}
• 1 يناير 2004: حذفت ويلشيا نفسها. ^{[ 20 ]}
• 13 يناير 2004: أصدرت مايكروسوفت أداة مستقلة لإزالة دودة MSBlast ومتغيراتها. ^{[ 23 ]}
• 15 فبراير 2004: تم اكتشاف نوع مختلف من دودة ويلشيا ذات الصلة على الإنترنت. ^{[ 24 ]}
• 26 فبراير 2004: خفضت شركة سيمانتك تقييمها لمخاطر دودة ويلشيا إلى "منخفض" (الفئة 2). ^{[ 20 ]}
• 12 مارس 2004: خفضت شركة McAfee تقييمها للمخاطر إلى "منخفض". ^{[ 22 ]}
• 21 أبريل 2004: تم اكتشاف متغير "ب". ^{[ 22 ]}
• 28 يناير 2005: حُكم على مبتكر النسخة B من MSBlaster بالسجن لمدة 18 شهرًا. ^{[ 25 ]}

على الرغم من أن الفيروس لا ينتشر إلا على الأنظمة التي تعمل بنظامي التشغيل Windows 2000 أو Windows XP ، إلا أنه قد يتسبب في عدم استقرار خدمة RPC على الأنظمة التي تعمل بإصدارات أخرى من Windows NT ، بما في ذلك Windows Server 2003 و Windows XP Professional x64 Edition . وبالتحديد، لا ينتشر الفيروس في Windows Server 2003 لأن هذا الإصدار تم تجميعه باستخدام مفتاح /GS، الذي يكشف تجاوز سعة المخزن المؤقت ويوقف عملية RPCSS. ^{[ 26 ]}

عند حدوث الإصابة، يتسبب تجاوز سعة المخزن المؤقت في تعطل خدمة RPC، مما يؤدي إلى عرض نظام التشغيل Windows للرسالة التالية ثم إعادة التشغيل تلقائيًا، عادةً بعد 60 ثانية. ^{[ 27 ]}

إيقاف تشغيل النظام:

سيتم إيقاف تشغيل هذا النظام. يُرجى حفظ جميع أعمالك الجارية وتسجيل الخروج. ستُفقد أي تغييرات غير محفوظة. تم بدء عملية الإيقاف هذه بواسطة NT AUTHORITY\SYSTEM

الوقت قبل الإغلاق: ساعات:دقائق:ثواني

رسالة:

يجب الآن إعادة تشغيل نظام التشغيل Windows لأن خدمة استدعاء الإجراءات عن بعد (RPC) قد توقفت بشكل غير متوقع.

كان هذا أول مؤشر على إصابة العديد من المستخدمين؛ وغالبًا ما كان يظهر بعد دقائق قليلة من كل تشغيل للأجهزة المخترقة. يتمثل الحل البسيط لإيقاف العد التنازلي في تشغيل الأمر "shutdown /a"، ^{[ 28 ]} مما يُسبب بعض الآثار الجانبية مثل ظهور شاشة ترحيب فارغة (بدون مستخدمين). ^{[ 29 ]} كان لدودة Welchia تأثير مشابه. بعد أشهر، ظهرت دودة Sasser ، والتي تسببت في ظهور رسالة مماثلة.

• كونفيكر
• التسلسل الزمني لفيروسات الحاسوب والديدان
• قائمة المجرمين الإلكترونيين المدانين
• زيوس (برنامج خبيث)