Le ver « Slammer » Microsoft SQL Server 2000 : évaluation des répercussions

Analyse d'incident numéro : IA03-001
12 mars 2003

Objet

Cette évaluation examine les répercussions de l'attaque du ver « Slammer » SQL Server 2000 dirigée contre des éléments d'infrastructures essentielles (IE) mondiales. L'information comprise dans le présent document peut être utilisée pour illustrer comment les éléments d'IE de secteurs industriels variés qui sont mutuellement complémentaires reposent de plus en plus sur les technologies informatiques en réseau.

Public

La présente évaluation a été rédigée dans le but d'évaluer la portée et l'impact du ver Slammer. À ce titre, l'évaluation est principalement destinée aux intervenants des IE qui font confiance aux technologies de réseaux informatiques pour leurs entreprises.

Note

L'analyse dans cette publication est fondée principalement sur des rapports des médias et sur un nombre limité de rapports et de comptes rendus gouvernementaux et du secteur privé.

Sommaire

• Le 25 juin 2002, Microsoft a distribué une rustine pour pallier à la vulnérabilité du SQL Server 2000 de l'entreprise. Le U.S. Federal Computer Incident Response Center (FedCIRC) et CERT-CC ont publié des avis ultérieurs au sujet de la mise en garde de Microsoft.
• À 5 h 30 UTC le 25 janvier 2003, un ver résidant en mémoire surnommé « Slammer » a commencé à se propager en liberté. Le ver SQL a exploité une vulnérabilité dans le service de résolution des serveurs Microsoft SQL 2000 opérant sur le point d'accès 1434 UDP. Après que le ver eut infecté les serveurs de réseau et les terminaux, il a envoyé des paquets UDP à des adresses Internet aléatoires et a infecté d'autres serveurs SQL. Le ver a causé un important trafic de sortie du port 1434 UDP et a effectivement créé une attaque portant déni de service.
• La plupart des experts sont d'accord pour dire que le ver a probablement commencé à se propager quelque part en Asie de l'Est.
• Le ver Slammer en a surpris plusieurs en démontrant le degré d'interdépendance qui s'est développé entre les secteurs de IE. Les secteurs d'infrastructures essentielles font de plus en plus confiance aux services en ligne. En raison de cette dépendance, les serveurs de réseau non contrôlés ou peu protégés, et qui sont par la suite compromis, peuvent exercer un impact négatif sur les systèmes d'exploitation des secteurs des IE.
• L'Association des banquiers canadiens (ABC) a signalé qu'un petit nombre de guichets automatiques étaient hors ligne de façon intermittente. En Amérique du Nord, la disponibilité des guichets automatiques a été interrompue par intervalles au cours des périodes de pointe de la propagation du ver. En Asie de l'Est, les secteurs banquiers et financiers ont connu d'importantes interruptions à cause du ver Slammer et les transactions financières en ligne étaient souvent inaccessibles.
• Le trafic Internet mondial a été compromis de manière significative par le ver Slammer. En raison de l'importance des demandes de renseignements faites par ce ver, cinq des 13 serveurs de nom de domaine (DNS) ont été mis hors service pour environ quatre à cinq heures, ce qui a contribué à exacerber le ralentissement mondial d'Internet. Le système vocal sur Internet (voix sur IP) et d'autres services exigeants au niveau de la capacité ont été fortement touchés.
• Il y a peu de répercussions sur les systèmes critiques à la mission des secteurs énergétiques et des services. Le ver ne renfermait pas de charge malveillante qui eût pu avoir des répercussions sur leurs systèmes.
• Un centre d'appels 9-1-1 à l'extérieur de Seattle, dans l'état de Washington, qui dessert 14 services d'incendie, deux postes de police, et une communauté de 164 000 personnes, a été mis hors service à cause du ver. On n'a pas signalé de cas d'effets semblables au Canada.
• Plusieurs grands aéroports américains ont dû reporter ou annuler des vols puisque le ralentissement d'Internet a eu des répercussions négatives sur leurs systèmes de réservations automatisées en ligne.
• Plusieurs serveurs de réseau et sites Web du gouvernement américain ont été affectés par le ver. Les utilisateurs qui tentaient d'obtenir accès aux services en ligne à partir de ceux-ci ont connu des difficultés.

Cliquez ici pour télécharger le rapport complet (PDF 507Ko)

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) fonctionne au sein de Sécurité publique Canada et collabore avec des partenaires au Canada et ailleurs pour atténuer les cybermenaces pour les réseaux essentiels à l'extérieur du gouvernement fédéral. Il utilise des systèmes permettant d'assurer le bon fonctionnement des infrastructures essentielles du Canada, comme les réseaux électriques et financiers, et conserver les renseignements commerciaux de valeur qui sont à la base de notre prospérité économique. Le CCRIC aide les propriétaires et les exploitants de systèmes d'importance nationale, y compris les infrastructures essentielles, et est chargé de coordonner l'intervention nationale en cas d'incident important de cybersécurité.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca