Code Red worm（コードレッドワーム）
Microsoft IIS脆弱性悪用ワーム。2001年7月初発見+CRv1+CRv2+Code Red II派生+全世界36万台感染+ホワイトハウスDDoS未遂史上初級事件。
概要
Code Red worm は eEye Digital Security の Marc Maiffret + Ryan Permeh が2001年7月15日に発見した Microsoft IIS Web サーバ向け Internet ワーム。MS01-033 (CVE-2001-0500) の Index Server 脆弱性 (idq.dll/ida.dll の URL エンコーディング処理にバッファオーバーフロー) を悪用し、ASP.NET +脆弱な IIS 5.0 サーバに自動感染拡大。感染後 19-24 日に www1.whitehouse.gov (米国ホワイトハウス公式サイト) に対する DDoS 攻撃実行コードを内蔵しており、ホワイトハウスは緊急に IP アドレス変更で攻撃回避した。Code Red v1 / Code Red v2 (改良版) / Code Red II (バックドア追加版) と派生し、全世界で 36万台以上の Windows 2000 IIS サーバ感染。被害推計 $2.6 billion (2001年米国連邦経済モデル試算)。Conficker (2008)・WannaCry (2017) 等の後年の大型ワームの先駆事例。
主な特徴・仕組み
- 発見者: Marc Maiffret + Ryan Permeh (eEye Digital Security)
- 発見日: 2001年7月15日
- 対象: Microsoft IIS 5.0 + Windows 2000 (Index Server 拡張機能有効)
- 脆弱性: MS01-033 / CVE-2001-0500 (Index Server idq.dll)
- 感染方法: バッファオーバーフロー (URL に長い "%u" シーケンス送信)
- 感染条件: IIS 5.0 + Index Server 拡張 + パッチ未適用
- 拡散ペース: 1-2時間で世界全体スキャン完了 (ピーク2,000感染/秒)
- 総感染数: 36万台以上 (2001年8月時点)
- 被害推計: $2.6 billion (米国連邦経済モデル試算)
- DDoS ターゲット: www1.whitehouse.gov (ホワイトハウス公式サイト)
- ペイロード: 19-24日サイクルで DDoS 起動・"Hacked by Chinese!" 改ざん表示
スペック比較表
| 派生 | 発見日 | 主な変更 | 感染規模 |
|---|---|---|---|
| Code Red v1 | 2001/7/15 | オリジナル・ランダム IP スキャン | 36万台超 |
| Code Red v2 | 2001/7/19 | 拡散効率3倍化 + 確率乱数化 | 同前 |
| Code Red II | 2001/8/4 | バックドア追加・別目的 | 30万台超 |
| Nimda Worm | 2001/9/18 | Code Red 後継・5方向拡散 | 数百万台 |
具体例・対応製品
- Microsoft Security Bulletin MS01-033 (2001/6/18): IIS 緊急パッチ
- eEye Digital Security: 発見ベンダ・後年 BeyondTrust 買収統合
- Code Red Cleaner Tool (2001/7): Microsoft 緊急配布の駆除ツール
- Russell L. Brand (Caltech): Code Red の数学的拡散モデル分析者
- Whitehouse.gov DNS変更 (2001/7/19): 攻撃回避の緊急対応事例
自作PCでの選び方・注意点
Code Red worm は2026年現在では完全に historical worm として参考用途のみ。Microsoft IIS 5.0 (Windows 2000) は2010年7月にサポート終了済で、現代の IIS 10.x では根本的な攻撃ベクトル不可能。注意点として、サイバー戦争+クリティカルインフラ攻撃の先駆け事例として、セキュリティ研究者は Code Red のソースコード解析+拡散モデルを学ぶ必要がある。ホワイトハウスへの DDoS 未遂 + 36万台感染 + $2.6 billion 被害という規模は当時として前代未聞で、サイバーセキュリティの国家レベル化を促した。現代の WannaCry (2017)・NotPetya (2017)・SolarWinds (2020) 等の国家レベル サイバー攻撃も Code Red 経験を踏まえた防御態勢で立ち向かった。
関連用語との違い
- Conficker (2008): 1500万台感染・MS08-067悪用・Code Red 後継級規模ワーム。
- WannaCry (2017): ランサムウェア化・150カ国感染・EternalBlue 悪用 (Code Red 系統)。
- Stuxnet (2010): 国家レベル・Iran核施設破壊・Code Red 級規模だが目的特化。
よくある質問（FAQ）
Q1: Code Red はなぜ "Code Red" と呼ばれた？ A: 発見者の Marc Maiffret + Ryan Permeh が当夜 Mountain Dew の Code Red 味を飲んでいたことに因む命名。技術的根拠なし。
Q2: 当時パッチ適用率はどれくらい？ A: MS01-033 公開 (6/18) から Code Red 発見 (7/15) まで27日間あったが、企業の IIS パッチ適用率はわずか30%程度だった。これがメガ規模感染を許した。
Q3: 現代でも同等の脅威は？ A: WannaCry (2017)・NotPetya (2017)・LockBit/Conti等のランサムウェア群がCode Red 級の世界規模脅威。EternalBlue/PrintNightmare 等の MS-RPC 系統脆弱性が現代の主戦場。