Code Red

Observado el 15 de julio de 2001, Code Red atacaba servidores web Microsoft IIS explotando un desbordamiento de búfer en el filtro ISAPI `.ida` (servicio de indexación), vulnerabilidad divulgada por eEye. El gusano sobrescribía un búfer con una larga cadena de la letra «N» para ejecutar código arbitrario; vivía solo en memoria (sin escribir ficheros). Al infectar comprobaba la fecha: entre los días 1 y 19 del mes generaba listas aleatorias de IPs e intentaba infectar nuevos servidores; entre el 20 y el 27 lanzaba ataques de denegación de servicio contra direcciones fijas, incluida la de la Casa Blanca, que tuvo que cambiar la IP de su web. En las webs afectadas en inglés mostraba el mensaje «HELLO! Welcome to http://www.worm.com! Hacked By Chinese!».

Escaneo aleatorio de IPs y explotación del desbordamiento `.ida` en IIS; propagación máquina a máquina sin interacción del usuario.

Defacement de la web servida («Hacked By Chinese!») y, en ventana de fechas, DDoS contra IPs fijas (incl. la Casa Blanca).

Parcheo de IIS; deshabilitar extensiones ISAPI innecesarias; segmentación y filtrado perimetral.

Aplicar el parche de Microsoft para la vulnerabilidad `.ida`; reiniciar IIS (al residir en memoria, el reinicio elimina la instancia, pero se reinfecta sin parche).