SQL Slammer

Detectado el 25 de enero de 2003 hacia las 05:30 UTC, SQL Slammer (también Sapphire) explotaba un desbordamiento de búfer en el servicio de resolución de Microsoft SQL Server 2000 y MSDE 2000, propagándose con un único paquete UDP enviado al puerto 1434. El gusano completo cabía en un solo paquete (≈376 bytes) y carecía de carga destructiva más allá de su propia replicación: cada host infectado «disparaba y olvidaba» paquetes a IPs aleatorias tan rápido como podía. Al usar UDP (sin sesión), su velocidad fue extraordinaria: duplicaba el número de equipos infectados cada 8,5 segundos de media, alcanzó picos de más de 55 millones de sondeos por segundo e infectó en torno al 90 % de las máquinas vulnerables (>75.000 hosts) en apenas 10 minutos. El tsunami de tráfico provocó caídas de red, cajeros fuera de servicio y vuelos cancelados, aun sin destruir datos.

Un solo paquete UDP al puerto 1434 a IPs aleatorias; explotación de SQL Server/MSDE 2000 sin interacción. Residente solo en memoria.

Sin carga destructiva: el daño fue colateral por la saturación de redes (denegación de servicio masiva por el volumen de escaneo).

Parcheo de SQL Server/MSDE; filtrado de UDP/1434; reducir superficie exponiendo el servicio solo internamente.

Aplicar el parche MS02-039; bloquear UDP/1434 en el perímetro; reiniciar el servicio (al vivir en memoria, el reinicio limpia, pero se reinfecta sin parche).