25 лет червю Морриса
Первая из резонансных компьютерных инфекцией, попавшая в теленовости, празднует четверть века. Интересно, что в ней использовались многие вредоносные технологии, считающиеся современными: от эксплойтов до перебора паролей.
На этих выходных стукнуло двадцать пять первой компьютерной заразе, которая была достаточно массовой, чтобы попасть в телевизионные новости. Знаменитый червь Морриса, написанный студентом Корнелльского университета, поразил примерно 10% компьютеров, подключенных к Интернету, то есть 6 из 60 тысяч. Цифры выглядят смешными, но в этом доисторическом по меркам компьютерной индустрии случае на самом деле собралась квинтэссенция зловредства: эксплойты, стелс-технологии, перебор паролей, DDoS, а венцом всему стало судебное преследование и приговор.
Дискета с исходным кодом червя Морриса хранится в Бостонском музее науки. Фото: Intel Free press
О том, как рассказывали о черве в теленовостях, можно посмотреть видео на YouTube. А мы немного расскажем о технической стороне дела.
Итак, студент Корнелльского университета Роберт Таппан Моррис решил, по его словам, оценить размер Интернета. Подошел он к этому основательно — написал сложную программу, которая способна самостоятельно распространяться по Сети и препятствовать попыткам ее остановить. Легко заметить, что эта функциональность четко попадает под определение червя. Червь Морриса не причинял какого-либо вреда системе, но ошибка в программе приводила к тому, что многие компьютеры запускали червя десятки раз, что перегружало сервер, делая его, по сути, неработоспособным. Похоже на DDoS, не правда ли?
Как же червь распространялся по Интернету? Ничего не изменилось за прошедшие 25 лет — для этого использовались уязвимости. В случае червя Морриса — целых три. Во-первых, уязвимости реализации Finger и Sendmail в популярных UNIX-системах того времени позволяли запустить на удаленном компьютере произвольный код. Во-вторых, если эти варианты не проходили, червь пытался подключиться к rsh — консоли удаленного администрирования. Правда, для этого требуется пароль, но червь его подбирал. Весьма впечатляет, что большой процент успешно подобранных паролей был достигнут при помощи словаря всего в 400 слов, плюс несколько очевидных вариантов, таких как пароль, совпадающий с именем пользователя или составленный из тех же букв в обратном порядке. О необходимости выбирать надежные пароли и сегодня задумываются немногие, а уж 25 лет назад даже системные администраторы об этом не особо заботились.
Проникнув на компьютер, червь менял имя своего процесса, удалял временные файлы и принимал еще ряд мер, препятствующих своему обнаружению, в частности шифровал свои данные в памяти. Запускаясь на новом компьютере, червь проверял, не является ли компьютер уже зараженным. При обнаружении двух копий на компьютере они «играли в кости», и одна самоуничтожалась. То ли из-за ошибки Морриса, то ли для страховки от создания простой «вакцины», основанной на этом эффекте, в одном случае из семи новая копия переставала играть «в выживание» и продолжала работать при любых условиях. Именно это решение привело к DDoS-эффекту, коэффициент 1/7 оказался слишком большим, и многие компьютеры повторно заражались десятки раз.
Несмотря на то что сама концепция сетевого червя оказалась совершенно новой для системных администраторов и для разбирательства с угрозой пришлось спешно создавать рабочие группы программистов и администраторов в МТИ и Беркли, буквально за два дня были определены и заблокированы «лазейки», через которые червь проникал в систему, а код заразы был целиком дизассемблирован. В общем, с червем было покончено. Несмотря на это, на устранение последствий заражения, по разным оценкам, было потрачено от 100 тысяч до 10 млн долларов.
Интересно, что принятые Моррисом меры конспирации могли бы помочь ему остаться анонимным. Но в дело вступил отец, тоже Роберт Моррис. Соавтор операционной системы UNIX и директор по исследованиям Национального центра компьютерной безопасности при АНБ убедил сына во всем признаться. Суд, состоявшийся в 1991 году, учел этот факт и вынес Моррису довольно мягкий приговор: 3 года условно, штраф 10 тысяч долларов и 400 часов общественных работ. Урок, кстати, пошел Моррису-младшему на пользу — он стал весьма уважаемым членом компьютерного сообщества. Среди его успехов создание одной из первых платформ интернет-коммерции Viaweb (в дальнейшем продана Yahoo! и переименована в Yahoo Store), создание стартап-фермы Y Combinator, работа над новыми языками программирования и профессорская степень в МТИ.
Два дня, которые потрясли компьютерный мир
Системным администраторам не привыкать работать, когда все спят. Ночь со второго на третье ноября 1988 года выдалась тяжелой для администраторов ARPANET — прообраза современного интернета. Она была создана под эгидой Министерства обороны США и соединяла в основном компьютеры, установленные в научных институтах. Вечером 2 ноября исследователи, работавшие на подключенных к сети компьютерах, заметили неладное.
Перезагрузки компьютерам не помогали — при повторном запуске копий вредоносной программы становилось еще больше. К утру зараженными оказались 7000 компьютеров — десятая часть сети ARPANET на тот момент. Компьютерные специалисты были в шоке: систему пытались взломать уже не в первый раз, да и само понятие компьютерного вируса к тому моменту уже прочно закрепилось в лексиконе. Но атаки подобных масштабов сеть еще не испытывала.
В это время 22-летний аспирант Корнеллского университета Роберт Моррис пытался при помощи друга разослать ученым анонимное письмо с описанием механизма работы вируса и рекомендациями, как от него защищаться. Именно Моррис был создателем вируса, и явно мог бы его «усмирить». Но вот какая ирония — простая программа не позволила своему творцу этого сделать.
Научное любопытство
Сам Моррис так и не смог позже внятно объяснить, зачем он это сделал. Скорее всего, сыном известного криптографа и компьютерного специалиста двигало научное любопытство. «Червь Морриса», как потом назвали программу, не должен был «подвешивать» ARPANET. Вирус задумывался как безобидный компьютерный эксперимент, proof-of-concept, способ указать специалистам, что их сеть не так уж и хорошо защищена.
Компьютерный червь не содержал в себе никакой смысловой нагрузки и не должен был влиять на работу сети. Все, на что был рассчитан вирус, — копировать самого себя и передавать на другие машины. Почти как вирус простого герпеса: есть у многих, но люди с нормальным иммунитетом его вовсе не замечают.
Что же пошло не так?
Как это работало
Для распространения своей программы Моррис решил использовать уязвимости в Sandmail и Fingerd. Первый — агент для передачи почтовых сообщений, вторая — программа, запускаемая операционной системой UNIX и отвечающая на запросы о действиях пользователя (например, когда тот последний раз регистрировался в сети). Также вирус передавался при помощи методов rexec и rsh, позволяющих управлять удаленным компьютером. В этом случае для получения доступа к другой машине червь использовал простой, но изящный метод перебора паролей.
Кроме того программа пользовалась определенными трюками, которые должны были затруднить специалистам по компьютерной безопасности обнаружение и обезвреживание вируса. Например, после запуска она удаляла свой исполняемый файл и отключала сообщения об ошибках. Также родительский поток выполнения «Червя Морриса» раз в несколько минут создавал дочерний поток, а сам отключался — благодаря этому в списке процессов регулярно обнулялось время работы программы. Ну и вдобавок ко всему червь умел маскироваться под другие, «здоровые» процессы.
Что пошло не так
Поскольку Моррис предполагал, что его программу все же будут обнаруживать и обезвреживать, то снабдил ее простым методом самозащиты. Червь с определенной периодичностью перезаписывал себя, создавая копию. Делал он это каждый раз, когда попадал на новый компьютер, а затем по определенному расписанию.
Именно в этом механизме и крылась допущенная Моррисом ошибка. Установленный период размножения был слишком коротким, и в результате программа начала создавать избыточное количество копий. Распространение программы приобрело лавинообразный характер, и эксперимент вышел из-под контроля.
Сперва он сообщил о нем нескольким друзьям, затем (как мы уже упоминали выше) пытался с их помощью сделать рассылку, чтобы помочь усмирить вирус. Когда распространение превратилось в самую настоящую пандемию, Роберт во всем признался отцу и решился на явку с повинной.
Первый киберзлодей
Эпидемия, вызванная «Червем Морриса», была не первым масштабным нашествием компьютерного вируса. Незадолго до этого по миру прокатились вирусы Brain и Jerusalem. Но несмотря на то, что количество зараженных ими компьютеров было куда больше, чем у Morris Worm, они не нанесли подобного ущерба.
Общее количество часов потери доступа к сети составило 8 миллионов часов — и еще примерно миллион пришлось потратить на восстановление последствий. И это при том, что программа была в целом безвредной!
Суд над Моррисом продолжался до января 1990 года. Изначально парню грозило пять лет лишения свободы и штраф в 25 тысяч долларов. Но учитывая чистосердечное признание и отсутствие в коде вредоносного предназначения, горе-программист отделался условным сроком. К нему добавили 10 тысяч долларов штрафа и 400 часов обязательных общественных работ.
Как червь Морриса изменил мир
Morris Worm был далеко не первым компьютерным вирусом — но именно он заставил инженеров и ученых по всему миру задуматься о вопросах безопасности. Именно после эпидемии 1988 года для повышения безопасности системы стало внедряться использование пауз после неправильного ввода пароля и хранение паролей в закрытом файле /etc/shadow вместо доступного для чтения всем пользователям файла /etc/passwd.
Еще одним важным итогом случившегося стало создание в университете Карнеги-Меллона Компьютерной группы реагирования на чрезвычайные ситуации (Computer Emergency Response Team, CERT) — экспертного сообщества, занимающегося проблемами компьютерной безопасности.
Как раз в это время распространение компьютерных сетей начало набирать обороты, и инцидент, случившийся с ARPANET, на какое-то время стал главной темой во всех СМИ, оттеснив на задний план новости о выборах президента США.
Сам Моррис больше героем новостных сюжетов не становился. Роберт закончил университет, получил докторскую степень, основал свой стартап и написал один из диалектов языка Lisp. И больше нигде так не ошибался — видимо, после 1988 года всегда тщательно проверял свой код.
Краткая история вирусов: к 25-летию Червя Морриса
Если бы внезапно сгорели все компьютеры в мире и нам пришлось бы начинать с нуля, то самый первый вновь собранный компьютер при первой же загрузке, скорее всего, был бы поражён вирусом. Вирусы проникали даже на Международную космическую станцию, куда их в 2008 году принесли сами космонавты на USB-флешках. Эти виртуальные блаттоптеры, как и их насекомые сородичи, наверное, с лёгкостью переживут даже ядерную зиму.
Кажется, уже остался позади золотой век» классических компьютерных вирусов и червей: времена изменились. И если совсем недавно любой обладающий минимумом навыков программиста, скачав набор специального ПО, мог написать и быстро распространить вредоносный код, то сейчас с такими поделками легко справляются антивирусы. Для создания действительно эффективного вредоносного кода сегодня требуются ресурсы самых крупных корпораций и сверхсекретных спецслужб. Но чтобы понимать, что нас ждёт, нужно разбираться в прошлом, поэтому давайте проследим недавнюю историю самых известных компьютерных вирусов, тем более что для этого есть прекрасный повод: совсем недавно, в ноябре 2013 года, исполнилась четверть века с момента появления одного из самых опасных вирусов прошлого — Червя Морриса или просто Великого Червя.
1. Elk Cloner, 1982
На заре персональных компьютеров в начале восьмидесятых для многих уже не составляло труда представить программный аналог человеческих вирусов, которые могут поражать электронный организм и выводить его из строя. Сама концепция вируса как небольшой программы, распространяемой через дискеты, была описана в мартовском номере журнала Scientific American за 1985 год. Там же некий подросток Ричард Скрента-младший рассказывал, какой он видит программу, которая скрывалась бы среди системных файлов и вызывала необъяснимые сбои в работе компьютера. Однако Скрента почему-то не упомянул, что это не просто гипотетические рассуждения: за несколько лет до этого, в 1982-м, он собственноручно написал первый в мире широко известный компьютерный вирус-червь Elk Cloner. Зараза поражала машины Apple II и распространялась через дискеты.
Строго говоря, это был не вирус, а именно червь, поскольку Elk Cloner представлял собой независимую программу, не внедрявшуюся в какие-то другие файлы. Червь не причинял машине особого вреда, за исключением того, что при 50-й загрузке после заражения выводил на экран глупый стишок «Эрик Клонер — программа с личностью». Проблема была лишь в том, что поскольку тогда не существовало антивирусных пакетов, то Elk Cloner приходилось вручную удалять из загрузочного сектора винчестера. Сегодня Ричард Скрента известен как создатель поисковой системы Blekko.
2. Brain, 1986
Первым получившим заметное распространение вирусом для компьютеров на платформе IBM PC стал Brain, появившийся в 1986 году и представший собой рекламу пакистанской компьютерной мастерской, которая изъявляла готовность «излечить» от этого вируса. На экран выводилось соответствующее сообщение:
«(С) 1986 Basit & Amjad (pvt) Ltd.
BRAIN COMPUTER SERVICES LAHORE-PAKISTAN
Beware of this VIRUS…. Contact us for vaccination».
Трудно сказать, насколько прибавилось клиентуры у создателей Brain, но в западной прессе началась настоящая паника. У некоторых даже сложилось впечатление, что компьютеры способны заражать вирусами человека.
При этом сами вирусы становились всё менее безобидными: некоторые из них стали стирать начальные дорожки и первые сектора на жёстких дисках, разрушая загрузочные данные и важную информацию о файлах. «Лечение» было возможным, но чрезвычайно сложным процессом, поэтому в большинстве случаев пострадавшим приходилось заново форматировать диск, теряя все сохранившиеся данные.
3. Червь Морриса, 1988
Разрушительный потенциал зловредов, путешествующих по компьютерным сетям, первым продемонстрировал так называемый Червь Морриса, который был написан в ноябре 1988 года аспирантом американского Корнеллского университета Робертом Моррисом-младшим. Чтобы скрыть происхождение вируса, Моррис запустил свой червь в только зарождавшуюся Всемирную сеть (тогда ещё ARPANET) не из своего университета, а из Массачусетского технологического института.
Моррис сделал успешную научную карьеру в Массачусетском технологическом институте и одно время даже занимал должность главного учёного в Национальном центре компьютерной безопасности США, секретном подразделении АНБ.
4. Макровирус Concept, 1995
С началом девяностых жёсткие диски значительно подешевели, а их ёмкость заметно увеличилась, поэтому дискеты использовались уже не так широко — и вирусописателям потребовались новые способы распространения. Одним из таких переносчиков стали файлы Microsoft Office как одного из самых популярных программных пакетов. Поскольку Office включал в себя встроенное средство автоматизации для создания макросов — язык Microsoft Visual Basic for Applications (VBA), — именно он и стал использоваться для написания нового типа зловредов — «макровирусов».
Фокус заключался в том, чтобы внедрить код в шаблон документа, который загружается всякий раз при запуске, например, редактора Word. Оказавшись в памяти, зловредный код записывает себя в любой документ, открываемый или создаваемый в программе. И если затем этот документ открыть на другом компьютере, то он тоже немедленно заразится. На тот момент у VBA был доступ ко всей файловой системе диска, поэтому вирусы могли с лёгкостью изменять или даже удалять любые пользовательские файлы, что нередко и происходило.
Первым макровирусом считается появившийся в 1995 году Concept, а поскольку антивирусные программы были не готовы к такой угрозе, он быстро получил широчайшее распространение. Сам вирус не причинял никакого вреда, но выводил простое замечание, призванное показать огромный потенциал подобного ПО:
«Sub MAIN
REM That’s enough to prove my point
End Sub».
Несмотря, однако, на благие намерения автора оригинального Concept, очень скоро появились его неприятные модификации; некоторые из них, например, запароливали доступ к случайным документам. К концу девяностых годов макровирусы стали самым популярным типом компьютерных вирусов. Но потом появился общедоступный массовый интернет, и история приобрела иное направление.
5. Melissa, 1999
Первый настоящий вирус времён интернета — это, конечно же, Melissa, хитроумный коктейль из макровируса, почтового спама и социальной инженерии. Melissa был написан Дэвидом Смитом, известном в Сети под ником Kwyjibo, и получил название в честь его любимой стриптизёрши.
Технически новый вирус был прост до безобразия: он приходил на компьютер в качестве электронного письма с простым сообщением: «Вот документ, который ты просил… никому не показывай :-)». Во вложении находился документ Word, заражённый макровирусом. Поскольку письма рассылали другие заражённые машины, многим казалось, что они действительно приходят от коллег, старых знакомых или друзей. В результате Melissa стал одним из самых быстрораспространяющихся вирусов за всю историю.
Встроенный в Melissa макровирус немедленно проникал в адресную книгу Outlook и всем рассылал свои копии, и на этом деструктивная функция оригинальной версии заканчивалась. Разве что когда дата совпадала со временем в минутах в системных часах, он начинал вставлять в любой редактируемый документ цитату из мультсериала «Симпсоны»:
«Twenty-two points, plus triple-word-score, plus fifty points for using all my letters. Game’s over. I’m outta here».
Однако, как вы догадались, модифицированные версии Melissa были уже не столь безобидны и занимались традиционными для вирусов делами, в том числе модифицировали и удаляли системные файлы.
6. ILOVEYOU, 2000
ILOVEYOU использовал ту же схему почтового распространения, что и Melissa, а сообщение гласило: «Пожалуйста, посмотри приложенное ПИСЬМО ЛЮБВИ от меня». Однако во вложении находился уже не документ Word, а замаскированный под текстовый файл скрипт с двойным расширением LOVE-LETTER-FOR-YOU.TXT.vbs. И если пользователь видел расширение TXT, то VBS по умолчанию скрывалось, как расширение скрытых системных файлов. В свою очередь, сценарии VBS исполнялись с помощью компонента Windows Scripting Host, который имел практически полный доступ к системе и был включён по умолчанию.
В отличие от предшественников, ILOVEYOU не только рассылался по всем контактам Outlook, но и вёл себя как настоящий троянец, пытаясь похитить все найденные пароли и отослать их на некий почтовый ящик. Кроме того, он удалял случайные файлы изображений и MP3, заменяя их фальшивыми файлами с копией вирусного кода, подменял системные файлы, прописывался в реестре и размножался с каждой перезагрузкой Windows.
Вирус Anna Kournikova, появившийся годом позже, использовал ту же технику маскировки расширения вложения: вместо фотографии известной теннисистки жертва получала очередной зловредный сценарий.
7. Code Red, 2001
В 2001 году родилось новое поколение компьютерных вирусов, которые пользовались уязвимостями в разных операционных системах и программах Microsoft. Самым известным из них стал Code Red, который поражал веб-серверы, работающие на основе Microsoft Internet Information Server (IIS). Этот зловред непосредственно не воздействовал на клиентские машины, но настолько замедлял интернет-трафик, что фактически блокировал доступ ко многим веб-сайтам.
«Красный код» действовал предельно просто: подключаясь к машине с запущенным IIS, он вызывал переполнение буфера и делал её неработоспособной. Кроме того, если в качестве языка такого сервера был установлен американский английский, то на главную страницу сайта выводилось сообщение, что он якобы взломан китайцами — которые на самом деле вряд ли имели отношение к Code Red.
Если системный администратор не принимал мер по удалению вируса в течение 10 часов, то это сообщение исчезало, но за истёкшее время вирус в поисках потенциальных жертв успевал отправить море запросов по случайным IP-адресам, замусоривая каналы бессмысленным трафиком и блокируя сетевую активность. Более того, если системная дата была больше 20-го числа месяца, то Code Red начинал «стучаться» в серверы, расположенные по адресу www.whitehouse.gov, организуя массированную DDoS-атаку на сайт президента США.
Однако, как и во многих вирусах, в самом Code Red скрывалась ошибка: на самом деле сканируемые IP-адреса не были случайными, и в результате некоторые машины, только что очищенные от вируса, в следующую же секунду могли быть вновь заражены.
8. Slammer, 2002
Достойный преемник Code Red — вирус Slammer, который также вошёл в число самых быстрораспространяемых в мире. Этому зловреду удалось заразить 75 тысяч компьютеров всего за десять минут, при этом он использовал аналогичную технологию переполнения буфера, но уже в среде Microsoft SQL Server 2000. Самое примечательное заключается в том, что Microsoft чуть ли не за шесть месяцев до появления Slammer выпустила патч, устраняющий уязвимость, которую эксплуатировал этот вирус. Тем не менее его не установило не только большинство сторонних компаний, но и даже и целые подразделения самой Microsoft!
Одна из крупнейших сетевых атак в результате деятельности Slammer произошла в начале 2003 года, когда вирус за считанные минуты так перегрузил каналы, что почти полностью заблокировал доступ в интернет в Южной Корее и некоторых других азиатских странах. В США и Европе ситуация была не столь катастрофической, хотя замедление скорости передачи данных ощущалось почти в любой точке света.
В дальнейшем эпидемия быстро пошла на спад, поскольку после установки патча было достаточно перезагрузить сервер.
9. Blaster, 2003
Созданный группой китайских хакеров Xfocus червь Blaster (он же Lovesan или MSBlast) использовал ту же схему заражения со сканированием случайных IP-адресов, что и Slammer. И снова использовалась технология переполнения буфера, но уже множества клиентских машин. Целью китайских хакеров были серверы Microsoft: широкомасштабная DDoS-атака с заражённых компьютеров должна была начаться 16 августа 2003 года, но в Редмонде приняли меры — и ущерб от Blaster оказался сведён к минимуму.
Однако модифицированная версия Blaster B, в изготовлении которой уличили американского школьника Джеффри Ли Парсона, оказалась намного опасней и живучей: практически каждый пользователь Windows, не установивший антивирусного ПО, рано или поздно получал на экране окно, в котором говорилось о выключении системы, и запускался обратный отсчёт:
«Система завершает работу. Сохраните данные и выйдите из системы. Все несохранённые изменения будут потеряны.
Отключение системы вызвано NT AUTHORITYSYSTEM».
После перезагрузки начинался подбор случайных IP-адресов и попытки заразить другие доступные машины. Через произвольные отрезки времени перезагрузки происходили снова и снова — до тех пор пока вирус не удаляли с компьютера.
Впоследствии появилось ещё несколько модификаций Blaster, но они уже не нанесли такого ущерба, как первые две.
10. Что дальше?
Несмотря на то что периодически появляются сообщения о тех или иных компьютерных вирусах, вот уже несколько лет нет никаких громких эпидемий с катастрофическими последствиями. Сегодня главная угроза для домашних пользователей — это прежде всего «трояны», превращающие компьютер в «боевую единицу» бот-сетей и похищающие разного рода личные данные. Для веб-серверов — это всё те же DDoS-атаки, но организованные уже на принципиально ином уровне, с помощью управляемых сетей ботов.
Почему почти сошли на нет «обычные» вирусы? Во-первых, в Microsoft всерьёз озаботились безопасностью на уровне как серверного, так пользовательского ПО, так что даже Windows XP с Service Pack 3 можно считать довольно безопасной по сегодняшним меркам операционной системой.
Во-вторых, как ни странно, за последние годы выросла «сознательность пользователей», которые понимают, что для работы в интернете обязательно нужно установить антивирусный софт. Забавно, что этим начали пользоваться и сами вирусописатели, пытающиеся распространять своё творчество под видом антивирусов.
Наконец, есть и чисто техническая разница: если до самого начала двухтысячных большинство пользователей выходило в интернет напрямую через модемы, то сегодня практически все домашние и корпоративные машины подключаются к Сети через маршрутизаторы и коммутаторы, которые выступают в качестве брандмауэров и предотвращают в том числе и случайное заражение.
Тем не менее пользователи Windows, как и раньше, остаются самой атакуемой группой — просто потому, что эта операционная система занимает львиную долю рынка. Между тем участились атаки и на машины под управлением OS X, хотя их доля выросла несущественно. И ещё один объект пристального внимания вирусописателей — это мобильные ОС, которых просто не существовало десять лет назад. Речь прежде всего об Android и iOS, которые по числу активных пользователей уже легко поспорят с традиционными «настольными» операционками. И если пока число вирусов для Android не слишком велико, то в обозримом будущем их может оказаться намного больше, чем для той же Windows.
