Раздел II. Разработчики вирусов
Действие равно противодействию — этот закон Ньютона мы помним еще со школы. Наверное, потому, что он вдруг оказывается справедливым не только для механики, а даже для информатики. Массовое внедрение персональных компьютеров принесло с собой проблему программ-вирусов. С 1988 года этот вопрос приобрел актуальность и в нашей стране.
Если заменить организм компьютером, а клетки — программами, то можно провести аналогию между биологией и информатикой. Компьютерный вирус не изобретает ничего нового. Попадая вместе с зараженной программой в организм-компьютер, вирус перехватывает контроль над его управлением и, используя его же материальные запасы (память) и энергию, начинает неограниченно размножаться, уничтожая «хозяина» и угрожая другим «клеткам». Эта аналогия настолько прочно вошла в информатику, что компьютерный сленг вобрал в себя такие чисто медицинские термины, как «заболевание», «инкубационный период», «вакцина». Она даже приводила к недоразумениям: например, когда у нас только началось внедрение вычислительной техники, ходили нелепые слухи о распространяющих инфекцию (в прямом смысле) компьютерах, поступающих из-за рубежа.
По мнению некоторых специалистов, теоретическое обоснование возможности появления компьютерных вирусов следует искать в работах еще Джона фон Неймана. В 1949 году он интересовался проблемами роста интеллектуальной мощности и развития вычислительной техники. В том числе и возможностью саморазмножения компьютеров или отдельных команд. Скажем, из-за какой-то невероятной ошибки, сбоя программы компьютер в процессе работы формирует некую команду, способную уничтожать другие программы, оставаясь при этом невредимой, а потом, из-за другой системной ошибки, она приобретает способность саморазмножения.
Вероятность возникновения подобной цепочки событий отлична от нуля, особенно с усложнением ЭВМ, но на современном уровне развития вычислительной техники практически невозможна. Для Неймана теоретическое построение «вирусы — продукт работы самого компьютера» было всего лишь игрой ума. У настоящего же компьютерного вируса должны быть вполне человеческие родители. Одно совпало — он действительно появился на свет в результате развлечения профессионалов.
В начале 60-х годов три молодых программиста, работавших в Bell Laboratories, — Даглас Макилрой, Виктор Высоцки и Роберт Моррис — придумали для себя компьютерную игру «Darvin», в которой по закону естественного отбора выживал сильнейший. Была создана последовательность команд, использующих в качестве базы данных все остальные программы из оперативной памяти компьютера. А в итоге она превратилась в поле битвы между программами, стремящимися во что бы то ни стало стереть или испортить код своего противника.
Со временем игра усложнилась и стала называться «Стержневая война». Тогда оперативная память ЭВМ состояла из десятков тысяч маленьких ферритовых сердечников, запоминавших по одному биту информации. Неугомонные программисты добрались и до материального носителя информации.
Однако из-за отсутствия в то время широкого рынка персональных компьютеров эти игры не получили распространения. Первое сообщение о них появилось лишь в 1972 году в специализированном журнале. Настоящую же известность им принес в 1984 году А. К. Дьюдни, ведущий колонку «Занимательный компьютер» на страницах журнала «Scientific American». Сам Дьюдни считал, что идея этой игры возникла под влиянием анекдотической легенды об одном обиженном программисте. В отместку начальству он написал и запустил программу «Сорняк», которая создавала свою точную копию каждый раз, когда выполнялась. И вскоре «Сорняк» расплодился до такой степени, что другим программам стало просто не хватать места в оперативной памяти лабораторной ЭВМ. Для уничтожения «Сорняка» пришлось срочно создавать другую программу — «Косарь».
После этой публикации два молодых программиста из Италии прислали Дьюдни подробное описание программы-вируса, способной заражать компьютеры (о чем, естественно, сразу узнали читатели). На конгрессах программистов стали демонстрироваться коды новых программ-вирусов. Компьютерные журналы помещали о них подробные статьи, не подозревая, что тем самым способствуют распространению эпидемии: еще не умея думать, ЭВМ уже научились болеть.
С личных дисков пользователей и программистов вирусы попадали в информационные сети, заражая сотни компьютеров.
В качестве информации для размышления приводим сообщение газеты «Цзиньцзи жибао» (25.05.89), перевод которого был прислан в редакцию «Техника Молодежи» китайским журналистом Мо Гунминем.
13 апреля 1990 года. Пятница. Компьютеры заводов, НИИ и госучреждений Китая оказались заблокированы вирусом «черная пятница»…
О первом случае заражения китайских ЭВМ программными вирусами сообщалось в апреле 1989 года, когда компьютеры алюминиевого завода Синань оказались поражены вирусом «хлорелла». За год эти вирусы с поразительной быстротой распространились по всей стране. Ситуация приобрела настолько драматический характер, что в конце 1989 года пришлось провести профилактическую проверку 12 750 ЭВМ. Тогда же было установлено, что почти пятая часть из них заражена вирусом «хлорелла». Причем специалисты предполагают, что в Китае инфицировано никак не меньше 6 тысяч ЭВМ.
По подсчетам ведомств государственной безопасности Китая, в стране циркулирует никак не меньше 18 видов компьютерных вирусов, семь из которых зарубежного происхождения. Помимо «хлореллы» (другое название «пятна»), размножаются вирус «джута» («новозеландский»), обладающий разрушительным действием, «пакистанский», «дождевые капли», музыкальные, исполняющие ровно в 17.00 мелодию, и другие.
Появление ЭВМ-вирусов, угрожающих информационным потокам в Китае, вызвало глубокую озабоченность правительства. В июле 1989 года Госсовет КНР поручил Министерству государственной безопасности руководство борьбой с заражением ЭВМ.
Осторожно — вирус!
Если опыт — действительно лучший учитель, то пользователи из лаборатории реактивной тяги (JPL) в г. Пасадена (Калифорния) могли бы стать стипендиатами Родса по компьютерным вирусам. В течение года лаборатория пережила четыре вирусные вспышки, при которых вирусы вторгались через программное обеспечение, загруженное из электронных бюллетеней, в том числе из таких «надежных», как CompuServe и Genie. К счастью, за двумя исключениями — когда вирусы атаковали жесткие диски, эти вторжения были связаны с некоторыми неудобствами, нарушавшими ход работ, но не приводили к серьезным повреждениям.
Проблема, вставшая перед лабораторией и свойственная вообще всякому, кто имеет дело с вирусами, — как защитить пользовательские данные, не ограничивая чрезмерно пользователей. Несмотря на неоднократные случаи инфицирования, было решено не вводить каких-либо ограничений на использование электронных бюллетеней. Вместо этого администраторы лаборатории настаивали на необходимости частого резервного копирования информации и рекомендовали пользователям тестировать загружаемое программное обеспечение при помощи программ обнаружения вирусов и лишь после этого запускать новые пакеты на своих системах. В результате урон от вирусных атак в лаборатории существенно снизился.
Большинство вирусных инфицирований именно такого типа — неприятные, но не связанные с серьезной угрозой. В декабре 1988 года, например, вирус вывел на дисплеи внутренней сети фирмы IBM поздравление с Рождеством. И все же компьютерные вирусы возбуждают глубокое беспокойство — по аналогии с двумя великими проблемами, современности: терроризмом и СПИДом. Вероятность инфицирования остается небольшой, однако она увеличивается. Кроме того, страхи подогреваются неопределенностью, когда неудачный контакт может привести к несчастью. Частично проблема компьютерных вирусов связана с осознанием того, насколько опустошительной может быть их атака на драгоценные данные фирмы.
«Рождение» вирусов
История компьютерного вируса, как правило, это сведения о месте и времени создания (первого обнаружения) вируса; информация о личности создателя (если это достоверно известно); предполагаемые «родственные» связи вируса; сведения, полученные из литературы и фольклора; а также общие впечатления, размышления и т. п.
Для чего еще нужна история? В ней также могут приводиться сведения об известных вирусологу версиях и их отличия от описываемого варианта. Строгая классификация компьютерных вирусов по группам (отрядам, семействам, родам, видам), видимо, не представляется возможной, поскольку вирус может содержать приемы, заимствованные из многих других, не родственных между собой групп. И, вообще, генеалогическое дерево компьютерных вирусов вовсе не является деревом (в смысле теории графов), так что группы будут сильно пересекаться. Поэтому в истории для каждого вируса указываются все источники заимствования (в т. ч. концептуального), которые удалось установить.
Да и описания вирусов в популярных компьютерных изданиях будут неполными, если не упоминать историю создания и появления вирусов. Это особенно характерно для самого консервативного класса компьютерных вирусов — загрузочных.
ЛИЧНОСТЬ СОЗДАТЕЛЯ ВИРУСА
В те далекие времена (9—10 лет тому назад…), когда появлялись первые компьютерные вирусы, удавалось устанавливать личности вирусописателей (хотя бы некоторых). Например, история донесла до нас имена авторов вируса «Душманские мозги» — это Basit Farood Alvi (19 лет, в те времена, конечно) и Bruder Amgad (23 года) из Лахора (Пакистан).
Через пару-тройку лет, когда каждый уважающий себя студент начал создавать вирусы, наступил период анонимности. Вирусы появлялись сотнями, но они были безликими и похожими друг на друга. Многие вирусы отличались несколькими командами либо их простой перестановкой. Создание вирусов было поставлено на поток, и, к сожалению, борьба с вирусами также была поставлена на поток. Сейчас ведущие вирусологи при описании вирусов отделываются двумя-тремя общими фразами.
Наступление эры глобальных компьютерных сетей позволило ведущим вирусописателям заявить о себе громкими кличками. В глубинах электронной виртуальной реальности издаются вирусные газеты и журналы, проводятся конференции по созданию вирусов.
МЕСТО СОЗДАНИЯ ВИРУСА
Несколько географических мыслей.
Конечно, если точно известно место (город, страна) создания вируса, это и указывается в истории вируса. Эта информация может в некоторых случаях носить даже энциклопедический характер. Например, сильно ли вас заинтересуют особенности инфицирования флоппи-дисков вирусом Loa Duong? А вот из истории вируса вы сможете узнать, что Loa Duong (Ляо-Дун) — залив и образующий его полуостров на северо-востоке Китая. На его берегу расположен г. Люй-Шунь (Порт-Артур).
Но наиболее интересным является общий географический анализ. Исследуя тенденции происхождения всех классов компьютерных вирусов, интересно отметить следующую закономерность. Файловые вирусы имеют, в основном, западное происхождение, а загрузочные в основном восточное (Индия, Индонезия, Новая Зеландия, Пакистан, Сингапур, Тайвань, Южная Корея). Как и в религиях мирового масштаба, в компьютерной вирусологии нашлось место для менталитета человеческого социума.
В настоящее время загрузочные вирусы принято делить на четыре группы: итальянскую, пакистанскую, новозеландскую и индийскую. Конечно, надо понимать, что в данном случае название географического места вовсе не означает, что все вирусы группы написаны именно там. В этих регионах созданы первые загрузочные вирусы, алгоритмы которых носили свои особенности и используются сейчас в качестве основных. Понятно, что вирус может быть создан в деревне Гадюкино, но отнесен в новозеландскую группу.
Итальянская группа представлена загрузочными вирусами, (в основном) демонстрирующими интересные визуальные эффекты. Например, во время работы на экране компьютера пользователя в текстовом режиме появляется хаотически движущееся светлое пятно (мячик). Первым и наиболее распространенным представителем этой группы является вирус Ping-Pong. Он появился на Западе примерно в конце 1987 г. Пик эпидемии в бывшем СССР наблюдался в сентябре 1989 г.
Представители пакистанской группы вирусов отличаются тем, что они не инфицируют жесткий диск компьютера, заражая только дискеты. Типичным вирусом этой группы является вирус Brain (Душманские мозги). Оригинальная версия этого вируса является первым загрузочным вирусом для MS-DOS, получившим массовое распространение. Вирус был выявлен в США в октябре 1987 г., где он вызвал настоящую эпидемию. В эту группу также можно отнести вирусы «Hard Disk Brain», «Houston Virus», «Brain-86», «Ashar», «Den Zuk».
Для новозеландской группы характерно заражение Master Boot Record жесткого диска и минимальный хвост, размером в один сектор. Хвост содержит только оригинальный загрузчик, который размещается не в псевдосбойном кластере, а по определенному абсолютному адресу. Также особенностью вирусов данной группы является заражение жесткого диска сразу после инсталляции в оперативную память — до передачи управления стандартному загрузчику, а не после, как это делает большинство вирусов других групп. Родоначальником группы признан вирус Stoned (Забалдевший). Впервые был обнаружен в Веллингтоне (Новая Зеландия) в начале 1988 г. и быстро распространился в Азии, а затем в США и Европе. Исторически считается, что это первый загрузочный вирус, поражавший MBR. В СССР появился в конце 1989 г. практически одновременно в нескольких городах.
Индийская группа зародилась благодаря «деятельности» вирусописателя, жившего в свое время (живущего?) в Бомбее (Индия). Типичный представитель группы — вирус Joshi (Джоши). Впервые был обнаружен в Индии в июне 1990 г. У нас появился уже в июле того же года. Однако первым известным индийским вирусом был вирус PrintScreen (Печать экрана), обнаруженный в Бомбее в ноябре 1989 г. Невилем Булсара (Neville Bulsara).
ДАТА СОЗДАНИЯ ВИРУСА
Обычно самые «дисциплинированные» вирусописатели обязательно оставляют в коде вируса дату его создания (либо неявное указание на эту дату). Но чаще, конечно, в описаниях к данному вирусу фиксируется дата (период) его первого появления. Эта дата позволяет в дальнейшем определить и проанализировать основные этапы миграции вируса по планете, а затем попытаться спрогнозировать его следующее появление.
ИСКОПАЕМЫЕ И МИФИЧЕСКИЕ ЗАГРУЗОЧНЫЕ ВИРУСЫ
Вот такие интересные определения уже существуют в компьютерной вирусологии.
ИСКОПАЕМЫЕ загрузочные вирусы практически полностью уничтожены и представляют, в основном, исторический интерес. Как правило, это вирусы «первой волны», которые были полностью уничтожены первыми антивирусными программами, в живом виде сейчас не существуют и присутствуют, может быть, в коллекциях некоторых вирусологов. Здесь можно упомянуть о некоторых из них.
Alameda (неформальные названия — Merritt, Peking, Seoul, Yale) — один из первых загрузочных вирусов и первый вирус, способный «выживать» при «теплой» перезагрузке. Впервые обнаружен в США в 1988 г. в Merritt College, Oakland, California. По мнению сотрудников университета, вирус написан студентом из колледжа Peralta community college, входящим в данный округ.
Ohio (Огайо) — вирус можно рассматривать как раннюю версию вируса Den Zuk. Дискета, зараженная вирусом Ohio, иммунизирована к заражению вирусом Brain. Вирус обнаружен в июне 1988 г. в Индонезии и, по-видимому, разработан там же.
Chaos (Хаос). Неформальное название данного вируса связано с тем, что в теле вируса имеются текстовые строки «Welcome to the New Dungeon», «Chaos» и «Letz be cool guys». Стадия проявления заключается в пометке всех свободных кластеров как сбойные. Обнаружен в декабре 1989 г. в Англии Джеймсом Берри (James Berry).
МИФИЧЕСКИЕ загрузочные вирусы скорее всего существуют только на страницах литературы и в фольклоре. Их описания есть в некоторых источниках (иногда компетентных), но никто не может с уверенностью сказать, что встречался с этими вирусами. Для примера — вирус Вххх (Boot Killer), который был описан в одной из статей в 1988 году.
«Подарок к Рождеству» и другие вирусы
В середине декабря 1989 года тысячи пользователей компьютеров получили неожиданный подарок к Рождеству — посылку, содержавшую гибкий диск с пометкой «Информация о СПИДе». Многие, не подозревая подвоха, загрузили диск в компьютеры, после чего программа, записанная на этом диске, испортила всю информацию на винчестере и запросила 378 долларов за ее восстановление. Деньги предлагалось направить в абонентский ящик 87–17—44 почтового ведомства Панамы. Конкретные мотивы данного акта вандализма не объявлялись. Когда поползли слухи, что абонентского ящика с указанным номером не существует вовсе, были высказаны предположения, что отправителем посылок является лицо, действительно заразившееся СПИДом и пожелавшее утешиться таким экстравагантным способом. Согласно другой версии, это была месть служащих в ответ на какую-то несправедливость со стороны начальства.
Наконец выяснили, что указанный адрес реально существует, и сейчас, если нельзя сказать, почему было совершено преступление, то можно с достаточной степенью определенности восстановить, как это было сделано. 11 декабря тысячи конвертов с зараженными дисками были отправлены из Лондона по адресам фирм, расположенных на четырех континентах. Среди британских получателей значились Министерство здравоохранения, Фондовая биржа и такие фирмы, как Rolls Royce, Barclays Bank, ICL, Sainsburys и другие. Для рассылки был использован главным образом список адресов, приобретенный в редакции периодического издания PC Business World гражданином Кении Ф. Кетемой, который заявил, что собирается поставлять программное обеспечение из Кении в Великобританию.
В ряде случаев программа срабатывала не сразу, а лишь после неоднократного выключения и повторной загрузки зараженного компьютера (как правило, это нужно было сделать 90 раз). Обычный способ распространения вируса — обмен дискетами между пользователями. Дискета с вирусом AIDC сама активно способствовала дальнейшему заражению, коварно предлагая пользователям, обнаружившим потерю данных, «выход» из создавшегося положения: советовала установить дискету на другой компьютер и переписать ее на жесткий диск. Доверчивый пользователь следовал совету и обнаруживал, что вторично попался на удочку — и себя не исцелил, и ближнего заразил.
Дэвид Фрост, один из авторов книги «Учебное пособие по компьютерным вирусам», изданной фирмой Price Waterhouse, считает, что, несмотря на все предосторожности, всегда будет оставаться вероятность заражения. Книга содержит подробные советы по борьбе с вирусными атаками как с точки зрения организации производства, так и с точки зрения программирования. Среди предлагаемых основных мер безопасности — регулярное резервное копирование программ и данных, проверка нового программного обеспечения на содержание вирусов, осторожное обращение с программным обеспечением, полученным из неофициальных источников, таких, как электронные бюллетени, либо полное запрещение использования таких программ. Но главное — это достижение информированности всех пользователей о мерах безопасности и о потенциальных угрозах, учитывая тот факт, что в большинстве случаев вирусы внедрялись и распространялись по вине неграмотных, ни о чем не подозревавших пользователей. Особенно необходимо помнить о том, что авторы вирусов, побуждая пользователей заражать себя и других, проявляют крайнюю изобретательность, пытаются порой даже пробудить в человеке низменные чувства (в случае с дискетой «Информация о СПИДе» использовался шантаж: зарази другого и сам будешь исцелен).
В качестве поучительного примера в книге рассказывается о вирусе SEX.EXE, который развлекает пользователя, выводя на экран порнографические картинки, а заодно и разрушает таблицу размещения файлов его компьютера. Некоторым людям бывает чрезвычайно сложно устоять перед искушением запустить неизвестную программу с таким интригующим именем, как SEX.EXE. Так что в будущем не исключено появление новых вирусов, использующих знание о человеческих слабостях для достижения неблаговидных целей.
К несчастью, мы, возможно, являемся свидетелями эволюции вирусов-шалостей в злонамеренные вирусы. Программы типа вируса «Пятница 13-го», который разрушил данные многих персональных компьютеров, могут получить более широкое распространение. Стивен Росс, старший администратор фирмы бухгалтерских услуг и консультаций Delloitte, Haskins & Sells, считает, что до сих пор мы увидели лишь вершину айсберга. «Эпоха вирусов-шутих, не имеющих каких-либо определенных задач или целей, кончается, перед нами — эпоха ориентированных вирусов, — говорит он, — проблема вирусов в перспективе неисчерпаема».
При создании ориентированных вирусов имеются в виду совершенно конкретные мишени. Такие вирусы встречаются все чаще. Один изготовитель антивирусных программ сообщает о двух недавних угрозах «взрыва» вирусных «мин», которым подверглись крупные фирмы. В обоих случаях звонивший шантажист утверждал, что имеется вирус, который полностью разрушит сеть фирмы. В одном случае угроза была ложной, в другом вирус был обнаружен. В обоих случаях, пока персонал искал эти вирусы, фирмы потеряли много часов работы.
В начале 1989 года дело по ориентированному вирусу дошло до суда, и суд признал Дональда Гина Бурлесона виновным во внедрении компьютерного вируса, который уничтожил примерно на 200 тысяч долларов комиссионных записей, принадлежавших его бывшему работодателю, фирме USPA & IRA. Эта фирма специализируется на торговле средствами безопасности. Он был осужден по законодательству штата Техас (оно вступило в силу за два дня до внедрения вируса), которое говорит о незаконности вмешательства в пользование компьютером, незаконности уничтожения и разрушения компьютерных программ. Прокурор по этому делу сообщил, что общий характер законодательства критическим образом сказался на аргументации обвинения против Бурлесона. Бурлесон, которому угрожало до 10 лет тюрьмы, был приговорен к семи годам условно и штрафу 11 800 долларов — в такую сумму был оценен причиненный ущерб.
Программа Бурлесона относилась к типу вирусов, которые называют «минами замедленного действия» (вирус «Пятница 13-го» еще один пример такой программы). Некоторые эксперты считают, что «мина замедленного действия» и «троянский конь», который внедряется в систему, будучи спрятанным в другой программе, — не настоящие вирусы. Эти пуристы считают, что вирус это несанкционированная саморепродуцирующаяся программа. Другие предпочитают более широкое определение, по которому вирус — это любая программа, созданная для проникновения в систему пользователя вопреки последнему и незаметно для него с целью помешать нормальной работе системы, вызвать потерю данных или просто вывести на экран сообщение.
Вирус — только последний в серии разрушающих программ, начало которым положили программы типа «троянский конь» и «часовая мина».
В конце 1987 года из Лехайского университета в штате Пенсильвания пришло сообщение о нападении на местные компьютеры программы-вируса. Лехайский вирус распространялся от компьютера к компьютеру, используя в качестве средства передачи зараженную дискету. Заражение вирусом происходило при загрузке компьютера с инфицированного гибкого диска. За короткое время заразились сотни компьютеров. Сначала размножившись, вирус затем проявил свою «троянскую» сущность — уничтожил данные с винчестеров зараженных машин. Программа «троянский конь», названная так по аналогии с древнегреческой легендой, производит одноразовое действие, повреждающее или уничтожающее информацию либо диски при каждом запуске.
Программа «троянский конь» выглядит так, как будто она просто выполняет какую-то одну полезную функцию, но на самом деле программа делает кое-что еще, например, разрушает директорию на диске или портит таблицы размещения файлов. Существенным свойством программы «троянский конь» является то, что она производит разрушения при каждом очередном запуске. Подобно Троянскому коню из древнегреческой мифологии, она маскируется под вполне безобидную программу и может выглядеть как файл с расширением. СОМ или EXE, предназначенный для графического вывода на экран дисплея, распечатки директории или чего-либо подобного. Такая маскировка обычно продолжается недолго.
Промышленная ассоциация по компьютерным вирусам только за 1988 год зафиксировала почти 90 тысяч вирусных атак на персональные компьютеры. На самом деле количество инцидентов, связанных с вирусами, вероятно, превосходит опубликованные цифры, поскольку большинство фирм умалчивает о вирусных атаках, опасаясь, что подобная реклама повредит их репутации. Другие фирмы молчат, чтобы не привлекать внимания хакеров. Как заметил администратор фирмы Amway, «лучший способ избежать проблем с вирусами — не болтать о том, что вы предпринимаете во избежание этих проблем».
Это хороший совет, ибо вирусные хакеры уже зашли так далеко, что обмениваются информацией и даже создают подпольные бюллетени, которые позволяют программистам вирусов обмениваться информацией и приемами программирования. По словам Джона Максфилда, специалиста по компьютерной безопасности из Кливленда, некоторые из этих бюллетеней содержат исходные коды вирусов, и программисту-любителю ничего не стоит создать свои собственные мощные токсичные средства.
Пиратские, а также имеющие широкое хождение программы — еще одна благодатная почва для вирусов. Эти программы свободно передаются из рук в руки, как правило, без каких-либо мер предосторожности. Один из наиболее распространенных современных вирусов был запущен через пиратское программное обеспечение из компьютерного магазина в Лахоре (Пакистан), где два брата-пакистанца внедряли вирус в пиратские копии пакетов Lotus 1–2—3, WordStar и других популярных прикладных пакетов. Это делалось для того, чтобы наказать покупателей за приобретение пиратского программного обеспечения. Прежде чем стало известно об этом вирусе, через этот магазин прошли тысячи туристов и бизнесменов, посещавших Лахор.
Джон Максфилд, консультант по вопросам компьютерной безопасности из Кливленда, рассказывает еще более жуткие вещи об опасностях, связанных с пиратским программным обеспечением. По словам Максфилда, пираты-программисты внедряют вирусные программы в бюллетени пиратов-конкурентов, рассчитывая на то, что вирус будет подхвачен и так или иначе попадет в коллекцию программ конкурента, а это в результате подорвет репутацию последнего.
Вероятность получить вирусную программу гораздо меньше, если вы — изолированный пользователь, если вы имеете дело с надежным набором коммерческих прикладных пакетов. Случаи заражения коммерческого программного обеспечения очень редки. Один из первых известных коммерческих пакетов с вирусом — пакет Freehand фирмы Aldus, программа для компьютеров Macintosh. Вирус просто выводил на экран сообщение с пожеланием мира всем пользователям компьютеров Macintosh, после чего сообщение исчезало. Компьютерный вирус был также обнаружен в пакете MegaROM для CD-ROM-дисков компьютеров Macintosh. Оба вируса были быстро обнаружены и не успели повредить систем пользователей. Вирус, заразивший пакет MegaROM, мог бы уничтожить данные, если бы не был пойман. Вирус из пакета Freehand, известный как вирус Мира, — классический пример того, как легко может вирус распространяться. Это началось с того, что Дрю Дэвидсон, программист из Таксона, написал вирус и передал его Ричарду Брэндоу, который поместил вирус на игровые диски, распространявшиеся на собраниях группы пользователей компьютеров Macintosh в Монреале. Марк Кантер взял один из этих инфицированных дисков на собрании и вернулся с ним в свой офис в Чикаго, где он занимался анализом предварительной версии пакета Freehand для фирмы Aldus. Вирус перешел с игрового диска на диск с пакетом Freehand. Кантер отправил диск в фирму Aldus, где он попал на несколько тысяч копий пакета Freehand, предназначенных к поставке.
Резервные копии — это одна из мер защиты против вируса, но она тоже не дает стопроцентную гарантию. Некоторые из данных могут быть поражены вирусом и резервная копия этих данных также может оказаться зараженной. Необходимо проводить проверки на наличие вирусов после восстановления данных с резервной копии.
По сообщениям прессы, недавно австралийские фирмы подверглись нападению вируса «Пинг-понг» («итальянский» или «туринский» вирус) и новозеландского вируса, который также известен как вирус «marijuana» или «Stoned». Согласно газете «Курьер мэйл», одна коммерческая фирма в г. Таунсвиль в результате вирусной атаки понесла убытки в миллион долларов. Фирме пришлось закрыться на шесть недель, необходимых сотрудникам для того, чтобы вручную заново ввести в компьютеры всю информацию. Первое, что приходит в голову при прочтении такого сообщения: это очередная «утка». Разве не могла фирма использовать для восстановления информации резервные копии? Однако существует надежное подтверждение того, что данный случай действительно имел место. Здесь мы видим яркий пример, во-первых, неподготовленности персонала к вирусной атаке, во-вторых, плохой организации резервного копирования информации. В один прекрасный день сотрудница агентства по недвижимости, специализирующегося на сдаче в аренду, выполняла резервное копирование информации фирмы на дискеты. Когда она вставила в компьютер первую дискету резервной копии, на экране появилось сообщение «Your PC is now stoned» («Ваш компьютер тащится»). Не зная, как реагировать на это сообщение, она вынула первую дискету и вставила следующую. Увидев, что сообщение с экрана не исчезло, она по очереди вставила все остальные дискеты резервной копии. В результате все дискеты оказались зараженными.
Компьютер просит… печенья
Проблема компьютерных эпидемий выходит за рамки информатики. Вопрос о том, кто и почему создает вирусы, не менее интересен, чем механизм их действия, а ответить на него нелегко.
Так кто же создает вирусы? Весьма странная и пестрая группа людей, живущих в самых разных странах. Так, хотя большинство вирусов появилось в США, некоторые имеют европейское (в частности западногерманское) происхождение, а один из самых знаменитых — «Брэйн» — придуман 26-летним пакистанцем Амджадом Фаруком Альви.
И все же у компьютерных террористов можно найти общие черты. Несомненно, это программисты очень высокого класса, не обязательно профессионалы, зачастую и просто пользователи, накопившие немалый опыт общения с ЭВМ. Причем, как правило, молодые люди, много времени проводящие за дисплеем. В социальном смысле они весьма инфантильны, даже безответственны: опасная игра с вирусами служит для них источником острых ощущений, столь дефицитных в бедном эмоциями, чересчур защищенном и упорядоченном мире, в котором они живут.
Если действия программистов, заражающих ЭВМ своих фирм, чтобы отомстить за какую-то нанесенную им обиду, или многочисленные попытки некоторых компаний дезорганизовать вычислительные системы своих конкурентов еще как-то можно понять, то побудительные мотивы других поступков объяснить труднее. Например, 23-летний американец Дру Дэвидсон, исходя, казалось бы, из благих намерении, придумал так называемый «вирус мира», который не стирает информации, а просто выводит на дисплей сообщение и затем исчезает без всякого вреда для компьютера.
2 марта прошлого года на экранах нескольких тысяч микроЭВМ «Макинтош» появилось изображение Земли и призыв ко всеобщему миру. Выяснилось, что друг Дэвидсона Ричард Брэндоу ввел «вирус мира» в дискеты с играми, которые затем раздал всем желающим на встрече владельцев «Макинтошей» в Монреале. Взял такую дискету и Марк Кантер, сотрудничавший с корпорацией «Элдэс» из Сиэттла, которая производит программное обеспечение. Из персонального компьютера Кантера вирус проник в большие компьютеры корпорации, а затем в несколько тысяч копий графической программы «Эскиз» и разошелся по магазинам всей Америки. То был первый случай распространения коммерческой программы с вирусом. Хорошо еще, что он оказался безобидным.
Подобных шутников, к несчастью, становится все больше. Скажем, один из вирусов заставлял компьютеры выводить на дисплей требование: «Хочу печенья!» Эти требования повторялись все чаще и чаще, пока вообще не блокировали работу ЭВМ. Но достаточно было набрать на клавиатуре слово «печенье», как «накормленный» компьютер вновь принимался за дело. Другой вирус, к приятному изумлению оператора, синтезировал движущееся изображение знаменитой рок-звезды Мадонны. Однако тут же, не дав насладиться зрелищем, издевательски замечал с экрана, что тратить драгоценное машинное время на разглядывание видеороликов просто глупо, после чего компьютер отключался.
А вот появление вируса в компьютерах Иерусалимского университета (он должен был уничтожить всю записанную в них информацию 13 мая 1988 года, в сороковую годовщину образования государства Израиль) объясняется, возможно, и политическими мотивами.
Паника, связанная с вирусами, опасна сама по себе. Когда в Ливерморской национальной лаборатории США было получено сообщение о проникновении инфекции в 450 вычислительных машин, работы там были прекращены, и сотрудники затратили огромное время на проверку всех программ. И хотя в конце концов это оказалось мистификацией, ущерб был нанесен не меньший, чем от реального вируса. Эти факты говорят о том, что при анализе «электронного СПИДа» нельзя оставлять в стороне социальный аспект. В сущности, складывающаяся ситуация показывает, как плохо мы еще знаем влияние вычислительной техники на психику человека. И быть может, в этом главный урок, который следует извлечь из непрекращающегося потока сенсационных публикаций о компьютерных эпидемиях.
Моррис-сын, Моррис-отец и события, потрясшие всю Америку
Летом 1988 года в AT&T Bell Laboratories работал студент последнего курса одного из американских университетов. И занимался он не чем иным, как «переписыванием программ системы безопасности для большинства компьютеров, работающих под управлением операционной системы UNIX».
В принципе для Америки и вообще для цивилизованных стран ничего особенного в этом не было — мало ли студентов работают в солидных корпорациях, лабораториях и учреждениях, приобретая практический опыт и обеспечивая себе рабочие места в этих организациях, — если бы этот факт не был через несколько месяцев упомянут в «Нью-Йорк Таймс» в связи с событиями, потрясшими всю Америку по крайней мере ту ее часть, которая имеет отношение к компьютерам.
Можно попытаться составить примерную картину распространения вируса на основании сообщений, проходивших в компьютерных сетях, не подвергшихся нападению, и многочисленных публикаций в прессе. В частности, представляют интерес сообщения, проходившие во время атаки через телеконференции VIRUS_L (далее VIR) и RISKS_FORUM.
Специалисты старшего поколения утверждают, что сообщения, проходившие в сетях во время вирусной атаки, очень напоминали сообщения о вражеских боевых действиях, поступавших по связи во время Второй мировой войны. Во всяком случае, эти сообщения позволяют ощутить полную беспомощность, царившую во время вирусной атаки в различных узлах сети, примерно оценить возможность пользователей понять, что же происходит, и сделать выводы относительно требований к системе оказания помощи в подобных ситуациях.
Как это было
«Сейчас 3:45 AM, среда (sic) 3 ноября 1988 года. Мне все надоело, я не могу поверить в то, что произошло…» (Из сообщения Клиффа Столла, переданного по электронной почте для Dockmaster ARPA.)
…Гром грянул 2 ноября 1988 года. Им стала вирусная атака, названная компьютерными экспертами величайшим нападением на национальные компьютеры из когда-либо случавшихся.
Абсолютно точную последовательность событий в настоящее время восстановить практически невозможно. Тогда, во время самой атаки, все были заинтересованы прежде всего в быстрой локализации и удалении вируса, а никак не в подробной регистрации фактов, что, кстати, сильно затруднило потом работу следствия. Кроме того, вирус быстро заблокировал атакуемые вычислительные сети, в результате чего прервалась связь между пользователями.
Итак, 2 ноября 1988 года, среда
17:00 Вирус обнаружен в Корнеллском университете
(Нью-Йорк)
21:00 Вирус обнаружен в системах Стэнфордского университета и фирмы Rand Corporation (Калифорния).
22:00 Вирусом поражена система университета в Беркли (Калифорния).
23:00 Вирус обнаружен специалистами отделения математики Принстонского университета (Нью-Джерси).
Сначала все, кто обнаружил вирус, подумали, что это очередной инцидент, касающийся только их системы. Никто не мог себе представить, какие масштабы примет эпидемия через несколько часов. Тем не менее администраторы атакованных систем послали сообщения о происшедшем.
23:28 В телеконференции VIRUS_L проходит первое сообщение о вирусе. Сообщается, что атакованы университеты в Дэвис и Сан-Диего, Ливерморская лаборатория имени Лоуренса и исследовательский центр НАСА (соответственно, Lawrence Livermore Laboratory и NASA s Aimes Research Center) — все в Калифорнии. Вход вируса идентифицируется как SMTP. Атакуются все системы 4.3 BSD и Sun 3.Х. Отмечается, что вирус распространяется по каналам TELNETD, FTPD, FINGER, RSHD и SMTR. (SMTR расшифровывается как простой протокол передачи почты — Simple Mail Transfer Protocol, FTP — как протокол передачи файлов — File Transfer Protocol; a TELNET является названием протокола эмуляции терминала. Эти протоколы являются подпротоколами TCP/IP, созданными для реализации соответствующих функций).
23:45 Вирус обнаружен в исследовательской лаборатории баллистики (Army Ballistic Research Laboratory).
Постепенно стало проясняться, что одни и те же признаки поражения вирусом наблюдают пользователи, находящиеся в разных концах страны. С учетом совпадения событий во времени был сделан вывод, что национальные компьютерные системы атакованы одним и тем же вирусом, распространяющимся через сети, поскольку иным способом распространения нельзя было объяснить скорость, с которой вирус появлялся в различных концах США, если, конечно, не предположить, что все происходящее — результат заранее спланированной и хорошо подготовленной акции некой преступной группы, имеющей доступ ко всем национальным системам. Жизнь администраторов американских систем после установления этого факта, как говорится, переставала быть безынтересной!
Для пользователей и системных администраторов атакованных узлов сетей поведение вируса было непостижимым. В некоторых системах в директории /usr/tmp появлялись необычные файлы; в журнальных файлах ряда утилит появлялись странные сообщения. Наиболее примечательным, однако, было то, что все более и более повышалась загрузка систем, приводившая в конце концов либо к исчерпанию свободного места, выделенного под свопинг, либо к переполнению системной таблицы процессов — в любом случае это означало блокировку системы.
Исходя из названия сетей, в которых вирус был обнаружен, его тут же окрестили вирусом Milnet/Arpanet. Вскоре, однако, выяснилось, что вирус из Arpanet благополучно перекочевал в сеть Science Internet — и он тут же получает название «вирус Internet». Но после того, как Корнеллский университет высказал косвенно доказанное предположение, что вирус, вероятно, разработан в его стенах, вирус получает, наконец, одно из наиболее распространившихся (благодаря стараниям прессы) названий — вирус Cornell/Arpanet. Это название вируса появилось в двух передовых статьях и последующей серии заметок Джона Маркофа (John Markoff), Лоренца М. Фишера (Lawrence M. Fisher), Мишеля Вайнеса (Michael Wines), Джеффа Герса (Jeff Geth) и Калвина Симса (Calvin Sims), опубликованных в «Нью-Йорк Таймс» с 4 по 17 ноября 1988 года.
Вообще для специалистов оказалось приятным сюрпризом то, насколько подробно и грамотно пресса комментировала события. Филипп Гарднер — полковник в отставке, специалист по безопасности компьютеров — писал по этому поводу: «Казалось, репортеры точно знали, у кого можно получить достоверную информацию, и, кроме того, они делали хорошие выводы из того, что эти лица говорили. Это тем более приятно в условиях, когда мы становимся, к несчастью, свидетелями ненормальной тенденции к росту числа „экспертов“ в среде самих журналистов».
Наступило 3 ноября, четверг.
01:0 °Cообщения о заражении 15-ти узлов сети Arpanet.
02:00 Поражена вирусом система Гарвардского университета (Массачусетс).
03:30 Вирус обнаружен в Центре Массачусетского технологического института.
03:46 В сообщении, прошедшем в электронной почте RISKS, уточняется, что атакуются системы UNIX 4.3 BSD и аналогичные ей Sun, работающие на компьютерах VAX фирмы DEC и компьютерах Sun фирмы Sun Microsystems Inc. Сообщается также, что вирус распространяется через дыры в системе безопасности утилиты электронной почты Sendmail, имеющейся в составе указанных систем.
04:00 Поскольку сеть перегружена, распространение вируса замедляется, к этому моменту заражены уже более 1000 узлов сети.
05:15 В университете Карнеги-Меллона в Питтсбурге (Пенсильвания) из 100 компьютеров, подключенных к Arpanet, вышло из строя 80.
08:0 °Cообщение о вирусе из астрофизического центра Smithonian.
Впоследствии возникло несколько версий того, как и кем именно был обнаружен вирус.
Согласно первой, вирус был обнаружен в ночь со 2 на 3 ноября 1988 года одним из научных сотрудников Ливерморской лаборатории им. Лоуренса. Обращаясь со своего домашнего терминала к вычислительной системе лаборатории, он заметил необычное повышение интенсивности ее загрузки. Заподозрив неладное, сотрудник сообщил об этом дежурному оператору, и тот (очевидно, руководствуясь инструкцией) сразу же отключил систему от сети Science Internet, по которой распространялся вирус.
Специалисты Ливерморской лаборатории действительно могли одними из первых обнаружить вирус. Дело в том, что эта лаборатория, проводившая исследования по программе СОИ и разработку новых видов ядерного оружия, в мае 1988 года уже сталкивалась с вирусом, после чего, по всей видимости, были приняты дополнительные меры предосторожности и повышена бдительность.
Немедленно об инциденте было сообщено Управлению связи МО США (Defence Communication Agency DCA), в ведении которого находится сеть Arpanet. В три часа ночи о вирусной атаке узнало руководство DoD. Однако, несмотря на оперативность извещения, локализовать вирус в сети было уже невозможно.
По второй версии, извещение о появлении вируса было отправлено неизвестным лицом по компьютерной сети вместе с инструкцией по его уничтожению.
Но сеть была перегружена, и очень многие вычислительные центры не сразу приняли сигнал. Когда же наконец, на сообщение обратили внимание, было уже поздно.
Согласно третьей версии — первыми обнаружили неполадки в вычислительной системе специалисты MIT. Внимание ответственного за безопасность вычислительного центра привлекло необычное поведение компьютера. Машина интенсивно функционировала, хотя в данное время на ней никто не работал, на дисплей никакие данные не выводились. Через несколько минут вся память системы была забита и система вышла из строя.
Неполадки в работе систем зарегистрировали не только люди, но и процессоры вычислительных систем. Они начали передавать в сеть сообщения о том, что не в состоянии принимать новые данные вследствие переполнения памяти.
Благодаря этому центры некоторых научно-исследовательских институтов вовремя отключились и сумели избежать заражения.
Так, одно из учебных заведений штата Нью-Джерси — Stevens Institute of Technology, получившее предупреждение, успело изолировать свою ЭВМ и блокировать доступ вирусу.
Вскоре выяснилось, насколько серьезный удар был нанесен. Во-первых, вирус распространялся через компьютерную сеть с чудовищной быстротой — следствие быстродействия узловых систем и хорошего состояния линий связи в США.
Во-вторых, в результате работы вируса блокировались как сеть, так и атакованные системы, останавливавшиеся вследствие переполнения памяти и/или превышения допустимого предела загрузки. Весь ужас заключался в том, что пока до администраторов систем доходило, что их системы подверглись нападению, они начисто лишались возможности что-либо предпринять, поскольку теряли доступ к перегруженной системе. В-третьих, инфицировалась операционная система UNIX Berkley 4.3 — одна из самых популярных версий UNIX, в силу наличия в ней электронной почты и удобных отладочных средств. Это было тем более непонятно, если учесть, что UNIX — система многопользовательская и к тому же имеет систему защиты, основанную на идентификации каждого пользователя с помощью паролей. С таким сталкивались впервые.
Атака шла по наиболее популярным среди пользователей страны сетям, включая сеть Пентагона, и рассчитывалась на поражение одной из самых популярных операционных систем — каково?
Не удивительно, что среди администраторов систем началась настоящая паника. Многие из них не сумели или не приложили (иногда в течение нескольких дней) должных усилий к тому, чтобы связаться с другими пострадавшими, а пользователей попросту лишили возможности работать с их машинами. В результате за несколько минут они лишились не только своих машин, к которым запретили доступ, но и других машин Internet, с которыми они не могли работать до конца восстановления сети.
Стало понятно, что если вирус не остановить, то последствия его деятельности могут быть самыми нежелательными. По всей стране пользователи затаили дыхание, боясь подумать, что произойдет, если вирус запрограммирован на уничтожение или повреждение данных (а это было весьма вероятно).
Через 5 часов вирус инфицировал от 435 до 800 систем, а всего в течение полутора-двух суток (2–3 ноября) поразил около 6000 компьютеров. Среди пострадавших — помимо уже упомянутых — оказались системы Агентства национальной безопасности и Стратегического командования авиации США; лабораторий NASA (в частности Jet Propulsion Laboratory; а в вычислительном центре NASA в Хьюстоне компьютерный вирус чуть было не затронул систему управления запусками кораблей многоразового использования Shuttle, но ее удалось вовремя отключить) и Лос-Аламосской национальной лаборатории; исследовательских центров ВМС США (Naval Research Laboratory, Naval Ocean Systems Command) и Калифорнийского технологического института; крупнейших университетов страны (в Висконсинском университете из 300 систем было «выбито» 200) и бесприбыльного «мозгового центра» SRI International; ряда военных баз, клиник и частных компаний.
Анализ, проведенный специалистами, показал, что схема распространения компьютерного вируса была примерно следующей: сеть Arpanet — Milnet — Science Internet — NSF net. В результате вирус практически вывел эти сети из строя. Минимум на два дня прекратились все научно-исследовательские работы.
При этом, учтите, не было известно, «ушел» ли вирус через Лондон в Западную Европу. Как сообщилось впоследствии в «Уолл-стрит джорнэл», вирус все-таки сумел по Internet достичь Европы и Австралии, где также были зарегистрированы случаи блокировки компьютеров.
Как с этим боролись
Как невозможно сейчас восстановить хронологию вирусной атаки, так же невозможно точно установить, сколько времени потребовалось на локализацию вируса и сколько людей в этом участвовало. Но представляется правомочным предположение, что обе эти цифры весьма и весьма значительны. Судите сами…
…Продолжается 3 ноября.
15:00 Первые сообщения о том, что инфицированным узлам и другим пользователям направлен антидот.
21:00 Первое интервью в MIT, посвященное вирусу.
21:20 RISKS Разослан «worm condom» — «презерватив от червя».
22:04 RISKS Разослано сообщение о способе борьбы с вирусом, состоящем в размещении в библиотеке С внешней переменной с именем «pleasequit», установленной в ненулевое значение.
Как только DCA узнало о вирусе, оно сразу же поставило в известность об этом ФБР, которое расценило инцидент как «дело самого высокого приоритета» и начало расследование. Одновременно с ФБР самостоятельные расследования начали само DCA и NCSC (National Computer Security Center — Национальный центр компьютерной безопасности). Специалисты последнего центра, дезассемблировав вирус, заявили, что он создан с большим искусством и умело использует ряд уязвимых мест сети Arpanet.
Многие специалисты в области безопасности компьютеров отмечали оперативность, с которой отреагировали на появление в своих системах вируса пользователи. Уже 3 ноября практически во всех ведомствах и учреждениях, вычислительные системы которых были поражены вирусом, начали формироваться специальные группы для ликвидации последствий инцидента.
После первого шока, вызванного молниеносной вирусной атакой, специалисты стали анализировать ситуацию, в результате чего выяснились некоторые интересные факты.
Во-первых, вирус поразил не все системы — ряд систем остались нетронутыми в силу того, что работающие на них системные программисты переписали программы, входящие в систему безопасности с учетом обнаруженных недостатков в промышленных версиях этих программ. Иными словами, недостатки системы безопасности, позволившие вирусу блокировать тысячи компьютеров, были известны ранее (!), но лень или халатность разработчиков и системщиков спровоцировали свалившуюся напасть. Эх, знать бы, где упадешь — соломки подостлал бы!
Во-вторых, вирус использовал в процессе своего распространения подсистему отладки — даже родился термин «отладочный хук».
В-третьих, вирус, по всей видимости, был сетевым червем, поскольку ни одна из существовавших до атаки программ не была в ходе атаки искажена.
Это, так сказать, косвенные догадки.
Но с самого начала мощные компьютерные центры начали дезассемблирование вируса. Именно дезассемблирование могло дать ответ на три главных вопроса: что это такое, чем это грозит и как с этим бороться. Впрочем, следственные органы интересовали и другие вопросы: откуда именно стал распространяться вирус, какой «шутник» его запустил и кто является автором столь «удавшейся» программы. По ряду причин получить ответ на это вопрос оказалось крайне непросто.
В частности, в калифорнийском университете в Беркли ранним утром 3 ноября специалистам удалось «выловить» копию вирусной программы и приступить к ее анализу. Уже в 5 часов утра того же дня специалистами этого университета был разработан «временный набор шагов», которые рекомендовалось предпринять, чтобы приостановить распространение вируса: например, высказывалось предложение «залатать» предложенным образом обнаруженные промахи в работе утилиты Sendmail.
Около 9 часов утра специалисты университета в Беркли разработали и разослали программные «заплаты» для ВСЕХ промахов в системном программном обеспечении, позволявших вирусу распространяться; а специалистами другого университета — в Пурду — примерно в это же время было разослано описание метода борьбы с программой-захватчиком, не требующего модификации системных утилит.
Пятница, 4 ноября 1988 года.
00:27 RISKS Сообщение из университета в Пурду, содержащее довольно полное описание вируса, хотя по-прежнему, осталось неизвестным, что именно «вирус предполагает делать окончательно».
14:22 RISKS Краткое сообщение о дезассемблировании вируса. Указано, что вирус содержит несколько ошибок, которые «могут привести к неприятностям и, несомненно, к непредсказуемому поведению программы». Отмечается, что если бы «автор тестировал программу более тщательно», он все равно не смог бы обнаружить эти ошибки вообще или, во всяком случае, достаточно долго.
Ряд пользователей Arpanet, в частности MIT, где была сформирована своя группа, приступили к срочной модификации сервисных подпрограмм, чистке файлов данных и программного обеспечения.
В Ливерморской лаборатории, несмотря на четкие действия специалистов, вирус удалось блокировать только через пять часов после обнаружения (вы думаете, этой многострадальной лаборатории удалось передохнуть от вирусов? Глубоко заблуждаетесь! Открываем газету «Правда» от 20 декабря 1988 года (№ 355) и читаем:
«Предпринята еще одна попытка — вторая за последний месяц — вывести из строя компьютерную систему Ливерморской лаборатории радиации в Калифорнии. Восемь раз в течение недели в компьютерную систему крупнейшей в США ядерной лаборатории проникал сильнодействующий вирус и забивал все каналы информации. Благодаря усилиям заведующего центром компьютерной безопасности Т. Абрахамсона, который попросту не уходил домой и сутками корпел над электронными головоломками, каждый раз удавалось нейтрализовать вирус и предотвратить опасное заражение памяти ЭВМ.
Член руководства лаборатории Р. Борчерс считает, что проникнуть в компьютерную систему мог только высококвалифицированный специалист, обладающий секретной информацией о деталях программы, о кодах, паролях и слабых местах защитного кордона ЭВМ».
Остается только посочувствовать специалистам лаборатории и позавидовать их квалификации и самоотверженности, проявляемой в борьбе за живучесть своей вычислительной системы.
Как сообщил Джей Блумбекер, директор Национального центра информации о компьютерной преступности (г. Лос-Анджелес), ликвидация последствий распространения вируса стоила Лос-Аламосской Национальной лаборатории 250 000 долларов. Исследовательскому центру NASA в г. Маунтин Вью (Калифорния) пришлось на два дня закрыть свою сеть для восстановления нормального обслуживания 52 000 пользователей.
21:52 RISKS Сообщение группы MIT о вирусе Internet.
Заявлено, что в вирусе не обнаружено кода, предполагающего порчу файлов. Рассказывается о работе вируса, подтверждено, что «вирус содержит несколько ошибок». Отмечается, что программа предполагала «скрытое распространение, что представляет определенный интерес».
Тот же день, газета «Нью-Йорк Таймс». В заметке Джона Маркоффа «Virus in Military Computers Disrupts Systems Nationwide» дан весьма аккуратный обзор происшедшего и сообщено, что не назвавший себя студент позвонил в редакцию и заявил, что инцидент является всего лишь «экспериментом, который испортился в результате небольшой программной ошибки».
В университете штата Делавэр червь был обнаружен в большом компьютере VAX, ласково именуемом в пределах университета Дэви (Dewey), 3 ноября примерно в 8:15 утра. Вот как описывает борьбу с вирусом участник событий:
«Червь поразил систему университета во вторник утром, почти сразу же после того, как пришел на работу административный и технический персонал. Первым делом, каким занялось большинство администраторов, было ежедневное ознакомление с поступившими сообщениями электронной почты. Администраторы обнаружили предупреждения о вирусе, информацию о странных файлах, обнаружение которых свидетельствует о наличии одного или нескольких червей, и идеи относительно обнаружения и уничтожения программы-червя. Администраторы быстро обнаружили работающую оболочку UNIX, не связанную с каким-либо терминалом, и, используя команду KILL, уничтожили первый червь в Дэви.
Спустя несколько часов на терминалы администраторов стали поступать новые сообщения и предупреждения о втором черве. В это время Arpanel была в панике, и системные администраторы советовали остановить работу утилиты Sendmail и/или отсоединиться от сети. К счастью, администраторы продолжали контролировать свои системы и не отсоединялись. Через некоторое время они получили программу блокировки червя, написанную системным программистом из университета в Пурду (Purdue). Эта программа инициировала вызов червя и запись всех сегментов в пустой файл, что позволило обнаружить червя и прекратить его распространение по системам.
По счастливому случаю, оба червя UNIX были обнаружены, по всей видимости, спустя всего лишь несколько минут после их поступления в систему из Arpanel. Благодаря утренним сообщениям электронной почты администраторы были в курсе событий, в результате чего черви были зафиксированы до того, как события приобрели драматический характер. Ущерб состоял в потере времени системными администраторами на обнаружение червей, их уничтожение и чистку системы от сопутствующих червям файлов (около одного дня работы системных администраторов, что оценивается в сумму свыше 120 долларов)».
Думаю, всем понятно, что под именем червя UNIX здесь скрывается описываемый вирус.
Вопрос вызовет, пожалуй, упоминание о двух червях, ведь мы-то все время говорим об одном. На это есть две причины.
Первая — это то, что на компьютер было совершено два «нападения», не совпадавших по времени.
Вторая — то, что, как впоследствии выяснилось, вирус использовал для распространения два различных механизма, отчего казалось, что работают два — правда, очень похожих — червя. Но об этом несколько ниже.
Тем временем ФБР упорно делало свое дело. Ход расследования держался в тайне, однако известно, что уже 4 ноября ФБР обратилось к Корнеллскому университету с просьбой разрешить сотрудникам Бюро тщательно проверить рабочие файлы всех научных работников. Все магнитные носители в университете были арестованы, после чего сотрудниками ФБР были тщательно просмотрены файлы подозреваемых лиц, в результате чего был обнаружен файл, содержавший набор слов, опробованных вирусом в качестве паролей. То, что именно эти слова были опробованы вирусом, было установлено в результате дезассемблирования вируса.
Владельцем этого файла был 23-летний студент выпускного курса Корнеллского университета Роберт Таппан Моррис.
Впрочем, в тот же день «виновник торжества» — исчезнувший ранее из родного университета — явился с повинной в штаб-квартиру ФБР в Вашингтоне.
Вот когда в ФБР и Пентагоне вздохнули с облегчением! Еще бы: вирус оказался не творением рук неизвестных злоумышленников или — свят-свят! — спецслужб, а всего лишь «невинной проделкой доморощенного гения», как выразился адвокат, благоразумно приглашенный «экспериментатором».
Естественно, Морриса тут же привлекли к работам по ликвидации его милой проделки — кто же лучше автора знает, как остановить вирус. Хотя, именно к этому моменту в результате дезассемблирования выловленного в сети тела вируса многие специалисты из крупных научных и инженерных центров страны могли рассказать о вирусе очень многое, если не все.
Кажется более правильным называть этот вирус по имени его автора, хотя, вирус имеет массу других названий. Однако в нашей стране, имеющей весьма отдаленное представление об Arpanet, Milnet, Internet, Корнеллском университете и тому подобных вещах, прижилось и получило определенное распространение именно это название — «вирус Морриса». В дальнейшем будем так называть его и мы.
Вирус Морриса — высокосложная 60 000-байтная программа, разработанная с расчетом на поражение операционных систем UNIX Berkeley 4.3 (или 4.3 BSD) и аналогичных ей Sun, работающих на компьютерах фирм Sun Microsystems inc. (Sun) и Digital Equipment Corp. (DEC). Такая избирательность вируса навела, ряд экспертов на мысль, что инцидент, связанный с вирусом Морриса, вполне мог быть тщательно подготовленной акцией корпорации IBM по подрыву позиций своих конкурентов.
Вирус изначально разрабатывался как безвредный и имел целью лишь скрытно проникнуть в вычислительные системы, связанные сетью Arpanet, и остаться там необнаруженным. Поскольку вирус распространялся в среде сети с использованием соответствующих сетевых средств и полностью обеспечивал свою работу, то бесспорным является утверждение, что вирус Морриса — полноправный представитель крайне редко встречающегося вирусного семейства сетевых червей.
Компьютерные эксперты, деассемблировавшие вирус, единодушно отметили, что программа была написана с выдающимся мастерством и расчетом на три недостатка в системе безопасности поражаемых операционных систем.
Вирусная программа включала компоненты, позволявшие раскрывать пароли, существующие в инфицируемой системе, что в свою очередь позволяло программе маскироваться под задачу легальных пользователей системы, на самом деле занимаясь размножением и рассылкой собственных копий. Вирус не остался скрытым и полностью безопасным, каким его задумывал автор, в силу незначительных ошибок, допущенных при разработке, которые привели к стремительному неуправляемому саморазмножению вируса.
И по сей день остаются невыясненными истинные мотивы, которыми руководствовался Моррис, создавая свой вирус.
Сам автор по этому поводу благоразумно хранил молчание, что послужило причиной появления множества самых разнообразных версий. Есть даже романтический вариант этой истории, согласно которому червь был создан и запущен с единственной целью — завоевать сердце некой Джуди Фостер (Jodie Foster).
Однако наиболее распространено мнение, что Моррис создал свою программу в экспериментальных целях, а к столь серьезным последствиям привел выход вируса из-под контроля в силу небольших программных ошибок. Вероятнее всего, смысл эксперимента заключался в скрытном распространении вирусной программы по сети, минуя средства обеспечения безопасности, с последующим преданием этого факта огласке. Что и говорить, шум был бы большой, хотя, пожалуй, несколько меньший, чем был в действительности. С этой точки зрения вирус полностью достиг своей цели — многомиллионная армия пользователей была поставлена перед фактом «удручающего состояния программного обеспечения и системы безопасности в мире UNIX» (Матт Бишоп, университет Дортмунта).
Сам Моррис дал следующую версию происшедшего. 2 ноября, набрав свой код доступа в сеть, он осуществил ввод вируса с компьютера Корнеллского университета. Моррис рассчитывал, что вирус будет пассивным — «спящим» — и приступит к активным действиям только через несколько дней. Однако произошел неприятный для автора сбой, и вирус принялся за дело мгновенно.
Когда Моррис попытался узнать ход атаки, он неожиданно обнаружил, что сеть перегружена настолько, что он сам не в состоянии получить доступ к терминалу. Моррис пытался остановить процесс, но все попытки оказались неудачными. Более того, поскольку каналом распространения вируса была электронная почта Sendmail, то именно она первая и вышла из строя, в результате чего Моррис лишился связи с другими компьютерами. Это, по его словам, «отрезало» его от сети и не позволило известить коллег об угрозе.
Моррис тут же (около 2 часов ночи 3 ноября) по телефону связался со своим другом в Гарвардском университете и попросил его послать в Arpanet сигнал тревоги с подробными инструкциями о методе уничтожения вируса. Этот знакомый в свою очередь послал краткое сообщение на излишне техническом языке и к тому же разместил это сообщение на малоизвестную EBB (Electronic Bulletin Board — «электронная доска объявлений». То же самое, что и BBS). Все равно к этому моменту сеть была перегружена, и большинство абонентов просто не имели возможности прочитать это сообщение.
Испугавшись ответственности, Моррис сбежал из университета к родителям, где связался с адвокатом (с помощью которого, очевидно, и была разработана соответствующая версия происшествия).
4 ноября, как известно, он явился с повинной в штаб-квартиру ФБР в Вашингтоне.
Понедельник, 7 ноября 1988 года.
15:44 RISKS Обсуждение возможности провокации вирусом ядерной войны. Вызвано воскресным сообщением (15:50), но впадает в противоположную крайность, преувеличивая возможность «ядерного Армагеддона».
ФБР наложило запрет на все материалы, имеющие отношение к вирусу Морриса, a 11 ноября 1988 года в «Нью-Йорк Таймс» в статье Джона Маркоффа было заявлено, что NCSC ищет способы, чтобы вообще остановить распространение точной информации о «внутренней работе программ, которые осложняют работу американских компьютеров».
Как судили
«НЬЮ-ЙОРК, 9. (ТАСС) Пока Роберт Моррис лишь смущенно улыбается перед объективами репортеров — он уже стал героем дня в США, но еще не ясно, смогут ли американские власти доказать, что он еще и преступник. „У нас нет никакого опыта наказаний за такие дела“, — заявил представитель ФБР…»
«Вся эта история выглядит и как захватывающая драма отца, сына и колоссальной электронной игры, и как наихудший результат веселой проделки, в которой непреднамеренность не может служить оправданием. Разбор этого дела в суде позволит выяснить соответствие нынешнего законодательства, направленного против „электронного саботажа“, уровню развития вычислительных систем и средств. Очень важно доказать преступность подобных действий, хотя в данном конкретном случае безусловно имеет смысл смягчить наказание».
(X. Д. Хайланд)
Четверг, 10 ноября 1988 года.
19:03 VIR Утверждение, что «действия, предпринятые в отношении» Морриса и подобных ему лиц будут «действиями общества в области компьютерной безопасности».
20:40 RISKS Официальное сообщение о ситуации в Корнеллском университете, откуда, по-видимому, был запущен вирус. Выводы сопровождаются комментарием, какой Моррис хороший; высказывается уверенность, что его наказание не будет «слишком суровым».
Представляет интерес юридическая сторона дела. Долгое время ФБР не могло выдвинуть официального обвинения в отношении автора вируса, хотя по заказу этого уважаемого ведомства Гарвардским и Корнеллским университетами были подготовлены обзоры существующего законодательства, касающегося «компьютерных» преступлений. Несмотря на наличие относительно новых законодательных актов, таких, как Закон о злоупотреблениях и мошенничестве с помощью компьютеров от 1986 года (Computer Fraud and Abuse Act of 1986), выдвинуть обвинение в отношении лица, злоупотребившего многомашинной компьютерной системой, каковой является любая компьютерная сеть, было нелегко.
В конце концов, поскольку пораженные вирусом системы входили в состав компьютерной сети, контролируемой правительством США, распространение вируса было признано действием, нарушившим закон. Но и после этого осталось неясным, как квалифицировать действия автора вируса — как преступление или как обычное хулиганство. В соответствии с уже упоминавшимся законом от 1986 года в случае квалификации действий Морриса как «несанкционированного доступа к правительственным компьютерам», ему грозил крупный штраф и тюремное заключение сроком до 10 лет.
22 января 1989 года суд присяжных признал Морриса виновным. Если бы осуждающий вердикт был утвержден без изменений, то Морриса ожидали бы 5 лет тюремного заключения и 250 000 долларов штрафа. Однако адвокат Морриса Томас Гидобони сразу же заявил протест и направил все бумаги в окружной суд с прошением отклонить решение суда.
Защита Морриса основывалась на двух посылках:
— на том, что формулировка закона неопределенна и оставляет открытой интерпретацию доказательства преднамеренности совершенных действий;
— и на том, что закон не отражает специфику функционирования компьютеров в 1990-х годах: в законе речь идет о несанкционированных действиях в отношении отдельного компьютера, а в рассматриваемом случае была поражена многомашинная система — компьютерная сеть.
Прежде чем признать Морриса виновным, суд достаточно быстро установил несколько признаков преступления. Самым большим мошенничеством во всей этой истории является то, что Моррис вошел в сеть для запуска вируса без авторизации.
Суд определил, что вирус Морриса причинил ущерб не менее чем на 1 000 долларов, хотя власти представили более 40 свидетельств, которые в совокупности утверждают, что за счет потери производительности вирус Морриса обошелся не менее чем в 150 000 долларов, а промышленная ассоциация по компьютерным вирусам оценила стоимость потерянного времени и людских ресурсов, а также сверхурочных затрат на удаление вируса из тысяч компьютеров примерно в 100 000 000 долларов.
Защита особенно настаивала на том, что вирус не поразил системы, связанные с обработкой денег; власти вынуждены были признать, что все трудности заключались в выключении машины, отсоединении ее от сети, повторном включении и проверке.
Далее, защита подчеркивала факт, что ресурсы в основном были затрачены на приведение нарушенной системы безопасности в состояние, предшествовавшее атаке, и на дизассемблирование обнаруженного вируса с целью выяснения его опасности. При этом, поскольку электронная почта сети во время вирусной атаки не работала, многие абоненты часами пытались дизассемблировать вирус, не подозревая, что это уже сделано другими абонентами.
Другим доводом защиты был тезис о том, что доказанные разрушения не обязательно являются прямым следствием работы вируса, то есть затраты ресурсов могли быть вызваны чем-либо помимо вируса. Например, имелись показания о том, что значительное время пользователями было затрачено на проверку отсутствия в вирусе «троянских коней», «часовых бомб» или каких-либо иных разрушительных программных средств. В действительности вирус не содержал подобных элементов, поэтому защита объявила неправомочными попытки возложить на Морриса ответственность за длительные усилия, направленные на то, чтобы разрушить собственные необоснованные подозрения.
Защита подчеркнула также тот факт, что электронную почту мог использовать кто угодно для связи с кем угодно, причем без согласия на то адресата, тогда как обе эти программы в процессе работы занимают мощности и память получателя. На основании этого Гидобони высказал утверждение, что все, кто авторизован в Internet, имеют привилегии, достаточные для использования Sendmail и Finger для связи с другими пользователями, и, более того, невозможно установить, кто именно обратился к данному абоненту, поскольку для обращения к любому абоненту никакой авторизации не требуется вообще. При этом Гидобони справедливо заметил, что подразумеваемая эффективность авторизации состоит в обязательной уникальной идентификации каждого пользователя при каждом вхождении в систему, в частности в Internet.
Небольшое препирательство на суде между защитой и обвинением произошло по поводу того, имело ли бы место нарушение закона, если бы Моррис не допустил программной ошибки. Эксперт Департамента Юстиции Марк Раш заявил, что если бы вирус работал точно так, как было задумано автором, администраторы узлов сети потеряли бы время на локализацию и удаление вируса; следовательно, существенный ущерб был бы нанесен даже в том случае, если бы ошибка не была допущена.
Хотя защитник не стал оспаривать этот вывод сразу, вне зала заседаний он заявил, что если бы программа работала так, как задумывал его клиент, никакого ущерба не было бы вообще; и прояви некоторые администраторы немного любознательности в отношении появившегося вируса, они вполне смогли бы проанализировать его на основании достаточного количества сообщений о вирусе, поступавших от других пользователей.
Сколько стоил вирус Морриса
По самым скромным оценкам, инцидент с вирусом Морриса стоил свыше 8 миллионов часов потери доступа и свыше миллиона часов прямых потерь на восстановление работоспособности систем. Общая стоимость этих затрат оценивается в 98 миллионов долларов. Ущерб был бы гораздо большим, если бы вирус изначально создавался с разрушительными целями.
Столь необычайно большая сумма ущерба объясняется гигантскими масштабами пораженных сетей (в основном — Internet) и значительным количеством пораженных систем. Internet объединяет 1200 отдельных сетей, состоящих в целом из 85 000 узловых компьютеров. Вирус поразил свыше 6 200 компьютеров. В результате вирусной атаки большинство сетей вышло из строя на срок до пяти суток. Пользователи, чья деятельность зависит от доступа к сети, оказались полностью изолированы, то есть продуктивность их работы резко снизилась. Компьютеры, выполнявшие коммутационные функции, работавшие в качестве файл-серверов или выполнявшие другие функции обеспечения работы сети, также вышли из строя. Потеря доступа и вынужденный простой машин являются косвенными потерями, связанными с инцидентом, и оцениваются в сумму примерно 65 миллионов долларов.
Прямой ущерб состоит прежде всего в затратах времени специалистов на определение пораженных систем, дезинфицирование этих систем и восстановление их нормальной работоспособности. В первые часы атаки мало кто знал алгоритм работы вируса, поэтому большинству систем работоспособность была возвращена только после дезинфекции. Процесс дезинфекции потребовал десятки тысяч человеко-часов. После дезассемблирования вируса сотни программистов по всей стране занялись разработкой ловушек для вируса и созданием «заплат» на месте обнаруженных вирусом «дыр» в подсистеме безопасности своих систем. Эти затраты также оцениваются в десятки тысяч человекочасов рабочего времени. Перечисленные здесь и другие виды деятельности, связанные с вирусом и продолжавшиеся иногда на протяжении недель, оцениваются в 796 000 человеко-часов, что при принятой в США средней стоимости часа работы программиста в 22 доллара составляет свыше 17 миллионов долларов.
Время, затраченное администраторами и операторами, несколько меньше времени, затраченного программистами, и составляет свыше 300 000 часов. При средней стоимости часа работы персонала этого уровня в 42 доллара, общая стоимость потерь составляет свыше 15 миллионов долларов.
«…По свидетельству „Нью-Йорк Таймс“, представители Пентагона, стремясь умерить опасения, что ключевые военные компьютеры уязвимы для подобных диверсий, заявили, что такой вирус не может проникнуть в секретные компьютерные сети, управляющие системами ядерного оружия и хранящие в памяти военные планы». Однако эксперты указывают, что происшедший случай свидетельствует о том, сколь уязвима компьютерная сеть.
В январе 1981 года с целью определения пригодности предлагаемых различными разработчиками компьютерных систем для нужд DoD был создан Центр компьютерной безопасности Министерства обороны США. Позднее, в сентябре 1985 года, этот центр был переименован в Национальный центр компьютерной безопасности (National Computer Security Center; NCSC) и перешел под ласковое крылышко Агентства национальной безопасности (national Security Agency; NSA).
Таким образом, NCSC обязан рождением Пентагону. Но на деле все обстоит гораздо интереснее: Роберт Таппан Моррис является сыном одного из наиболее известных правительственных экспертов по компьютерной безопасности — научного руководителя NCSC! Каково!
Эффект будет более поразительным, если учесть, что во время доклада Конгрессу в 1983 году именно Моррис-старший говорил о возможности обмана технически образованными новичками специалистов по безопасности как о «совершенном нонсенсе».
Но и это еще не все! Оказывается, баловство с компьютерными вирусами для Моррисов чуть ли не семейная традиция: Моррис-старший, работая в 60-х годах в Bell Laboratories, принимал участие в создании игры, основанной на компьютерном вирусе. Ядром этой игры, которая называлась Core Wars, была программа, которая могла размножаться и пыталась разрушить программы других игроков.
Моррис-отец прокомментировал события следующим образом: «Некоторые считают, что суть проблемы состоит в том, что в США выросло новое поколение хорошо разбирающихся в технике людей, которые при желании извлечь из компьютерной системы секретные данные в состоянии преодолеть все барьеры, создаваемые специалистами по защите информационных систем крупнейших американских корпораций и Министерства обороны… Однако все не так просто».
По мнению Морриса-старшего, именно новый вирус позволил выявить эти уязвимые места, поэтому его сын якобы сыграл «конструктивную роль» и содействовал совершенствованию методов организации компьютерных сетей и управления ими.
Тем не менее инцидент существенно не отразился на карьере Морриса-отца. По крайней мере в начале 1989 года он был избран в специальный консультативный совет при Национальном институте стандартов и технологии (NIST; бывшее Национальное бюро стандартов) и курирующем его министерстве торговли. Этот совет образуется ежегодно в соответствии с положениями Закона о безопасности компьютеров (Computer Security Act of 1987). Задачами этого совета является выработка заключений и рекомендаций по вопросам безопасности вычислительных систем правительственных ведомств США, а также решение проблем, возникающих в процессе разработки и внедрения новых стандартов защиты несекретной, но важной информации, хранящейся или циркулирующей в этих системах, и тому подобного.
Что об этом думали
«Значение происшедшего — не в конкретных сиюминутных последствиях. Инцидент этот — напоминание о „Челленджере“ и Чернобыле. Мы создали такие сложные системы, что порой не можем полностью удержать их под своим контролем» (Дж. Уайзенбаум, сотрудник МIГ).
«Молодому Моррису, на удивление, симпатизируют очень многие — это явно прослеживается по потоку сообщений. Думается, настала пора исключить из компьютерной профессии позицию „ребенок есть ребенок“. Или, как лучше сказано в Библии: „Когда я был ребенком, я говорил как ребенок, я думал как ребенок, я рассуждал как ребенок; когда я стал взрослым, я отказался от детских путей“» (Филипп Гарднер, полковник в отставке).
«Мы не в состоянии учиться на собственных успехах, но зато отлично учимся на собственных промахах» (Генри Петровски).
Пятница, 11 ноября 1988 года.
09:27 RISKS Обсуждение непригодности UNIX для использования в системах с более-менее серьезными требованиями к безопасности (медицинские, коммерческие и государственные).
19:55 VIR Призыв компьютерных профессионалов наказать злоумышленника за неэтичное поведение. Импульсивный сомнительный комментарий Тэда Коппеля из NighLine, что Роберт Моррис имеет будущее в области компьютерной безопасности.
Научная и компьютерная общественность разделилась в оценке вины Морриса.
Администраторы систем, проведшие дни в борьбе с вирусом, готовы были линчевать Морриса, попадись он в их руки. Немудрено: во-первых, обнаружение неизвестного вируса вызвало у многих нешуточный испуг за свои системы, а во-вторых, атака стала причиной внеплановой работы многих ученых и исследователей, а также лишила еще более широкий круг пользователей возможности работать с сетями, объединяющими научные центры страны. Естественно это замедлило ход научных и инженерных исследований и разработок.
Результатом вирусной атаки можно считать также отмеченное многими очевидное сокращение обмена информацией посредством компьютерных сетей между университетами, лабораториями и так далее.
Тем не менее многие эксперты по компьютерной безопасности заявили, что вирус стал важной демонстрацией потенциальной уязвимости компьютерных систем и последствия этой атаки являются, безусловно, положительными в том смысле, что атака вызвала всеобщую тревогу пользователей и их заинтересованность в разработке и внедрении средств защиты от возможных атак такого рода в будущем. На это оппоненты ответили доводом, что усиление средств компьютерной безопасности повредит экономике страны.
Существует мнение, что данный вирус в действительности является представителем полезного вида сетевого программного обеспечения. Этот класс программ может быть с успехом использован для обеспечения связи между системами и синхронизации их совместной работы. Эти же программы могут послужить и для выявления некорректной работы сети, выполнения задач с большим объемом вычислений, распараллеленных по нескольким системам так, как если бы все эти системы представляли собой единое целое, а также в качестве скоростной электронной почты.
Инцидент подтвердил высказанную ранее мысль, что, если ЭВМ связана с «внешним миром», то есть подключена к сети, то не может быть и речи о гарантированной защите информации.
Что касается самого Морриса-младшего, то окончательно он был приговорен к трем месяцам тюрьмы и денежному штрафу в 270 тысяч долларов, а вдобавок был исключен из Корнеллского университета.
Думается, однако, не стоит слишком сильно печалиться о его дальнейшей судьбе: уже в январе 1989 года президент Alliant Computer Systems Corp. Рон Грюнер (Ron Gruner) в ответ на вопрос журнала Computerworld по поводу намерений компании нанять на работу Р. Т. Морриса, сказал следующее: «Некоторые очень известные в (компьютерной) промышленности люди начинали с хакерских проделок в самых изощренных формах».
Апелляционный процесс Бэрилека
В январе 1991 года Д. Бэрилек из Мельбурна, ранее осужденный за инфицирование вирусом компьютерной системы, был полностью оправдан вышестоящим судом за недостаточностью улик. Как заявил судья Бирн, процесс носил явно тенденциозный характер, поскольку не были рассмотрены иные трактовки событий мая 1989 года в Свинбурнском колледже.
Обвинение утверждало, что 32-летний Бэрилек, который в 1989 году учился в аспирантуре этого колледжа, выполнял подозрительные действия на компьютерных терминалах центра, сразу после этого оказавшихся инфицированными вирусом. По заявлению одного из сотрудников колледжа, полиция арестовала подозреваемого, а суд признал его виновным в незаконном доступе к компьютеру, повлекшем заражение вирусом. Бэрилек заявил протест, и вышестоящий суд г. Мельбурна полностью оправдал его, потребовав компенсации ущерба, нанесенного Бэрилеку незаконными действиями полиции.
Судья подверг сомнению показания ряда свидетелей, имевших личную неприязнь к подозреваемому, и заявил, что даже если Бэрилек и инфицировал компьютеры, то это произошло помимо его воли. После вынесения приговора судом первой инстанции от Бэрилека ушла жена, он потерял работу и теперь не в состоянии найти новую, поскольку в программировании карьера человека, осужденного по подобного рода обвинениям, обычно бывает полностью разрушена. По мнению адвоката Бэрилека, компенсация не восполнит причиненный его подзащитному ущерб.
Сатана безопасности
Скандальная программа с нехорошим названием SATAN (что расшифровывается как Security Administrator Tool for Analyzing Networks) показала, что в Интернете существует еще очень много проблем с безопасностью.
Программа была создана исследователем Дэном Фармером для того, чтобы администраторы могли обнаружить и заткнуть «дыры» в защите своих сетей, прежде чем ими воспользуются хакеры. У медали есть, однако, и обратная сторона. Программа представляет собой мощное оружие для атаки на компьютерные сети в руках даже полных «чайников».
Утилиту с адским названием напустили более чем на 2200 WWW-сайтов. Результаты тестирования оказались весьма неутешительными. «Красную карточку», которая означает сильную уязвимость, получил 31 процент узлов. 34 процента были оценены как относительно уязвимые. С особым пристрастием исследовались сайты, где нарушение безопасности может иметь серьезные последствия. К ним относятся сайты банков, кредитных союзов, правительственных, учреждений и информационных компаний.
Выяснилось, что почти 36 процентов банковских Web-сайтов имеет «прорехи» в безопасности, хорошо известные хакерам, которые могут внедриться в систему и поменять Web-страницы.
За последнее время было совершено несколько «громких» взломов узлов World Wide Web. В августе был атакован сайт Департамента юстиции СШД: на его страницах появились свастики и неприличные картинки. Месяцем позже нападению подвергся сайт ЦРУ (CIA — Central Intelligence Agency). Оно было переименовано хакерами в «Центральное агентство глупости» (Central Stupidity Agency). Оба случая вызвали много шума, и их расследование продолжается до сих пор.
Фармер по понятным причинам не опубликовал как имена сайтов с нарушениями безопасности, так и хорошо защищенных. Копию данных получил лишь соавтор программы SATAN, который в настоящее время сотрудничает с IBM. После опубликования результатов статистического анализа развернулась дискуссия о том, насколько законным было исследование Фармера, не заручившегося разрешением администраторов проверяемых узлов.
Опасен даже вирус, которого нет
Когда один неопытный пользователь получил по e-mail письмо с предупреждением об ужасном вирусе Penpal, он сделал самую правильную, на его взгляд, вещь — переслал это сообщение всем своим знакомым, у которых были электронные адреса.
Его легко понять. Письмо, предупреждающее о вирусе Penpal, создает впечатление, что весь Интернет в опасности. В нем говорится, что вирус, воспроизводя сам себя, заражает не только компьютер пользователя, но и компьютеры всех, кому он когда-либо отправлял e-mail.
Конечно, специалисты-вирусологи и люди, просто знакомые с поведением компьютерных вирусов, сразу поймут, что это очередная шутка, пугающая осторожных новичков. Однако тысячи человек уподобились неопытному пользователю из приведенного выше примера и переслали e-mail всюду, куда, только могли: в телеконференции, списки рассылки и просто своим знакомым.
Для Сети подобные шутки уже давно не новость. Иногда они даже имеют обратный эффект. Слухи о распространяющемся через e-mail вирусе Good Times зародились более двух лет назад и до сих пор циркулируют в Интернете. В данном случае, видимо, частое повторение возымело действие — вирус с таким названием действительно появился. Он, естественно, не имеет ничего общего с тем, легендарным и несуществующим, Good Times. Передается тезка с «добавками» к обычному тексту электронного письма и опасен для клиентов e-mail, понимающих HTML.
Шутки о несуществующих вирусах падают на благодатную почву — люди опасаются компьютерной заразы и читают о новых путях ее распространения. Кроме того, рассылка писем с предупреждениями занимает считанные секунды и дает человеку уверенность, что он сделал доброе дело и уберег кого-то от надвигающейся опасности.
Компьютерные вирусы популярнее Майкла Джексона
25 ноября 1996 г. на Филиппинах состоялась, встреча восемнадцати членов группы APEC (Asia-Pacific Economic Cooperation). Во время заседания один из компьютеров, обслуживавших мероприятие, стал вести себя подозрительно. По предположениям, с дискеты одного из дипломатов в него попал вирус. Атаке вируса подверглись документы Microsoft Word.
Специалисты, обслуживающие АРЕС, обратились за помощью в компьютерные компании Австралии и Океании. Быстрее всех отреагировала австралийская SAS International, довольно известная в этом регионе софтверная фирма. Специалисты SAS быстро идентифицировали вирус и уничтожили его. Как нам стало известно, для борьбы с вирусом использовалась программа, созданная в антивирусном центре Евгения Касперского — AVP MacroKiller. Дальнейшие заседания АРЕС прошли без сучка и задоринки.
Примечательно, что этому событию уделило внимание австралийское телевидение. На следующее утро национальный канал австралийского телевидения первым сюжетом показал пятиминутное интервью президента компании SAS International г-на Рода Фьюстера (Rod Fewster). Что же касается Майкла Джексона, сенсационный репортаж о его скандальном разводе шел в новостях вторым номером.
Провайдеры против вирусов
Много хлопот доставляет провайдерам Internet почтовый хлам (spam), в огромных количествах пересылаемый по Сети. Но существует проблема и посерьезнее — это вирусописатели, анонимно рассылающие вирусы в e-mail и сеющие свои ядовитые семена в телеконференциях.
Как показал опыт EarthLink, крупного провайдера Internet, бороться с вредителями очень сложно.
Участники телеконференций alt.cracks и alt.crackers предупреждали друг друга об опасности, исходящей от пользователя под псевдонимом «Slasher». Он (или она) внедрял вирусы в свои программы и рассылал их по Сети. Предполагается, что злоумышленник пользовался услугами именно EarthLink. Компания уже получила несколько жалоб с требованием отключить «Slasher». На практике, однако, все не так просто. Для отключения пользователя его нужно буквально схватить за руку в момент преступления.
Не только EarthLink боится спасовать перед возрастающей угрозой. Специалисты National Computer Security Association с уверенностью предсказывают увеличение количества вирусов в Сети, где зараженные программы могут распространяться широко и анонимно. Если бы вирус Hare не был так безграмотно написан, то принес бы намного больше вреда. Пользователи же столь охочи до бесплатного софта, что готовы скачивать и запускать что угодно.
Подпольный интернационал хакеров в действии
Первый компьютерный вирус для Windows 95, получивший имя Boza, всего через неделю после обнаружения в США и Западной Европе появился и в российских компьютерах. Впрочем, против новой напасти уже создано противоядие.
Мир стал меньше. Десять лет назад эпидемия гриппа могла добраться из Америки в Советский Союз лишь за несколько месяцев. Сегодня — за неделю. В эпоху глобальных компьютерных сетей быстрее перемещаться между континентами стали не только обычные инфекции, но и компьютерные. В конце 80-х, когда информацию переносили с компьютера на компьютер на дискетах, стандартный ассортимент компьютерных вирусов в СССР достаточно сильно отличался от «джентльменского набора» на Западе. А сейчас созданные безвестными российскими умельцами вирусы быстро попадают в США и Западную Европу, а вредоносные новинки тамошних хакеров буквально через неделю обнаруживаются в России.
8 февраля «Ъ» сообщил о появлении в США первого вируса, предназначенного для новой операционной системы фирмы Microsoft — Windows 95. Несколько дней назад вирус Boza обнаружен в России и, судя по всему, уже не является редкостью в московском компьютерном мире.
По данным фирм-производителей антивирусных средств, распространению Boza в Москве активно способствовали местные авторы вирусов. Получив по международным компьютерным сетям очередной выпуск бюллетеня австралийской группы кибертеррористов VLAD — авторов Boza, московские единомышленники этой группы якобы воспользовались содержащимся в нем текстом вируса.
Впрочем, противоядие от Boza уже существует. Американская компания Symantec несколько дней назад объявила, что каждый пользователь сети Internet может бесплатно получить доступ к «лечащей» программе Norton AntiVirus Update, находящейся на Internet-cepвepe этой компании. Адрес этого сервера — www.symantec.com.
Полиморфный вирус Satan Bug атакует компьютеры правительственных органов США
Поставщики антивирусного ПО торопятся обновить свои продукты, чтобы бороться с зашифрованным полиморфным вирусом Satan Bug, который атакует правительственные компьютерные системы в США.
Вирус Satan Bug, ставший предметом сообщения группы наблюдения за вирусами (CIAC) из Министерства энергетики (DOE), охарактеризован как «трудноизлечимый» из-за примененного алгоритма шифрования. Satan Bug способен повреждать файлы, изменять даты их создания и отключать пользователей от ЛС путем повреждения сетевых драйверов.
Консультативная служба CIAC заявила, что вирус был обнаружен во многих местах. Источники из Министерства энергетики сообщили, что несколько подразделений пытаются бороться с ним при помощи программ детектирования вирусов.
CIAC как один из членов правительственной комиссии Forum of Incident Response and Security Teams выпускает информационные бюллетени в тех случаях, когда в DOE поступают сообщения о серьезных проблемах, связанных с вирусами.
Бюллетень CIAC извещает о том, что зашифрованные вирусы, подобные вирусу Satan Bug, особенно трудно удалить из инфицированных файлов, поскольку они присоединяются к компьютерной программе, вырезая из нее небольшой кусок и замещая его собственным кодом. После этого вирус зашифровывает и себя и «откушенный» кусок программы.
«Для восстановления инфицированной программы антивирусное ПО должно уметь расшифровывать закодированный вирус, чтобы обнаружить исчезнувшую часть файла и вернуть ее на место, — констатирует бюллетень. — Satan Bug имеет до девяти уровней шифрования, причем в каждом случае этот уровень непредсказуем».
Шифрование делает вирус невидимым для антивирусных программ-сканеров, датированных ранее августа 1993 года «Эти программы должны открыть файл для сканирования, а если вирус находится в памяти, то сам акт открытия файла будет приводить к инфицированию, — предупреждает бюллетень. — Если вы запускаете инфицированный антивирусный сканер, то почти каждый исполняемый файл на диске окажется зараженным».
Как рассказал Дэвид Стэнг (David Stang), президент компании-разработчика Norman Data Defense Systems (ФоллЧерч, штат Виргиния), вирус Satan Bug был впервые выявлен в феврале прошлого года, когда его обнаружили размещенным на нескольких электронных досках объявлений пользователем по имени Hacker 4Life.
Стэнг предположил, основываясь на степени сложности вируса и своем опыте работы с программами этого класса, что Satan Bug — это плод деятельности двадцатилетнего американского парня, а не злонамеренного четырнадцатилетнего подростка.
Компания Norman Data Defense Systems изготовила антивирусное ПО, которое удаляет вирус, оставляя файлы неповрежденными. Стэнг сообщил, что эта программа, названная Armour, к тому же предотвращает заражение.
Роджер Томпсон (Roger Thompson), президент компании Leprechan Software (Мариетта, штат Джорджия), рассказал, что его сотрудники провели весь уик-энд за обновлением своего антивирусного пакета для борьбы с вирусом Satan Bug после звонка из правительственного агентства.
«Satan Bug — это сложный вирус, и его трудно обнаружить, — пояснил он. — Он содержит цикл шифрования/дешифрования, причем расшифровывает себя с помощью ключа длиной от 40 до 2000 бит. Новейшие тенденции в вирусном сообществе делают эти программы труднообнаружимыми».
Другой поставщик, фирма McAfee Associates, также объявила о создании ПО для борьбы с Satan Bug.
Satan Bug является полиморфным или кодируемым вирусом, что делает его изменчивость практически неограниченной.
Вирусы отстают, хакеры активизируются
Что касается вторжений хакеров — случаев несанкционированного доступа к настольным компьютерным системам, — то их число значительно возросло: с 339 тыс. (1989 г.) до 684 тыс. (1991 г.). В отчете по проведенному исследованию отмечается «значительный рост числа попыток пиратского доступа к персональным компьютерам, работающим под DOS», небольшое увеличение числа таких случаев для мини-компьютеров, снижение активности пиратов в отношении Macintosh и примерно прежний ее уровень на больших ЭВМ и рабочих станциях.
Фирма USA Research включила в отчет и данные по федеральным ведомствам, объединив их с данными по учреждениям местной власти. По словам Синтии Е. Карлсон, вице-президента фирмы USA Research, государственные учреждения США в целом не столь уязвимы по отношению к вирусам, как, например, учебные заведения. «Государственные служащие подходят к делу весьма серьезно и принимают массу мер предосторожности», — отметила она.
Эту точку зрения разделяет и Деннис Стайнауэр, специалист по компьютерной безопасности Национального института по стандартам и технологиям (NIST). Он отмечает, что интенсивность заражений компьютеров вирусом действительно немного снизилась. По его мнению, гораздо большую опасность сейчас представляют хакеры. «Эта проблема стоит перед многими федеральными ведомствами, включая даже ФБР», — уверенно заявил он.
Организациям, локальные компьютерные сети которых имеют выход в другие сети, в том числе в Internet, «требуются поистине огнеупорные стены для защиты от компьютерных пиратов. Попытки взлома компьютерных систем по-прежнему многочисленны», — заметил Деннис Стайнауэр.
По данным исследования, основными средствами защиты компьютеров в учреждениях являются антивирусные программы и контроль доступа к компьютерам. Применяются и другие меры, такие, как изоляция компьютеров, загрузка только защищенных от записи гибких дисков, использование различных вспомогательных программ, а также шифрование файлов. Исследование показало, что главный источник бедствия — дискеты, приносимые в организации извне. По. этой причине происходит более 60 процентов случаев заражения компьютеров вирусом.
Продолжение бактериологической войны
«Столетняя война» между авторами компьютерных вирусов и разработчиками антивирусных программ то стихает, то разгорается с новой силой. Сейчас конфликт обострился в связи с выходом на сцену, с одной стороны, двух новых опасных вирусов, а с другой — нескольких обновленных программных продуктов, нацеленных на их поиск и ликвидацию.
Первый вирус, известный под именем Hare (Харе Кришна), выводит на экран сообщение «HDEuthanasia» (в медицине эйтаназия означает легкую, безболезненную смерть), а затем приступает к уничтожению всех файлов, расположенных на жестком диске компьютера. По словам редактора Virus Bulletin Ина Волли, выявить Hare необычайно трудно. К тому же он очень быстро распространяется, очевидно, по Internet. Версии нового вируса, правда, пока неактивные, уже обнаружены в ряде стран, в том числе в США.
Второй вирус, который получил название ExcelMacro.Laroux, влился в появившееся год назад семейство макровирусов, став родоначальником новой ветви — он поражает электронные таблицы Microsoft Excel. Laroux ведет себя так же, как теперь уже общеизвестный вирус Wold.concept. Последний передается с документами, созданными в Microsoft Wold. Laroux же «путешествует» вместе с электронными таблицами, которыми пользователи обмениваются по e-mail или с помощью других средств. National Computer Security Association (Национальная ассоциация компьютерной безопасности — NCSA) считает Laroux вирусом относительно безопасным, хотя и способным вызвать «аномалии в приложениях» некоторых систем. По всей видимости, распространяться Laroux будет медленнее, чем Wold.concept, ведь Excel используется не столь широко, как Wold, а пользователи пересылают электронные таблицы гораздо реже, чем текстовые документы.
По данным IBM, каждый день в среднем появляется 6 вирусов. Цифра весьма впечатляющая, и ситуация могла бы выйти из-под контроля, но, к счастью, большинство из написанных вирусов в свет так и не выходят. По словам президента NCSA Питера Типпета, на среднестатистический ПК заносится примерно два неизвестных вируса в месяц.
«Мне наплевать, кому я наврежу…»
«Мне плевать на то, кому я наврежу. Мне плевать на величину ущерба. Неважно, сколько будет потеряно заданий и сколько народу понесет убытки, когда я активизируюсь. Да и с какой стати мне волноваться. Я всего лишь программа, меня зарядили и нацелили и заставили меня спустить курок».
Мы уделили большое внимание вирусам и правонарушителям. Нужно, однако, узнать мнение и другой стороны. Приводимый материал взят из отчетов, распространявшихся общедоступными BBS по поводу вирусов Lehigh и ООП. Эти фрагменты подробных отчетов не подвергались никакой правке; ошибки в грамматике и пунктуации только подчеркивают чувство беспомощности и паники, охватившее авторов этих заметок. (Перевод следующих заметок сделан по публикации в газете «Маарив» — одной из наиболее популярных ежедневных газет в Израиле — от 8 января 1988 года. Примечания переводчика приводятся в тексте в квадратных скобках «[]».).
ПРЕДУПРЕЖДЕНИЕ О ВИРУСЕ MS/DJS
«На прошлой неделе несколько наших преподавателей-консультантов обнаружило вирусную программу, чрезвычайно быстро распространявшуюся по всему Лехайскому университету. Я подумал, что было бы полезно потратить несколько минут и предупредить как можно больше народу об этой программе, поскольку она вполне может распространиться далеко за пределами нашего университета. Мы не имеем понятия, откуда распространился вирус, но некоторые пользователи говорили мне, что и в других университетах недавно были похожие трудности…
Я настоятельно рекомендую всем, кто работает с сидками, находящимися в общественном доступе, периодически просматривать их собственные. Кроме того, работайте с максимальной осторожностью — всегда пользуйтесь защищенными дискетами.
Это не шутки. Значительная часть наших общедоступных дисков было наводнена этим вирусом за пару дней.»
Коннет Р., ван Вик, старший консультант по работе с пользователями, компьютерный центр Лехайского университета.
Компьютерный вирус, получивший название «Израели» продолжает свободно распространиться. Еврейский университет в Иерусалиме опубликовал вчера предупреждение: Не работайте на компьютере в пятницу 13 мая с. г.! В этот день вирус должен пробудиться от спячки и уничтожить всю информацию, которую он сумеет найти в памяти компьютера или на дисках. По этой причине его еще называют миной замедленного действия. Более того, каждое тринадцатое число любого месяца будет вызывать существенное замедление работы компьютера.
Вчера «Маарив» получила свидетельства, что вирус появился и в других местах, кроме Еврейского университета в Иерусалиме. Было также отмечено наличие вируса в одном из подразделений I. D.F. [Израильских Сил Самообороны], использующем персональные компьютеры.
В настоящее время Еврейский университет распространяет вакцины, позволяющие выявить вирус в памяти компьютера и уничтожать его. Однако возникла новая проблема: может появиться мутированная форма вируса, в несколько раз более вирулентная. Все зависит от источника вируса и от того, является ли его изобретатель компьютерным маньяком, занимающимся этим из спортивного интереса, или психопатом, совершенно не контролирующим свои поступки.
Сообщество пользователей радуется прекращению процесса нелегального копирования программ, достигшего в последнее время невообразимых масштабов. В точности как СПИД, обусловивший распространение безопасного секса, компьютеризованный вирус может обусловить переход к практике использования только легальных копий программного обеспечения.
(Тал Шахаф)
После того как он нанес значительный ущерб, вирус «Израели» был обнаружен в учебном центре Ротенберга министерства образования в кармеле [гора в Хайфе]. В этом центре разрабатывается компьютерный проект, в котором принимают участие десятки студентов. Заведующий центром Гидеон Гольдстейн и разработчики проекта Майкл Хазан и Гади Кац шесть недель назад заявили, что обнаружили вирус, безвозвратно испортивший на 15 000 долларов программ и два диска, содержавших результаты 7000 человеко-часов работы. (Реувен Бен-Цви)
Паника по поводу вируса «Израели» переметнулась из университетского городка к владельцам компьютеров во всем Иерусалиме. Во многих магазинах покупатели сообщали о появлении симптомов заболевания на их домашних компьютерах, совпадавших с теми, которые появились на компьютерных системах в университете. «Сегодня утром мы столкнулись с несколькими случаями и услышали еще о нескольких», — сказал Эмануэль Марински, заведующий компьютерной лабораторией, — «Это вызывает панику».
(Арье Бендер)
«Киберсолдаты на марше»
— Так можно перевести название передовицы из недавнего выпуска журнала Time. «США вскоре смогут вести войну с помощью мыши, клавиатуры и компьютерных вирусов. Но сами они беззащитны перед атаками подобного рода», — полагает ведущее американское издание.
«Кибернетическая» или «информационная война» — сейчас самое «горячее» понятие на холмах Пентагона. Речь идете том, чтобы использовать чудеса технологии конца XX века для осуществления внезапных, скрытых, широкомасштабных и разрушительных атак на военные и гражданские инфраструктуры противника. Информационные технологии, по мнению высших чиновников Пентагона, способны «революционизировать» поле боя примерно так же, как это сделали танки в Первой мировой войне и атомная бомба — во Второй.
Полковник Майк Танксли из сверхсекретного Управления разведки и безопасности Армии США в Северной Вирджинии так рисует примерную схему нового Армагеддона. Когда тиран из какого-нибудь современного Вавилона (Багдада, Каира, Триполи) снова начнет угрожать американским союзникам (Каиру, Иерусалиму и т. п.), США не станут немедленно отправлять туда легионы солдат и военные эскадры. Вместо этого Вашингтон нашлет на преступную тиранию современную разновидность чумы, порождаемой мышью, клавиатурами и рядами дисплеев.
Прежде всего, в компьютеры на телефонных станциях агрессора вводится вирус, полностью парализующий телефонную систему. Затем компьютерные «логические бомбы», время активации которых устанавливается заранее, выводят из строя электронные переключатели, контролирующие железные дороги и передвижение воинских эшелонов, что приводит к срыву графика и образованию пробок. Тем временем вражеские полевые командиры выполняют приказы, которые они получают по радио, не подозревая, что эти приказы — подделка. Войска рассеиваются по пустыне и лишаются эффективности. Американские самолеты, оснащенные оборудованием для ведения психологических операций, забивают телеэфир противника пропагандистскими посланиями, которые настраивают население против его правителей. Когда диктатор включает свой персональный компьютер, он обнаруживает, что миллионы долларов, скопившиеся на его счету в швейцарском банке, обратились в ноль. Впечатляет, не правда ли? И все это — без единого выстрела. «Мы сможем остановить войну еще до того, как она начнется», — говорит полковник Танксли. Или, во всяком случае, вести совершенно новым способом.
Информационная война в тех или иных формах велась в ходе всех последних крупных операций армии США. В первый же день войны в Персидском заливе американские самолеты, оснащенные самонаводящимися ракетами, уничтожили иракскую сеть коммуникации и разбомбили электростанцию в Багдаде. На Гаити Пентагон проводил массированную психологическую кампанию, направленную на свержение военной диктатуры и возвращение к власти свергнутого президента Жана-Бертрана Аристида.
Используя обзоры по анализу рынка, 4-я армейская группа, занимающаяся психологическими диверсиями, разделив все население Гаити на 20 целевых групп, бомбардировала их сотнями тысяч про-аристидовских брошюр, учитывая специфические потребности и эмоции Каждой из групп. Еще до американской интервенции ЦРУ совершало анонимные телефонные звонки гаитянским солдатам, побуждая их сдаться, и рассылало угрожающие электронные письма некоторым членам гаитянской олигархии, имеющим персональные компьютеры.
Однако все это — лишь разновидности традиционных приемов психологической войны, известных по крайней мере со времен Первой мировой. Принципиальные возможности инфовойны растут по экспоненте, находясь в прямой зависимости от все большего распространения и увеличения возможности микропроцессоров, высокоскоростной связи и прочих технологических достижений, обладающих громадным военным потенциалом.
В армии, на флоте и в военно-воздушных силах организовываются спецподразделения по ведению инфовойны. В июне 1995 года Вашингтонский университет национальной обороны закончили первые выпускники: 16 офицеров, обученных всему, что касается инфовойны, — от защиты против компьютерных атак до использования виртуальной реальности в планировании военных маневров.
В июле Морской военный колледж в Ньюпорте на Род-Айленде провел глобальные военные учения, инфовоины опробовали способы выведения из строя компьютеров противника. Пентагон тщательно анализирует результаты подобных учений, проводившихся в течение последних двух лет, чтобы определить, какие изменения необходимо ввести в будущем в военную тактику.
Управление национальной безопасности разрабатывает способы заражения компьютерной системы противника особо разрушительными видами программных вирусов, уже одолевающих домашние и конторские компьютеры, а также работает над выведением новой разновидности вирусов — «логических бомб», которые до поры до времени никак себя не проявляют, но пробуждаются по определенному сигналу и начинают «поедать» данные. Такие вирусы могут атаковать, к примеру, компьютеры, управляющие национальной противовоздушной обороной или центральный банк. Предполагается, что в будущем «черный чемоданчик» президента США, помимо инструкций к нанесению ядерного удара, будет содержать также и секретные коды таких инфобомб.
ЦРУ разрабатывает секретную программу по введению «заряженных» компьютерных чипов в системы оружия, которые зарубежные производители могут поставлять в потенциально враждебные страны. Другая программа направлена на подкуп независимых разработчиков программного обеспечения, работающих на военных, чтобы заражать вирусами военную продукцию. «Все очень просто, — разъясняет сотрудник ЦРУ. — Вы вводите „жучка“, и потом это оружие может поставляться куда угодно. Когда эта система оружия попадает в боевую ситуацию, все вроде бы работает нормально, но боеголовка не взрывается!»
Средства инфовойны могут быть даже более экзотическими, чем компьютерные вирусы. Национальная лаборатория в Лос-Аламосе, штат Нью-Мексика, разработала устройство, размером с небольшой чемоданчик, генерирующее мощные электромагнитные колебания. Если поставить такой чемоданчик, скажем, недалеко от банка и запустить генератор, то в здании сгорят все электронные компоненты.
Другие проекты объединяют электронику с биологией. Например, существуют разработки по выведению микробов, способных пожирать электронику и изолирующие материалы внутри компьютера, подобно тому как микроорганизмы потребляют мусор и нефтяные отходы.
Кроме того, инфовойна — это и новая техника слежения. У Пентагона уже имеются спутники, самолеты-шпионы и непилотируемые летательные аппараты с камерами на борту для отслеживания наземного противника. В будущем тысячи крохотных сенсоров могут быть сброшены с самолетов или скрыто установлены на поверхности Земли. Линкольновская лаборатория при Массачусетском институте технологии разрабатывает летательные средства размером с пачку сигарет, которые способны делать фотографии. Миниатюрные воздушные сенсоры могут даже «вынюхивать» противника: можно, например, распылить аэрозоли над войсками противника или скрытно ввести их в армейские пищевые запасы, а затем биосенсоры, летающие над землей, смогут следить за перемещением войск по запаху дыхания и пота, позволяя нанести по ним удар…
Компьютерная технология вторгается в жизнь армии, охватывая армейские чины сверху до низу. В университете Джона Хопкинса разработана система, позволяющая переводить сигналы радара в трехмерное изображение, которое выводится на экран монитора. С помощью мыши можно манипулировать изображением, рассматривая угрожающую ситуацию под любым углом. Компьютер рекомендует цели для атаки и ведет непрерывное наблюдение за небом. Что же касается солдат, то в военной лаборатории в Натике, штат Массачусетс, уже создан прототип «амуниции пехотинца 21-го века». Его шлем будет снабжен микрофоном и наушниками, очками ночного видения и видеотермальными сенсорами, а также дисплеем на уровне глаз, на который будет передаваться изображение поля боя с высоты птичьего полета и постоянно обновляющиеся данные разведки.
«Дигитализация» войны вообще может поставить под вопрос реальные боевые действия. «Когда-нибудь главы правительств будут разыгрывать виртуальные войны, прежде чем решить — начинать войну или нет», — предсказывает генерал-лейтенант Джей Гарнер, главнокомандующий космической и стратегической обороной армии США. Однако он все же не верит, что компьютерные симулированные войны когда-либо заменят настоящие сражения.
Характерно, что как в самом Пентагоне, так и вне его находятся скептики, полагающие, что возможности инфовойны сильно преувеличены. Даже если она определит «американский способ» сражаться, неясно, насколько эффективной она окажется применительно к другим народам. «Люди в Боснии будут убивать друг друга ножами для разделки мяса, — говорит советник по обороне Билл Аркин, — и никакие компьютерные вирусы этот конфликт не остановят».
Кроме того, учитывая многообразие современных средств коммуникации, вряд ли возможно говорить о полном разрушении информационной системы противника. «Информация все равно просочится», — считает Мартин Либицки, специалист по инфовойне из Университета национальной обороны. При наличии сети микрокомпьютеров, мобильных телефонов и видеоконференций вражеский лидер сможет рассредоточить свои командные центры, что крайне осложнит задачу их полного уничтожения. Помимо этого, пси-войнам придется иметь дело со всей совокупностью средств массовой информации — таким, как коммерческое кабельное телевидение, CNN и, не в последнюю очередь, «Интернет». То, что Саддаму отрезали телефоны и электричество, не свалило его с ног во время «Бури в пустыне».
И самое главное — многие высшие чины Пентагона бояться, что противник способен с легкостью использовать инфо-оружие против самих США. И тогда «кибернетическое превосходство» Америки может обернуться против нее самой.
Большая часть технологий, необходимых для нападения на информационные системы, стоит недорого, широко доступна и высокоэффективна. «Это вовсе не требует больших денег, — говорит Дональд Латам, бывший шеф пентагоновского отдела коммуникаций. — Несколько компьютерных станций и несколько умелых ребят с модемами могут ввергнуть всю Америку в экономический хаос». Именно поэтому «к инфовойне могут прибегнуть как раз бедные, нежели технологически развитые страны», — считает футуролог Алвин Тоффлер.
Такие нападения уже идут полным ходом. В Пентагоне существует специальная технологическая тота (911-я), функция которой нейтрализовывать атаки на военные компьютерные узлы.
По данным на 1 июля 1995 года, за 18 месяцев эта группа получила 28 000 призывов о помощи от операторов всемирной компьютерной сети армии США. Команда зафиксировала и отделила для исследования тысячи хакерских программ. Такие программы становятся все более мощными и все более простыми в использовании. Компьютерным интервентам больше не требуется иметь даже начальных сведений в компьютерных науках. «Все, что им нужно сделать, — говорит специалист по компьютерной безопасности Пентагона Кеннет Ван Уик, — это навести, начать и атаковать».
Известно, что любой уважающий себя хакер начинает свои опыты с того, что вламывается в компьютеры Пентагона (вспомните хотя бы историю про 12-летнего английского школьника, который 9 месяцев пасся в компьютерах Министерства обороны США и рассылал полученную оттуда сверхсекретную информацию по интернетовским ньюс-группам!).
Однако неструктурированная активность хакеров может оказаться прикрытием для широкомасштабного нападения на США с стратегическими целями. Как считает Пентагон, эта угроза может исходить от террористических групп и целых государств. В США же до сих пор не существует никакого координационного центра, способного хотя бы зафиксировать такую угрозу. Хакеры могут стать новыми наемниками, работающими за высочайшую цену. Известно, что во время войны в Персидском заливе группа датских хакеров предложила сорвать развертывание войск США на Ближнем Востоке ни много ни мало за 1 миллион долларов. Саддам отнесся к этому предложению с большим интересом.
По подсчетам экспертов, американские военные компьютеры зондируются со стороны примерно 500 раз в день. Однако засекается лишь 25 вторжений, и лишь о двух-трех из них сообщается в отдел безопасности. Проницаемость— следствие идеологии компьютеров, предназначенных для того, чтобы ими было удобно пользоваться, и широкой доступности сети «Интернета» (тоже, между прочим, изобретенной Пентагоном).
Помимо военных компьютеров, целенаправленный хакер может легко «раскалывать» ЭВМ, контролирующие банки, аэроперевозки, телефоны и электричество. «Мы уязвимы больше, чем любой другой народ на Земле», — говорит президент Управления национальной безопасности Джон Макконел. Результаты хакерских атак могут спровоцировать массовую панику, которая охватит все гражданское население.
Так что инфовойна оказывается палкой о двух концах. Например, разрушение финансовой системы противника — вещь, на первый взгляд, весьма заманчивая, однако Вашингтон воздерживается от этого по той же причине, по какой он избегает убийств иностранных лидеров: США крайне уязвимы для ответных ударов. Во время войны в Персидском заливе администрация Буша рассматривала возможность вывода из строя иракских компьютеров, контролирующих правительственные финансовые сделки, но ЦРУ решительно воспротивилось этой акции.
Обуздание гонки инфовооружений становится актуальной задачей международной дипломатии. Что же касается нас, простых обывателей, то будем надеяться, что кибернетическая война не начнется — так же, как пока не началась атомная. И что происки американской военщины приведут в конечном итоге к созданию чего-нибудь мирного и хорошего. Так, как это оказалось в случае с «Интернетом».
История о «вирусе для Хусейна»
Джон Маккормик сообщил Newsbytes, что U.S. News & World Report, Ted Koppel’s Nightline, другие журналы и авторы многих книг — все попались на «первоапрельскую шутку», что американские военные якобы послали компьютерный вирус в компьютерную систему иракской системы ПВО во время операции «Буря в пустыне».
Сообщалось, что США, вероятно, поместили зараженную вирусом плату ПЗУ в принтер, который должен был быть провезен в Ирак в обход эмбарго ООН. Эта же история была напечатана в журнале «infoworld» 1 апреля 1991 года на странице 39, где было указано, что это всего лишь шутка.
Если говорить о PC, то только принтер PostScript обычно может передать данные назад в компьютер, и даже если бы в таком принтере содержался вирус, маловероятно, чтобы это был выполнимый код, который мог бы быть перенесен на компьютер и активизирован.
Однако использование вируса военными не так уж надуманно. Несколько месяцев назад один профессор представил Национальному институту по стандартам и технологии (NIST) доклад для семинара по компьютерной безопасности, в котором рассматривается использование вируса как оружия.
«Не нужно паниковать перед вирусами…»
Мюнхен. Джон Макафи, президент Ассоциации по борьбе с компьютерными вирусами (Computer Virus Association), является признанным специалистом в этой области. Одновременно он возглавляет фирму, выпускающую программные продукты защиты от вирусов. Макафи беседует с корреспондентом PC Woche о проблеме и перспективах противовирусной защиты.
PC Woche: Кому выгодно распространение вирусов?
Макафи: Конечно же, не самим программистам, они всегда остаются анонимными. Подобное явление можно, например, сравнить с вандализмом. Выгоду из этого извлекают изготовители антивирусных продуктов. Традиционный вандализм выгоден и страховым компаниям.
PC Woche: Итак, имея необходимые знания для написания вируса, можно, вероятно, заработать много денег?
Макафи: Программисты вирусов занимаются этим делом не ради денег это скорее хобби, своего рода вызов. Кроме того, наверняка некоторые из них зарабатывают на жизнь написанием программ. Но они получают удовольствие, если могут нарушить функционирование компьютера или организации. У них нет чувства ответственности.
PC Woche: Как получается, что многие вирусы приходят из таких стран, как Болгария или Пакистан, — стран, которые не ассоциируются у нас с высокоразвитой технологией?
Макафи: Не требуется очень большого опыта, чтобы написать вирус. Компьютерный вирус может разработать каждый программист, у которого есть ПК и немного свободного времени. И если он написан эффективно, то с уверенностью можно сказать, что он получит распространение. Болгария не имеет ни высокоразвитой техники, ни выдающихся программистов. Я думаю, что есть что-то в культуре, в болгарском техническом обществе, что как бы говорит: «Писать вирусы — хорошо».
PC Woche: Итак, это совсем просто писать вирусы?
Макафи: Да, это так. Можно сказать, очень просто. Программист, который обладает некоторым кругозором и знаниями ассемблера, а также хотя бы минимально разбирается в устройстве ПК, может написать вирус. Например, в США уже есть «Малая черная книга компьютерных вирусов», которая содержит подробные инструкции, как написать вирус. Любой средний программист может прочесть эту книгу, а потом сконструировать достаточно «качественный» вирус.
PC Woche: Почему в некоторых случаях компьютерные вирусы распространяются особенно быстро и эффективно?
Макафи: Чтобы запустить вирус в обращение, нужно всего лишь занести его в компьютер, который используется другими. Например, в США есть фирмы, сдающие компьютеры на время. Каждый может зайти в такой магазин, поработать за компьютером один час и оставить там вирус. И каждый, кто будет работать на этой машине после него, унесет домой зараженную дискету. При быстрой смене пользователей нереально всякий раз проверять компьютер.
PC Woche: Скорость и эффективность распространения некоторых вирусов дают основание подозревать, что за всем этим стоит какая-то направляющая сила.
Макафи: В это я не верю. Мы знаем, как быстро вирус, распространяется в пределах какой-либо фирмы без всякого управляющего воздействия, просто через коммуникационные линии между сотрудниками. Это как насморк. Иногда бывают настоящие эпидемии, и ими совершенно не нужно управлять. Таковы все болезни, и компьютерные вирусы не исключение.
PC Woche: Обычный метод обнаружения вируса на носителе данных состоит а том, чтобы внимательно просмотреть хранимые данные, стараясь обнаружить определенный образец…
Макафи:…и это, несомненно, единственный эффективный метод…
PC Woche: И этот метод все меньше применяется на практике, так как с увеличением числа известных вирусов возрастает время их поиска.
Макафи: Этот взгляд я не разделяю. Нет абсолютно никакой связи между числом вирусов и длительностью сканирования.
PC Woche: Но этого мнения придерживаются и некоторые немецкие эксперты по вирусам.
Макафи: Просто не все знакомы с такими методами, при использовании которых время сканирования не увеличивается. Существуют продукты, работающие медленнее с увеличением числа вирусов. Их авторам я бы порекомендовал выбрать другую профессию или изучить новые методы. При применении подходящих приемов программирования (а их имеется достаточно) время, необходимое для просмотра, никогда не будет расти с увеличением численности вирусов. Кто утверждает иное, просто не имеет понятия о технике программирования.
PC Woche: Как обстоит дело с вирусами-невидимками и вирусами, которые с течением времени меняют форму проявления?
Макафи: Единственный способ распознать такие вирусы опять же заключается в сканировании именно потому, что они сами себя изменяют. Пример: механизм мутации «Черного мстителя», который можно с уверенностью идентифицировать путем сканирования. Другой возможности не существует.
PC Woche: Но если они каждый раз выглядят по-разному, как обнаружить их при помощи метода, который требует потока сравнений?
Макафи: Это тоже задача, относящаяся к сфере техники программирования. Существует много сканирующих программ, которые могут обнаружить механизм мутации, как, впрочем, и много продуктов, неспособных его найти. Еще раз: для того, кто владеет соответствующей техникой, это достаточно тривиальный метод. Многие сканеры в состоянии идентифицировать все разновидности механизма мутации «Черного мстителя». Для этого они применяют определенный метод сканирования, распознающий алгоритм мутации.
PC Woche: Способствует ли распространению вирусов простота операционной среды DOS, в частности, отсутствие защиты по паролю?
Макафи: Да, безусловно.
PC Woche: Может, стоило бы снабдить DOS лучшей защитой против вирусов? Выполнимо ли это?
Макафи: Конечно это было бы лучше, но я ставлю под сомнение возможность такого решения этой проблемы. DOS используют сотни миллионов людей. Чтобы затруднить проникновение вирусных инфекций, нужно сильно изменить DOS. Но тогда все многочисленные пользователи этой ОС оказались бы лицом к лицу с другой средой. Думаю, что эту задачу очень трудно осуществить. Я бы только приветствовал, если бы эта среда была изменена но считаю подобное требование нереальным.
PC Woche: Как вы полагаете, в перспективе ситуация станет лучше или хуже? Можно спросить и по-другому: кто победит в состязании — создатель антивирусных средств или разработчики вирусов?
Макафи: Они уравновесят друг друга. Авторы вирусов не бездействуют, и я уверен, что пока мы тут с вами беседуем, они работают над вирусами следующего поколения.
Противодействующие силы отстают, так как мы точно не знаем, что именно предпринимают программисты вирусов. Правда, мы можем предвосхитить многие их действия, но не во всех случаях. Если обратиться к статистике, то она обнадеживающе свидетельствует о том, что вирусы не разрабатываются в тиши и не распространяются потом сразу по всему миру. Проходит много месяцев, прежде чем какой-нибудь вирус вырастает в значительную угрозу в глобальном масштабе. К этому моменту антивирусное сообщество успевает разработать противоядие, так что в общем и целом мир остается защищенным.
