При этом преследовалась цель
создания удобной операционной обстановки для проведения
исследовательских работ в области программирования; а сама система
предназначалась для машины PDP-7 фирмы DEC - представителя семейства
машин, широко распространенных в научных и исследовательских центрах
страны, что подготовило почву для победного шествия UNIXа по Штатам.
Деннис Ричи подключился к проекту позже, однако во многом ему
обязана рождением в 1972 году коммерческая версия системы, написанная
на высокоуровневом языке C.
Кстати, язык C тоже появился в AT&T и тоже как разработка для
внутренних нужд. Ядро системы UNIX состоит примерно из 10000 строк на
C и еще 1000 строк на языке ассемблера.
стр. 11

B Как это было.
"Сейчас 3:45 AM, среда (sic) 3 ноября
1988 года. Мне все надоело, я не могу
поверить в то, что произошло..."
Из сообщения Клиффа Столла,
переданного по электронной почте
Dockmaster.ARPA.

...Гром - вирусная атака, названная компьютерными экспертами
величайшим нападением на национальные компьютеры из когда-либо
случавшихся - грянул 2 ноября 1988 года.
Абсолютно точную последовательность событий в настоящее время
восстановить практически невозможно, поскольку, во-первых, во время
самой атаки все были заинтересованы прежде всего в быстрой локализации
и удалении вируса, а никак не в подробной регистрации фактов [B1]; и,
во-вторых, потому, что вирус быстро заблокировал атакуемые
вычислительные сети, в результате чего прервалась связь между
пользователями.
Но можно попытаться представить примерную картину распространения
вируса на основании сообщений, проходивших в компьютерных сетях, не
подвергшихся нападению, и многочисленных публикаций в прессе. В
частности, представляют интерес сообщения, проходившие во время атаки
по электронным почтам VIRUS_L (далее VIR) и RISKS_FORUM (далее
RISKS) [B2].
Специалисты старшего поколения утверждают, что сообщения,
проходившие в сетях во время вирусной атаки, очень напоминают
сообщения о вражеских боевых действиях, поступавших по связи во время
Второй мировой войны. Во всяком случае, эти сообщения позволяют
ощутить полную беспомощность, царившую во время вирусной атаки в
различных узлах сети, примерно оценить возможность пользователей
понять, что же происходит и сделать выводы относительно требований к
системе оказания помощи в подобных ситуациях.
Итак, 2 ноября 1988 года, среда.
17:00 Вирус обнаружен в Корнеллском университете (Нью-Йорк).
21:00 Вирус обнаружен в системах Стэнфордского университета и фирмы
______________________________
[A8] 5.11.1988, статья Джона Маркоффа "Author of Computer 'Virus'
is son of USA Electronic Security Expert".
______________________________
[B1] Что, кстати, сильно затруднило потом работу следствия.
[B2] Полное название - "Forum on Risks to the Public in Computers
and Related States: ACM Committee and Public Policy". Организован
Петером Ньюманом.
Обзоры этих сообщений, используемых, в частности, и в настоящей
статье, были опубликованы в нескольких номерах журнала
"Computer &Security" в начале 1989 года.
стр. 12

Rand Corporation (Калифорния).
22:00 Вирусом поражена система университета в Беркли (Калифорния).
23:00 Вирус обнаружен специалистами отделения математики
Принстонского университета (Нью-Джерси).
Сначала все обнаружившие вирус подумали, что это очередной
инцидент, касающийся только их системы. Никто естественно представить
себе не мог, какие масштабы примет эпидемия через несколько часов.
Тем не менее администраторы атакованных систем послали сообщения о
происшедшем.
23:28 В электронной почте VIRUS_L прошло первое сообщение о
вирусе. Сообщается, что атакованы университеты в Дэвис и
Сан-Диего, Ливерморская лаборатория имени Лоуренса и
исследовательский центр НАСА [B3] (все в Калифорнии). Вход
вируса идентифицируется как SMTP. Атакуются все системы 4.3 BSD
и Sun 3.x. Отмечается, что вирус распространяется по каналам
TELNETD, FTPD, FINGER, RSHD и SMTP [B4].
23:45 Вирус обнаружен в исследовательской лаборатории
баллистики. [B5]
Постепенно стало проясняться, что одни и те же признаки поражения
вирусом наблюдают пользователи, находящиеся в разных концах страны.
Учитывая совпадение событий по времени, был сделан вывод, что
национальные компьютерные системы атакованы одним и тем же вирусом,
распространяющимся через сети, поскольку иным способом распространения
нельзя было объяснить скорость, с которой вирус появлялся в различных
концах США, если, конечно, не предположить, что все происходящее -
результат заранее спланированной и хорошо подготовленной акции некой
преступной группы, имеющей доступ ко всем национальным системам.
Жизнь администраторов американских систем после установления этого
факта, как говорится, переставала быть безинтересной!
Для пользователей и системных администраторов атакованных узлов
сетей поведение вируса было непостижимым. В некоторых системах в
директории /usr/tmp появлялись необычные файлы; в журнальных файлах
ряда утилит появлялись странные сообщения. Наиболее примечательным,
однако, было то, что все более и более повышалась загрузка систем,
приводившая в конце концов либо к исчерпанию свободного места,
выделенного под свопинг, либо к переполнению системной таблицы
процессов - в любом случае это означало блокировку системы.
Исходя из названия сетей, в которых вирус был обнаружен, его тут
же окрестили вирусом Milnet/Arpanet. Вскоре, однако, выяснилось, что
вирус из Arpanet благополучно перекочевал в сеть Science Internet - и
он тут же получает название "вирус Internet". Но после того, как
Корнеллский университет высказал косвенно доказанное предположение,
что вирус, вероятно, разработан в его стенах, вирус получает наконец
одно из наиболее распространившихся, благодаря стараниям прессы,
название - вирус Cornell/Arpanet. Это название вируса появилось в
двух передовых статьях и последующей серии заметок Джона Маркофа,
Лоренца М. Фишера, Мишеля Вайнеса, Джеффа Герса и Калвина Симса [B6],
опубликованных в "Нью-Йорк Таймс" с 4 по 17 ноября 1988 года.
стр. 13

Вообще для специалистов оказалось приятным сюрпризом то,
насколько подробно и грамотно пресса комментировала события. Филипп
Гарднер - полковник в отставке, специалист по безопасности компьютеров
- написал по этому поводу: "Казалось, репортеры точно знали, у кого
можно получить достоверную информацию, и, кроме того, они делали
хорошие выводы из того, что эти лица говорили. Это тем более приятно
в условиях, когда мы становимся, к несчастью, свидетелями ненормальной
тенденции к росту числа 'экспертов' в среде самих журналистов."
Наступило 3 ноября, четверг.
01:00 Сообщения о заражении 15-ти узлов сети Arpanet.
02:00 Поражена вирусом система Гарвардского университета
(Массачусетс).
03:30 Вирус обнаружен в Центре Массачусетского технологического
института (Massachusets Institute of Technologies; MIT).
03:46 В сообщении, прошедшем в электронной почте RISKS, уточняется,
что атакуются системы UNIX - 4.3 BSD - и аналогичные ей Sun,
работающие на компьютерах VAX фирмы DEC и компьютерах Sun фирмы
Sun Microsystems Inc. Сообщается также, что вирус
распространяется через дыры в системе безопасности утилиты
электронной почты Sendmail, имеющейся в составе указанных систем.
04:00 Поскольку сеть перегружена, распространение вируса
замедляется; к этому моменту заражены уже более 1000 узлов сети.
05:15 В университете Карнеги-Меллона в Питтсбурге (Пенсильвания) из
100 компьютеров, подключенных к Arpanet, вышло из строя 80.
08:00 Сообщение о вирусе из астрофизического центра Smithonian.
Впоследствии возникло несколько версий относительно того, как
именно и кем был обнаружен вирус.
Согласно первой, вирус был обнаружен в ночь со 2 на 3 ноября
1988 года одним из научных сотрудников Ливерморской лаборатории
им.Лоуренса. Обращаясь со своего домашнего терминала к вычислительной
______________________________
[B3] Соответственно, Lawrence Livermore Laboratory и NASA's Aimes
Research Center.
[B4] SMTP расшифровывается как простой протокол передачи почты -
Simple Mail Transfer Protocol; FTP - как протокол передачи файлов -
File Transfer Protocol; а TELNET является названием протокола эмуляции
терминала. Эти протоколы являются подпротоколами TCP/IP, созданными
для реализации соответствующих функций.
[B5] Army Ballistic Research Laboratory.
[B6] John Markoff, Lawrence M. Fisher, Michael Wines, Jeff Gerth,
Calvin Sims.
стр. 14

системе лаборатории, он заметил необычное повышение интенсивности ее
загрузки. Заподозрив неладное, сотрудник сообщил об этом дежурному
оператору и тот (очевидно руководствуясь инструкцией) сразу же
отключил систему от сети Science Internet, по которой распространялся
вирус.
Специалисты Ливерморской лаборатории действительно могли одними
из первых обнаружить вирус. Дело в том, что эта лаборатория,
проводившая исследования по программе СОИ и разработку новых видов
ядерного оружия, в мае 1988 года уже сталкивалась с вирусом, после
чего, по всей видимости, были приняты дополнительные меры
предосторожности и повышена бдительность.
Немедленно об инциденте было сообщено Управлению связи МО США
(Defence Communication Agency; DCA), в ведении которого находится сеть
Arpanet. В три часа ночи о вирусной атаке узнало руководство DoD.
Однако, несмотря на оперативность извещения, локализовать вирус в сети
было уже невозможно.
По второй версии извещение о появлении вируса было отправлено
неизвестным лицом по компьютерной сети вместе с инструкцией по его
уничтожению. Но сеть была перегружена и очень многие вычислительные
центры не сразу приняли сигнал. Когда же, наконец, на сообщение
обратили внимание, было уже поздно.
Согласно третьей версии первыми обнаружили неполадки в
вычислительной системе специалисты MIT. Внимание ответственного за
безопасность вычислительноо центра привлекло необычное поведение
компьютера. Машина интенсивно функционировала, хотя в данное время на
ней никто не работал, на дисплей никакие данные не выводились. Через
несколько минут вся память системы была забита, и система вышла из
строя.
Неполадки в работе систем зарегистрировали не только люди, но и
процессоры вычислительных систем. Они начали передавать в сеть
сообщения о том, что не в состоянии принимать новые данные вследствие
переполнения памяти. Благодаря этому центры некоторых
научно-исследовательских институтов вовремя отключились и сумели
избежать заражения.
Так, одно из учебных заведений шт.Нью-Джерси - Stevens Institute
of Technology, получившее предупреждение, успело изолировать свою ЭВМ
и блокировать доступ вирусу.
Вскоре выяснилось насколько серьезный удар был нанесен.
Во-первых, вирус распространялся через компьютерную сеть с
чудовищной быстротой - следствие быстродействия узловых систем и
хорошего состояния линий связи в США.
Во-вторых, в результате работы вируса блокировалась как сеть, так
и атакованные системы, останавливавшиеся вследствие переполнения
памяти и/или превышения допустимого предела загрузки. Весь ужас
заключался в том, что пока до администраторов систем доходило, что их
системы подверглись нападению, они начисто лишались возможности
что-либо предпринять, поскольку теряли доступ к перегруженной системе.
стр. 15

В-третьих, инфицировалась операционная система UNIX Berkeley 4.3
- одна из самых популярных версий UNIX, в силу наличия в ней
электронной почты и удобных отладочных средств. Это было тем более
непонятно, если учесть, что UNIX - система многопользовательская и к
тому же имеет систему защиты, основанную на идентификации каждого
пользователя с помощью паролей. С этим сталкивались впервые.
Атака шла по наиболее популярным среди пользователей страны
сетям, включая сеть Пентагона, и расчитывалась на поражение одной из
самых популярных операционных систем - каково!.
Неудивительно, что среди администраторов систем началась
настоящая паника. Многие из них не сумели или не приложили - иногда в
течение нескольких дней - должных усилий к тому, чтобы связаться с
другими пострадавшими, а попросту лишили пользователей возможности
работать с их машинами. В результате за несколько минут они лишились
не только своих машин, к которым запретили доступ, но и других машин
Internet, с которыми они не могли работать до конца восстановления.
Стало понятно, что если вирус не остановить, то последствия могут
быть самые нежелательные. По всей стране пользователи затаили
дыхание, боясь подумать, что произойдет, если вирус запрограммирован
на уничтожение или повреждение данных (а это было весьма вероятно).
Через 5 часов вирус инфицировал от 435 до 800 систем, а всего в
течение полутора-двух суток (2-3 ноября) поразил около 6000
компьютеров. Среди пострадавших - помимо уже упомянутых - оказались
системы Агентства национальной безопасности и Стратегического
авиационного командования США; лабораторий NASA (в частности Jet
Propulsion Laboratory; а в вычислительном центре NASA в Хьюстоне
компьютерный вирус чуть было не затронул систему управления запусками
кораблей многоразового использования Shuttle, но ее удалось вовремя
отключить) и Лос-Аламосской национальной лаборатории;
исследовательских центров ВМС США (Naval Research Laboratory, Naval
Ocean Systems Command) и Калифорнийского технологического института;
1 2 3 4 5 6 7 8 9 10 11