Суета вокруг Роберта - [6]

Кстати, язык C тоже появился в AT&T и тоже как разработка для внутренних нужд. Ядро системы UNIX состоит примерно из 10000 строк на C и еще 1000 строк на языке ассемблера.

стр. 11

B Как это было.

"Сейчас 3:45 AM, среда (sic) 3 ноября

1988 года. Мне все надоело, я не могу

поверить в то, что произошло..."

Из сообщения Клиффа Столла,

переданного по электронной почте

Dockmaster.ARPA.

...Гром - вирусная атака, названная компьютерными экспертами величайшим нападением на национальные компьютеры из когда-либо случавшихся - грянул 2 ноября 1988 года.

Абсолютно точную последовательность событий в настоящее время восстановить практически невозможно, поскольку, во-первых, во время самой атаки все были заинтересованы прежде всего в быстрой локализации и удалении вируса, а никак не в подробной регистрации фактов [B1]; и, во-вторых, потому, что вирус быстро заблокировал атакуемые вычислительные сети, в результате чего прервалась связь между пользователями.

Но можно попытаться представить примерную картину распространения вируса на основании сообщений, проходивших в компьютерных сетях, не подвергшихся нападению, и многочисленных публикаций в прессе. В частности, представляют интерес сообщения, проходившие во время атаки по электронным почтам VIRUS_L (далее VIR) и RISKS_FORUM (далее RISKS) [B2].

Специалисты старшего поколения утверждают, что сообщения, проходившие в сетях во время вирусной атаки, очень напоминают сообщения о вражеских боевых действиях, поступавших по связи во время Второй мировой войны. Во всяком случае, эти сообщения позволяют ощутить полную беспомощность, царившую во время вирусной атаки в различных узлах сети, примерно оценить возможность пользователей понять, что же происходит и сделать выводы относительно требований к системе оказания помощи в подобных ситуациях.

Итак, 2 ноября 1988 года, среда.

17:00 Вирус обнаружен в Корнеллском университете (Нью-Йорк).

21:00 Вирус обнаружен в системах Стэнфордского университета и фирмы

______________________________

[A8] 5.11.1988, статья Джона Маркоффа "Author of Computer 'Virus' is son of USA Electronic Security Expert".

______________________________

[B1] Что, кстати, сильно затруднило потом работу следствия.

[B2] Полное название - "Forum on Risks to the Public in Computers and Related States: ACM Committee and Public Policy". Организован Петером Ньюманом.

Обзоры этих сообщений, используемых, в частности, и в настоящей статье, были опубликованы в нескольких номерах журнала "Computer &Security" в начале 1989 года.

стр. 12

Rand Corporation (Калифорния).

22:00 Вирусом поражена система университета в Беркли (Калифорния).

23:00 Вирус обнаружен специалистами отделения математики

Принстонского университета (Нью-Джерси).

Сначала все обнаружившие вирус подумали, что это очередной инцидент, касающийся только их системы. Никто естественно представить себе не мог, какие масштабы примет эпидемия через несколько часов. Тем не менее администраторы атакованных систем послали сообщения о происшедшем.

23:28 В электронной почте VIRUS_L прошло первое сообщение о

вирусе. Сообщается, что атакованы университеты в Дэвис и

Сан-Диего, Ливерморская лаборатория имени Лоуренса и

исследовательский центр НАСА [B3] (все в Калифорнии). Вход

вируса идентифицируется как SMTP. Атакуются все системы 4.3 BSD

и Sun 3.x. Отмечается, что вирус распространяется по каналам

TELNETD, FTPD, FINGER, RSHD и SMTP [B4].

23:45 Вирус обнаружен в исследовательской лаборатории

баллистики. [B5]

Постепенно стало проясняться, что одни и те же признаки поражения вирусом наблюдают пользователи, находящиеся в разных концах страны. Учитывая совпадение событий по времени, был сделан вывод, что национальные компьютерные системы атакованы одним и тем же вирусом, распространяющимся через сети, поскольку иным способом распространения нельзя было объяснить скорость, с которой вирус появлялся в различных концах США, если, конечно, не предположить, что все происходящее результат заранее спланированной и хорошо подготовленной акции некой преступной группы, имеющей доступ ко всем национальным системам. Жизнь администраторов американских систем после установления этого факта, как говорится, переставала быть безинтересной!

Для пользователей и системных администраторов атакованных узлов сетей поведение вируса было непостижимым. В некоторых системах в директории /usr/tmp появлялись необычные файлы; в журнальных файлах ряда утилит появлялись странные сообщения. Наиболее примечательным, однако, было то, что все более и более повышалась загрузка систем, приводившая в конце концов либо к исчерпанию свободного места, выделенного под свопинг, либо к переполнению системной таблицы процессов - в любом случае это означало блокировку системы.

Исходя из названия сетей, в которых вирус был обнаружен, его тут же окрестили вирусом Milnet/Arpanet. Вскоре, однако, выяснилось, что вирус из Arpanet благополучно перекочевал в сеть Science Internet - и он тут же получает название "вирус Internet". Но после того, как Корнеллский университет высказал косвенно доказанное предположение, что вирус, вероятно, разработан в его стенах, вирус получает наконец одно из наиболее распространившихся, благодаря стараниям прессы, название - вирус Cornell/Arpanet. Это название вируса появилось в двух передовых статьях и последующей серии заметок Джона Маркофа, Лоренца М. Фишера, Мишеля Вайнеса, Джеффа Герса и Калвина Симса [B6], опубликованных в "Нью-Йорк Таймс" с 4 по 17 ноября 1988 года.