Клифф Столл - Яйцо кукушки или Преследуя шпиона в компьютерном лабиринте

— Эй, Клифф, — сказал он, — творится что-то странное. На нашем компьютере идет сотня заданий. Попахивает вирусом.

— Что, вы тоже его подцепили?

Мы сравнили наши наблюдения и быстро поняли, что заражены системы ЮНИКС по всей стране. Придется ставить заплаты на ошибки в системах.

— Есть только два способа понять этот вирус, — сказал Дон. — Первый — диассемблировать его. Идти по машинному коду шаг за шагом и выяснять, что он делает.

— Отлично, — сказал я. — Это я уже пробовал, и это не так просто. Какой другой способ?

— Считать его черным ящиком. Смотреть, как он посылает сигналы и пытаться понять, что внутри.

— Есть еще третий способ, Дон.

— Какой?

— Найти, кто его написал.

Я просмотрел новости: Питер Ай и Кейт Бостик из Калифорнийского университета в Беркли описали дыры в системе ЮНИКС и даже опубликовали способ исправления программного обеспечения. Неплохо!

Джон Рохлис, Стен Занаротти, Тед Дзо и Марк Эйчин из МТИ разбирали программу на части, переводя биты и байты в идеи. К вечеру четверга группы из МТИ и Беркли диассемблировали код и были в состоянии его понять.

Майк Муусс тоже здорово продвинулся. Он построил тестовую оболочку вируса и использовал программный инструмент для анализа. Из экспериментов он понял, как вирус распространяется и через какие дыры заражает другие компьютеры.

Около одиннадцати часов утра мне позвонили из Национального Центра Компьютерной Безопасности АНБ.

— Клифф, это ты написал вирус? — спросил незнакомый голос.

Совсем с ума посходили?!

— Нет, черт побери! Я всю прошлую ночь пытался его уничтожить!

— Тебя считают наиболее вероятным автором. Я проверяю.

Их звонок заставил меня задуматься. Кто написал вирус? Почему? Вдруг вирус не напишешь. Его надо создавать неделями.

Во второй половине дня я позвонил Бобу Моррису.

— Какие новости? — спросил я его.

— В порядке исключения скажу тебе правду, — ответил Боб. — Я знаю, кто написал этот вирус.

— И ты собираешься сказать это мне?

— Нет.

Вот это — профессионально. Через десять часов после того, как я им позвонил, Национальный Центр компьютерной безопасности нашел виновника. Но я-то не нашел. Придется снова рыскать по сетям. Если бы я только мог найти компьютер, зараженный первым. Нет, это не годится. Их тут тысячи.

Позвонил Джон Маркофф, репортер Нью-Йорк Таймс.

— До меня дошел слух, что тот, кто написал этот вирус, имеет инициалы РТМ. Это может как-то помочь?

— Не слишком, но я проверю.

Я подключаюсь к Информационному Центру Сети и ищу кого-нибудь с инициалами РТМ. Выскакивает один парень: Роберт Т. Моррис. Адрес: Гарвардский университет, Айкеновская лаборатория. Это за три квартала от моего дома. Пожалуй, надо прогуляться. Айкеновская компьютерная лаборатория — уродливое современное здание из железобетона, окруженное старыми викторианскими шедеврами. Я подошел к секретарше.

— Привет. Я ищу Роберта Морриса.

— Первый раз слышу, — сказала она. — Но проверю.

Она печатает на своем терминале:

Finger Morris

Ее компьютер отвечает:

Login name: РТМ in reallife: Robert T.Morris

Phone: 617/498-2247

Last login Thu Nov 3 00:25 on ttyp2 from 128.84.254.126

Регистрационное имя:… Настоящее имя:…

Телефон:…

Последнее подключение Четверг 3 ноября 0 ч.25 мин от…

Ну вот, последний раз Роберт Моррис использовал Гарвардский компьютер в 25 минут пополуночи, и утром после этого появился вирус. Но это не здесь, в Массачусеттсе. Этот адрес, 128.84.254.126, в Корнелльском университете. Он вошел в Гарвардскую систему с компьютера Корнелльского университета. Странно.

Секретарша смотрит на сообщение, потом в потолок и говорит: «О, он, наверно, когда-то был здесь студентом. Этот номер телефона в комнате 111.»

Отыскиваю комнату 111, стучу в дверь. Выглядывает студент в ковбойке. Я спрашиваю: «Слышал о Роберте Моррисе?» Он побледнел. «Да. Его здесь больше нет». И захлопнул дверь перед моим носом. Я отхожу, задумываюсь, потом возвращаюсь. «Ты слышал что-нибудь про вирус?» — спрашиваю парня через закрытую дверь.

— О, РТМ никогда не сделал бы этого, я уверен.

Минуточку. Я еще не обвинил, а парень уже отрицает.

— Когда Моррис последний раз пользовался гарвардскими компьютерами?

— В прошлом году, когда был студентом. Теперь он в Корнелле и больше не подключается к нашему компьютеру.

Рассказ парня не соответствует записям компьютера. Правду говорит кто-то один. Я склонен больше доверять компьютеру.

Мы поговорили минут пять, и этот парень рассказал мне, что он — хороший приятель Морриса, что они работали вместе в одной комнате и что РТМ никогда не стал бы писать компьютерный вирус.

Моррис наверняка общается с этим парнем, и оба они напуганы. Я бы тоже испугался. Пол страны ищет создателя вируса.

Откуда вирус стартовал? Я проверил другие компьютеры в Кембридже, выискивая подключения к Корнеллу. Одна машина, находящаяся в лаборатории искусственного интеллекта МТИ, показала подключения от компьютера Роберта Морриса в Корнелле поздно ночью.

Так. Вирус был разработан в Корнелле. Затем его создатель использовал сеть Арпанет для подключения к МТИ и выпустил вирус там. Чуть позже запаниковал, когда понял, что создание вышло из-под контроля. Тогда он подключился к гарвардскому компьютеру либо чтобы проверить, как развивается вирус, либо чтобы попросить помощи.

Оба-на! Роберт Т. Моррис-младший был сыном Боба… то есть, Роберта Морриса-старшего. Да, того самого, который вчера сказал, что давно знал о дыре в программе SendMail. Того, который пытал меня по астрофизике, а потом едва не удушил сигаретным дымом.

Итак, сын Боба Морриса заразил две тысячи компьютеров. Почему? Чтобы произвести впечатление на папу? В качестве шутки ко Дню Всех Святых? Чтобы пофорсить перед парой тысяч программистов?

Какова бы ни была его цель, я не верю, что он был в сговоре с отцом. Сомневаюсь, что Боб потворствовал бы кому-нибудь в написании вируса. Как он говорил, «это нехороший знак для карьеры в АНБ».

После исследования кода Джон Рохлис из МТИ охарактеризовал вирус как «не очень хорошо написанную программу». Уникальность его была в том, что он атаковал компьютеры по четырем направлениям: ошибки в программах SendMail и Finger системы ЮНИКС, угадывание паролей и использование в своих целях путей доверия между компьютерами. Кроме того, Моррис несколькими способами закамуфлировал программу, чтобы затруднить ее выявление. Однако, он сделал несколько программных ошибок — например, выставил неверную скорость размножения, — и такую программу-червь, пожалуй, могли написать многие студенты или программисты. Все, что требуется, — это знание изъянов системы ЮНИКС и отсутствие всякого понятия об ответственности.