Что такое червь морриса. Червь Морриса: история появления вируса, принцип действия и интересные факты

Америка была в шоке, когда второго ноября 1988 года практически все компьютеры, имевшие доступ к интернету (в Америке), около восьми часов утра, что называется, «зависли». Сначала это отнесли к сбоям в энергосистеме. Но потом, когда случилась эпидемия, вызванная "Червем Морриса", стало ясно, что терминалы были атакованы неизвестной на тот момент программой, содержавшей код, не поддающийся имеющимися средствами расшифровке. Неудивительно! В то время компьютеры, подключенные к интернету, исчислялись всего лишь десятками тысяч (примерно 65 000 терминалов) и большей частью были представлены в правительственных кругах или органах самоуправления.

Вирус «Червь Морриса»: что это такое?

Сам вирус этого типа явился первым в своем роде. Именно он стал родоначальником всех остальных программ такого типа, которые сегодня отличаются от прародителя достаточно сильно.

Роберт Моррис «червь» свой создал, даже не догадываясь о том, какую популярность он завоюет и какой вред сможет нанести экономике. Вообще, как считается, это был, как сейчас говорят, чисто спортивный интерес. Но на самом деле внедрение в тогдашнюю глобальную сеть APRANET, к которой, кстати, были подключены и правительственные, и военные организации, вызвало такой шок, от которого Америка не могла оправиться в течение долгого времени. По предварительным оценкам компьютерный вирус «Червь Морриса» нанес ущерб порядка 96,5 миллиона долларов США (и это только сумма, известная из официальных источников). Сумма, приведенная выше, является официальной. А то, что не учтено, наверное, и разглашению не подлежит.

Создатель компьютерного вируса «Червь Морриса» Роберт Моррис: немного фактов из биографии

Сразу же возникает вопрос о том, кем же был этот гений-программист, сумевший на несколько дней парализовать компьютерную систему североамериканского континента.

Тот же уважаемый ресурс «Википедия» свидетельствует о том, что во свое время Роберт являлся аспирантом Корнеллского университета Р. Т. Морриса (случайность или совпадение?), на факультете вычислительной техники.

История создания и появления вируса

Как считается, изначально в вирусе не содержалось никакой угрозы. Фред Коэн изучал «Червя Морриса» на основе своих выкладок о вредоносных кодах и выявил в нем интересную особенность. Оказалось, что это вовсе и не вредоносная программа.

«Червь Морриса» (хотя его сегодня и принято считать вирусом с подачи Пентагона) изначально был создан как средство тестирования уязвимостей систем на основе «интранет» (неудивительно, что пострадали в первую очередь пользователи APRANET).

Как вирус воздействует на компьютерную систему

Сам Роберт Моррис (создатель вируса) всячески открещивается от последствий, нанесенных его «детищем» Соединенным Штатам, утверждая, что распространение по сети спровоцировала ошибка в коде самой программы. Учитывая то, что образование он получал в университете, тем более на факультете информатики, с этим трудно согласиться.

Итак, так называемый «Червь Морриса» изначально был ориентирован на перехват сообщений между крупными организациями (включая правительственные и военные). Суть воздействия сводилась к тому, чтобы подменить исходный текст письма, отправляемого тогда еще в сети APRANET, с удалением заголовков и окончаний в отладочном режиме Sendmail или при переполнении буфера сетевого fingerd-сервиса. Первая часть в новом письме содержала код, компилированный на удаленном терминале, а третья состояла из такого же бинарного кода, но адаптированного под разные компьютерные системы.

Кроме того, был использован специализированный инструмент, позволявший подбирать логины и пароли при помощи удаленного доступа для выполнения программ (rexec), а также вызова удаленного интерпретатора (rsh), который на командном уровне использовал так называемый «механизм доверия» (сейчас это больше ассоциируется с сертификатами).

Скорость распространения

Как оказывается, создатель вируса был вовсе не глупым человеком. Он сразу сообразил, что чем длиннее код, тем дольше вирус внедряется в систему. Именно поэтому всем известный «Червь Морриса» содержит минимальную двоичную (но компилированную) комбинацию.

За счет этого и произошел тот самый бум, о котором теперь на уровне государственных разведывательных служб почему-то принято умалчивать, хотя угроза при самокопировании распространялась практически в геометрической прогрессии (каждая копия вируса способна была создавать от двух и более собственных аналогов).

Ущерб

Никто, однако, не думает о том, какой урон может быть нанесен той же системе безопасности. Тут проблема, скорее, в том, каков сам по себе компьютерный вирус «Червь Морриса». Дело в том, что изначально при проникновении на пользовательский терминал вирус должен был определять, содержится ли в системе его копия. Если таковая имелась, вирус оставлял машину в покое. В противном случае - внедрялся в систему и создавал свой клон на всех уровнях использования и управления. Это касалось и всей операционной системы в целом, и установленных пользовательских программ, и приложений или апплетов.

Официальная цифра, называемая департаментом США (примерно 96-98 миллионов долларов ущерба), явно занижена. Если посмотреть только на первые три дня, это уже было порядка 94,6 миллиона). За последующие дни сумма выросла не так сильно, но вот рядовые пользователи пострадали (об этом официальная пресса и департамент США молчат). Конечно, в то время число компьютеров, подключенных к глобальной паутине, составляло примерно 65 тысяч только в США, но и из них пострадал чуть ли не каждый четвертый терминал.

Последствия

Нетрудно догадаться, что суть воздействия сводится к тому, чтобы полностью лишить систему работоспособности на уровне потребления ресурсов. Большей частью это относится к сетевым подключениям.

Вирус в самом простом случае создает собственные копии и инициирует запуск процессов, маскирующихся под системные службы (теперь даже запущенные от имени администратора в списке процессов «Диспетчера задач»). И удалить угрозы именно из этого списка не всегда представляется возможным. Поэтому при завершении процессов, связанных с системой и пользователем, действовать нужно крайне осторожно.

А что Моррис?

«Червь Морриса» и его создатель на данный момент чувствуют себя очень даже неплохо. Сам вирус успешно изолирован усилиями тех же антивирусных лабораторий, поскольку они имеют исходный код, на котором апплет и написан.

Моррис в 2008 году анонсировал выход языка Arc, основанного на «Липс», а в 2010 году стал номинантом и обладателем премии имени Вейзера.

Кстати, еще один интересный факт состоит в том, что государственный обвинитель Марк Раш признал, что вирус вывел из строя множество компьютеров путем принудительного завершения работы, но все равно не нанес умышленного повреждения данных пользователей любого уровня, поскольку изначально был не деструктивной программой, а попыткой проверки возможности вмешательства во внутреннюю структуру имеющихся систем. По сравнению с тем, что изначально злоумышленнику (добровольно сдавшемуся властям) грозило тюремное заключение сроком до пяти лет и 250 тысяч долларов штрафа, он отделался тремя годами условно, штрафом в 10 тысяч долларов и 400 часами общественных работ. Как посчитали многие юристы того (кстати, и нынешнего) времени, это нонсенс.

Несколько итогов

Конечно, сегодня опасаться такой угрозы, которую собой на ранних порах зарождения компьютерной техники представлял "Вирус Морриса", естественно, не стоит.

Но вот что интересно. Как считается, воздействию вредоносных кодов подвержены в основном ОС Windows. А тут вдруг выясняется, что тело вируса изначально было разработано для UNIX-систем. Что это означает? Да только то, что обладателям Linux и Mac OS, которые принципиально основаны на платформе UNIX, пора приготовить средства защиты (хотя и считается, что вирусы именно на эти ОС не воздействуют вообще, в смысле того, что они не были написаны). Вот тут многие пользователи «маков» и «линуксоиды» глубоко заблуждаются.

«Вредоносные программы и антивирусные программы» - Признаки заражения компьютера. Действия при наличии признаков заражения компьютера. Компьютерные вирусы. Троянские программы. Антивирусные программы. Цель урока. Файловые вирусы. Защита от компьютерным вирусов. Типы вредоносных программ. Вредоносные программы и антивирусные программы. Вредоносные программы – это программы, наносящие вред данным. Загрузочные вирусы. Классификация вирусов. Первые вредоносные и антивирусные программы.

«Антивирус» - Doctor web eset NOD 32 kaspersky antivirus (бывший antiviral toolkit pro) network associates mcafee virusscan symantec norton antivirus trend micro pc-cillin. Aladdin Knowledge Systems eSafe Command AntiVirus Computer Associates InoculatelT Doctor Web Eset NOD 32 F-Secure Anti-Virus Kaspersky Antivirus Network Associates McAfee VirusScan Norman Virus Control Panda Antivirus Platinum Symantec Norton AntiVirus.

«Антивирусная защита» - Безопасный браузер. Что необходимо сделать для защиты. Загрузочные блокировщики. Блокировщики запуска IM – клиентов. Правила. Что могут сделать вирусы. Лжеантивирусы. Передача носителей. Дополнения. Блокировщики Windows. Учетная запись. Защита флешек. Установка пароля. Редиректоры. Предупреждение. Основные способы защиты. Ситуация стандартная. Тип учетной записи “ограниченная запись”. Ввести имя учетной записи (латинскими буквами).

«Вирусы и антивирусная защита» - Признаки появления вирусов. Как правильно лечить. Что такое компьютерный вирус. Вирус. Зарождение компьютерных вирусов. Пути проникновения вирусов в компьютер. Компьютерный вирус. Антивирусы. Методы защиты от компьютерных вирусов. Действия при заражении вирусом.

«Борьба с компьютерными вирусами» - Антивирусные базы. Макро-вирусы. Антивирусные программы. Фишинг. Доктора и вакцины. Спам. Хакерские утилиты. Программы - доктора. Меры предосторожности. Компьютерные вирусы. Загрузочные вирусы. Скрипт-вирусы. Файловые вирусы. Признаки проявления вирусов. Компьютерный вирус. Вложения. Троянские программы. Программы. Антивирусный монитор. Вирусы - черви. Куки.

«Microsoft Forefront» - Решения разных производителей. Возможности. Контроль и отчетность. Ядра, входящие в состав Forefront. Максимум надёжности. Модель защиты от потенциального нарушителя. Типы вирусных угроз. MS Forefront. Microsoft Forefront. Производительность. 4 уровня угрозы. Решение одного производителя. Тестирование MSE. Интерфейс. Управление составом антивирусных ядер Forefront. Microsoft Security Essentials. Варианты сканирования.

2 ноября 1988 года Роберт Моррис – Младший, аспирант Факультета информатики Корнельского Университета инфицировал с помощью написанного им вируса большое количество компьютеров. Вирус изначально разрабатывался как безвредный и имел лишь целью скрытно проникнуть в вычислительные системы, связанные сетью ARPANET (ARPANET в 1989 году официально переименован в Интернет) , и остаться там необнаруженным. Вирус Морриса является представителем вирусного семейства сетевых червей (Internet worm), и представляет собой 60 килобайтную программу, разработанную с расчётом на поражение операционных систем UNIX Berkeley 4.3.

При этом, интересен тот факт, что отец «отца вируса» – Роберт Моррис – Старший в это время занимал должность научного руководителя Национального Центра Компьютерной Безопасности (NCSC – National Computer Security Center) – эксперта по компьютерной безопасности. Моррис - Старший много лет проработал в лаборатории AT&T Bell, где в 60-х годах принимал участие в разработке программ Core Wars. Кстати, инцидент с программой-червем практически никак не сказался на карьере Морриса – Старшего. В начале 1989 года он был избран в специальный консультативный совет при Национальном институте стандартов и министерстве торговли. В задачу этого совета входит выработка заключений и рекомендаций по вопросам безопасности вычислительных систем правительственных органов США, а также решение вопросов, возникающих при разработке и внедрении стандартов защиты информации.

Инцидент с «вирусом Морриса» дал толчок к появлению целой отрасли компьютерной безопасности – компьютерной вирусологии.

По самым скромным оценкам инцидент с вирусом Морриса стоил свыше 8 миллионов часов потери доступа и свыше миллиона часов прямых потерь на восстановление работоспособности систем. Общая стоимость этих затрат оценивается более чем в 98 миллионов долларов. Вирус поразил свыше 6200 компьютеров. В результате вирусной атаки большинство сетей вышло из строя на срок до пяти суток. Компьютеры, выполнявшие коммутационные функции, работавшие в качестве файл-серверов или выполнявшие другие функции обеспечения работы сети, также вышли из строя. Ущерб был бы гораздо больше, если бы вирус изначально создавался с разрушительными целями.

В американских репортажах с места события, опубликованных такими ведущими газетами как Chicago Tribune, New York Times и Boston Herald, широко освещалась динамика распространения вируса и разработки методов борьбы с ним, а также поднимались общие проблемы обеспечения безопасности компьютерных систем. Позднее, в аналитических статьях по этому повод поднимались нерешенные проблемы, относящиеся к вопросам безопасности компьютерных систем, и законодательные инициативы, направленные на предотвращение подобных случаев в дальнейшем. В частности, в палате представителей внесены два проекта законов, предусматривающих уголовное наказание за создание и распространение компьютерных вирусов.

Кроме того, широко обсуждался вопрос о том, как квалифицировать поступок Морриса: является ли Моррис героем-хакером, который без нанесения по-настоящему серьезного ущерба указал на слабые места в национальной компьютерной сети, или он является преступником, который должен быть сурово наказан. В то же время, он уже отчислен из Корнельского университета (с правом подачи заявления на повторное вступление через год). Таким образом, Моррис может вновь подать заявление о поступлении не ранее осени 1990 г. В этом случае вопрос о его поступлении будет решаться администрацией.

«Современная история» компьютерных вирусов.

- ARPANET официально переименован в Интернет .

Появился «троянский конь» AIDS . Вирус делал недоступной всю информацию на жестком диске и высвечивал на экране лишь одну надпись: «Пришлите чек на $189 на такой-то адрес». Автор программы был арестован в момент обналичивания денег и осужден за вымогательство.

Создан вирус для противодействия антивирусному ПО («Темный Мститель» - The Dark Avenger ). Он заражал новые файлы, пока антивирусная программа проверяла жесткий диск компьютера.

Клифф Столл (Cliff Stoll), сотрудник Lawrence Berkeley National Laboratory опубликовал книгу «Кукушкины яйца» (The Cuckoo"s Egg), в которой предостерегал, что всемирная компьютерная сеть может служить не только целям добра, но и активно использоваться военными, преступниками и хулиганами. Столл рекомендовал заблаговременно принять меры для недопущения подобного развития событий.

1990 год (декабрь). В Гамбурге (Германия) был создан Европейский институт компьютерных антивирусных исследований (EICAR). На сегодняшний день он является одной из наиболее уважаемых международных организаций, объединяющей практически все крупные антивирусные компании.

1991 год. Написана программа, предназначенная исключительно для создания вирусов – VCSvl.0.

Вирус SatanBug поражает сотни компьютеров в столице США, Вашингтоне. Страдают даже компьютеры Белого дома. ФБР арестовало автора, им оказался 12-летний подросток.

Зафиксировано появление «бомб замедленного действия» – вирусов, которые активизируются по достижении определенной даты.

1994 год. В Великобритании, США, Норвегии арестованы несколько авторов вирусов. Они отделываются штрафами.

1995 год. Появление макровирусов , рассчитанных на поражение программной среды MS Word.

1999 год. Почтовый вирус Melissa вызвал эпидемию мирового масштаба, поразил десятки тысяч компьютеров и нанес ущерб в $80 млн. После этого инцидента в мире начался обвальный спрос на антивирусные программы. В 2002 году автор Melissa – 33-летний программист Дэвид Смит (David L. Smith) приговорен к 20 месяцам тюремного заключения.

2000 год, май. Рекорд Melissa побил почтовый вирус I Love You! , поразивший миллионы компьютеров в течение нескольких часов. Особенность вируса заключалась в том, что прикрепленный к письму файл с телом вируса активизировался автоматически при открытии пользователем письма для прочтения. Расследование показало, что вирус создал филиппинский студент, который не был осужден из-за отсутствия соответствующих законов в законодательстве Филиппин. В том же году подписано первое международное соглашение о противодействии компьютерным вирусам.

2001 год. Интернет поразил почтовый вирус Anna Kournikova . 20-летний голландец Ян Де Вит (Jan De Wit) был приговорен к 150 часам исправительных работ за создание этого вируса. Суд пришел к выводу, что он не может точно определить размер ущерба, который нанесла «Анна Курникова» экономике Нидерландов. У Де Вита также была конфискована коллекция из 7,5 тыс. вирусов. Де Вит заявил суду, что не имел представления, что написанная им программа окажется вирусом и нанесет кому-либо ущерб.

2002 год. 13 узловых DNS-серверов Интернета, обеспечивающих функционирование Всемирной Сети, подверглись DoS-атаке, организованной при помощи сетевого вируса. Аналитики предупреждают, что хорошо подготовленная и проведенная компьютерная атака может на недели уничтожить Интернет.

2003 год (июль). Рекорды быстроты распространения побил «червь» Slammer , заразивший 75. тыс. компьютеров за 10 минут. В результате активизации вируса-червя Slammer скорость работы сети значительно замедлилась, а некоторые регионы, например, Южная Корея, оказались практически отрезанными от Интернета.

Вирусная атака началась в 0:30 по времени Восточного побережья США или в 8:30 по московскому времени. Где находился источник заражения, до сих пор точно не известно. Некоторые специалисты по компьютерной безопасности предполагают, что вирус распространялся с территории США, другие же считают, что его родина находится где-то в Азии. За считанные минуты червь, использующий уязвимость в СУБД Microsoft SQL Server 2000, наводнил Интернет. Несмотря на малый размер вируса (376 байт ), он смог создать в каналах передачи данных настоящие пробки, поскольку после заражения компьютера он начинает рассылать свой код по случайным IP-адресам в бесконечном цикле. Если по какому-либо из адресов обнаруживался уязвимый компьютер, он заражался и тоже начинал рассылать копии вируса.

Все это привело к крупномасштабному росту трафика. На пике активности червя на один сервер могли приходить сотни запросов в минуту. Не выдержав возросшей нагрузки, некоторые серверы переставали нормально работать. В это время только в США терялось до 20% IP-пакетов, что в десять раз превышает нормальный уровень. По имеющимся данным, от атаки пострадали и пять из тринадцати корневых DNS-серверов.

Об ошибке программного кода в MS SQL Server 2000 стало известно еще летом 2002 г., а исправление к ней содержится в выпущенном Microsoft пакете обновлений Service Pack 3 . Тем не менее за установку патчей администраторы взялись лишь после атаки Slammer. Однако удалось это немногим: сайт Microsoft, откуда только и можно было взять Service Pack, оказался перегружен.

27 января 2004 года. Начало крупномасштабной эпидемии почтового червя Novarg , также известного как Mydoom . Всеми антивирусными компаниями данному червю присвоен максимальный уровень опасности. Количество зараженных писем в интернете исчисляется несколькими миллионами экземпляров.

Червь распространяется через интернет в виде файлов, прикрепленных к зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет размер 22 528 байт, упакован UPX. Размер распакованного файла около 40KB. Червь активизируется, только если пользователь сам откроет архив и запустит зараженный файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения. Червь содержит в себе "бэкдор"-функцию, открывающую ТСР порты с 3127 по 3198 , что делает возможным удаленное управление зараженной системой, отыскивает почтовые адреса в адресной книге, Outlook, и рассылает себя на эти адреса с помощью собственного SMTP клиента, а также запрограммирован на проведение DoS-атак на сайты www.sco.com и www.microsoft.com.

Ущерб от эпидемии вируса MyDoom (он же Novarq) стал самым большим в истории интернет-эпидемий: он составил 2,6 млрд долларов. Такие оценки содержатся в отчете английских экспертов из компании Mi2g.

3 Мая 2004 года. В Интернет обнаружен новый червь Sasser. Червю был присвоен наивысший рейтинг опасности. По оценкам аналитиков, обычный компьютер, подключенный к Интернет и не обеспеченный средствами защиты, подвергается заражению червем в течении 10 минут.

Sasser распространяется путем использования ошибки переполнения буфера в процессе lsass.exe на системах Windows 2000, XP и 2003 Server. После заражения системы червь начинает использовать ее для атак на другие компьютеры через TCP порт 445.

Червь активизируется без вмешательства пользователя и способен поражать любой компьютер, подключенный к сети, вне зависимости от того, используется он в данный момент или нет. Признаком заражения служат различные сообщения о системных ошибках и самопроизвольная перезагрузка системы.

Дальнейшая история развития компьютерных вирусов тесно переплетается с историей развития вредоносного программного обеспечения в целом. В ней практически отсутствуют какие-либо уникальные творческие находки, зато всё более прослеживается желание лёгкой наживы злоумышленников, использующих данное ПО.