CHRISTMA EXEC netværksormen – 35 år og tæller!

Glem Sergent Pepper og hans Lonely Hearts Club Band, som lærte bandet at spille kun 20 år siden i dag.

december 2022 ses 35-års jubilæum for den første store selv-spredning af computervirus – den berygtede CHRISTMA EXEC orm, der midlertidigt knuste datidens store mainframe-netværk...

… ikke af nogen bevidst kodede bivirkninger såsom filforvrængning eller sletning af data, men simpelthen ved at udsuge for meget netværksbåndbredde til sit eget uautoriserede formål.

Som et lokkemiddel for at skjule det faktum, at det i 1980'erne læste IBM-ækvivalenter til din e-mail-adressebog (NAMES) og din fil med kendte værter (NETLOG) for at finde så mange nye modtagere af malwaren som muligt at sende sig selv til, viste malwaren dette:

                * * *** ***** ********** ********* ************* En ******* *** ******** MEGET GLAD ****** ***** *************** JUL ******************* ********** ************* OG MIN *************** ******************* BEDSTE ØNSKER *********************** ************************* * TIL NÆSTE ****** ****** ÅR ******

Hvis du undrer dig over, hvorfor virussen er almindeligt kendt som CHRISTMA EXEC, snarere end ved det fulde ord CHRISTMAS...

…det er fordi filnavne var begrænset til otte tegn, som kunne efterfølges af et mellemrum og hvad vi i dag ville kalde en "udvidelse" af EXEC for at gøre dem til scripts, der kan køres direkte af brugeren – henrettet, i teknisk jargon.

Selve virussen blev skrevet i IBMs kraftfulde tekstbaserede scriptsprog REXX (det rungende navngivne Omstruktureret Extended Executor), så en ikke-programmør, der ser på beskeden, vil sandsynligvis genkende den som "programkode", og derfor har en tendens til at ignorere den som ligegyldig og irrelevant, for alt hvad den kunne se interessant ud.

Bortset fra at forfatteren til virussen fandt en munter måde at indlejre et instruktionslokke direkte i selve koden, som starter med en bemærkning (som på C-sproget, tekst mellem kl. /* , */ i REXX-programmer behandles som en kommentar og ignoreres, når filen bliver brugt)...

/***********************/ /* LAD DENNE EXEC */ /* */ /* KØRE */ /* */ /* OG */ /* */ /* NYD DIG SELV! */ /***********************/

…og giver derefter følgende muntre råd til ikke-teknologer:

/* det er slet ikke sjovt at gennemse denne fil, bare skriv CHRISTMAS fra cms */

CMS er en forkortelse for Konversationsovervågningssystem, et kommandopromptmiljø oven på IBM's ærværdige VM/370-operativsystem og dets mange varianter, som tilbød individuelle brugere en real-time virtuel maskine, der opførte sig som en egen computer, med sin egen diskplads til lagring af personlige filer og programmer.

Brugeren behøvede praktisk talt ikke at blive undervist for at forlade finalen -S af ordet CHRISTMAS, fordi CMS automatisk ville ignorere eventuelle ekstra tegn og jage efter CHRISTMA EXEC, som var netop det script-program, som brugeren lige havde modtaget uden at have forventet det eller bedt om det.

Som nævnt ovenfor viste koden faktisk Christmas Tree ASCII-kunsten - eller mere præcist EBCDIC-kunsten, da IBM berømt havde sit eget karakterkodningssystem kendt som Udvidet binær kodet decimal vekselkode (udtales ebbe-si-pik).

Men den trawlede også igennem din NAMES , NETLOG filer, som listede andre brugere og computere, du regelmæssigt kontaktede, og kopierede sig selv til dem alle, så for hver bruger, der uskyldigt skrev CHRISTMAS ved kommandoprompten...

…et hav af kopier af virussen (20? 50? 200?) ville blive distribueret, potentielt over hele verden, og hvis nogen af ​​disse modtagere (20? 50? 200?) uskyldigt tastede CHRISTMAS ved kommandoprompten...

…et hav af kopier af virussen ville blive distribueret, og så videre, og så videre.

Fremtidens nuancer

Som vi sagde i denne uges podcast, hvor vi diskuterede denne seminal orm:

[Dette er ligesom moderne makro-malware, der siger til brugeren: "Hey, makroer er deaktiveret, men for din 'ekstra sikkerhed' skal du tænde dem igen... hvorfor ikke klikke på knappen? Det er meget nemmere på den måde.”

For 35 år siden havde malware-skribenter allerede fundet ud af, at hvis man pænt beder brugerne om at gøre noget, der slet ikke er i deres interesse, vil nogle af dem, muligvis mange af dem, gøre det.

Vi bemærkede også, at:

[Juletræsormen] skulle have været et advarselsskud på tværs af alle vores buer, men jeg synes, det føltes som et lille glimt i gryden.

Indtil et år senere – så kom Internet Worm, som selvfølgelig angreb Unix-systemer og spredte sig vidt og bredt.

Og på det tidspunkt tror jeg, at vi alle indså, "Øh-åh, denne virus-og-orme-scene kunne blive ret besværlig."

Hvis bare vi havde taget fejl, ikke?

---

---

Udvalgt billede af IBM 3279-terminal takket være bruger Skjold for dine øjne via Wikimedia.

---