El gusano de red CHRISTMA EXEC: ¡35 años y contando!

Olvídate del sargento Pepper y su Lonely Hearts Club Band, que enseñó a la banda a tocar Hoy hace apenas 20 años.

Diciembre de 2022 ve el 35 aniversario del primer gran virus informático autopropagador - el infame CHRISTMA EXEC gusano que aplastó temporalmente las principales redes de mainframe de la época...

… no por ningún efecto secundario codificado deliberadamente, como la codificación de archivos o la eliminación de datos, sino simplemente por el uso excesivo del ancho de banda de la red para su propio propósito no autorizado.

Como señuelo para disfrazar el hecho de que leyó en la década de 1980 los equivalentes de IBM de su libreta de direcciones de correo electrónico (NAMES) y su archivo de hosts conocidos (NETLOG) para encontrar tantos nuevos destinatarios del malware como sea posible a los que enviarse, el malware mostraba esto:

                * * *** ***** ******* ********* ************* A ******* *** ******** MUY FELIZ ****** ***** *************** NAVIDAD ******************* ********** ************* Y MI *************** ******************* MEJOR DESEOS *********************** ************************** * PARA EL PRÓXIMO AÑO ******

Si se pregunta por qué el virus es ampliamente conocido como CHRISTMA EXEC, en lugar de la palabra completa CHRISTMAS...

…eso se debe a que los nombres de archivo estaban limitados a ocho caracteres, que podían ir seguidos de un espacio y lo que hoy llamaríamos una “extensión” de EXEC para convertirlos en scripts que el usuario pueda ejecutar directamente: ejecutado, en la jerga técnica.

El virus en sí fue escrito en el poderoso lenguaje de secuencias de comandos basado en texto REXX de IBM (el rotundo nombre Ejecutor extendido reestructurado), por lo que un no programador que mira el mensaje probablemente lo reconocería como "código de programa" y, por lo tanto, tendería a ignorarlo como sin importancia e irrelevante, a pesar de que podría parecer interesante.

Excepto que el autor del virus encontró una manera alegre de incrustar un señuelo instructivo directamente en el código mismo, que comienza con un comentario (como en el lenguaje C, texto entre /* y */ en los programas REXX se trata como un comentario y se ignora cuando se usa el archivo)...

/*********************/ /* DEJAR QUE ESTE EJECUTADOR */ /* */ /* EJECUTAR */ /* */ /* Y */ /* */ /* ¡DIVIÉRTETE! */ /************************/

… y luego ofrece los siguientes consejos alegres para los no expertos en tecnología:

/* Navegar por este archivo no es nada divertido, solo escribe CHRISTMAS desde cms */

CMS es la abreviatura de Sistema de monitor conversacional, un entorno de símbolo del sistema sobre el venerable sistema operativo VM/370 de IBM y sus muchas variantes, que ofrecía a los usuarios individuales una máquina virtual en tiempo real que se comportaba como una computadora propia, con su propio espacio en disco para almacenar archivos personales y programas

Convenientemente, no fue necesario enseñarle al usuario a dejar la última -S fuera de la palabra CHRISTMAS, porque CMS ignoraría automáticamente cualquier carácter adicional y buscaría CHRISTMA EXEC, que era el mismo programa script que el usuario acababa de recibir sin esperarlo ni pedirlo.

Como se indicó anteriormente, el código sí mostraba el arte ASCII del árbol de Navidad o, más precisamente, el arte EBCDIC, dado que IBM tenía su propio sistema de codificación de caracteres conocido como Código de intercambio decimal codificado binario extendido (pronunciado ebb-si-dick).

Pero también rastreó a través de su NAMES y NETLOG archivos, que enumeraban a otros usuarios y computadoras con los que contactaba regularmente, y se copiaban en todos ellos, de modo que para cada usuario que inocentemente escribió CHRISTMAS en el símbolo del sistema...

…un mar de copias del virus (¿20? 50? 200?) se distribuiría, potencialmente en todo el mundo, y si alguno de esos destinatarios (20? 50? 200?) escribiera inocentemente CHRISTMAS en el símbolo del sistema...

…se distribuiría un mar de copias del virus, y así sucesivamente.

Sombras del futuro

Como dijimos en el podcast de esta semana, donde discutimos este gusano seminal:

[Esto es como el malware de macro moderno que le dice al usuario: “Oye, las macros están desactivadas, pero para tu 'seguridad adicional' necesitas volver a activarlas... ¿por qué no hacer clic en el botón? Es mucho más fácil de esa manera.”

Hace 35 años, los creadores de malware ya se habían dado cuenta de que si les pides amablemente a los usuarios que hagan algo que no les interesa en absoluto, algunos de ellos, posiblemente muchos de ellos, lo harán.

También comentamos que:

[El gusano del árbol de Navidad] debería haber sido un disparo de advertencia en todos nuestros arcos, pero creo que se sintió como un pequeño destello en la sartén.

Hasta que un año después, llegó el Gusano de Internet, que por supuesto atacó los sistemas Unix y se extendió por todas partes.

Y para entonces creo que todos nos dimos cuenta, "Oh, oh, esta escena de virus y gusanos podría resultar bastante problemática".

Si tan solo nos hubiéramos equivocado, ¿eh?

---

---

Imagen destacada del terminal IBM 3279 gracias al usuario escudoparatusojos vía Wikimedia.

---