CHRISTMA EXEC nätverksmasken – 35 år och räcker!

Glöm Sergeant Pepper och hans Lonely Hearts Club Band, som lärde bandet att spela för bara 20 år sedan idag.

December 2022 ser den 35-årsdagen av det första stora självspridande dataviruset – den ökända CHRISTMA EXEC mask som tillfälligt krossade dagens stora stordatornätverk...

… inte av några medvetet kodade bieffekter som filkryptering eller radering av data, utan helt enkelt genom att läcka ut för mycket nätverksbandbredd för sitt eget obehöriga syfte.

Som ett lockbete för att dölja det faktum att det på 1980-talet läste IBM motsvarigheter till din e-postadressbok (NAMES) och din fil med kända värdar (NETLOG) för att hitta så många nya mottagare av skadlig programvara som möjligt att skicka sig till, visade skadlig programvara detta:

                * * *** ***** ********* ********* ************* En ******* *** ******** VÄLDIGT GLAD ****** ***** *************** JUL ******************* ********** ************* OCH MIN *************** ******************* BÄSTA ÖNSKAR *********************** ************************* * FÖR NÄSTA ****** ****** ÅR ******

Om du undrar varför viruset är allmänt känt som CHRISTMA EXEC, snarare än med hela ordet CHRISTMAS.

…det beror på att filnamnen var begränsade till åtta tecken, som kunde följas av ett mellanslag och vad vi idag skulle kalla en "tillägg" av EXEC för att omvandla dem till skript som kan köras direkt av användaren – exekveras, i teknisk jargong.

Viruset i sig skrevs i IBM:s kraftfulla textbaserade skriptspråk REXX (det rungande namnet Omstrukturerad Extended Executor), så en icke-programmerare som tittar på meddelandet skulle förmodligen känna igen det som "programkod", och därför tenderar att ignorera det som oviktigt och irrelevant, för allt som det kan se intressant ut.

Förutom att författaren till viruset hittade ett glatt sätt att bädda in ett instruktionsdrag rakt in i själva koden, som börjar med en anmärkning (som på C-språket, text mellan /* och */ i REXX-program behandlas som en kommentar och ignoreras när filen används)...

/***********************/ /* LÅT DETTA UTFÖRANDE */ /* */ /* KÖR */ /* */ /* OCH */ /* */ /* HA DET SÅ KUL! */ /***********************/

...och ger sedan följande glada råd till icke-tekniker:

/* att bläddra i den här filen är inte alls kul, bara skriv JUL från cms */

CMS är en förkortning för System för samtalsövervakning, en kommandotolksmiljö ovanpå IBMs ärevördiga operativsystem VM/370 och dess många varianter, som erbjöd enskilda användare en virtuell realtidsmaskin som betedde sig som en egen dator, med eget diskutrymme för lagring av personliga filer och program.

Användaren behövde praktiskt taget inte läras ut för att lämna finalen -S av ordet CHRISTMAS, eftersom CMS automatiskt skulle ignorera eventuella extra tecken och leta efter CHRISTMA EXEC, som var själva skriptprogrammet som användaren precis hade fått utan att förvänta sig det eller fråga efter det.

Som nämnts ovan visade koden verkligen Christmas Tree ASCII-konsten – eller, mer exakt, EBCDIC-konsten, med tanke på att IBM hade sitt eget teckenkodningssystem känt som Utökad binärkodad decimalutbyteskod (uttalas ebb-si-dick).

Men det trålade också igenom din NAMES och NETLOG filer, som listade andra användare och datorer som du regelbundet kontaktade, och kopierade sig själv till alla, så att för varje användare som oskyldigt skrev CHRISTMAS vid kommandotolken...

…ett hav av kopior av viruset (20? 50? 200?) skulle distribueras, potentiellt över hela världen, och om någon av dessa mottagare (20? 50? 200?) oskyldigt skrev CHRISTMAS vid kommandotolken...

…ett hav av kopior av viruset skulle distribueras, och så vidare, och så vidare.

Nyanser av framtiden

Som vi sa i veckans podcast, där vi diskuterade denna sädesmask:

[Detta är precis som modern makroskadlig kod som säger till användaren: "Hej, makron är inaktiverade, men för din "extra säkerhet" måste du aktivera dem igen... varför inte klicka på knappen? Det är mycket lättare så."

För 35 år sedan hade skribenter av skadlig kod redan kommit på att om du snällt ber användarna att göra något som inte alls ligger i deras intresse, kommer några av dem, möjligen många av dem, att göra det.

Vi anmärkte också att:

[Julgransmasken] borde ha varit ett varningsskott över alla våra bågar, men jag tror att det kändes som en liten blixt i pannan.

Tills ett år senare – då kom Internet Worm, som givetvis attackerade Unix-system och spred sig vida omkring.

Och då tror jag att vi alla insåg: "Åh, den här virus- och maskarscenen kan bli ganska besvärlig."

Om vi ​​bara hade haft fel, va?

---

---

Utvald bild av IBM 3279-terminal tack vare användaren Sköld för dina ögon via Wikimedia.

---