Sâu mạng CHRISTMA EXEC – 35 năm và còn tiếp tục!

Hãy quên Trung sĩ Pepper và Ban nhạc Câu lạc bộ Những trái tim cô đơn của anh ấy đi, những người dạy ban nhạc chơi ngày nay chỉ cách đây 20 năm.

Tháng 2022 năm XNUMX chứng kiến Kỷ niệm 35 năm virus máy tính tự lây lan lớn đầu tiên - khét tiếng CHRISTMA EXEC sâu đã tạm thời phá hủy các mạng máy tính lớn lúc bấy giờ…

… không phải do bất kỳ tác dụng phụ nào được mã hóa có chủ ý như xáo trộn tệp hoặc xóa dữ liệu, mà chỉ đơn giản là lấy đi quá nhiều băng thông mạng cho mục đích trái phép của chính nó.

Như một mồi nhử để ngụy trang sự thật rằng nó đọc trong sổ địa chỉ email tương đương của IBM những năm 1980 (NAMES) và tệp máy chủ đã biết của bạn (NETLOG) để tìm càng nhiều người nhận phần mềm độc hại mới càng tốt để gửi chính nó tới, phần mềm độc hại đã hiển thị thông tin này:

                * * *** ***** ******* ********* ************* MỘT ******* *** ******** RẤT VUI ****** ***** *************** GIÁNG SINH ******************* ********** ************* VÀ ********************************** TỐT NHẤT của tôi MONG MUỐN *********************** ************************** * CHO NĂM TIẾP THEO ****** ****** NĂM ******

Nếu bạn thắc mắc tại sao virus này lại được biết đến rộng rãi như CHRISTMA EXEC, thay vì bằng từ đầy đủ CHRISTMAS...

…đó là vì tên tập tin bị giới hạn ở tám ký tự, có thể theo sau là khoảng trắng và cái mà ngày nay chúng ta gọi là “phần mở rộng” của EXEC để biến chúng thành các tập lệnh mà người dùng có thể chạy trực tiếp – Thực thi, theo thuật ngữ kỹ thuật.

Bản thân virus này được viết bằng ngôn ngữ kịch bản dựa trên văn bản mạnh mẽ REXX của IBM (được đặt tên rất vang dội). Cơ cấu lại Executor mở rộng), do đó, một người không phải là lập trình viên khi nhìn vào tin nhắn có thể sẽ nhận ra đó là “mã chương trình” và do đó có xu hướng bỏ qua nó vì cho rằng nó không quan trọng và không liên quan, vì tất cả những gì nó có thể trông thú vị.

Ngoại trừ việc tác giả của virus đã tìm ra một cách thú vị để nhúng nội dung hướng dẫn ngay vào chính mã, bắt đầu bằng một nhận xét (như trong ngôn ngữ C, văn bản giữa /* và */ trong các chương trình REXX được coi là một nhận xét và bị bỏ qua khi tệp được sử dụng)…

/*********************/ /* HÃY THỰC HIỆN NÀY */ /* */ /* CHẠY */ /* */ /* VÀ */ /* */ /* HÃY THƯỞNG THỨC */ /* */ /* CHÍNH MÌNH! */ /*********************/

…và sau đó đưa ra lời khuyên thú vị sau đây cho những người không chuyên về công nghệ:

/* duyệt tập tin này chẳng có gì thú vị cả, chỉ cần gõ CHRISTMAS từ cms */

CMS là viết tắt của Hệ thống giám sát đàm thoại, một môi trường nhắc lệnh trên hệ điều hành VM/370 nổi tiếng của IBM và nhiều biến thể của nó, cung cấp cho người dùng cá nhân một máy ảo thời gian thực hoạt động giống như một máy tính của riêng họ, có không gian đĩa riêng để lưu trữ các tập tin cá nhân và các chương trình.

May mắn thay, người dùng không cần phải được dạy để rời khỏi trận chung kết -S không nói nên lời CHRISTMAS, vì CMS sẽ tự động bỏ qua mọi ký tự thừa và tìm kiếm CHRISTMA EXEC, đây chính là chương trình tập lệnh mà người dùng vừa nhận được mà không hề mong đợi hoặc yêu cầu.

Như đã nêu ở trên, mã thực sự đã hiển thị nghệ thuật ASCII của Cây Giáng sinh - hay chính xác hơn là nghệ thuật EBCDIC, vì IBM nổi tiếng có hệ thống mã hóa ký tự riêng được gọi là Mã Interchange thập phân mã nhị phân mở rộng (phát âm là ebb-si-dick).

Nhưng nó cũng lướt qua bạn NAMES và NETLOG các tệp liệt kê những người dùng và máy tính khác mà bạn thường xuyên liên hệ và tự sao chép chính nó vào tất cả chúng, để đối với mọi người dùng vô tình gõ CHRISTMAS tại dấu nhắc lệnh…

…một biển bản sao của virus (20? 50? 200?) sẽ được phân phối, có khả năng trên toàn thế giới và nếu bất kỳ người nhận nào trong số đó (20? 50? 200?) vô tình gõ vào CHRISTMAS tại dấu nhắc lệnh…

…một biển bản sao của virus sẽ được phân phối, v.v., v.v.

Sắc thái của tương lai

Như chúng tôi đã nói trong podcast của tuần này, nơi chúng tôi đã thảo luận về loại sâu tinh dịch này:

[Điều này giống như phần mềm độc hại macro hiện đại nói với người dùng: “Này, macro đã bị tắt, nhưng để 'an toàn hơn', bạn cần bật lại chúng… tại sao không nhấp vào nút? Cách đó dễ dàng hơn nhiều.”

35 năm trước, những người viết phần mềm độc hại đã nhận ra rằng nếu bạn yêu cầu người dùng một cách tử tế làm điều gì đó mà họ không hề quan tâm thì một số người trong số họ, có thể là nhiều người trong số họ, sẽ làm điều đó.

Chúng tôi cũng nhận xét rằng:

[Con sâu trên cây Giáng sinh] lẽ ra phải là một phát súng cảnh báo đối với tất cả các cung của chúng tôi, nhưng tôi nghĩ nó giống như một tia sáng lóe lên trong chảo.

Cho đến một năm sau – rồi đến sâu mạng, tất nhiên là đã tấn công các hệ thống Unix và lan rộng khắp nơi.

Và đến lúc đó, tôi nghĩ tất cả chúng tôi đều nhận ra, "Uh-oh, cảnh virus và sâu này có thể trở nên khá rắc rối."

Giá như chúng ta đã sai, phải không?

---

---

Hình ảnh nổi bật của thiết bị đầu cuối IBM 3279 nhờ người dùng Lá chắn cho đôi mắt của bạn thông qua Wikimedia.

---