Il worm di rete CHRISTMA EXEC – 35 anni e oltre!

Dimentica il sergente Pepper e la sua Lonely Hearts Club Band, che ha insegnato alla band a suonare solo 20 anni fa oggi.

Dicembre 2022 vede il 35° anniversario del primo grande virus informatico ad autodiffusione – l'infame CHRISTMA EXEC worm che ha temporaneamente distrutto le principali reti mainframe dell'epoca...

… non da alcun effetto collaterale deliberatamente codificato come lo scrambling dei file o la cancellazione dei dati, ma semplicemente sottraendo troppa larghezza di banda di rete per il proprio scopo non autorizzato.

Come esca per mascherare il fatto che negli anni '1980 leggeva gli equivalenti IBM della tua rubrica di posta elettronica (NAMES) e il file degli host conosciuti (NETLOG) per trovare il maggior numero possibile di nuovi destinatari del malware a cui inviarsi, il malware mostrava quanto segue:

                * * *** ***** ******* ********* ************* UN ******* *** ******** MOLTO FELICE ****** ***** *************** NATALE ******************* ********** ************* E IL MIO *************** ******************* MIGLIORE AUGURI *********************** ************************** * PER IL PROSSIMO ****** ****** ANNO ******

Se ti stai chiedendo perché il virus è ampiamente conosciuto come CHRISTMA EXEC, piuttosto che dalla parola completa CHRISTMAS...

…questo perché i nomi dei file erano limitati a otto caratteri, che potevano essere seguiti da uno spazio e quella che oggi chiameremmo una “estensione” di EXEC per trasformarli in script che potrebbero essere eseguiti direttamente dall'utente – eseguito, in gergo tecnico.

Il virus stesso è stato scritto nel potente linguaggio di scripting basato su testo di IBM REXX (dal clamoroso nome Esecutore esteso ristrutturato), quindi un non programmatore che guarda il messaggio probabilmente lo riconoscerebbe come "codice di programma", e quindi tenderebbe a ignorarlo come poco importante e irrilevante, per quanto possa sembrare interessante.

Solo che l'autore del virus ha trovato un modo allegro per incorporare un'esca istruttiva direttamente nel codice stesso, che inizia con un'osservazione (come nel linguaggio C, testo tra /* ed */ nei programmi REXX viene trattato come un commento e ignorato quando il file viene utilizzato)...

/*********************/ /* LASCIA QUESTO EXEC */ /* */ /* ESEGUIRE */ /* */ /* AND */ /* */ /* DIVERTITI! */ /************************/

… e poi offre i seguenti allegri consigli ai non tecnici:

/* sfogliare questo file non è affatto divertente, basta digitare NATALE da cms */

CMS è l'abbreviazione di Sistema di monitoraggio conversazionale, un ambiente di prompt dei comandi in cima al venerabile sistema operativo VM/370 di IBM e alle sue numerose varianti, che offriva ai singoli utenti una macchina virtuale in tempo reale che si comportava come un computer tutto per sé, con il proprio spazio su disco per l'archiviazione di file personali e programmi.

Facilmente, all'utente non è stato necessario insegnare a lasciare la finale -S fuori parola CHRISTMAS, perché CMS ignorerebbe automaticamente qualsiasi carattere extra e cercherebbe CHRISTMA EXEC, che era lo stesso programma di script che l'utente aveva appena ricevuto senza aspettarselo o richiederlo.

Come affermato sopra, il codice mostrava effettivamente l'arte ASCII dell'albero di Natale o, più precisamente, l'arte EBCDIC, dato che IBM aveva notoriamente il proprio sistema di codifica dei caratteri noto come Codice di interscambio decimale codificato binario esteso (pronunciato ebb-si-dick).

Ma ha anche setacciato il tuo NAMES ed NETLOG file, che elencano altri utenti e computer che hai regolarmente contattato, e si è copiato su tutti loro, in modo che per ogni utente che ha digitato innocentemente CHRISTMAS al prompt dei comandi...

… un mare di copie del virus (20? 50? 200?) verrebbe distribuito, potenzialmente in tutto il mondo, e se qualcuno di quei destinatari (20? 50? 200?) digitasse innocentemente CHRISTMAS al prompt dei comandi...

…verrebbe distribuito un mare di copie del virus, e così via, e così via.

Sfumature del futuro

Come abbiamo detto in il podcast di questa settimana, dove abbiamo discusso di questo verme seminale:

[Questo è proprio come il moderno macro malware che dice all'utente: "Ehi, le macro sono disabilitate, ma per la tua 'maggiore sicurezza' devi riattivarle... perché non fai clic sul pulsante? È molto più facile così».

35 anni fa, gli autori di malware avevano già capito che se chiedi gentilmente agli utenti di fare qualcosa che non è affatto nel loro interesse, alcuni di loro, forse molti di loro, lo faranno.

Abbiamo anche osservato che:

[Il verme dell'albero di Natale] avrebbe dovuto essere un avvertimento sparato a tutti i nostri archi, ma penso che sia stato percepito come un piccolo fuoco di paglia.

Fino a un anno dopo, poi è arrivato il Verme Internet, che ovviamente ha attaccato i sistemi Unix e si è diffuso in lungo e in largo.

E a quel punto penso che tutti ci siamo resi conto: "Uh-oh, questa scena di virus e worm potrebbe rivelarsi piuttosto problematica".

Se solo ci fossimo sbagliati, eh?

---

---

Immagine in primo piano del terminale IBM 3279 grazie all'utente Scudo per i tuoi occhi via Wikimedia.

---