Morris Worm - Il primo worm di Internet

Di AlphaRegulus per ComeDonChisciotte.org

Chissà se Robert Tappan Morris, studente della Cornell University, abbia avuto quella catastrofica visione del futuro e sia stato spinto dalle stesse motivazioni di Nick Halflinger, l'eroe del romanzo "The Shockwave Rider", di John Brunner, che, ritrovandosi in un mondo apocalittico e distopico (termine che indica l'esatto contrario del concetto di utopico), dominato da un regime totalitario e controllato interamente da una rete di super calcolatori, una volta catturato, decide di non fuggire, ma, con il solito slancio altruista tipico degli eroi dei romanzi, preferisce liberare l'umanità da questo opprimente giogo virtuale con un'originale idea.

In pochi mesi di lavoro, aiutato da un anonimo, ma sapientissimo ricercatore, riuscirà a scrivere un micidiale programma (tape worm), avente le particolari caratteristiche di autoreplicarsi attraverso la rete, in grado di orientarsi in questa, di scovare e rendere pubbliche le informazioni tenute segretissime dal regime, come: il programma di produzione di bambini menomati, la corruzione e le tangenti delle grandi industrie, i crimini commessi dai pubblici ufficiali, ecc..

Tuttavia rimangono veramente singolari alcune corrispondenze del suddetto romanzo con l'incidente informatico iniziato il fine pomeriggio di quel Mercoledì 2 Novembre 1988 da un programma scritto e messo in rete da Robert Tappan Morris, che a causa di una serie di errori di programmazione (bug) non prodotti intenzionalmente, sembra aver innescato un virtuoso processo a catena, talmente rapido ed imprevedibile in termini di espansione, diffusione e impatto sul sistema nazionale, che lasciò letteralmente stupefatti gli stessi esperti di sicurezza.

Probabilmente il grave evento sarebbe passato in sordina, se il 4 Novembre 1988 il New York Times non avesse pubblicato l'articolo di John Markoff, dal titolo: 'Virus' in Military Computers Disrupts Systems Nationwide - 'Virus' Injected in Military Computers - Experts call it the largest assault ever on the nation's systems.

Con questo articolo, nel pieno della campagna elettorale tra Bush e Dukakis, per la prima volta l'opinione pubblica americana venne messa al corrente che il sistema informatico nazionale stava subendo un grave e massiccio attacco per opera di un misterioso programma, chiamato 'virus' (per il parallelismo delle modalità di attacco, penetrazione e diffusione con i reali virus biologici), attivato su un sistema appartenente alla rete militare MILNET da uno sconosciuto personaggio, la sera di Mercoledì 2 Novembre 1988.

Negli articoli successivi la stessa opinione pubblica scoprirà che il programma in questione aveva una micidiale capacità di scovare le vulnerabilità e penetrare autonomamente nei sistemi connessi in rete, autoreplicarsi e diffondersi ad altri sistemi tramite la rete stessa; infine, i sintomi del sistema infettato si manifestavano con un progressivo rallentamento delle prestazioni, che in brevissimo portava al collasso (crash) del sistema. Nel caso in cui il sistema colpito fosse stato spento e riattivato, venivano notati un numero altissimo di anonimi e misteriosi programmi attivati al suo interno, che portavano in brevissimo tempo all'inutilizzo del sistema e nuovamente al suo collasso.

Indubbiamente gli effetti del programma di Morris ebbero una diffusione ed una velocità epidemica mai riscontrata fino a quel momento: in meno di 90 minuti riuscirà a bloccare quasi il 10% dei sistemi degli allora 60.000 connessi in rete, disposti in qualsiasi parte del territorio americano e appartenenti al Dipartimento della Difesa, la N.A.S.A. e ad altri importanti strutture militari, grosse aziende, centri di ricerca, università, laboratori, ospedali, strutture governative, ecc..

Per non parlare poi del reale danno economico che questa epidemia provocò. Considerando che mediamente gli esperti di sicurezza necessitavano di circa 1.000 ore lavorative per bonificare 200 sistemi infettati dal programma di Morris, è stato stimato che questo programma abbia provocato un danno compreso tra i 15 e i 100 milioni di dollari alla società americana. Sostanzialmente la differenza tra le due cifre riportate dipende da quanto e come gli analisti computano il 'fermo macchina' dei sistemi infetti e la relativa perdita in termini di produttività ed efficienza che il tessuto economico e sociale non ha potuto beneficiare a causa della non disponibilità dei servizi fruibili dai sistemi infettati.

Tanto per dare un esempio della portata del fenomeno: alla Canergie - Mellon University 80 dei 100 computer connessi in rete risultarono infettati, mentre alla Winsconsin University il 'virus' mise fuori uso 200 dei 300 sistemi disponibili.

Se pensiamo che appena tre giorni dopo l'accaduto risultò chiaro e lampante che tutto questo pandemonio era stato scatenato da un programma composto da sole 99 istruzioni, scritto in linguaggio C da un 'brillante' studente di 23 anni della Cornell University, indubbiamente la vicenda presentava una situazione imbarazzante, difficilmente giustificabile, con dei risvolti piuttosto inquietanti e preoccupanti.

Ma adesso cerchiamo di approfondire ed analizzare questo evento che ha rappresentato una svolta epocale sotto molti punti di vista.

Innanzitutto, l'opinione pubblica ha avuto la percezione di un fenomeno e di una problematica fino a quel momento sconosciuti; secondo di poi, ci fu la consapevolezza da parte degli addetti ai lavori, nonostante fossero generalmente note e conosciute le vulnerabilità e le criticità dei sistemi attaccati dal programma di Morris, che era il momento di cambiare registro: non poteva più essere sottovalutato il problema della sicurezza, dovevano necessariamente essere risolte le problematiche di fragilità e di vulnerabilità congenite che i sistemi presentavano. La scarsa analisi dei rischi e la sottovalutazione del fenomeno da parte degli esperti del settore, sommate alla falsa certezza di essere di fronte ad una problematica completamente controllabile e gestibile dagli stessi, l'evento generato da Morris dimostrarono, in tutta la loro evidenza, la falsità di queste supposizioni; infatti, nonostante le cause fossero state quasi immediatamente individuate, nessuno aveva mai preso seriamente in considerazione e valutato gli effetti di un potenziale fenomeno, della sua reazione a catena e delle conseguenze veramente drammatiche che tutta la struttura informativa poteva subire. Non a caso, ipotizzando che nel programma di Morris fosse stata prevista un'azione deleteria, come la cancellazione, alterazione o distruzione della parte software del sistema infettato, l'epidemia avrebbe avuto un effetto veramente devastante.

Infine, indubbiamente il caso Morris ha rappresentato una leva psicologica fortissima in determinati ambienti, incoraggiando, stimolando e motivando molte persone a sperimentare tutta una serie di iniziative perverse di utilizzo delle potenzialità della rete; infatti, per molti questo avvenimento viene considerato il punto di partenza di una serie di eventi che si svilupperanno in modo esponenziale negli anni successivi (cavalli di troia, worm, spyware, attacchi al sistema, spamming, mail bombing, ecc..).

Nella vicenda tuttavia emergeranno altre singolari coincidenze, la più clamorosa di queste è stata che Robert Tappan Morris Senior, padre dell'autore del programma, esperto di sicurezza dei sistemi informatici, autore di molti trattati scientifici sulla sicurezza dei sistemi UNIX, rivestiva un ruolo di spicco (Chief Scientist) nella National Computer Security Center (NCSC), braccio operativo dell'area sistemi informatici della potente e influente agenzia governativa di sicurezza nazionale N.S.A .(National Security Agency).

Infatti, da subito risultò chiaro agli esperti di sicurezza che riuscirono a decodificare ed analizzare il comportamento del programma, che quest'ultimo adottava una serie di precauzioni per nascondersi all'interno del sistema infetto, accedeva a determinate informazioni del sistema, sfruttando delle specifiche vulnerabilità ed utilizzava delle insolite modalità di attivazione; insomma, l'autore del 'virus' era un profondo conoscitore dei sistemi attaccati; una persona molto preparata, competente e ben informata.

Inoltre, l'altra coincidenza non da poco, gli esperti notarono che non tutti i sistemi connessi in rete venivano infettati; infatti si trattò di un'epidemia, seppur su larga scala, limitata ai soli sistemi VAX della D.E.C. (Digital Equipments Cumputers) e Sun MicroSystem; l'altra interessante combinazione è che la stessa estate Morris Jr. aveva lavorato nei laboratori AT&T della Bell, nell'ambito di un progetto riguardante la riscrittura di un software di sicurezza delle comunicazioni tra sistemi connessi in rete, che, guarda caso, risulteranno avere la stessa piattaforma operativa di quella attaccata dal 'virus'.

Ma seguendo l'avvicendarsi degli eventi, il New York Times iniziò ad interessarsi della vicenda a seguito di una telefonata fatta in redazione la sera del 3 Novembre 1988 (noto come 'Giovedì nero'), in cui l'anonimo interlocutore sembrava molto ben informato sulla vicenda allora in pieno sviluppo; infatti, questi sosteneva che la causa di tale emergenza nazionale, i cui contorni si stavano delineando in tutta la loro drammaticità, era stata provocata da un programma scritto con la finalità di un esperimento informatico, ma che, una volta messo in rete ed attivato, gli errori di programmazione presenti nel programma avevano provocato un comportamento dello stesso con effetti e conseguenze minimamente previste ed assolutamente impensabili, completamente al di fuori dalle intenzioni dell'autore.

Probabilmente non sapremo mai le vere motivazioni per le quali effettivamente Morris Jr. decise di scrivere ed attivare il programma in rete; secondo la sua tesi, sostenuta anche nel dibattito processuale, il programma era stato scritto con il proposito di espandersi e replicarsi autonomamente e lentamente attraverso la rete, adottando tutta una serie di procedure per nascondersi nel sistema infetto e rendere la sua identificazione molto difficoltosa. Tuttavia la suddetta tesi interpretativa dei fatti non risparmierà Morris di essere incriminato dall'Art. 18 della legge Computer Fraud and Abuse Act del 1986, con una pena di 3 anni di libertà condizionata, un'ammenda di 10.000 dollari e 400 ore di riabilitazione nella comunità di recupero.

La storia racconta che Morris Jr. una volta attivato il programma dal sistema VAX 11/750 presso il MIT Intelligence Laboratory, identificato in rete con il nome prep.ai.mit.edu. [Come riporta Donn Seeley nel suo "A tour of the Worm": "... Il programma era stato rimosso più tardi .... Il sistema attivato con utente 'prep' è stato bloccato per due settimane. Il sistema non necessitava di lavorare con identificazione utente, inoltre i dischi non avevano il backup su nastro, un bersaglio perfetto..."], si rese conto della micidiale ed inaspettata onda d'urto scatenata dal suo programma che stava rapidamente invadendo la rete, infatti, proprio per una serie di errori presenti nel programma si scatenò un'infezione a catena dalle dimensioni gigantesche e incontrollabili. Subito dopo, accortosi del danno provocato, Morris fu colpito dal panico, così decise di segnalare il fatto e scusarsi, inviando una mail ad una sconosciuta lista di discussione, cosa che nel caos di quei momenti passerà del tutto inosservata.

Nel frattempo gli specialisti ed esperti di sicurezza avevano individuato i punti critici dei sistemi attaccati dal programma e fornito via mail le modalità per arrestare il processo di infezione, rendere innocuo il programma, ripulire il sistema attaccato, fornire la patch necessaria a tamponare le suddette vulnerabilità.

Peccato che queste informazioni non furono disponibili per tutti quegli amministratori di sistema, che essendosi accorti della dilagante epidemia, provvidero a sconnettere i sistemi dalla rete.

Intanto la comunità scientifica iniziava ad interrogarsi su questo evento, tutto sommato atteso, ma certamente non di quella intensità e gravità, dividendosi in due distinte scuole di pensiero: la prima riteneva che questi eventi erano necessari al fine di prendere le dovute precauzioni, sensibilizzando il fenomeno mediante la concreta dimostrazione della fragilità e della vulnerabilità di determinate strutture; la seconda, invece, criminalizzava queste azioni, in quanto la presenza di una serie di vulnerabilità dei sistemi non poteva essere una scusa sufficiente per giustificare e sentirsi autorizzati ad attaccarli, comprometterli e danneggiarli.

Tanto per dare un'idea dei differenti punti di vista, Paul Graham, studente alla Cornell University, coetaneo amico di Morris, il giorno 8 Novembre 1988, lasciò una dichiarazione al New York Times, nella quale esprimeva il suo punto di vista sulla vicenda: "... Graham sostiene che gli Stati Uniti sono i principali produttori di software perché gli 'hacker', persone per natura senza fermezza, effettuano un'azione coercitiva sui codici dei programmi...".

Anche in questo caso è curioso notare un'ulteriore coincidenza: Graham nel 1995 fonderà con Morris la ViaWeb Inc., una dot com che si propose sul mercato con un'interessante piattaforma software per sviluppare applicazioni di commercio elettronico (e-commerce), successivamente venduta nel 1998 a Yahoo alla cifra di 49 milioni di dollari.

Tuttavia, lo stesso articolo del New York Times si concludeva con un messaggio del Prof. Eugene Spafford, il quale diceva " ... Alcune persone stanno pretendendo che Morris non sia incolpato perché ci avrebbe fatto un favore, essendo un nostro sbaglio non avere ancora risolto i problemi di sicurezza. Questa attitudine è completamente reprensibile, sarebbe come in uno stupro incolpare la vittima; questo lo trovo moralmente ripugnante".

Nonostante che in quel periodo il dibattito non si placasse, la risposta a livello amministrativo per questa grave e perniciosa problematica fu la fondazione da parte del Dipartimento di Stato del C.E.R.T. (Computer Emergency Response Team), avente la missione di controllare e monitorare continuamente lo stato della sicurezza della rete, raccogliere le risorse, competenze e professionalità, per fornire un fronte comune di difesa e reagire alle minacce ed ai pericoli ai quali erano esposti i sistemi informativi.

Anche se fino adesso abbiamo riportato il concetto di 'virus', in realtà questo evento segna un seconda tappa importante nella storia dell'informatica, perché da questo momento gli esperti iniziano a definire il programma di Morris con il termine di 'worm', per l'analogia del comportamento di replica ed espansione in rete con il programma (tape worm), ipotizzato da John Brunner nel romanzo The Shockwave Rider.

Bisogna peraltro sottolineare che a livello concettuale esiste una differenza sostanziale tra 'worm' e 'virus'. Un 'virus' è un programma che necessita di essere presente all'interno del sistema vittima, generalmente si maschera all'interno di un programma o di un file presenti nel sistema; una volta inserito al suo interno il programma rimane in "sonno", fino a quando non si scatena un evento che lo attiva, operazione tipicamente effettuata inconsapevolmente dall'utente, per esempio, si pensi all'apertura dei file allegati ai messaggi di posta elettronica.

Sempre a livello concettuale, una volta attivato, il 'virus' prende possesso del sistema e provvederà ad agire con due distinte modalità: la prima cercare di infettare nuovi sistemi tramite le risorse disponibili: dischetto, rete, risorse condivise, posta elettronica, ecc.., la seconda, generalmente, si scatena dopo un periodo di tempo dall'infezione, in modo da poter garantire una certa probabilità di contagio di altri sistemi e provvede a generare eventuali danni o malfunzionamenti del sistema infettato, in base alla gravità stabilita da colui che lo ha programmato.

Il 'worm' invece presenta una differenza sostanziale dal 'virus'. Si tratta di un programma capace di replicarsi ed espandersi in modo totalmente autonomo; inoltre, non è necessaria la condizione di risiedere all'interno del sistema vittima per attivarsi, poiché sono sfruttate le vulnerabilità che il sistema presenta.

Tuttavia la genesi dei 'worm' inizia a metà degli anni '70 con il programma di Bob Thomas, il quale era capace di diffondersi autonomamente, ma non di replicarsi, nella rete di calcolatori utilizzati nel controllo del traffico aereo; più nello specifico, quando la competenza di un controllo aereo passava ad un altro operatore, magari disposto in altra parte del territorio, il programma scritto da Thomas era capace di avvertire, con degli specifici messaggi, gli operatori interessati del passaggio di consegne.

Nel 1980 Jon Hepps e John Shock dei laboratori Xerox di Palo Alto approfondirono e sperimentarono una serie di programmi studiati per diffondersi ed agire autonomamente attraverso la rete, aventi la finalità di ottimizzare le risorse dei sistemi connessi; addirittura uno di questi programmi veniva chiamato "vampire", perché si attivava la notte, provvedeva a fare determinate operazioni in rete e la mattina, automaticamente, si disattivava, per poi riprendere il lavoro la notte successiva.

Tuttavia il suddetto progetto di sviluppo dei programmi autoreplicanti, capaci di diffondersi ed accedere autonomamente alle risorse della rete, ebbe una brusca battuta d'arresto, quando gli esperti si accorsero che i suddetti programmi potevano produrre degli effetti deleteri dalle conseguenze imprevedibili, qualora questi avessero presentato degli errori di programmazione o fossero programmati con delle finalità distorte; a riprova di questo, quando una mattina furono trovati molti sistemi bloccati a causa di un errore di programmazione immesso nel codice dei suddetti programmi di rete, questo avvenimento persuase la Xerox ad abbandonare il progetto.

Ma tornando alla tematica delle vulnerabilità dei sistemi, è importante sottolineare ancora una volta che queste consentono, dall'esterno, di attivare determinate procedure sul sistema, indipendentemente che il codice malizioso si trovi all'interno del sistema stesso.

Nel caso specifico del 'worm' scritto da Morris, questo prevedeva un'azione combinata di attacco su tre diverse direttrici, le quali sfruttavano altrettante vulnerabilità di cui solo i sistemi VAX e Sun Microsystem erano affetti:

• Comando di 'debug' del programma 'Sendmail';

• L'utilità di sistema del programma 'finger'

• I comandi di gestione remota 'rexec' e 'rsh'

Senza entrare nei dettagli tecnici, ma per far percepire al lettore quanto per la sicurezza dei sistemi il fenomeno delle vulnerabilità sia un problema ancora oggi di grande importanza e pericolosità, basta riflettere sul fatto che il programma 'Sendmail' veniva utilizzato per la gestione della posta elettronica dei suddetti sistemi. Sendmail prevedeva una funzione molto usata al quel tempo: un utente poteva connettersi in remoto al sistema e inviare dei messaggi a quest'ultimo, il quale provvedeva a inoltrarli ai destinatari. Questa funzione pertanto consentiva al titolare, qualora si fosse assentato per un lungo periodo dal suo posto di lavoro, di usufruire della posta elettronica, gestendo il suo sistema in remoto. L'idea di per sé eccellente, veniva realizzata collegandosi al sistema tramite la rete, successivamente inviando un comando di 'debug' Sendmail consentiva di attivare determinate procedure sul sistema stesso. Tuttavia per una serie di errori presenti nel suddetto programma, il comando 'debug' consentiva all'utente remoto di eseguire anche ulteriori funzioni da quelle previste.

Sostanzialmente, l'attacco a questa vulnerabilità consisteva nell'iniettare nel sistema vittima, come se fosse un semplice messaggio di posta elettronica, una parte del codice del 'worm'; successivamente, una volta che il 'worm' era stato acquisito dal sistema, la modalità di 'debug' di Sendmail consentiva una serie di operazioni capaci di attivare il 'worm', con la conseguente ed inevitabile infezione del sistema.

Una seconda interessante modalità di attacco consisteva nel cercare di accedere al sistema sfruttando la diffusissima e sempre comunissima abitudine dell'autenticazione debole o inesistente da parte degli utenti; a tale proposito, in "Unix Operating System Security" di Morris e Grampp è importante sottolineare un passaggio " ... per esempio, se il nome di login è 'abc', allora 'abc', 'cba' e 'abcabc' sono degli eccellenti candidati per la password ..".

Infatti, il 'worm' tentava di accedere al sistema tramite il metodo di 'password guessing', ovvero dedurre la password di accesso al sistema, facendo una serie di congetture partendo dal presupposto del nome di account conosciuto e provando una serie di combinazioni di lettere con il metodo sopra accennato da Morris e Grampp; inoltre, qualora questo metodo non fosse andato a buon fine, il virus tentava di indovinare la password in un vocabolario di 452 parole, comunemente usate dagli utenti.

Come il lettore avrà certamente capito, l'evento del 'worm' di Morris ha segnato una tappa veramente importante nella storia della sicurezza dei sistemi in quanto, nonostante non sia stato programmato con intenzioni distruttive o di danneggiamento dei sistemi infetti, riuscirà comunque a provocare un danno reale di dimensioni nazionali ed uno shock emotivo non indifferente. Da questo fatto certamente l'approccio alla sicurezza informatica è indubbiamente cambiato e maturato; inoltre, questo caso farà luce su una serie di potenzialità di attacco e di minacce che, fino a quel momento, rimanevano di esclusiva conoscenza degli addetti ai lavori, dimostrando chiaramente che un'espansione della rete e degli accessi ad essa comporterà un incremento vertiginoso delle problematiche, cosa che, effettivamente, oggigiorno ne constatiamo e ne subiamo le conseguenze.

Sulla base di queste considerazioni e delle precedenti esperienze è pertanto opportuno prendere in seria considerazione il problema della sicurezza del nostro sistema, valutando attentamente rischi, pericoli e l'impatto degli eventuali attacchi sulle risorse del sistema, analizzando le vulnerabilità, privilegiando un'adeguata autenticazione per l'accesso alle risorse, utilizzando metodologie e tecnologie capaci di ridurre ragionevolmente il livello di rischio, ponendo molta attenzione alla periodicità degli aggiornamenti strutturali del sistema (bug fix, patch, Service Pack, ecc..) in grado di eliminare eventuali vulnerabilità e punti critici.

Insomma, è necessario provvedere a tutti quegli accorgimenti, non certamente finalizzati ad eliminare completamente il problema della sicurezza, ma protesi ad alzare il livello di difesa ed abbassare quello di rischio del sistema.

Per concludere, il lettore dovrebbe riflettere su questa indicativa frase di Dennis Miller " ..ricordatevi che quando con il vostro computer siete connessi ad Internet, tutta Internet è connessa al vostro computer ...", tenendo presente che oggigiorno, quando un sistema è connesso ad Internet, si trova a navigare in uno spazio virtuale, popolato da qualche miliardo di dispositivi, tutti potenzialmente connessi alla stessa rete Internet, da queste semplici considerazioni, quindi, il lettore stesso tragga le dovute conclusioni!

Di AlphaRegulus per ComeDonChisciotte.org

07.09.2026

BIBLIOGRAFIA

1. 'Virus' in Military Computers Disrupts Systems Nationwide - By JOHN MARKOFF; New York Times; Nov 4, 1988; pg. A1, 2

2. 'Author of Computer 'Virus' Is Son Of N.S.A. Expert on Data Security' By JOHN MARKOFF; New York Times Nov 5 1988

3. 'How a Need for Challenge Seduced Computer Expert' By JOHN MARKOFF; New York Times; Nov 6, 1988; pg. 1, 2

4. 'Living With the Computer Whiz Kids' By JOHN MARKOFF; New York Times; Nov 8 1988;

5. The What, Why, and How of the 1988 Internet Worm - http://www.snowplow.org/tom/worm/worm.html

6. The Morris Worm: how it Affected Computer Security and Lessons Learnd by it http://www.wbglinks.net/pages/reads/misc/morrisworm.html

7. A Tour of the Worm Donn Seeley - Department of Computer Science - University of Utah http://www.smoke.com.au/~ic/worm.html

8. Remembering the net crash of '88 by Bob Sullivan - http://www.msnbc.com/news/209745.asp

9. Robert Tappan Morris website - http://www.pdos.lcs.mit.edu/%7Ertm/