Morris worm

Il Morris worm o Internet worm è stato uno dei primi worm distribuiti via Internet, e il primo malware della storia a guadagnarsi l'attenzione dei media come il New York Times. Ha inoltre portato il suo creatore verso la prima condanna per pirateria informatica negli Stati Uniti d'America. Il codice del virus è stato scritto da uno studente della Cornell University, Robert Tappan Morris, ed è stato lanciato il 2 novembre 1988 dal laboratorio del MIT (Massachusetts Institute of Technology).

Il floppy contenente il codice del Morris Worm conservato al Boston Museum of Science.

Il Morris worm non fu scritto con lo scopo di provocare danni, ma per valutare le dimensioni di Internet, esso sfruttava alcune vulnerabilità di Unix sendmail, Finger, rsh / rexec e password. Quello che ha trasformato il worm da un innocuo esercizio intellettuale in un virulento denial of service era il meccanismo di diffusione: infatti il worm, prima di invadere un nuovo computer, controllava se vi fosse già una copia in esecuzione, ma anche se il sistema rispondeva "sì" in un caso su 7 il worm si installava lo stesso, infettando i computer della rete più volte.

Storia

Durante il primo anno alla Cornell, nel 1988, Morris iniziò a lavorare su un programma in grado di auto-replicarsi e installarsi nei computer connessi ad Internet sfruttando i bug del sistema operativo Unix. Il programma, battezzato worm (verme) era progettato in modo da entrare nei computer in modo discreto, ovvero occupando il minor spazio possibile in memoria e non disturbando l'attività delle altre applicazioni.

Il programma poteva accedere ai computer in quattro modi:

• tramite un errore di sendmail, il programma usato per gestire la posta elettronica;
• tramite un errore di finger che consentiva di ottenere informazioni sugli utenti di altri computer;
• tramite una caratteristica di Unix che permetteva a chi aveva certi privilegi di averne di equivalenti su un altro computer;
• tramite un programma di individuazione di password.

Morris pubblicò il programma alle ore 18 del 2 novembre 1988 da un computer del Massachusetts Institute of Technology, in modo che nessuno potesse collegarlo alla Cornell University.

Una volta trovato un computer sulla rete il worm controllava se questo era già infetto. Nel caso lo fosse il programma passava di norma al computer successivo. Tuttavia, temendo che gli amministratori di sistema potessero indurre i computer attaccati a produrre una falsa risposta positiva, Morris progettò il worm di modo che si installasse anche in una piccola parte (uno su sette) delle macchine che apparivano già infette. Il programma era progettato per autocancellarsi allo spegnimento del computer, ma al tempo le macchine erano raramente spente, portando a una diffusione incontrollata del virus.

Il “rapporto 1 a 7” portò a conseguenze impreviste e non volute. Il numero di macchine infette era molto superiore a quelle previste da Morris. Il worm si replicava centinaia di volte negli stessi computer, sovraccaricando la loro memoria e portando i processori al collasso, rendendo le macchine inservibili in meno di novanta minuti dall'installazione della prima copia del worm. Al tempo si stimò che il Morris Worm aveva colpito circa 6000 computer.

La mattina seguente migliaia di computer collegati alla rete diventarono inutilizzabili, al punto che, malgrado mancassero pochi giorni alle elezioni presidenziali, molte delle prime pagine dei quotidiani erano dedicate a quanto accaduto, congetturando persino la fine dell'era dell'informazione.

Morris, accorgendosi che la situazione gli era sfuggita di mano, chiese aiuto a un ex compagno di studi di Harvard e insieme inviarono in rete un messaggio anonimo, contenente tutte le istruzioni su come riparare le macchine infette. Contemporaneamente, l'Università di Berkeley mise a disposizione in rete una patch in grado di neutralizzare il programma e ripristinare i sistemi. Ma pochi poterono leggere il messaggio o avere accesso alla patch, in quanto molti computer non potevano essere riavviati e quelli utilizzabili erano stati disconnessi dalla rete per evitare l'infezione.

Il giornalista John Markoff individuò Robert Morris come l'autore del worm grazie a una telefonata anonima alla testata per cui lavorava, il New York Times. Morris fu, nel 1991, la prima persona condannata per violazione del Computer Fraud and Abuse Act, una legge approvata appena due anni prima: la sua pena fu fissata in tre anni di libertà condizionata, 400 ore di servizi socialmente utili e 10.050 dollari di multa. I difensori di Morris evidenziarono, in particolare sui media, che il suo atto, definito in alcuni casi "eroico", non aveva portato alla distruzione di dati e aveva mostrato delle falle nella sicurezza di UNIX. Una commissione di indagine formata da Cornell University, pur riconoscendo che Morris non aveva intenzione di distruggere dati o rendere le macchine inutilizzabili, definiva invece l'atto come "immaturo", "senza valore tecnico o sociale" e "irrispettoso delle potenziali conseguenze".

Il governo degli Stati Uniti, in risposta al Morris worm, creò presso la Carnegie Mellon University il CERT (Computer Emergency Response Team), una squadra di esperti di informatica pensata per evitare il ripetersi di eventi simili.

Bibliografia

• (EN) Katie Hafner e John Markoff, Cyberpunk: Outlaws and Hackers on the Computer Frontier, New York, Simon & Schuster, 1991, ISBN 978-0-684-81862-7.
• (EN) US Court of Appeals, UNITED STATES of America v. Robert Tappan MORRIS, su scholar.google.com, 7 marzo 1991. URL consultato il 26 aprile 2019.