Morris (ver informatique)
Un article de Wikipédia, l'encyclopédie libre.
 |
| Cet article fait partie de la série Programmes malveillants |
| Virus |
| Cabir - MyDoom.A Tchernobyl - Yamanner |
| Ver |
| Bagle - Blaster Code Red - I love you Melissa - Morris NetSky - Nimda SQL Slammer - Santy Sasser - Sobig |
| Cheval de Troie |
| Back Orifice - SubSeven ByteVerify - XXXDial |
| Logiciel espion |
| CoolWebSearch - Cydoor Gator - New.net SaveNow |
| Composeur d’attaque |
| ToneLoc |
| Voir aussi |
| Logiciel malveillant Sécurité informatique Programmation |
Le ver Morris ou ver de Morris[1], parfois appelé Rogue[2], est l'un des premiers vers informatiques distribués via l'Internet et lancé le 2 novembre 1988 à partir du MIT. Il est considéré comme le premier ver et est certainement le premier à avoir attiré l'attention des médias de masse. Il a aussi mené à la première condamnation en vertu du Computer Fraud and Abuse Act de 1986.[3],[4] Ce ver a été écrit par Robert Tappan Morris, à l'époque étudiant à l'université de Cornell, qui est aujourd'hui professeur associé au MIT.
Sommaire |
[modifier] Architecture
Le ver Morris ne fut pas écrit pour causer des dommages mais pour se propager. Des erreurs dans le code l'ont toutefois rendu plus dangereux : un ordinateur pouvait être infecté plus d'une fois et chaque processus additionnel ralentissait la machine au point de la rendre inutilisable.
Le ver Morris exploitait deux vulnérabilités connues dans sendmail, fingerd, et la faiblesse de mots de passe de certains utilisateurs. La faille de sendmail se situait dans la possibilité, en mode 'DEBUG', d'envoyer des fichiers sur une machine distante en utilisant un shell. Ce shell était utilisé pour compiler le code source envoyé[5]. Ce programme une fois compilé était alors en mesure de tenter de se propager à d'autres machines. La deuxième faille utilisée était un dépassement de tampon de l'utilitaire finger initialement conçu pour connaitre à distance l'heure de connexion d'un utilisateur sur un poste. Ce bug permettait au ver de prendre le contrôle et d'utiliser les accès réseau de l'utilitaire pour se connecter à des machines distantes, et d'y migrer comme avec sendmail[5]. Enfin, la troisième technique de propagation profitait des mots de passe faibles des utilisateurs des systèmes infectés : le ver tentait de deviner les mots de passe des utilisateurs à l'aide de dictionnaires, et lorsqu'il trouvait le bon, se copiait sur des machines distantes avec les commandes rsh et rexec.
Lorsque le ver parvenait à une nouvelle machine, il se divisait, effaçait les fichiers qui le contenaient pour ne laisser aucune trace, et une fois sur quinze, envoyait un octet à la machine "128.32.137.13" de l'université de Berkeley, comme message de bon fonctionnement, ou pour détourner les soupçons[5].
Même s'il ne pouvait infecter que des machines VAX exécutant les systèmes 4 BSD et Sun 3, le ver Morris s'est propagé à une vitesse qui ne semblait pas avoir été prévue par son auteur. La charge processeur qu'il nécessitait a alors provoqué des dénis de service, que ce soit en terme de performance, et même d'accès (le nombre processus du ver sur une machine empêchait tout nouveau processus, donc toute connexion d'un utilisateur).
[modifier] Défenses
Une des défenses les plus simples contre ce ver était la création du répertoire /usr/tmp/sh. Le ver utilisait le fichier sh du répertoire /usr/tmp/ pour se propager, et était bloqué lorsque ce chemin était déja utilisé[5].
La faille de sendmail nécessitait de patcher l'application pour supprimer l'option 'DEBUG', celle de Finger pouvait être corrigée en le modifiant légèrement, ce qui rendait caduque l'attaque par dépassement de tampon[5].
Certains systèmes infectés durent se déconnecter du réseau pour se mettre en quarantaine, d'autres se déconnectèrent pour éviter d'être infectés[5].
[modifier] Effets
Il est souvent rapporté qu'environ six mille machines Unix furent infectées par le ver Morris. Le programmeur Paul Graham a affirmé: « j'étais là quand (ce chiffre) a été inventé, et ce qui suit fut la recette : quelqu'un a estimé qu'il y avait environ soixante mille ordinateurs connectés à l'Internet, et que le ver pourrait en avoir infecté dix pour cent. » [1] Le Government Accountability Office, une agence du Congrès américain, a évalué les dommages à une somme de dix à cent millions de dollars américains. Robert Morris a subi un procès et fut condamné pour avoir violé le Computer Fraud and Abuse Act de 1986. Après être allé en appel, il reçut une sentence de trois ans de probation, quatre cents heures de travaux communautaires, et une amende de plus de dix mille dollars.
Le Computer Emergency Response Team (CERT) fut créé en réaction au ver Morris.
Le ver Morris a parfois été appelé le « Grand ver » (Great Worm) à cause de l'effet dévastateur qu'il avait eu sur l'Internet à cette époque, autant pour les pannes causées que pour l'impact psychologique qu'il a eu sur la perception qu'on avait de la sécurité et de la fiabilité de l'Internet. Ce nom dérive des Great Worms de Tolkien, nommés Scatha et Glaurung.
[modifier] Notes et références de l'article
- ↑ en rapport au nom de son auteur
- ↑ par une mauvaise traduction de the rogue software, littéralement le programme vicieux. Cette expression semble être tirée de l'article de John Markoff du New York Times, 9 novembre 1988
- ↑ 18 U.S.C. 1030(a)(5)(a) (1988)
- ↑ Dressler, J. Cases and Materials on Criminal Law, "United States v. Morris" ISBN-13 9780-314-17719-3
- ↑ a b c d e f A report on the Internet worm, Bob Page, 7 novembre 1988
