AIDS Trojan 1989: jak pierwszy ransomware przyszedł pocztą

Dyskietka w kopercie, która zapoczątkowała nową erę przestępczości

11 grudnia 1989 roku pracownicy poczty na całym świecie dostarczyli zwykłe, białe koperty do około 20 tysięcy adresatów w ponad 90 krajach. W środku znajdowała się 5,25-calowa dyskietka opisana jako AIDS Information - Introductory Diskette. Odbiorcami byli głównie subskrybenci listy mailingowej magazynu PC Business World oraz uczestnicy konferencji Światowej Organizacji Zdrowia (WHO) poświęconej AIDS, która odbyła się kilka miesięcy wcześniej w Sztokholmie.

Dyskietka zawierała program, który po uruchomieniu prosił użytkownika o wypełnienie ankiety oceniającej ryzyko zarażenia wirusem HIV. Wyglądało to niewinnie i profesjonalnie - dołączona była nawet licencja użytkownika końcowego, w której drobnym drukiem ostrzegano, że korzystanie z programu wiąże się z zapłatą za licencję. Niewiele osób zwróciło na to uwagę. Nikt nie spodziewał się, że trzyma w rękach pierwszy w historii ransomware.

Jak działał PC Cyborg - koń trojański, który liczył uruchomienia

Program, nazwany później PC Cyborg lub po prostu AIDS Trojan, nie atakował od razu. Po instalacji cierpliwie czekał, licząc kolejne uruchomienia komputera. Dopiero po 90. restarcie uaktywniał się właściwy mechanizm ataku - trojan szyfrował nazwy plików na dysku twardym (używając prostego szyfru symetrycznego) i ukrywał całe katalogi, czyniąc system praktycznie bezużytecznym.

Na ekranie pojawiał się komunikat informujący, że licencja na oprogramowanie wygasła, a użytkownik musi wysłać 189 dolarów (w przypadku licencji na rok) lub 378 dolarów (licencja dożywotnia) na skrytkę pocztową firmy PC Cyborg Corporation w Panamie. To właśnie ten schemat - zablokuj dane, zażądaj zapłaty za ich odblokowanie - stał się wzorcem dla całej późniejszej branży ransomware.

• Wektor infekcji: fizyczna dyskietka wysłana pocztą tradycyjną
• Mechanizm opóźnienia: aktywacja po 90 uruchomieniach systemu
• Szyfrowanie: proste, symetryczne, szyfrowanie nazw plików
• Żądanie okupu: przelew pocztowy na skrzynkę w Panamie

Dr Joseph Popp - biolog, który zamiast szczepionki wysłał wirusa komputerowego

Twórcą ataku okazał się dr Joseph L. Popp, amerykański biolog ewolucyjny z Harvardu, który przez pewien czas pracował jako konsultant do spraw AIDS dla WHO. To właśnie dostęp do listy uczestników sztokholmskiej konferencji umożliwił mu rozesłanie zainfekowanych dyskietek do naukowców i lekarzy zajmujących się tematem AIDS na całym świecie.

Popp został namierzony stosunkowo szybko - między innymi dzięki temu, że adres skrytki pocztowej w Panamie prowadził do niego samego. Po aresztowaniu w Stanach Zjednoczonych i ekstradycji do Wielkiej Brytanii sąd uznał go za niezdolnego do stanięcia przed sądem ze względu na stan zdrowia psychicznego - podobno podczas przesłuchań zakładał na głowę kartonowe pudełko z napisami mającymi chronić go przed promieniowaniem. Nigdy nie odpowiedział formalnie za swój czyn, a jego motywy do dziś pozostają przedmiotem spekulacji - od chęci zysku po chęć zwrócenia uwagi na niedofinansowanie badań nad AIDS.

Od dyskietki do podwójnego wymuszenia - jak ewoluował ransomware

Techniki z 1989 roku wydają się dziś naiwne, ale mechanizm pozostał identyczny przez ponad trzy dekady. Zmieniła się jedynie skala, technologia szyfrowania i sposób płatności. Zamiast przelewu pocztowego na fikcyjną firmę mamy dziś kryptowaluty trudne do namierzenia, zamiast prostego szyfru symetrycznego - algorytmy RSA i AES praktycznie niemożliwe do złamania bez klucza, a zamiast pojedynczych ofiar - całe sieci firmowe, szpitale i infrastrukturę krytyczną.

Współczesny ransomware dodatkowo stosuje tzw. podwójne wymuszenie - przestępcy nie tylko szyfrują dane, ale wcześniej je wykradają i grożą publikacją, jeśli firma nie zapłaci. To sprawia, że sam backup, choć niezbędny, przestał być samodzielną odpowiedzią na zagrożenie.

Co historia AIDS Trojana mówi dzisiejszym firmom

Najważniejsza lekcja z 1989 roku brzmi zaskakująco aktualnie: atak nie musi być technicznie wyrafinowany, żeby zadziałać - wystarczy, że ofiara zaufa nośnikowi lub nadawcy. Wtedy była to dyskietka z pieczątką WHO, dziś to załącznik od rzekomego kontrahenta albo link w wiadomości podszywającej się pod dostawcę usług IT.

• Nigdy nie uruchamiaj oprogramowania ani nośników z niezweryfikowanego źródła, nawet jeśli wygląda oficjalnie
• Utrzymuj aktualne i testowane kopie zapasowe, przechowywane offline lub w izolowanej lokalizacji
• Wdróż ochronę klasy EDR, która wykrywa nietypowe zachowanie plików, a nie tylko znane sygnatury wirusów
• Regularnie szkol pracowników - to oni są dziś odpowiednikiem skrzynki pocztowej z 1989 roku, czyli głównym punktem wejścia ataku

Trzy dekady po pierwszym ransomware mechanizm szantażu pozostaje ten sam, zmieniły się tylko narzędzia. Firmy, które to rozumieją, inwestują w warstwową ochronę, zamiast liczyć na to, że nikt nie wyśle im złośliwej dyskietki.