Melissa 1999: wirus, który złamał pocztę e-mail firm

Erotyczny pseudonim i złośliwy dokument Worda

26 marca 1999 roku na grupie dyskusyjnej alt.sex pojawił się plik List.doc, opisany jako zbiór haseł dostępu do płatnych serwisów erotycznych. Autorem był 30-letni programista z New Jersey, David L. Smith. Dokument zawierał makro napisane w Visual Basic for Applications, które aktywowało się w momencie otwarcia pliku w Wordzie.

Nazwę wirus zawdzięcza tancerce ze striptizu z Florydy, którą Smith poznał podczas jednego z wyjazdów. To on jako pierwszy nadał złośliwemu oprogramowaniu ludzkie, niegroźnie brzmiące imię - trend, który później podchwycili twórcy kolejnych zagrożeń.

Sam kod nie był specjalnie skomplikowany. Jego siła leżała gdzie indziej - w mechanizmie rozprzestrzeniania, który wykorzystywał najbardziej ludzką z cech: zaufanie do wiadomości od znanych nadawców.

Genialnie prosty mechanizm rozprzestrzeniania

Po otwarciu zainfekowanego dokumentu makro sprawdzało, czy na komputerze zainstalowano Microsoft Outlook. Jeśli tak, wirus samodzielnie wysyłał swoją kopię do pierwszych 50 kontaktów z książki adresowej ofiary, podpisując wiadomość zachęcającym tematem w stylu Ważny dokument od Ciebie.

To była pierwsza masowa kampania, w której złośliwe oprogramowanie wykorzystało program pocztowy użytkownika jako własną infrastrukturę dystrybucji. Odbiorca nie widział podejrzanego nadawcy - widział znajomego, kolegę z pracy albo szefa, dlatego bez wahania otwierał załącznik.

• 50 nowych ofiar z każdego zainfekowanego komputera
• Efekt kuli śniegowej - liczba zainfekowanych maszyn rosła wykładniczo
• Brak potrzeby jakiejkolwiek interakcji poza otwarciem pliku

W ciągu zaledwie trzech dni Melissa zainfekowała ponad milion komputerów na całym świecie.

Firmy gasiły serwery pocztowe, żeby przetrwać

Skala ruchu, jaką generowała Melissa, była tak duża, że serwery pocztowe wielu organizacji po prostu się zapychały. Microsoft, Intel, Lockheed Martin i wiele agencji rządowych w Stanach Zjednoczonych musiało tymczasowo odciąć swoje systemy od internetu, żeby powstrzymać lawinę wiadomości.

Szacunki strat mówiły o kwocie zbliżonej do 80 milionów dolarów, licząc czas przestoju, koszty odbudowy systemów i utracone godziny pracy działów IT. To był pierwszy przypadek, gdy jeden dokument biurowy realnie zagrożił ciągłości działania dużych korporacji, a nie tylko pojedynczych komputerów.

Dla ówczesnych administratorów IT był to bolesny sygnał ostrzegawczy - poczta elektroniczna, uznawana za bezpieczne narzędzie biznesowe, stała się głównym wektorem ataku.

Jak złapano autora dzięki cyfrowemu odciskowi palca

Śledztwo FBI okazało się jedną z pierwszych spraw, w których kluczową rolę odegrała metadana zaszyta w pliku Worda. Każdy dokument tworzony w tamtej wersji pakietu Office zawierał unikalny identyfikator GUID, generowany częściowo na podstawie adresu MAC karty sieciowej komputera, na którym powstał.

Śledczy porównali GUID z pliku List.doc z identyfikatorami z wcześniejszych, mniej groźnych makr publikowanych w tych samych grupach dyskusyjnych przez użytkownika o pseudonimie VicodinES. Namierzenie dostawcy internetu, z którego logowała się ta osoba, doprowadziło agentów prosto do Davida L. Smitha.

Smith przyznał się do winy i został skazany na 20 miesięcy więzienia oraz 5000 dolarów grzywny. Był to jeden z pierwszych wyroków w historii USA za rozpowszechnienie złośliwego oprogramowania i pokazał, że nawet anonimowe grupy dyskusyjne nie gwarantują bezkarności.

Dziedzictwo Melissy - dlaczego Word dziś ostrzega przed makrami

Melissa, a rok później ILOVEYOU, zmusiły Microsoft do fundamentalnej zmiany podejścia do bezpieczeństwa pakietu Office. Kolejne wersje programu zaczęły domyślnie blokować makra pochodzące z internetu i wyświetlać ostrzeżenia przed ich uruchomieniem, a producenci antywirusów zaczęli traktować dokumenty biurowe jako pełnoprawny wektor infekcji, nie tylko pliki .exe.

Ćwierć wieku później mechanizm ataku pozostaje zaskakująco aktualny - złośliwe makra w załącznikach nadal trafiają do skrzynek pracowników, tylko zamiast list z hasłami do serwisów erotycznych podają się za faktury czy potwierdzenia dostawy. Zmieniła się treść przynęty, nie sama metoda.

Dla dzisiejszej małej i średniej firmy wniosek jest ten sam co w 1999 roku - ochrona poczty i świadomość pracowników są równie ważne jak zabezpieczenia techniczne. Warto regularnie sprawdzać, czy konfiguracja poczty i polityki bezpieczeństwa w firmie faktycznie nadążają za tym, jak wygląda dziś krajobraz zagrożeń.