Todo empezó una noche del 2 de noviembre de 1988, varios sistemas conectados a la entonces pequeña y rudimentaria Internet en Estados Unidos empezaron a comportarse de forma extraña. Las máquinas se ralentizaban, aparecían procesos que nadie había iniciado y, aunque los administradores intentaban eliminarlos, volvían a aparecer.
¿Que era responsable de esto? un programa que se estaba copiando de un ordenador a otro, ¿Cual? era el Morris Worm, considerado el primer gran gusano informático (después de Creeper), el cual pasó a la historia por causar estragos a alrededor 6000 equipos de universidades, laboratorios de investigación y agencias del gobierno de los Estados Unidos como la NASA y el MIT.
La cifra parece irrisoria, pero en 1988 aquellos 6000 ordenadores conectados al protocolo representaban el 10% del tamaño total de la red de internet.
Su autor era Robert Tappan Morris, un estudiante de posgrado de 23 años de la Universidad de Cornell. Lo que comenzó como un experimento terminó afectando a miles de sistemas y servicios e impulsó la creación inmediata del CERT (Computer Emergency Response Team) en la Universidad Carnegie Mellon, financiado por el gobierno estadounidense, para dar reporte y cobertura a brechas de seguridad como estas, además de más agencias especializadas por todo el mundo.
El «experimento» se salió de control
Morris diseñó el gusano para propagarse automáticamente entre sistemas Unix. Según el, sostuvo posteriormente que su intención no era maliciosa, sino por curiosidad de explorar la red y medir el tamaño completo del protocolo TCP/IP (que da vida a internet y utilizan todas las computadoras).
El gusano estaba escrito en lenguaje C y se dividía en dos componentes principales: un código de arranque (bootstrap) de exactamente 99 líneas de código encargado de infiltrarse en las máquinas víctimas, y el cuerpo principal del malware que, tras ser analizado y descompilado por expertos de la época, sumaba un total de entre 3,200 y 3,300 líneas de código, el disquete original con el gusano se conserva en el Computer History Museum de, Mountain View, California (Silicon Valley).
A pesar de sus intenciónes «loables», Morris era consciente de que propagar un software sin autorización en sistemas informáticos universitarios, gubernamentales y de defensa le podía traer repercusiones negativas, por lo que, para evitar que el rastro apuntara hacia él o hacia su universidad, Morris ejecutó su plan de forma remota: se conectó de manera oculta a un ordenador en el MIT (Instituto de Tecnología de Massachusetts). Desde allí, a las 8:30 p. m. del 2 de noviembre, liberó el programa en la red.
Una copia, otra… y otra más
Morris Worm incorporaba en su código una comprobación para saber si una máquina ya estaba infectada. En teoría, si detectaba otra copia, debía evitar volver a instalarse. Pero Morris añadió una excepción: una de cada siete veces, el gusano se copiaba igualmente aunque ya estuviera presente.
La idea de Morris era impedir que un administrador pudiera engañarlo fingiendo una infección, pero, el resultado fue justo el contrario. Algunas máquinas empezaron a acumular copias y más copias del gusano, todas consumiendo memoria y procesador al mismo tiempo. El problema no fue que fuera malicioso y borrase archivos, sino que se replicaba tanto que acabó saturando los sistemas infectados.
¿Cómo consiguió propagarse?
Una de las razones por las que Morris Worm pudo propagarse tan bien es que no dependía de una sola vulnerabilidad. El gusano atacaba principalmente sistemas VAX y Sun-3 que ejecutaban versiones de Unix derivadas de BSD y utilizaba varias vías de entrada.
Aprovechaba además un fallo en fingerd (un servicio utilizado para consultar información sobre usuarios) y una configuración vulnerable de sendmail (un software de la época encargado de gestionar correo electrónico).
También su codificación intentaba descubrir contraseñas débiles mediante fuerza bruta y aprovechar relaciónes de confianza entre equipos Unix y si una técnica fallaba, podía probar otra.
Morris dió con la tecla, ya que estas vulnerabilidades resultaban especialmente letales en una Internet muy diferente a la actual. Muchas universidades y centros de investigación confiaban bastante entre sí y la seguridad de las redes no estaba preparada para enfrentarse a un programa que aprovechaba automáticamente dicha confianza.
6.000 ordenadores «agusanados»
Las investigaciónes posteriores a este incidente hablan de aproximadamente 6.000 ordenadores afectados (fuentes: FBI, Oficina de Contabilidad General de EE. UU), puede parecer poco comparado con cualquier incidente moderno, pero Internet tenía entonces alrededor de 60.000 sistemas conectados. Si la estimación es correcta, el gusano alcanzó aproximadamente al 10 % de la Internet de la época.
Los casos documentados se concentran en Estados Unidos, especialmente en universidades, centros de investigación y organismos públicos. Entre las instituciones afectadas estuvieron Berkeley, Harvard, Princeton, Stanford, Johns Hopkins, NASA y Lawrence Livermore National Laboratory.
Aunque Internet ya tenía conexiones internacionales en 1988, no hay constancia sólida de una propagación significativa del Morris Worm fuera de Estados Unidos, por lo que quedó prácticamente en territorio nacional.
Durante horas, y en algunos centros durante días, administradores tuvieron que desconectar máquinas y redes mientras intentaban comprender el motivo de la saturación repentina de sus equipos, interrumpiendo procesos, servicios y por ende entorpeciendo sus actividades durante días, lo que generó perdidas de ingresos y prestigio.
Arreglar Internet mientras Internet fallaba
La solución no fue una única “cura”, sino varias correcciones aplicadas a la vez. Los equipos de Berkeley, MIT, Harvard y otros centros analizaron el gusano y tomaron nota de sus estragos, identificaron cómo entraba en los sistemas y empezaron a cerrar esas puertas. Se corrigieron fallos en sendmail y fingerd, se desactivaron servicios vulnerables y se eliminaron manualmente los procesos del gusano de las máquinas afectadas.
Después tocaba evitar que volviera. Muchos administradores desconectaron temporalmente sus equipos de la red, limpiaron las infecciones y solo los reconectaron al asegurarse de que se habían aplicado los parches necesarios. El problema persistió mas allá del gusano, permaneciendo universidades y agencias sin conexión entre otras, por lo que la recuperación dependió mucho de la coordinación entre universidades y administradores.
Nació una nueva forma de responder
Poco después del incidente, DARPA, la agencia de proyectos de investigación avanzada de defensa impulsó la creación del CERT Coordination Center en Carnegie Mellon University.
La idea era disponer de un equipo dedicado a coordinar incidentes de seguridad, compartir información sobre vulnerabilidades y ayudar a distintas organizaciones a responder conjuntamente.
Hoy los equipos especializados en ciberseguridad dedicados a prevenir, detectar, gestionar y responder ante incidentes o emergencias de seguridad informática como CERT y CSIRT son habituales en empresas, administraciones y agencias gubernamentales de todo el mundo.
En parte, esa estructura de respuesta nació porque un gusano había demostrado que un problema en una máquina podía convertirse rápidamente en un problema para toda la red.
¿Qué pasó con Robert Morris?
Morris fue identificado, procesado y en 1990 se convirtió en la primera persona condenada bajo la Computer Fraud and Abuse Act estadounidense de 1986. Recibió tres años de libertad condicional, 400 horas de trabajos comunitarios y una multa de 10.050 dólares.
No fue condenado por estragos deliberados. Aún así el caso dejó más bien una lección de oro en hacking ético, experimentar con sistemas ajenos sin autorización puede tener consecuencias aunque el objetivo inicial no sea causar daños.
