Присоединяйтесь к Матрице, мистер Курц

Вот, допустим, ждали мы 12 февраля, потому что 12 февраля вирус MyDoom.A был запрограммирован умолкнуть. К 12 февраля стало ясно, что пока MyDoom.A собирался умолкнуть, нашлись многочисленные продолжатели традиций. После 12 февраля резвящихся на воле вирусов стало немногим меньше. В толпе зловредных скриптов прослеживаются малоприятные тенденции.

По данным "Лаборатории Касперского" за январь 2004 года, копии вируса MyDoom.A составили 78,32% всех вирусов, появившихся за месяц (хотя Sophos утверждает, что всего 25,1%). При том, что MyDoom.A появился 26 января. За пять дней это изобретение больного ума превзошло весьма убедительный результат Sobig.F, от которого юзеры стонали в августе-сентябре. И дальше мы наблюдаем изумительное разнообразие.

26 января - MyDoom.A: рассылает сам себя через встроенный SMTP-клиент, открывает на компьютере "черный ход", с 1 по 12 февраля с зараженных машин атакует сервер SCO Group.

28 января - MyDoom.B: заражает компьютеры, уже зараженные MyDoom.A, подключает их к DDoS-атаке на сервер Microsoft.

6 февраля - Deadhat: сканирует сеть в поисках компьютеров, зараженных MyDoom.A и MyDoom.B, стирает ряд системных файлов, контролируется автором через IRC.

9 февраля - Doomjuice.A: заражает компьютеры, зараженные MyDoom.A, подключает их к DDoS-атаке на сервер Microsoft, распространяется с исходником MyDoom.A.

11 февраля - Doomjuice.B: заражает компьютеры, зараженные MyDoom.A, подключает их к DDoS-атаке на сервер Microsoft.

11 февраля - Welchia.B (Nachi.B): качает заплаты для дыр в MS Windows, стирает MyDoom.A и MyDoom.B.

12 февраля - Doomhunter: стирает на зараженной машине файлы вирусов MyDoom.A, MyDoom.B, MSBlast и MSBlast.C.

12 февраля - Deadhat.B: стирает ряд системных файлов, деинсталлирует варианты MyDoom, блокирует антивирусное ПО, подключается к IRC и ждет команд от автора.

Возникает стойкое ощущение, что люди в этой картине мира не нужны вовсе. Разве что файл запустить. Вирусы как-то и без людей справляются. Они друг друга даже лечат. Полное самообслуживание. Человеческий фактор явно избыточен.

MyDoom, безусловно, рекордсмен. Прежде всего, с точки зрения скорости распространения. Интересен он, однако, не этим - в конце концов, мы ни секунды не сомневались, что рано или поздно появится зараза, которая опередит CodeRed, MSBlast или Sobig.F. MyDoom интересен как характерный образчик вируса нового поколения - не оригинальный, а типичный.

Это вирус, который не причиняет особого вреда собственно зараженной машине. Почти никаких стертых файлов, перезагрузок раз в полминуты, потерянной любовной переписки, разосланной по фирмам-конкурентам сверхсекретной документации и отформатированных жестких дисков. Вирус целит не в компьютер (слишком мелко), а в саму сеть. Отдельные пользовательские ПК, составляющие эту сеть, оборачиваются оружием, обращенным против сети, которую они же и формируют. Бунт индивида против системы, право слово. Черного и белого не называть, слова "Матрица" не говорить. Жертва теперь - не пользователь. Жертва - сеть.

Ущерб пользовательской машине (или корпоративному серверу, если угодно), таким образом, для обобщенного автора вируса нового поколения более не приоритет. Мало того, каждая отдельная пользовательская машина должна быть в целости и сохранности - она необходима, она вольется в миллионные ряды пользовательских машин, которыми при грамотном подходе можно вертеть как угодно. Черного и белого не называть, слова "Терминатор" не говорить. Подконтрольные миллионы - страшная сила, если им внятно сформулировать задачу. Не идет больше речи о контроле над индивидом в Сети. Речь идет о контроле над самой Сетью.

Жажда власти требует хотя бы формального обоснования. Власть нужна зачем-то. Видимо, за последние годы авторы вирусов повзрослели (большой вопрос, стоит ли этому радоваться). Когда-то вирус был торжеством вирусописательского эго (помните вирус Melissa? то-то же). Теперь вирус строго функционален - как аргумент в дискуссии или методика влияния. Идеологическая борьба с корпорацией Microsoft, до недавних пор протекавшая в прессе и форумах адептов открытого кода, материализовалась (можно ли так сказать о виртуальном событии, спросим себя?) в бесхитростных, однако весьма действенных MSBlast, MyDoom.B и Doomjuice. Идеологическая борьба с SCO Group, от чьих претензий на ОС Linux у здравомыслящих людей глаза на лоб лезут, из аналитики в СМИ и дебатах в тех же форумах трансформировалась в простой как правда MyDoom.А. Распределенная атака отказа от обслуживания - некорректный, однако эффективный способ заткнуть оппоненту рот. Черного и белого не называть, слова "Повелитель мух" не говорить.

Удручает только, что таким образом рты затыкают исключительно оппонентам, а не, скажем, сторонникам ПО с открытыми исходниками. Я не желаю зла Эрику Рэймонду. Я вообще ни одному адепту открытого кода зла не желаю. Просто неясно, почему именно сторонники открытого кода и противники SCO Group (судя по пристрастиям - вполне разумные люди) увлекаются теперь такими экспериментами, безуспешно пытаясь дискредитировать сообщество в целом. Если это не провокация, конечно, - а такую версию, несмотря на непреходящую актуальность теории всемирного заговора, следует признать маловероятной. Черного и белого не называть, слова "Враг государства" не говорить.

Оставим, впрочем, идеологические споры: в некотором роде позиция одинокого вирусописателя, который саму Сеть обращает против Microsoft (Врага Общества Номер Один) или SCO Group (которая уверенно претендует на этот титул) - эстетически постижима. Но эксперты в один голос пророчат союз вирусописателей со спамерами - и это уже принципиально иной альянс.

Одна из версий Sobig (Sobig.E) имела неприятное свойство: она превращала зараженный компьютер в open relay, который затем можно было использовать для рассылки спама с фальсифицированными обратными адресами. Против open relays недавно развязала войну Федеральная торговая комиссия США (вместе с аналогичными конторами еще в 25 странах). Но небольшая программка, которая рассылается по почте наивным юзерам, в течение примерно двух суток в ноль обессмысливает пафос антиспамерских активистов.

Согласно гипотезе Питера Симпсона из компании ThreatLab, последняя версия Sobig - собственно Sobig.F - распространялась как инструмент создания сети open relays, доступ к которым затем планировалось продавать крупным спамерам. Прямо скажем, доказательства, которые привели Питера Симпсона к этому умозаключению, очевидны не вполне (ибо улик не обнаружено, автор вируса не найден, и вообще Sobig.F теперь выглядит скорее казнью египетской или еще каким злобно-божественным актом, а не делом рук отдельно взятого придурка), но ход мысли ясен. Самоутверждения автора вируса недостаточно, мании величия и жажды власти - мало. Вирус нужен зачем-то.

Сейчас каждая вирусная эпидемия напоминает нащупывание бизнес-методики - запрещенный прием, торжество прагматизма: эксперимент на миллионах. Мы переходим из мира, где бедствия прорастали из идиотизма "личности в истории", в мир иной, где любая катастрофа записана в графе "методические указания" чьего-то бизнес-плана. Полковник Курц подключается к Матрице, превращается в агента Смита номер восемьдесят тысяч семьсот сорок пять и лично контролирует армию Терминаторов, которая охотится за Робертом Дином. Смешение жанров. Пастиш. Занавес - немедленно после первого действия.

Спам, вирусные эпидемии и DDoS-атаки - три негативных сетевых события, в сферу влияния вовлекающие крупный сегмент сети. Логично предположить, что в один прекрасный день они сольются воедино, и вот тогда-то и наступит конец света. И MyDoom, очевидно, пророк его. Черного и белого не называть, слова "Апокалипсис наших дней" - не говорить ни в коем случае. Что уж тут разговаривать. И так все ясно.