ILOVEYOU , иногда называемый Love Bug или Loveletter , был компьютерным червем , который заразил более десяти миллионов персональных компьютеров Windows 5 мая 2000 года и позже. Он начал распространяться как сообщение электронной почты с темой "ILOVEYOU" и вложением "LOVE-LETTER-FOR-YOU.TXT.vbs". [1] В то время компьютеры Windows часто скрывали последнее расширение файла (" VBS ", тип интерпретируемого файла ) по умолчанию, поскольку это расширение для типа файла, который знает Windows, заставляя неосведомленных пользователей думать, что это обычный текстовый файл. Открытие вложения активирует скрипт Visual Basic . Сначала червь наносит ущерб локальной машине, перезаписывая случайные файлы (включая файлы Office и файлы изображений; однако он скрывает файлы MP3 вместо того, чтобы удалять их), затем он копирует себя по всем адресам в адресной книге Windows , используемой Microsoft Outlook , что позволяет ему распространяться намного быстрее, чем любому другому предыдущему червю электронной почты. [2] [3]
Онель де Гусман [4] , тогда 24-летний студент компьютерных наук в колледже AMA Computer [5] и житель Манилы , Филиппины , создал вредоносное ПО . Поскольку на момент его создания на Филиппинах не было законов, запрещающих создание вредоносного ПО, Филиппинский конгресс в июле 2000 года принял Закон Республики № 8792, также известный как Закон об электронной коммерции, чтобы воспрепятствовать будущим итерациям такой деятельности. Однако Конституция Филиппин запрещает законы ex post facto , и как таковой де Гусман не мог быть привлечен к ответственности. [6]
Червь ILOVEYOU был написан Онелем де Гусманом, тогда студентом Филиппинского компьютерного колледжа AMA . На момент его создания де Гусман был беден и с трудом мог заплатить за коммутируемый доступ в Интернет в стране . [5] Де Гусман считал, что доступ в Интернет является правом человека , [5] и представил в колледж дипломную работу , в которой предлагалось разработать троян для кражи данных для входа в Интернет. [7] Он утверждал, что это позволит пользователям позволить себе подключение к Интернету, утверждая, что пострадавшие от этого не понесут никаких потерь. [5] Предложение было отклонено колледжем, который отметил, что его предложение было «незаконным» и что «они не выпускают взломщиков». [7] Это привело к тому, что де Гусман заявил, что его профессора были недалекими, [4] и в конечном итоге он бросил колледж и начал разработку червя. [8]
Де Гусман написал ILOVEYOU на языке VBScript , а для запуска кода используется Windows Script Host . ILOVEYOU распространялся через вредоносные вложения электронной почты . Червь был обнаружен в электронных письмах с темой «ILOVEYOU» и сообщением «Пожалуйста, проверьте прикрепленное любовное письмо от меня!» Вложение LOVE-LETTER-FOR-YOU.TXT.vbsсодержало червя. [9]
При открытии файла червь копирует себя в соответствующие каталоги , чтобы запуститься после перезагрузки компьютера. Две из трех копий маскируются под легитимные файлы библиотеки Microsoft Windows , называемые MSKernel32.vbsи Win32DLL.vbs. Другая копия сохраняет оригинальное LOVE-LETTER-FOR-YOU.TXT.vbsимя. [10]
Червь пытается загрузить троянского коня с именем . Для этого домашняя страница Internet ExplorerWIN-BUGSFIX.exe жертвы устанавливается на URL, который загружает троян при открытии браузера. Если загрузка прошла успешно, троян запускается после перезагрузки, а домашняя страница Internet Explorer устанавливается на пустую страницу . Троян выполняет основную цель Гусмана, краду пароли. [10]
Червь отправляет свой фирменный адрес электронной почты всем контактам в адресной книге жертвы. Чтобы предотвратить отправку нескольких писем одному человеку с каждого последующего запуска червя, для каждой записи адресной книги после отправки письма генерируется ключ реестра. Червь отправит письмо только в том случае, если ключ реестра отсутствует. Это также позволяет отправлять письма новым контактам, помещенным в адресную книгу. ILOVEYOU также имеет возможность распространяться по каналам Internet Relay Chat . [10]
Червь ищет подключенные диски в поисках файлов для изменения. Все найденные им файлы VBScript (.vbs, .vbe) перезаписываются кодом червя. Файлы с расширениями .jpg , .jpeg , .js , .jse, .css , .wsh , .sct, .doc и .hta заменяются копиями червя, имеющими то же базовое имя файла, но с добавлением расширения .vbs. Копии файлов .mp2 и .mp3 создаются аналогичным образом, но исходные файлы скрываются, а не удаляются. [10]
Формат электронной почты считается одним из первых примеров вредоносного ПО, использующего социальную инженерию , [11] путем побуждения жертв открыть прикрепленный файл под предлогом того, что у них есть возлюбленный, который пытается с ними связаться. [12] Это усугублялось тем фактом, что электронные письма, казалось, приходили от близких контактов в результате использования червем списков контактов своей предыдущей жертвы. [13] Последующий успех червя привел к использованию социальной инженерии во многих современных атаках вредоносного ПО. [11] Вложение использовало функцию Microsoft Outlook , где отображалось только одно расширение файла . Поскольку имя файла анализировалось слева направо, что останавливалось после первого периода, для жертв вложение выглядело как неприметный файл .txt, неспособный содержать вредоносное ПО. Настоящее расширение червя .vbs было скрыто. [13] Де Гусман также утверждал, что ошибка в Windows 95 , когда код во вложениях электронной почты автоматически запускался при щелчке, способствовала успеху червя. [5]
Тот факт, что червь был написан на VBScript, позволял пользователям изменять его. Пользователь мог легко изменить червя, чтобы заменить необходимые файлы и уничтожить систему, что позволило более чем 25 вариациям ILOVEYOU распространиться по Интернету, каждая из которых наносила разный ущерб. [14] Большинство вариаций были связаны с тем, какие расширения файлов были затронуты червем. Другие изменяли тему письма, чтобы нацелиться на определенную аудиторию, например, вариант « Cartolina » («открытка») на итальянском языке или «BabyPic» для взрослых. Некоторые другие только изменяли титры автора, которые изначально были включены в стандартную версию вируса, полностью удаляя их или ссылаясь на ложных авторов. [14] Другие перезаписывали файлы « EXE » и « COM », и компьютер пользователя после этого не загружался после перезагрузки. [ требуется цитата ]
Вот некоторые почтовые сообщения, отправленные ILOVEYOU:
Первоначально проектируя червя для работы только в Маниле , Де Гусман убрал это географическое ограничение из любопытства, что позволило червю распространиться по всему миру. Де Гусман не ожидал такого всемирного распространения. [5]
Червь возник в районе Пандакан в Маниле на Филиппинах 4 мая 2000 года [16] , затем он переместился на запад через корпоративные системы электронной почты, когда сотрудники начинали свой рабочий день в пятницу утром, — сначала в Гонконг , затем в Европу и, наконец, в Соединенные Штаты . [17] [18] Поскольку червь использовал списки рассылки в качестве источника своих целей, сообщения часто выглядели как приходящие от знакомых и поэтому часто считались «безопасными» их жертвами, что давало дополнительный стимул открывать их. Всего несколько пользователей на каждом сайте должны были получить доступ к вложению, чтобы сгенерировать миллионы дополнительных сообщений, которые парализовали почтовые системы и перезаписали миллионы файлов на компьютерах в каждой последующей сети . [19]
По оценкам, вспышка нанесла ущерб в размере 5,5–8,7 млрд долларов США по всему миру [20] [21] [ нужен лучший источник ] и, по оценкам, обошлась в 10–15 млрд долларов США на удаление червя. [22] [23] В течение десяти дней было зарегистрировано более пятидесяти миллионов случаев заражения [24], и, по оценкам, пострадало 10% подключенных к Интернету компьютеров в мире. [22] Упомянутый ущерб в основном состоял из времени и усилий, потраченных на избавление от заражения и восстановление файлов из резервных копий. В то время это была одна из самых разрушительных компьютерных катастроф в мире. [25] [26] [27]
В Соединенном Королевстве червь достиг серверов электронной почты Палаты общин 4 мая. [7] В ответ на это серверы были отключены на два часа. [17] Червь поразил банковскую систему Бельгии . [28]
Червь затронул большинство федеральных правительственных учреждений и вызвал сбои в работе многих, включая Министерство юстиции , Министерство труда и Управление социального обеспечения . [28] Операции Министерства обороны были значительно затруднены, [28] кроме того, пострадало Центральное разведывательное управление [17] , а армия США имела 2258 зараженных рабочих станций , восстановление которых обошлось примерно в 79 200 долларов США. [29] Управление по охране здоровья ветеранов получило 7 000 000 писем ILOVEYOU во время вспышки, что потребовало 240 человеко-часов работы для решения возникших проблем. [28] Файлы в Национальном управлении по аэронавтике и исследованию космического пространства были повреждены, а в некоторых случаях их невозможно было восстановить из резервных копий . [28]
5 мая 2000 года де Гусман и другой молодой филиппинский программист по имени Реонель Рамонес стали объектами уголовного расследования, проводимого агентами Национального бюро расследований Филиппин (NBI). [30] Местный интернет-провайдер Sky Internet сообщил о получении многочисленных контактов от европейских пользователей компьютеров, утверждающих, что вредоносное ПО (в форме червя «ILOVEYOU») было отправлено через серверы интернет-провайдера. [31]
Де Гусман попытался скрыть улики, вынеся свой компьютер из квартиры, но случайно оставил несколько дисков, содержащих червя, а также информацию, указывающую на возможного сообщника. [5]
После слежки и расследования Дарвина Бавасанты из Sky Internet, NBI отследило часто появляющийся номер телефона [ требуется разъяснение ] до квартиры Ramones в Маниле. Его дом был обыскан, а Ramones был арестован и помещен под следствие Министерством юстиции (DOJ). Де Гусману также были предъявлены обвинения заочно . [ требуется цитата ]
На тот момент NBI не было уверено, какое тяжкое преступление или преступление будет применяться. [30] Было предложено обвинить их в нарушении Закона Республики 8484 (Закон о регулировании устройств доступа), закона, разработанного в основном для наказания за мошенничество с кредитными картами , поскольку оба использовали предоплаченные (если не украденные) интернет-карты для покупки доступа к интернет-провайдерам. Другая идея заключалась в том, что их можно было бы обвинить в злонамеренном вредительстве , тяжком преступлении (согласно Филиппинскому пересмотренному уголовному кодексу 1932 года), связанном с повреждением имущества. Недостатком здесь было то, что одним из его элементов, помимо повреждения имущества, было намерение нанести ущерб, и де Гусман утверждал во время расследований в связи с заключением под стражу, что он мог непреднамеренно выпустить червя. [4] На пресс-конференции, организованной его адвокатом 11 мая, он сказал: «Это возможно», когда его спросили, мог ли он это сделать. [5]
Чтобы продемонстрировать свои намерения, НБР провело расследование в отношении колледжа AMA Computer College , который де Гусман бросил в самом конце последнего года обучения. [30]
Поскольку в то время на Филиппинах не было законов, запрещающих написание вредоносных программ, и Рамонес, и де Гусман были освобождены, а все обвинения были сняты государственными прокурорами. [32] Чтобы устранить этот законодательный пробел, [30] Филиппинский конгресс принял Республиканский закон № 8792, [33] также известный как Закон об электронной коммерции, в июле 2000 года, через несколько месяцев после вспышки червя. [6]
В 2012 году Смитсоновский институт назвал ILOVEYOU одним из десяти самых опасных компьютерных вирусов в истории. [12]
Де Гусман не хотел общественного внимания. Его последнее известное публичное появление было на пресс-конференции 2000 года, где он скрыл свое лицо и позволил своему адвокату ответить на большинство вопросов; его местонахождение оставалось неизвестным в течение 20 лет после этого. В мае 2020 года журналист-расследователь Джефф Уайт сообщил, что во время исследования своей книги о киберпреступности Crime Dot Com он нашел де Гусмана работающим в мастерской по ремонту мобильных телефонов в Маниле. Де Гусман признался в создании и распространении вируса. [34] Он утверждал, что изначально разработал его для кражи паролей доступа в Интернет, поскольку не мог позволить себе платить за доступ. Он также заявил, что создал его в одиночку, оправдав двух других, обвиняемых в соавторстве с червем. [35] [36]
Эти события вдохновили группу Pet Shop Boys на написание песни «E-mail» из альбома Release , вошедшего в десятку лучших в Великобритании в 2002 году . Текст песни повествует о человеческих желаниях, которые привели к массовому уничтожению этой компьютерной инфекцией. [ необходима цитата ]
