ILOVEYOU: dwadzieścia lat od powstania pocztowego robaka

Dziś mija dwudziesta rocznica propagacji wirusa Love Letter For You, napisanego w języku Visual Basic Script szkodnika replikującego się za pomocą poczty e-mail. Powstało kilka wariantów wirusa, a najpopularniejsze z nich były jednocześnie nośnikami dla innych trojanów, kradnących hasła i zakładających furtki dostępu zdalnego. W ciągu kilku dni, skryptowi udało się rozsiać niemal po całym świecie, wywołując chwilowy kryzys działania sieci informatycznych opartych o komputery osobiste z Windows.

Love Letter For You nie był najgroźniejszy, a na pewno nie był pierwszy w swojej kategorii. Ze względu na swoją nazwę i prędkość propagacji stał sie jednak bohaterem wiadomości, także tych "nietechnicznych", jak główne wydania wiadomości. Naświetlił on w ten sposób nie tylko zagrożenia związane z brakiem oprogramowania antywirusowego, ale także z socjotechniką i brakiem zabezpieczeń w popularnych platformach programistycznych.

Choć aby uruchomić wirusa, konieczne było celowe, ręczne otwarcie pliku VBS przez użytkownika, jednoznacznym winowajcą tak szybkiej eksplozji epidemii był system Windows i pewne bardzo nieodpowiedzialne decyzje projektowe, których dokonano w latach 1995-1997. Pierwszą z nich było ukrywanie rozszerzeń "znanych nazw plików" przez powłokę Eksploratora Windows. Na podstawie rozszerzenia pliku, system dobiera ikonę dla niego, a rozszerzenie ukrywa. Nie przeszkadza to jednak w tym, by plik miał kilka rozszerzeń. Wtedy widoczne będą wszystkie poza ostatnim. W połączeniu z niewinną ikoną skryptu Visual Basic, plik LOVE-LETTER-FOR-YOU.txt.vbs wyglądał w Eksploratorze plików na niegroźny.

Problem był dopełniany przez fatalną i, co zdumiewające, wciąż niezmienioną decyzję o tym, by domyślną akcją dla skryptów JS i VBS nie było ich otwarcie w edytorze, a wykonanie przez interpreter. Gdy Internet Explorer 3.0 wprowadził składnik Hosta Skryptów Windows jako obowiązkowy komponent systemu, rozwiązanie promowano bardzo mocno, bowiem udostępniało ono programowalny model COM bez konieczności pisania programów linkujących do WinAPI. Aby wykorzystać funkcje programistyczne oferowane przez Windows, wystarczyło teraz pisać skrypty. Był to potężny awans względem sekwencji BAT oraz znacznie lżejszy mechanizm, niż C++.

Stąd też, zapewne wskutek dumy i chęci zaprezentowania środowiska, zdecydowano, że skrypty będą tak łatwe jak tylko się da i możliwe do uruchomienia podwójnym kliknięciem. W konsekwencji, system ukrywał przez użytkownikiem rozszerzenie pliku, serwował mu niewinną ikonę, a jako domyślna akcję ustawiał wykonanie bez zadawania żadnych pytań. Z tych cech korzystał ILOVEYOU.

Jedną z wielu zalet (ograniczonego i często wtedy niestabilnego) środowiska Windows była łatwość tworzenia oprogramowania. Duże narzędzia, jak pakiet Office oraz systemowe usługi, oferowały funkcje wyprowadzane dla programistów przez model COM. Dzięki nim, możliwe było na przykład wołanie Wspólnych Kontrolek do rysowania interfejsu dla aplikacji dokonującej obliczeń w Excelu i trzymającej bazę w Accessie. Nie trzeba było tworzyć dużego systemu na zamówienie, wystarczył Office, Visual Basic i MSDE. Wiele składników Windows wyprowadza swoje funkcje przez COM już od lat.

Nie inaczej robiły Internet Explorer, Microsoft Outlook i Książka Adresowa Windows. O ile IE stosował koncepcję Stref Zabezpieczeń, nie ufając treści spoza lokalnej sieci, pozostałe komponenty oferowały wszystkie swoje funkcje swobodnie i bez ograniczeń. Przynoszące milionowe zyski zaleta Windows w postaci modelu COM stała się jego wielką wadą, gdy coraz większą popularność zaczął zyskiwać internet.

Microsoft potrzebował dobrych kilku lat, by wprowadzić mechanizmy pozwalające na redukcję przyszłych epidemii. W pierwszej kolejności wprowadzono ostrzeżenia w programach Outlook i Outlook Express, gdy załącznikiem wiadomości jest plik VBS. Następnie usunięto możliwość zagnieżdżania ich w wiadomościach HTML. Windows 2000 zaopatrzył się w Zasadę Grupy pozwalającą na wyłączenie Hosta Skryptów. Windows XP SP2 dorzucił okno z pytaniem o uruchomienie niezaufanego kodu podczas klikania na plik VBS. Jednak mimo niemal ćwierćwiecza, domyślną akcją dla skryptów Visual Basic wciąż jest ich wykonanie, a nie edycja.

Autor wirusa, Onel de Guzman, pracuje dziś w punkcie naprawy telefonów w Manili. Sława, której nigdy nie chciał, przeminęła już dawno, ale upływ lat nie sprawił, że odeszły wyrzuty sumienia. De Guzman mówi, że nie chciał sparaliżować światowego internetu, a jedynie ukraść hasła dostępowe Dial-Up, ponieważ nie miał na nie pieniędzy. Dziś, w czasach darmowego internetu oraz przeprowadzki poczty w chmurę obsługiwaną przez urządzenia z kontrolą oprogramowania, wirus Love Letter For You nie miałby już cienia szans na sukces.