Quando vírus tinham nome e endereço: da arte ao crime

O Filipe publicou um vídeo no YouTube (O Fim da Programação: Minha Opinião DEFINITIVA) que, logo no começo, comenta sobre como eram as coisas quando "só nerds usavam computadores", no início da Internet, falando mais especificamente sobre meados dos anos 1990. Com isso, o Filipe mencionou alguns tipos de vírus que se popularizaram na época, como o WinNuke, NetBus e Back Orifice.

Isso me deixou curioso. Como surgiram os primeiros vírus? Por quê? Será que foi só o "espírito interno de quinta série" do ser humano querendo sacanear os outros ou já tinha alguma tentativa de conseguir dinheiro com isso, mesmo antes da Internet?

O que define um vírus?

Uma introdução breve antes de irmos aos exemplos. Encontrei várias fontes dizendo a mesma história curta (exemplos: Jornal de alunos da USP e Kaspersky), que esse conceito surgiu no final década de 1940, com uma série de palestras do John Von Neumann teorizando sobre programas de computador que teriam a possibilidade de se autorreproduzir, assim como um vírus biológico.

Eu não encontrei essas palestras, mas um artigo sobre o tema foi publicado em 1966 por Arthur W. Burks, Theory of Self-Reproducing Automata, que é baseado em obras do próprio John Von Neumann.

É lamentável que, devido à sua morte prematura, von Neumann não tenha conseguido concretizar nenhuma das pesquisas que vinha realizando em teoria dos autômatos. Os manuscritos de ambas as partes do presente volume estavam inacabados; na verdade, ambos eram, em certo sentido, primeiros rascunhos. (...) Por esse motivo, me esforcei para preservar o sabor original dos manuscritos de von Neumann, ao mesmo tempo em que os tornava facilmente legíveis.

O primeiro vírus (Creeper, 1971)

Apesar do tema ter sido abordado por von Neumann na década de 1940, o primeiro programa com capacidade de se autorreproduzir foi criado apenas em 1971, por Bob Thomas, e foi chamado de Creeper. Esse programa fazia duas coisas: se movia entre computadores DEC PDP-10 por meio da ARPANET (uma rede de computadores antecessora à Internet) e exibia uma mensagem na tela "I'M THE CREEPER : CATCH ME IF YOU CAN"

Acima, um computador DEC PDP-10, e abaixo uma recriação da mensagem do Creeper.

Foi apenas com a atualização do Ray Tomlinson que, ao invés de se mover entre computadores, o programa passou a ser copiado.

De acordo com o Wikipedia, o vírus poderia infectar no máximo 28 máquinas, que era o número de máquinas que rodavam o sistema operacional TENEX na ARPANET. Apesar disso, em 1972 o Ray Tomlinson (o mesmo que desenvolveu a "versão 2") criou o primeiro antivírus, chamando-o de Reaper, com a função de apagar o Creeper movendo-se pela ARPANET.

O primeiro vírus malicioso (Rabbit/Wabbit, 1974)

O Wabbit, também chamado de Rabbit, foi o primeiro malware autorreplicante que já existiu e se reproduzia tão rápido que o sistema no qual estava instalado literalmente travava, pois seus recursos eram todos usados pelo Wabbit.

Apesar disso, a autorreprodução do Wabbit ocorria apenas na própria máquina, sem infectar outros computadores.

O primeiro vírus que saiu de um laboratório (Elk Cloner, 1982)

Foi 11 anos após a criação do Creeper que um adolescente de 15 anos, Rich Skrenta, criou o primeiro vírus que se espalhou para fora do laboratório em que foi escrito. O Elk Cloner era uma "pegadinha", e se propagou por meio de disquetes, sendo anexado a um programa compartilhado no disquete (geralmente um jogo).

Em um número definido de vezes que o programa do disco era executado (todos múltiplos de 5), ele causava vários comportamentos estranhos no Apple II, muitos exigindo uma reinicialização para correção. Mais notavelmente, a cada 50 vezes que o programa era executado, em vez de executar normalmente, ele mudava para uma tela em branco que exibia um poema sobre o vírus. Se um computador inicializasse a partir de um disquete infectado, uma cópia do vírus era colocada na memória do computador. Quando um disco não infectado era inserido no computador, uma versão modificada do DOS, incluindo o Elk Cloner, era copiada para o disco, permitindo que se espalhasse de disco para disco. Para evitar que o DOS fosse continuamente reescrito cada vez que o disco fosse acessado, o Elk Cloner também gravava um byte de assinatura no diretório do disco, indicando que ele já havia sido infectado.

O poema:

ELK CLONER:
   THE PROGRAM WITH A PERSONALITY
 
IT WILL GET ON ALL YOUR DISKS
IT WILL INFILTRATE YOUR CHIPS
YES IT'S CLONER!
 
IT WILL STICK TO YOU LIKE GLUE
IT WILL MODIFY RAM TOO
SEND IN THE CLONER!

O primeiro vírus de alcance global (Brain, 1986)

Brain foi o primeiro vírus furtivo e tinha como alvo o IBM PC. Ele substituía o setor de boot de um disquete por uma cópia do vírus. O setor de boot real era movido para outro setor e marcado como defeituoso, deixando os discos infectados geralmente com 5 KB de setores defeituosos.

Quando o Brain estava ativo na memória, se um programa tentasse ler o setor de boot infectado, o vírus interceptava esse pedido e mostrava o setor de boot original (que ele havia guardado). Isso o tornava "invisível" para muitas ferramentas de diagnóstico da época, que não conseguiam ver a infecção.

O nome do disco geralmente é alterado para ©Brain, com uma variação do texto abaixo nos setores de boot infectados (adicionei quebras de linha para facilitar a leitura):

Welcome to the Dungeon (c) 1986 Amjads (pvt) Ltd
VIRUS_SHOE RECORD V9.0
Dedicated to the dynamic memories of millions of viruses
who are no longer with us today - Thanks GOODNESS!!!
BEWARE OF THE er..VIRUS : this program is catching program
follows after these ....$#@%$@!!

O vírus foi escrito por dois irmãos paquistaneses, Basit e Amjad Farooq Alvi, como uma forma de combater a pirataria de um software médico que os tinham criado.

Os irmãos participaram de um documentário em 2011 e uma entrevista em 2014.

Bem, nunca pretendemos obter ganhos pessoais ou financeiros. Era apenas uma abordagem experimental, e certamente tínhamos bastante incerteza sobre o seu resultado. Quando o vírus se espalhou, pessoas nos ligaram indignadas pedindo que os desinfectássemos. Nossa tentativa de fazê-los entender que o vírus não é malicioso, mas sim amigável, foi aceita e compreendida com sucesso.

Outra fonte diz que a motivação pode não ter sido combater a pirataria, mas sim demonstrar o quão inseguro era o IBM PC:

Eles estavam acostumados a um ambiente que tinha alguma semelhança com a segurança da computação, onde você tinha, sabe, contas, você fazia login no sistema. Aí vem o IBM PC, você inicializa a máquina e pronto. Não há segurança. Não há contas. Não há segurança alguma. (...) E eles ficaram meio horrorizados com a falta de segurança. (...) acredito que eles estavam tentando demonstrar o quão insegura era essa nova plataforma IBM PC.

Menções (nada) honrosas

1. Morris Worm (1988): Considerado o primeiro grande worm a se espalhar pela internet, o Morris Worm foi criado por Robert Tappan Morris, estudante de pós-graduação da Universidade Cornell. Embora não tenha sido projetado para ser destrutivo, um erro em seu código o tornou agressivo demais, reinfectando máquinas e causando o efeito de lentidão que citamos no Wabbit. O vírus infectou cerca de 6.000 dos 60.000 computadores conectados à internet na época, paralisando funções em universidades e instalações militares. O incidente levou à criação do primeiro CERT (Computer Emergency Response Team) e foi o primeiro caso de condenação sob a Lei de Fraude e Abuso de Computadores dos EUA.
2. Michelangelo (1991): Um vírus de setor de boot que foi projetado para permanecer inativo até o dia 6 de março (aniversário do artista Michelangelo). Nesse dia, ele sobrescrevia os primeiros setores do disco rígido, tornando os dados irrecuperáveis para o usuário comum. Embora o dano real tenha sido limitado, o Michelangelo causou um pânico midiático generalizado em 1992.
3. CIH / Chernobyl (1998): O CIH (iniciais de seu criador, Chen Ing-Hau) ficou conhecido como Chernobyl porque era ativado em 26 de abril, aniversário do desastre nuclear. O vírus não apenas tentava apagar o conteúdo do disco rígido, mas também era capaz de sobrescrever a BIOS do sistema em certas placas-mãe, tornando o computador inutilizável. Com um prejuízo estimado em US$ 35.8 milhões, a maior parte do impacto foi na Asia. O código fonte do CIH está disponível no GitHub.
4. Melissa (1999): Marcando o início da era dos "mass-mailers" (envio de e-mails em massa), o vírus Melissa se espalhava como um anexo de documento do Word. Ao ser aberto, usava um macro para se enviar para os primeiros 50 contatos da agenda do Outlook da vítima. Embora não fosse destrutivo, a sobrecarga de tráfego de e-mail foi tão intensa que derrubou servidores de grandes corporações e agências governamentais, causando um prejuízo estimado em US$ 80 milhões.
5. ILOVEYOU (2000): Esse vírus se espalhou por e-mail com o assunto "ILOVEYOU" e um anexo disfarçado de carta de amor. Ao ser executado, ele se enviava para todos os contatos do Outlook da vítima e sobrescrevia arquivos de imagem, áudio e documentos. Foi um dos worms mais rápidos e caros da história, infectando cerca de 10% dos computadores conectados à internet e causando prejuízos estimados em até US$ 15 bilhões.
6. WannaCry (2017): Um ataque de ransomware que se espalhou como um worm, usando o exploit EternalBlue (desenvolvido pela NSA e vazado por hackers). Ele criptografava arquivos em computadores com Windows e exigia um resgate em Bitcoin. O ataque foi devastador, afetando mais de 200.000 computadores em 150 países e causando enormes prejuízos a hospitais (como o Serviço Nacional de Saúde do Reino Unido), empresas e agências governamentais que não haviam aplicado os patches de segurança.

Outros nomes que surgiram nas minhas buscas e podem te interessar foram: Code Red (2001), SQL Slammer (2003), MyDoom (2004) e Stuxnet (2010).

A motivação do surgimento dos vírus

O vírus não surgiu com um objetivo malicioso. As motivações variavam entre ser uma prova de conceito sobre algo, como o Creeper sobre a autorreplicação; uma brincadeira, como o Elk Cloner; ou para demonstrar vulnerabilidades, como o Back Orifice que o Filipe comentou no vídeo.

Em um episódio do Malicious Life Podcast, o anfitrião Ran Levi entrevistou o Mikko Hyppönen, Chefe de Pesquisa (CRO) da WithSecure (antiga F-Secure), onde discutiram a evolução dos vírus e a motivação de criação deles ao longo do tempo. Indo além do que foi mencionado nesta publicação, citaram:

• Não havia ganhos financeiros diretos. Como Mikko ressalta, a maioria dos autores de vírus nos anos 80 e 90 não tinham um motivo claro para o que faziam. Qual é o benefício de apagar arquivos de pessoas que você nem conhece? O criador não está lá para ver o dano ou a reação, tornando a ação puramente abstrata e não um meio para um fim lucrativo.
• Demonstração de habilidade e criatividade. A principal motivação era o ego e o reconhecimento. Criar um vírus era uma forma de exibir seu conhecimento técnico para amigos e outros hackers, uma busca por status e uma prova de que você era capaz de fazer algo complexo que outros não conseguiam. Tanto que muitos vírus exibiam algum tipo de mensagem, denunciando sua própria presença.
• Expressão artística e cultural. Muitos desses primeiros vírus, criados por "hobbyistas" e não por nações ou organizações criminosas, eram bem criativos. Exibiam animações, tocavam músicas ou interagiam com o usuário de formas inesperadas. Eram quase uma "arte digital" que refletia a cultura da época.
• Ativismo ideológico ou político. Uma classe de autores usava seus vírus para espalhar uma mensagem. O desafio aqui era o equilíbrio: o vírus não podia ser tão destrutivo a ponto de ser eliminado rapidamente, antes que sua mensagem se espalhasse, mas precisava ser "viral" o suficiente para atingir um público.
• O "currículo viral". Talvez a motivação mais inusitada era usar o vírus como um portfólio. Alguns programadores criavam malwares complexos para demonstrar suas habilidades a potenciais empregadores na indústria de tecnologia, numa tentativa arriscada (e questionável) de provar seu valor técnico.

Conectando os pontos

Como o Filipe disse no vídeo, antigamente a tecnologia era um playground para "nerds fazendo coisas de nerds". A história do surgimento dos vírus, como vimos, não foi diferente. Eram criações nascidas da curiosidade e do desafio, muitas vezes compartilhadas de forma quase artesanal, por meio de um disquete entre amigos e conhecidos.

Hoje, o cenário mudou. A área de TI é um sinônimo de "bons salários" e atraiu pessoas com motivações diferentes. Já não são mais apenas pessoas com a paixão por construir. É por isso que interpreto essa história como uma provocação: que tal programar algo apenas pela diversão de criar? Algo que não precise ser útil, escalável ou monetizável?

Talvez seja hora de resgatar um pouco daquele espírito. De criar uma "nerdice" qualquer, com animações e sons, só porque você pode. Uma lembrança de que, no fundo, a alegria de construir é o que nos trouxe até aqui. Muitas vezes, não exercitamos essa criatividade no trabalho do dia a dia. De certa forma, esse hobby pode ser aquele tipo de diferencial que só conseguimos conectar os pontos e entender o valor muito tempo depois.