Os três primeiros vírus enlouquecedores que abalaram o mundo - e a Microsoft

No 20º aniversário do vírus ILOVEYOU, o ex-executivo da Microsoft Steven Sinofsky relembra como ele - e dois precursores nodosos - mudou o design do software.

Os três primeiros vírus enlouquecedores que abalaram o mundo - e a Microsoft

Steven Sinofsky trabalhou na Microsoft de 1989 a 2012 e supervisionou as equipes do Office (1998-2006) e do Windows (2006-2012). Neste trecho de seu livro de rascunho, Hardcore Software: Por dentro da ascensão e queda da revolução do PC , ele escreve sobre três vírus do Office, WM / Concept.A, Melissa e ILOVEYOU. Junto com o assédio dos usuários de PC, eles levaram a empresa a reavaliar algumas de suas filosofias fundamentais sobre seus produtos. ILOVEYOU - o último, mais infame e pernicioso desses ataques - chegou às caixas de entrada em 5 de maio de 2000, há 20 anos hoje.



A Microsoft nem sempre foi uma empresa corporativa. Na verdade, durante os primeiros 10 anos de meu tempo na empresa, começando em 1989, a Microsoft foi decidida e quase inteiramente dependente das vendas no varejo - vendendo uma cópia do Office ou do Windows (com um novo PC) por vez em lojas há muito tempo esquecido, como CompUSA, Egghead Software ou Computer City. Após o lançamento do Office 97 (o produto que introduziu Clippy , aquele assistente prestativo que foi criticado na época, mas na verdade estava bem à frente de seu tempo), a equipe do Office, que então eu liderava, iniciou a transição para a construção de um produto mais adequado para a empresa. Isso significava fazer os recursos de que os usuários de negócios exigiam, não apenas recursos de produtividade pessoal ágil que demonstravam bem. Na verdade, muitas vezes sentimos que fazer o que era bom para a empresa era o oposto de fazer o que era bom para os usuários finais individuais.

Com o Office 2000, descobrimos que havíamos inclinado muito para o lado empresarial. O produto provou ser incrivelmente estável e mais fácil de usar do que nunca. Mas faltou algo interessante para chamar a atenção dos clientes. Aprendemos que ouvir atentamente os clientes nem sempre é a melhor abordagem - os clientes dizem o que desejam, mas isso não é promessa de que comprarão quando chegar a hora.



Precisávamos encontrar uma maneira de atrair tanto as pessoas que buscam um produto melhor quanto as empresas que buscam um produto mais adequado às suas necessidades. Precisávamos andar e mascar chiclete ao mesmo tempo, por assim dizer. Quando estávamos concentrando nossa mente na ideia de navegar por essas necessidades conflitantes do cliente, tivemos que trabalhar nosso caminho através de uma crise global emergente de software que se revelou em três formas decididamente corporativas, todas as quais foram resolvidas somente por nós. Afinal, éramos os líderes em software de desktop para empresas.



O amanhecer do Y2K estava chegando, e os clientes exigiram um grande esforço da Microsoft, que entregaríamos. Ao mesmo tempo, nossos produtos eram cada vez mais vistos como cheios de erros ou instáveis. Algo precisava ser feito a respeito - era o preço do sucesso. Intimamente relacionado aos bugs sempre presentes, estava a prevalência crescente de vírus de computador. Embora os vírus não fossem novos, a penetração maciça da nova solução de e-mail da Microsoft (Exchange e Outlook), a internet e a conectividade global criaram um terreno fértil para uma nova geração de ataques virais à computação.

Esta é a história de um ataque global à nova infraestrutura de PC com Windows que parou os PCs de todo o mundo, causando literalmente bilhões em danos durante a noite, e como a equipe se reuniu em crise para encontrar uma solução. Os detalhes são exclusivos da época e da computação da época, mas as lições aprendidas são universais em tempos de crise.

ILOVEYOU irrompe

Certa manhã, na primeira semana de maio do novo milênio, recebi um telefonema em meu apartamento enquanto me arrumava para o trabalho. Ouvi uma repórter me dizer seu nome e, basicamente, ouvi-a hiperventilar e proclamar repetidamente seu amor por mim: Eu te amo. Eu amo Você.



Isso é o que eu ouvi, de qualquer maneira. A chamada. Um repórter. De manhã cedo. Foi tudo estranho.

Na verdade, o AMOR estourou em toda a Internet. Durante um fim de semana, as caixas de entrada em todo o mundo dos usuários de e-mail do Outlook e do Exchange foram inundadas com dezenas de cópias de mensagens de e-mail com o assunto ILOVEYOU.

Fiquei sabendo com a repórter que o incidente com o e-mail do LOVE foi considerado tão sério que o chefe de RP deu a ela meu número de casa e, simultaneamente, me enviou um briefing por e-mail. Na era do dial-up, eu não conseguia ler o e-mail e falar ao telefone porque só tinha uma linha telefônica analógica em casa. Eu não tinha ideia do que estava acontecendo, então concordei em retornar a ligação depois de discar e baixar meu e-mail.



Foi quando percebi a magnitude do problema.

Em 2000, quando o ILOVEYOU apareceu, as pessoas estavam mais propensas a abrir anexos de arquivos misteriosos sem se preocupar muito.

Apesar de todos os aspectos positivos do PC nos negócios, os profissionais de TI ainda lutaram com a liberdade dos PCs, não apenas a liberdade de criar apresentações e planilhas, mas a liberdade de potencialmente causar estragos em redes de PCs conectados por causa de vírus de computador. Os vírus dificilmente eram novos, parte dos PCs desde os primeiros dias. Como um novo contratado no treinamento do Apps Development College, concluí uma unidade sobre os primeiros vírus do MS-DOS. A combinação de muitos mais PCs no local de trabalho, rede e e-mail criou uma nova oportunidade para aqueles que desejam causar danos aos vírus. Por sua natureza, e por analogia com a palavra vírus, a maioria dos vírus não é fatal para um PC. Mas eles podem causar danos significativos e perda de tempo e exigir muito esforço para limpar.

A TI corporativa estava cada vez mais preocupada com os vírus e esperava que a Microsoft fizesse algo a respeito. A abertura da plataforma do PC foi uma característica marcante responsável pela utilidade e amplitude do ecossistema do PC, mesmo que alguns malfeitores (como eram chamados) pudessem explorar essa abertura. A Microsoft adotou uma abordagem laissez-faire para esse aborrecimento.

O Office compartilhou essa atitude até meados da década de 1990 e o surgimento das redes, quando o compartilhamento de arquivos se tornou comum. Com todos conectados, um incômodo se transformou em um vírus que se compartilhou automaticamente entre computadores. Um vírus infectou o Microsoft Word 6.0, chamado WM / Concept.A (os vírus costumam ter nomes enigmáticos). Neste caso, WM significa Word Macro e, presumivelmente, Concept se refere ao fato de que se trata de um novo conceito de teste de vírus.

Ao contrário do que se acreditava comumente, os vírus bem-sucedidos geralmente não faziam nada prejudicial.

Este era um novo tipo de vírus. Ele não explorou bugs ou erros de programação no Word. A Concept usou macros do Word da forma como foram projetadas. As macros estiveram presentes no software por muito tempo, desde os dias do MS-DOS do WordPerfect e do Lotus 1-2-3. Chamados de programabilidade ou extensibilidade no jargão da Microsoft, eles eram uma realização valorizada e algo que BillG (na Microsoft sempre nos referíamos às pessoas por seu apelido de e-mail) acreditava em promover todos os produtos.

A programabilidade tornou um produto pegajoso quando os clientes investiram tempo e esforço para escrever macros. As macros eram usadas para automatizar tarefas repetitivas: por exemplo, se uma empresa escrevesse cartas semelhantes a clientes por avisos de atraso, poderia escrever uma macro, que gerava cartas com todos os campos de endereço corretos e saudações. Outro exemplo pode ser automatizar a coleta de fontes em um documento e criar uma bibliografia. Os usos para macros eram infinitos e toda uma indústria desenvolvida para consultoria e treinamento em automação do Word.

Macros do Word usavam um derivado do Linguagem de programação BASIC . Alguns foram gravados para serem executados automaticamente assim que um arquivo fosse aberto, fazendo com que os sistemas parecessem mais automáticos para os usuários finais. O vírus WM / Concept.A aproveitou essa combinação de recursos para criar uma experiência extremamente simples, mas ao mesmo tempo extremamente irritante: macros, inicialização automática e compartilhamento de arquivos em rede.

O autor original de WM / Concept.A provavelmente elaborou um documento tentador com o vírus e o compartilhou em uma rede, sabendo que outras pessoas o abririam. Assim que o fizeram, todos os documentos que eles criaram ou abriram foram infectados. Qualquer documento compartilhado por eles foi infectado e infectou todos os PCs que abriram esse documento. Como o comercial de shampoo antigo ,. . . e eles contaram a dois amigos, e eles contaram a dois amigos, e assim por diante, e assim por diante. Bem, foi exatamente isso que aconteceu. WM / Concept.A circulou o globo implacavelmente.

Ao contrário do que se acreditava comumente, os vírus bem-sucedidos geralmente não faziam nada prejudicial, como excluir todos os seus arquivos ou formatar seu disco rígido. Se o fizessem, os vírus não se espalhariam e não serviriam ao seu propósito. WM / Concept.A fez apenas uma coisa irritante além de se propagar, e foi exibir uma mensagem que parecia uma mensagem de erro do Word corrompida - uma janela simples com o caractere 1 e o botão OK. Foi isso. A mensagem apareceu uma vez durante a infecção inicial.

Documentos infectados com WM / Concept.A apareceram nesta caixa de diálogo enigmática - irritante, mas também um sinal sinistro do que um bandido poderia fazer com macros do Office.

Embora não houvesse nenhum dano direto aos PCs ou quaisquer documentos, as implicações óbvias desse conceito eram que os vírus poderiam se espalhar facilmente e, se o autor desejasse, poderiam causar danos significativos ou, pelo menos, interromper verdadeiramente o fluxo de trabalho. Eles podem fazer coisas hediondas, como excluir o texto em momentos aleatórios ou pior. Remover WM / Concept.A de um sistema infectado era uma tarefa árdua. Surgiu uma indústria caseira de remoção e desinfecção de vírus, assim como uma indústria caseira de usar técnicas Concept para causar mais danos.

A resposta - e resistência

Com este vírus, o gerente geral do Word, Peter Pathe (ppathe, mas ele também manteve o pseudônimo Blue de seus dias de faculdade tanto online quanto na vida real), decidiu dar os primeiros passos na cruzada antivírus da Microsoft. Blue e a equipe mudaram a forma como as macros funcionavam. Eles adicionaram um aviso observando que um documento continha uma macro e também dificultaram a execução automática de macros ao simplesmente abrir documentos. Esses foram pequenos passos. Mas, apesar do horror de WM / Concept.A, eles foram recebidos com muitas resistências por fãs do Word e gerentes de TI, porque as mudanças quebraram sistemas de negócios e fluxos de trabalho. Blue manteve sua posição, e a equipe de Serviços de Suporte ao Produto (PSS) da Microsoft trabalhou proativamente com os clientes para divulgar a mensagem, por assim dizer.

WM / Concept.A foi nossa primeira lição sobre o incrível equilíbrio entre construir um sistema extensível e personalizável e a necessidade de manter a segurança e confiabilidade nos PCs, e como os clientes recuam ao tornar os produtos mais seguros significa fazer mudanças em como eles funcionam. Mas o vírus me assustou de uma forma muito mais ampla. Escrevi um memorando frenético de 20 páginas, Inseguro em Qualquer Megahertz. O título era uma referência ao Livro de Ralph Nader que sacudiu a indústria automobilística nos anos 60. Era para ser uma chamada à ação para nossa engenharia de produto.

A indústria de software cresceu desde a contracultura dos anos 1960. Steve Jobs sem sapatos. Bill Gates hackeando o sistema de computador de seu colégio. Ambos desistiram da faculdade. O que faltava à indústria de PCs era uma noção formal do que significava ser um engenheiro de software. Meu toque de clarim foi que nossa falta de formalismo, reprodutibilidade e validação externa resultaria apenas em regulamentação governamental pesada. Pensei em uma espécie de Underwriters Laboratory para software. Isso seria assustador. Nunca enviei o memorando por medo de que fosse considerado muito controverso em uma empresa e setor que era o epítome do informal. Em vez disso, o memorando foi um bom exercício para eu escrever e pensar, e me fez dobrar sobre como o Office funcionaria com relação à qualidade do produto.

A capacidade de malfeitores ou mesmo brincalhões de causar estragos na infraestrutura de PC crescente e recém-conectada tornou-se um grande problema para a Microsoft. Ainda assim, nossos produtos estavam se comportando exatamente como projetados, e os clientes apreciavam esses padrões de projeto - a extensibilidade era um importante ponto de venda do Office e uma parte importante de nossos esforços de produto e engenharia. Assim que introduzimos as alterações de funcionalidade, novos vírus foram criados para contornar as proteções existentes.

Enquanto estávamos no meio da criação da visão para o Office10 - o produto que se tornaria o Office XP - no início de 1999, nossa empresa de relações públicas, Waggener Edstrom (freqüentemente chamada de WaggEd), recebeu uma solicitação de entrada de John Markoff de O jornal New York Times . Markoff foi um dos repórteres mais respeitados em tecnologia, com um profundo histórico em reportagens sobre todos os aspectos da indústria, especialmente em tópicos intensamente técnicos. Ele recebeu ampla aclamação por dois livros sobre a cultura hacker e, em particular, o esforço que levou à identificação e captura de Kevin Mitnick , que foi condenado por vários crimes relacionados com o computador.

Em 30 de março de 1999, Steven Sinofsky (à direita) formalmente assina o documento liberando o Office 2000 para fabricação em um evento comemorativo no campus da Microsoft; ele está usando equipamento de proteção na expectativa de ser encharcado de champanhe. John Jendrezak, que gerenciou o processo de lançamento, está à esquerda. [Foto: cortesia de Steven Sinofsky]

Em nosso caso, Markoff perguntou sobre um recurso no Office 97 e Office 2000, e um recurso relacionado no Windows 98. Ele estava perguntando seguindo uma dica que recebeu, que mais tarde soubemos ser de um programador, bem conhecido da Microsoft, que criava ferramentas para MS-DOS. Markoff foi informado de que os documentos criados com essas versões do Office pareciam ter sido carimbados com o que o informante chamou de impressão digital. Relacionado a isso, parecia que o programador descobriu que o Windows 98 também estava criando o que equivalia a uma impressão digital para um PC inteiro usando tecnologia semelhante. A combinação significava que documentos e PCs pareciam ter impressões digitais.

Kim Bouic (agora Barsi) de Waggener Edstrom me ligou imediatamente. Kim era a executiva de RP que liderava os negócios do Office e era excepcional em lidar com situações de crise como essa. Por um lado, ela me convenceu de falar aos repórteres sobre como eles não entendiam e, por outro lado, gentilmente lembrou aos repórteres que as coisas podem ser mais complexas do que pareciam. Suas habilidades eram necessárias mais do que nunca, pois a impressão digital estava rapidamente se tornando uma crise.

Markoff estava perseguindo duas linhas de investigação e elas estavam levando à mesma conclusão: a Microsoft criou algum tipo de impressão digital ou número de série no Windows e no Office. Nesse caso, isso constituiu um grande risco para a privacidade, porque documentos e computadores podem ser rastreados usando essa tecnologia. Como se isso não bastasse, a Intel anunciou o novo chip Pentium III, e ele continha um número de série exclusivo que a Intel disse ser para uso de segurança, mas alimentado direto na narrativa de números de série para PCs de rastreamento. Para tornar isso ainda mais sinistro, em uma das primeiras discussões com Markoff no Windows, alguém se referiu à tecnologia como um GUID (pronuncia-se goo-id), um acrônimo para identificador globalmente único .

O Big Brother de repente fez parte da história.

GUID era o nome da funcionalidade do Windows que, de fato, criava o que deveria ser um número exclusivo - algo útil para uma ampla gama de tarefas de programação. As origens dos GUIDs da Microsoft estavam profundamente enterradas no sistema, mas o valor de um número que era, para todos os efeitos práticos, único superou as pessoas que tentavam criar um número por conta própria, algo que iludiu os cientistas da computação por anos - na verdade, as origens de GUIDs remontavam pelo menos ao trabalho da Open Software Foundation da década de 1980 e eram originalmente chamados de UUIDs, para identificadores universalmente únicos .

Para criar o número exclusivo, a função de criação do GUID combinou várias informações. Um deles era o número de série de uma placa de rede chamada endereço MAC, que era relativamente único e necessário para a rede. Esse número de série permaneceu visível no GUID. Assim, alguém com um GUID e acesso de alguma forma aos números de série das placas de rede poderia identificar um computador. O fato de não haver um banco de dados de endereços MAC ou mesmo alguém rastreando-os, ou de os endereços MAC fazerem parte do nível mais baixo de funcionamento da internet, foram todos fatos perdidos no momento. Para a frustração de Kim, continuei tentando explicar.

Tipo Pro: Se em uma crise de relações públicas você estiver explicando algo profundamente técnico, pare . Eu não conseguia parar. Kim estava aborrecido.

véspera de ano novo ao vivo em nova york

Os detalhes de como a Microsoft acabou usando a tecnologia GUID faziam isso parecer ruim, e era nisso que Markoff estava.

Essa teoria da conspiração era profunda.

No Office 97, introduzimos hiperlinks como um recurso nativo dentro de documentos. Foi parte de nosso esforço para tornar o Office ótimo para a web. Em qualquer documento do Office, clicar em um link abre o navegador. Estávamos especialmente interessados ​​em links entre documentos do Office em um servidor da web. Um problema com os documentos do Office é que, se os arquivos forem renomeados ou movidos, o link será quebrado. A WWW já era bastante conhecida por links quebrados. No mundo corporativo, com reorganizações e mudanças de nomes de projetos, os arquivos se moviam muito.

Decidimos que, usando o software de gerenciamento de site FrontPage no servidor, poderíamos rastrear os links usados ​​em documentos do Office e detectar quando um arquivo foi movido e, em seguida, reparar os links. Achamos que essa era uma ótima maneira de evitar o que estava se tornando um enorme problema da web de links quebrados. Precisávamos de algo mais do que um nome de arquivo, já que vários arquivos em uma empresa podem frequentemente ter o mesmo nome. Uma ideia inteligente era usar o novo recurso GUID do Windows para criar GUIDs e, quando um link era criado para um documento, um GUID também era registrado. Os links em HTML usavam o nome do arquivo e da pasta, portanto, se o arquivo fosse movido ou renomeado, o link seria quebrado. Ter um GUID também nos deu a chance de corrigir o link e localizar o arquivo usando o servidor FrontPage. Achamos que era um plano útil e sólido.

A Microsoft encomendou bolos em formato de caixas de software do Office para comemorar o lançamento do produto. [Foto: cortesia de Steven Sinofsky]

Will Kennedy (WillK) foi o gerente de desenvolvimento do recurso no Office 97, embora tenha mudado para o Outlook logo depois de iniciarmos o Office10. Um nativo do Alabama, contratado para a faculdade, com 1,80 m de altura, Will era o epítome de um gerente de desenvolvimento calmo. Eu encaminhei a ele alguns dos e-mails de Markoff descrevendo o recurso. Ele examinou todo o código do Office com a equipe de teste e verificou que armazenamos o GUID em um documento (para promover a conspiração, o GUID não era visível para os usuários finais de forma alguma e estava oculto no arquivo). No entanto, à medida que o Office 97 avançava, embora tarde, nunca implementamos o recurso de correção, mas os GUIDs permaneceram. Isso parecia benigno na época. Will disse que era trivial remover o código que escreveu o GUID nos arquivos. Ele preparou uma solução rápida para o Office 97.

A Microsoft não era exatamente a empresa mais amada e certamente não a mais confiável.

Simultaneamente, mas por coincidência, o Windows 98 implementou uma ferramenta de registro de produto que, no processo de registro do PC, coletava um conjunto de informações sobre o hardware (quanta memória, espaço em disco, CPU, etc.). Também foi opcionalmente coletar informações pessoais como qualquer processo de registro. Na Microsoft, as informações de hardware foram para a equipe de desenvolvimento e as informações pessoais opcionais foram para o banco de dados de clientes de marketing. No final das contas, os bits de informação de hardware precisavam de um identificador exclusivo. O Windows optou por usar um GUID.

Os GUIDs continham esse número MAC de rede, que poderia vincular o registro do Windows 98 e os documentos criados com o Office, independentemente de onde esses documentos fossem distribuídos.

O informante, e Markoff, criaram um cenário pelo qual a Microsoft poderia, se quisesse, manter a capacidade de saber se um documento foi criado em um PC e quem o registrou. Na verdade, a teoria implicava que, dado um documento aleatório, seria possível para a Microsoft determinar quem o criou.

Tudo que a Microsoft precisava fazer era conectar cada um dos novos bancos de dados, e ninguém poderia nos impedir.

Kim precisava que eu pegasse o telefone com Markoff e explicasse essa teoria. Eu disse a ela que a teoria era infundada e, portanto, inofensiva, e que nunca faríamos o que estava sendo sugerido.

Mas era uma teoria da conspiração, e isso não pode ser explicado.

A Microsoft na época (início de 1999) não era exatamente a empresa mais amada e certamente não era a mais confiável, especialmente por aqueles fora da tecnologia. Combinada com a falta de confiança, havia uma percepção de poder que rivalizava com os governos.

Por outro lado, a ideia de que de alguma forma as equipes do Windows e do Office poderiam conectar seus bancos de dados e executar esse cenário parecia risível para mim. Tínhamos dificuldade suficiente para conectar nossos bancos de dados de bugs e compartilhar código, embora entendêssemos totalmente e tivéssemos uma utilidade para essas coisas!

Kim agendou uma ligação com Markoff. Ela me lembrou mais uma vez de levar Markoff a sério e de que eu não poderia descartar suas preocupações, por mais selvagens que fossem. Durante a ligação, examinei o recurso do Office, mas não havia como negar o que Markoff estava afirmando. A Microsoft tinha esses bancos de dados. Havia um número de série de uma placa de rede em um GUID. Os arquivos tinham GUIDs. A história era finalmente arquivado e foi, de acordo com Kim, factual e preciso. Como quase sempre acontecia, levei a história para o lado pessoal. Kim me lembrou que foi uma vitória, considerando onde a história começou e onde poderia ter ido.

Mensagem importante de Jon

Emitimos patches para o Office. Mudamos o Office para que ele não criasse GUIDs (que nunca usamos) e também lançamos uma ferramenta para remover GUIDs de documentos existentes. O Windows também mudou a ferramenta de registro do produto e a maneira como o recurso de criação de GUID funciona. Os GUIDs são amplamente usados ​​atualmente na Internet em navegadores, sites e telefones celulares em quase todos os aplicativos.

A história do GUID também foi a introdução da palavra metadados para o público em geral. Eram dados sobre dados, geralmente não vistos pelos usuários finais, como o GUID em um documento do Office. Com o aumento da navegação na web, dos cookies do navegador da web e dos registros de telefones celulares, a conscientização pública estava apenas aumentando. Os defensores da privacidade estavam em vigor desafiando a coleta e análise de metadados. Estávamos realmente entrando em uma nova era de privacidade.

A Microsoft fechou o serviço de e-mail, assim como empresas e provedores de e-mail em todo o mundo.

WM / Concept.A foi a primeira experiência da equipe do Office em lidar com vírus em rede. Lidar com GUIDs foi nossa primeira experiência ao lidar com privacidade. Ambos surgiram durante o planejamento do Office10 e mudaram a maneira como pensávamos sobre segurança e privacidade. Na verdade, a segurança e a privacidade passaram das capacidades defensivas para os princípios principais de nossa visão de produto.

Não tínhamos terminado de aprender.

Poucos dias depois O jornal New York Times corri a história de Markoff sobre GUIDs, recebi uma mensagem interessante no Outlook com o assunto Mensagem importante de Jon. E outra mensagem interessante com o assunto Mensagem importante de EJ. E outro. E outro. Na verdade, minha caixa de entrada estava cheia de mensagens importantes de. . . mensagens.

Isso não era bom.

Cada mensagem continha apenas o texto:

Here is that document you asked for ... don't show anyone else ;-)

E um anexo de arquivo chamado LIST.DOC.

Eu não fui a única pessoa recebendo esses e-mails. Parecia que todos com o Office executando o Outlook os estavam recebendo, aparentemente ao mesmo tempo.

Então, de repente, não recebi mais mensagens. Eu também não consegui enviar mensagens. O e-mail estava fora do ar.

A Microsoft fechou o serviço de e-mail, assim como empresas e provedores de e-mail em todo o mundo. A Internet estava sendo atacada por um vírus, um vírus de e-mail replicante. Esse vírus foi rapidamente analisado por muitos na Internet - ele se chamava W97M.Melissa.A, pois deixava uma assinatura contendo o nome Melissa em um PC infectado. Melissa era um vírus de macro do Word muito parecido com WM / Concept.A, mas estendido para usar o Outlook para se replicar.

O vírus Melissa se espalhou comandando o Outlook das vítimas para enviar o vírus a novas vítimas.

O escritório foi transformado em arma. Esse vírus também não prejudicava os PCs infectados, mas gerava tantos e-mails que os servidores ficavam entupidos no que é chamado de ataque de negação de serviço, ou DoS. Os administradores de sistema responsáveis ​​pelos servidores de e-mail ficaram irritados. Mais importante, talvez pela primeira vez, centenas de milhares ou milhões de trabalhadores de colarinho branco ficaram sem e-mail ao mesmo tempo, entrando em uma manhã de segunda-feira de uma semana de trabalho.

Se houvesse alguma dúvida, ficamos sabendo imediatamente como o e-mail era importante para o local de trabalho.

Nossos clientes e escritórios em todo o mundo ficaram furiosos.

As notícias estavam por toda parte (embora os repórteres recorressem a ligações telefônicas para relatar), e o número de servidores de e-mail afetados estava na casa das dezenas de milhares, ou seja, centenas de milhares, senão mais PCs. Isso era enorme.

O que estava acontecendo? Este era um novo tipo de vírus. Ele introduziu o termo worm para a população em geral, assim chamado porque ele poderia se espalhar automaticamente para outros usuários de PC sem qualquer ação, espalhando-se pela Internet. Na imprensa, os termos worm e vírus eram usados ​​alternadamente. Uma vez liberado na natureza por meio de um e-mail deliberadamente simples, o vírus Melissa se espalhou quando um destinatário abriu o arquivo anexado às Mensagens Importantes. A mensagem foi projetada para parecer familiar e, portanto, o arquivo quase sempre era aberto.

Aquilo foi Engenharia social .

O anexo continha uma macro do Word e foi escrito de uma forma que não apenas contornou quaisquer proteções adicionadas ao Word após WM / Concept.A, mas desabilitou imediatamente os recursos de proteção de macro. Nesse sentido, era igual ao vírus Concept. Ao usar qualquer programa de e-mail, exceto o Outlook, Melissa era como o Concept tanto em como se espalhava quanto em seu nível de aborrecimento (alto).

Se um usuário estava executando o Outlook, Melissa deu um passo adiante. O código do vírus Melissa usava os recursos de macro do Outlook - sim, o Outlook também tinha, e os clientes realmente os adoravam - para enviar automaticamente a mesma mensagem importante para as primeiras 50 pessoas no catálogo de endereços do Outlook. Em vez de contar a dois amigos, cada PC infectado contava 50, e cada um dos que abriam o anexo contava mais 50. Foi assim que o vírus se espalhou por todo o planeta em um fim de semana.

Se houvesse algum humor (não havia), depois de enviar o vírus a 50 pessoas, o código verificava se o dia atual do mês era igual ao minuto. Se por acaso fosse, ele acrescentava o seguinte texto à Palavra aberta atualmente: Vinte e dois pontos, mais a pontuação de três palavras, mais cinquenta pontos por usar todas as minhas letras. Fim de jogo. Estou fora daqui. Isso não fazia sentido até que houvesse um mergulho profundo em onde o Windows mantinha as configurações do programa (chamado de registro ), e onde foi registrado que Melissa infectou o PC. Lá, o texto pode ser encontrado lendo Kwyjibo. Juntos, esses foram uma referência a um episódio de Os Simpsons, Bart o Gênio, onde Bart tenta trapacear no Scrabble com essa palavra .

Metadados indicadores

Caçar os propagadores de vírus e worms era um hobby e uma profissão na Internet que remontava a Robert Morris e o infame worm liberado de Cornell em 1988 (enquanto eu estava lá para meu primeiro retorno ao lar!) E detectado e documentado por Clifford Stoll em o livro incrível Ovo do cuco: rastreando um espião no labirinto da espionagem computacional . Imediatamente, a internet tentou encontrar pistas sobre a origem de Melissa. Em alguns aspectos, isso era semelhante aos Centros de Controle e Prevenção de Doenças tentando encontrar o paciente zero. Com o e-mail, isso foi possível por causa dos carimbos de hora precisos e informações de viagem em cada mensagem - o DNA digital de um vírus de computador.

Melissa ofereceu outra pista, sem o conhecimento de seu criador. O arquivo LIST.DOC tinha um GUID, do tipo sobre o qual John Markoff escreveu (o mesmo recurso que acabamos de remover do Office). O informante auxiliando Markoff, que sabíamos ser Richard Smith, o CEO da empresa de software Phar Lap, encontrou o GUID e o postou online com o código do vírus. Um estudante de graduação na Suécia disse que o código parecia familiar e indicou a Smith um usuário chamado VicodenES. Smith então começou a conectar o endereço da placa de rede (a mesma da qual ele reclamou como parte de um GUID) e os registros dos servidores de internet. Eventualmente, Smith foi capaz de conectar toda a trilha de endereços da placa de rede ao criador do vírus, que era preso em Nova Jersey na casa de seus pais uma semana depois de divulgá-lo .

Os metadados do Office 2000 tornaram isso possível.

Eu gostaria de ter inventado isso.

Auxiliamos os gerentes de TI e administradores de sistemas a colocar seus sistemas novamente online e a remover o vírus. Esta foi uma investigação criminal e, para a equipe do Office, foi a primeira vez que estivemos envolvidos em uma nesta escala e em tempo real. A semana foi repleta de remorso, tristeza, raiva e, finalmente, quando soubemos que metadados estavam envolvidos na descoberta do criminoso, pura descrença.

As abordagens de design que funcionavam para entusiastas de tecnologia não funcionavam mais para trabalhadores de escritório típicos.

A capacidade macro do Outlook, usada pela Melissa, conquistou muitos seguidores e era um aspecto estratégico do produto. Estávamos na mesma situação que estávamos alguns anos antes com o Word - um recurso importante que as empresas valorizavam era o fato de serem transformadas em armas por criadores de vírus. Para o Word, adicionamos uma série de avisos e controles administrativos. Nossos primeiros passos para lidar com Melissa fizeram o mesmo.

Assim que os implementamos e lançamos atualizações, ouvimos de clientes empresariais e da comunidade de consultores, autores e o Profissionais Mais Valiosos da Microsoft, ou MVPs (o grupo selecionado pelos profissionais de suporte da Microsoft para representar a ampla comunidade externa). Quebramos suas soluções baseadas no Outlook. Quer fossem gerenciamento de tempo, assistentes de agendamento, ferramentas de gerenciamento de relacionamento com o cliente para vendedores ou automação de e-mail (para citar alguns), o usuário era avisado pelo Outlook sempre que as macros eram executadas. Era chato, mas precisava ser assim porque não tínhamos outra solução disponível.

Quando as pessoas que usam software estão em um fluxo de execução de alguma tarefa (de abrir e-mail, reservar ingressos, abrir um programa, navegar em páginas da web), quaisquer mensagens de aviso são essencialmente ignoradas e, portanto, sem sentido.

Esta lição foi aprendida repetidamente por cada geração de software. Uma mensagem de aviso simplesmente atrapalhou. Ninguém lê texto quando existe um botão OK bem ali.

Como com o Word, houve uma redução gradual da extensibilidade do Office. Nossos produtos (e clientes) foram colocados em risco devido a um mundo cada vez mais conectado. As abordagens de design que escolhemos funcionavam bem para entusiastas de tecnologia não funcionavam mais para funcionários de escritório típicos com conhecimento relativamente limitado do funcionamento interno dos PCs e, especialmente, não para os administradores que os apoiavam.

Depois que um vírus é impedido por qualquer meio, a comunidade de agentes mal-intencionados trabalha para encontrar padrões semelhantes para explorar, mas que contornem as correções. Nesse ínterim, uma comunidade ainda maior de copiadores duplica o exploit existente e tira proveito de software não corrigido ou software protegido por ferramentas antivírus relativamente pouco sofisticadas que não detectaram pequenas alterações no padrão usado. É assim que os vírus funcionam.

Nós garantimos o produto brevemente.

Momento Tylenol da Microsoft

No início da manhã de maio, quando recebi aquela ligação frenética, foi meu primeiro aviso sobre o surto do novo vírus ILOVEYOU, e muito rapidamente notícias on-line estavam relatando bilhões de dólares em danos , citando o exploit anterior da Melissa e o vírus Concept no Word.

No relatório, uma vez que existem três pontos de evidência, então há uma tendência. Nesse caso, a tendência era o risco crescente de usar o Office e os custos crescentes para profissionais de TI de negócios que mantêm desktops corporativos - TCO, nosso velho amigo custo total de propriedade , foi novamente um problema crítico.

Em uma história online postada na primeira noite da propagação, especialistas do setor previram que pela manhã metade de todos os PCs na América do Norte foram infectados e mais de 100.000 servidores de email na Europa foram infectados ou colocados offline como precaução. O Senado dos Estados Unidos foi infectado, assim como veículos de notícias importantes, como o Dow Jones. As infecções atingiram redes de telecomunicações e televisão em todo o mundo na Dinamarca e funcionários da Compaq Computer em lugares distantes como a Malásia.

O impacto foi profundo. Bilhões de dólares em perda imediata de produtividade e dinheiro gasto para erradicar o vírus. Os clientes ficaram furiosos. Se e como respondêssemos a isso seria claramente um teste de empatia pela dor que os clientes estavam experimentando.

A ILOVEYOU desativou servidores de e-mail e PCs em rede em todo o mundo, incluindo muitas agências governamentais importantes do Departamento de Defesa dos EUA ao Serviço Nacional de Saúde do Reino Unido. Dentro de uma semana do ataque, o Comitê Científico da Câmara dos Representantes dos Estados Unidos estava realizando audiências para tentar descobrir o problema do vírus, chamado Love Bug na imprensa, e por que a indústria não o abordou.

Os criadores do worm ILOVEYOU exploraram uma falha nas mensagens de aviso que eram executadas quando os dados do Outlook (como contatos) eram acessados. Assim como o Melissa, o worm usou a lista de contatos e se replicou, mas em vez de apenas os primeiros 50 contatos, ele automaticamente (e silenciosamente) enviou mensagens para todos os contatos em uma lista de endereços. Essa infecção também se instalou no computador, de modo que continuou a funcionar o tempo todo e causou danos ao excluir arquivos e substituí-los por cópias do vírus. A infecção foi iniciada por um anexo de e-mail com o nome Love Letter, que era um programa oculto e não uma carta. Qualquer programa de e-mail seria vulnerável a esse método de transmissão, que simplesmente exigia que o usuário abrisse o arquivo em seu PC, mas o Outlook não era apenas o mais proeminente, era também o mais facilmente programável.

Foi ruim. Muito ruim.

A equipe estava tentando descobrir o que fazer e começou a explorar as opções.

O Microsoft Office estava tendo um momento Tylenol. Embora o sofrimento humano do vírus de computador fosse dramaticamente menor do que o do Adulteração de produto em 1982 que deixou sete pessoas mortas por envenenamento, o sofrimento da marca era comparável. O Outlook é confiável? Microsoft poderia? A empresa controladora de Tylenol, a Johnson & Johnson, tomou medidas drásticas e sem precedentes para salvar vidas e reconstruir a confiança do consumidor na marca. Ele removeu todos os medicamentos da distribuição e encorajou a destruição de todos os comprimidos. Além disso, a empresa diagnosticou e aprimorou seus sistemas, incluindo o desenvolvimento de embalagens invioláveis. Ao fazer isso, eles desenvolveram o manual moderno para gerenciamento de crises.

Não importa o quanto quebremos ou não, os clientes reclamarão.

Como tantas situações de crise na gestão, a princípio os gerentes (como eu) acham que vão aparecer e salvar o dia com alguma ideia brilhante em que ninguém pensou. Se isso falhar (como quase sempre acontece), a próxima abordagem é pegar várias opções e combiná-las no que parece brilhante, mas, em última análise, impraticável. Isso presumindo que você não apareça e apenas deseje que a coisa toda não estivesse acontecendo. Isso também nunca é o caso.

Rob Price (RobPr), líder de gerenciamento de programas do Outlook, e WillK lideraram a discussão. A visão deles era clara. Primeiro, desabilitaríamos o envio de vários tipos de arquivos de anexos que as pessoas enviam ou abrem rotineiramente se eles aparecem em uma caixa de entrada. Essencialmente, isso significava não enviar código executável ou arquivos executados quando abertos. Em segundo lugar, protegeríamos o Outlook para que qualquer acesso programático ao catálogo de endereços ou tentativa de enviar e-mail silenciosamente gerasse um aviso e desabilitasse o acesso. Finalmente, embora parecesse complicado, trataríamos todos os e-mails como não confiáveis, o que basicamente significava que, não importa como o código foi inserido no e-mail, ele não funcionou sem muitos avisos. Colocaríamos mensagens de e-mail em quarentena de maneira eficaz e isolaríamos os dados importantes do Outlook do usuário de qualquer código.

Esses atos podem ser executados e personalizados por administradores em grandes empresas.

A equipe queria conversar sobre exatamente quantas coisas quebrariam no processo. O gerente geral do Outlook, Kurt DelBene (KurtD) e o gerente de teste Martin Staley (MartinSt), disseram que não importa o quanto ou quão pouco quebremos, os clientes reclamarão que quebramos muito ou pouco. Algumas coisas eram super simples. Por exemplo, grandes empresas compactaram seus arquivos antes de enviá-los por e-mail como anexos, para economizar armazenamento e largura de banda. Uma maneira comum de enviá-los sem a necessidade de um programa separado para descompactá-los era enviar o arquivo compactado como um arquivo executável, que era automaticamente descompactado e salvo no disco rígido local quando aberto como um anexo. Esta extensão do Outlook era popular. E seria totalmente quebrado, tornando os anexos invisíveis para os destinatários.

O debate não era se deveríamos fazer essas mudanças o mais rápido possível, mas se deveríamos permitir que as empresas as desativassem ou de alguma forma reduzissem o escopo da proteção. Como veteranos das últimas rodadas de vírus, estávamos relutantes em permitir que os profissionais de TI reduzissem as proteções em um PC. Suas avaliações pesaram o risco de um chefe ou parte interessada importante não realizar o trabalho com os custos de suporte em uma organização se um vírus surgisse. Sabíamos com qualquer opção que algum percentual de clientes ficaria com mais dor na remediação após o fato do que na prevenção. Era a troca errada, mas o tipo que costuma ser feito nas organizações de TI quando são colocadas na defensiva por causa das fraquezas dos produtos aos quais dão suporte.

O que a equipe realmente queria era permissão para causar dor. Eles sabiam o que precisava ser feito, mas sabiam que haveria resistência. Eles queriam saber que eu os apoiaria. Para isso, não hesitei diante da dor que já havíamos causado e do quanto eles entenderam claramente sobre o problema e a solução. Havia tanta coisa acontecendo para sugerir que isso prejudicava significativamente toda a proposta de valor do Office que eu me perguntei se teríamos que introduzir versões do Office livres do Outlook (e preços reduzidos - tudo sempre voltava aos preços).

Em quatro semanas, em 8 de junho de 2000, a equipe concluiu o patch e o disponibilizou para download - a infame Atualização de segurança de e-mail do Outlook. Foi lançado para Outlook 97, Outlook 98 e Outlook 2000 e para todas as subversões desses produtos em todo o mundo.

Depois de ILOVEYOU, a Microsoft bloqueou os recursos de automação do Outlook para tornar o abuso menos fácil.

Quatro semanas pode parecer muito tempo, mas limpar os PCs do problema consumia muito tempo e ocupava a TI. Os fornecedores de antivírus e produtos de segurança de e-mail fizeram sua parte. Notificamos o PSS e as vendas de campo. O departamento de marketing preparou uma biblioteca de materiais, assim como o Suporte, que escreveu artigos técnicos detalhados para a Base de Dados de Conhecimento da Microsoft. Nós emitimos uma longa entrevista comigo , como um comunicado à imprensa, detalhando todas as correções. Fizemos ligações com os principais meios de comunicação.

O lançamento foi acidentado. Com cada vírus, os entusiastas experientes do PC tendem a assumir uma postura de culpar os usuários quando confrontados com uma atualização que diminui os recursos do PC. Vimos isso com a Concept e com a Melissa. No caso do LOVE, recursos como envio de e-mail eram exatamente o que os entusiastas faziam com frequência, então eles ficavam bastante irados. Em fóruns, eles reclamaram: Quem abre anexos de pessoas que você não conhece? As pessoas estão ocupadas e esperam que os PCs funcionem. Eles não veem o uso de um PC da mesma forma que andar por um beco escuro em uma cidade estranha. Rapidamente, a comunidade começou a tentar encontrar soluções alternativas para as mudanças de segurança, mas sem sucesso. Vários declararam que os usuários finais devem alterar algumas configurações de TI que fornecemos para voltar ao normal.

Os administradores corporativos se comportaram conforme o esperado. Alguns otimizados para o curto prazo. Outros tiveram o trabalho de mudar o fluxo de trabalho e as incompatibilidades. O Outlook, com a atualização de segurança de e-mail, era o novo normal e acabou sendo aceito. Ainda era tolice ter feito pouco caso dessas mudanças. Embora em retrospectiva tudo parecesse fácil, a ideia de quebrar um ecossistema importante, especialmente para um novo produto, era a antítese do foco da Microsoft na compatibilidade. O que a equipe propôs e depois entregou foi corajoso.

O Office continuou a ter menos vírus e, em sua maioria, menos graves nas décadas seguintes. Pelo menos parte disso se deve à atualização de segurança de e-mail do Outlook.

Entusiastas de tecnologia, profissionais de TI e até mesmo nossos amados MVPs reclamaram por anos e escreveram muitos artigos referindo-se pejorativamente à Atualização de segurança de e-mail conforme eles se ajustavam a um novo normal para o Outlook.

O mundo mudou. E era um pouco mais seguro usar o Office e o Outlook.