Бостик скептически отнесся к информации из МГГ, ведь finger была такой мелкой, банальней утилитой. Он представить не мог, что в программе всего в 15 строк длиной могут содержаться серьезные дыры. Чтобы доказать свою правоту, команда из МГГ прислала ему образец программы, демонстрировавший дефект в finger. В тот же день Бостик разослал «Virus Posting #3» – заплату на finger. Это стало последней каплей, убедившей Бостика, что единственный способ узнать, остается ли еще опасность, это разобрать вирус строка за строкой. Программу нужно декомпилировать.
Декомпиляция программы чем-то сродни искусству алхимика. Это преобразование программы, состоящей из единиц и нулей, которые компьютер читает как команды «да» – «нет» в нечто, что человек-программист мог бы прочесть и понять. Декомпилировать программу – все равно, что взять книгу, уже переведенную с английского на, скажем, французский, и перевести снова на английский, не заглядывая при этом в оригинал. В новой английской версии слова могут оказаться другими, но хорошие переводчики умеют сохранить суть книги. Когда программа декомпилирована, сам язык может слегка отличаться, но программа действует аналогично оргиналу. Обычно программу компилируют, а не наоборот, ибо после того как программу из исходного текста переводят в выполняемый код, редко возникает необходимость обратного перевода. Собственно, многие лицензии на коммерческое ПО именно потому запрещают дизассемблирование программ, что те, кто это может сделать, могут также захотеть сломать защиту копии или модифицировать ПО. Но иметь оригинальный исходный текст программы – бесценное преимущество, поскольку оно позволяет узнать намерения ее автора. И хотя создатель вируса явно из кожи вон лез, чтобы спрятать свою программу, не оставалось ничего другого, как декомпилировать ее – трудная задача, которая под силу очень немногим программистам.
Как оказалось, Беркли идеально подходил для этой работы, и не только потому, что берклийскую версию UNIX создали и по-прежнему сопровождали здесь – на этой неделе в университетском городке Беркли проходила ежегодная встреча экспертов UNIX со всего мира. Во время прошлогодней конференции по UNIX рухнула фондовая биржа. В этом году – Internet Крис Торек, один из ведущих экспертов по UNIX, остановился как раз в доме у Бостика. Приехал на конференцию и специалист по компиляции из университета штата Юта Дон Сили. Хватило бы одного его, чтобы справиться с программой, но Фил Лэпслй и Питер Йе знали еще одного аса.
Дейв Паре стал экспертом по декомпиляции программ еще когда был аспирантом Калифорнийского университета в Сан-Диего. В 1985 году его вывел из себя автор компьютерной игры Empire, который отказался распространять исходный текст. 22-летний Паре поставил себе целью декомпилировать Empire полностью На это ушло без малого два года. Теперь он жил в Кремниевой долине, в 50 милях к югу от Беркли. Паре не только был специалистом по декомпиляции, но и написал собственный дизассемблер – программу, которая существенно облегчала этот процесс, автоматизировав часть самых рутинных этапов. Поэтому в четверг утром Питер Йе позвонил ему и сказал, что требуется помощь. Паре в первый раз услышал о вирусе.
– А где Фил? Сам он не справится?
– Фил спит. Он работал всю ночь.
Этого хватило, чтобы убедить Паре, что дело действительно серьезное. Он не мог представить, чтобы Фил работал по ночам. Паре сел в машину и через час был в Беркли. В Эванс-Холле он сел за одну рабочую станцию с Крисом Тереком. Напротив Бостик и Сили сидели за другой. Комната превратилась в конвейерную линию. Работа бригады Паре-Торека заключалась в переводе необработанных нулей и единиц каждой команды в код ассемблера, а затем в ''сырой" код на языке Си. Разобравшись с командой, они тут же передавали ее бригаде Бостика-Сили, которые пытались понять конкретный смысл кода.
На конференции только и говорили, что о вирусе, который накануне придушил сеть. Те из участников, кто собирался приехать в Беркли в четверг утром, были вынуждены остаться дома и воевать с агрессором. Для присутствовавших обсуждение вируса затмило семинары типа «UNIX с NPROC = 3000» и «Кернелизация МАСН». Двоих из участников уже вытащили с конференции для помощи в декомпиляции, а остальные во время перерывов заглядывали в Эванс-Холл узнать, как идут дела. Проголодавшись, программисты заказывали что-нибудь в ближайшей пиццерии и обедали не отходя от компьютеров.
И на западном, и на восточном побережьях продолжали разбирать код. Вслед за духом сотрудничества в оба коллектива просочился элемент соперничества. Каждая группа в глубине души надеялась первой прийти к финишу. Кроме того, поскольку обе команды предпочитали работать в собственном ритме, намного легче было идти собственным путем, чем приспосабливаться к чужим методам.
Кейт Бостик помогал в работе, когда не был занят, отвечая на панические телефонные звонки или получая электронную почту. Минимум раз в час звонили люди из разных отделов Министерства обороны и спрашивали, кончили ли уже в Беркли дизассемблировать код. Бродячая программа могла содержать любые команды, и это порождало тревогу и напряжение. В какой-то момент Паре занервничал: он увидел, что код содержит таймер.
– Эй, парни, – окликнул он остальных.
– Каждые 12 часов она что-то делает.
– Что? – в один голос закричали все.
– Она вызывает подпрограмму под названием Н_С1еаn.
Н_С1еаn? Значит ли это Host (Host – центральная машина локальной сети) Clean? А если так, не собирается ли она чистить файлы компьютера, на котором работает? Все, что было хронометрировано, являлось дурным знаком. Они понятия не имели, что может произойти, если таймер выключить. Скрывая панику, Бостик сказал: «Дэвид. Времени нет. Займись этим. Сейчас». Паре работал над H_Clean, а остальные заглядывали ему через плечо. Оказалось, что Н_С1еаn стирала в вирусе внутренний список станций, которые он заразил за предыдущие 12 часов. Беспокоиться было не из-за чего. Обнаружился также участок кода, предусматривавший посылку небольшой информации – сигнала через определенный интервал времени – на Эрни Со VAX, компьютер в Кори-Холле, использовавшийся аспирантами факультета для отправки и получения почты. Скорее всего, эту часть программы задумали, чтобы запугать следы и создать видимость того, что программа шла из Беркли. Но в этом месте программы была ошибка, так что никаких сообщений не отправлялось. Ошибка, как выяснила команда Беркли, оказалась не единственной. Ошибки были какие-то беспечные, явно результат невнимательности. Например, автор программы один раз забыл присвоить значение переменной, другой раз неправильно адресовал сообщение и т. д. Больше всего Дэйва Паре обескураживала неоднородность кода. Одни куски были написаны просто великолепно, а другие сляпаны так небрежно, что казались написанными кем-то другим.