Articolo Pubblicazioni

ILOVEYOU, maggio 2000: il worm che trasformò l’ingegneria sociale in un’arma globale

di · Pubblicato il 10 luglio 2000

Abstract

Il 4 maggio 2000 un messaggio di posta con oggetto «ILOVEYOU» e un allegato chiamato LOVE-LETTER-FOR-YOU.TXT.vbs ha fatto il giro del mondo in poche ore. L’allegato era un worm che si inviava a tutti i contatti della rubrica, danneggiava i file e cercava di rubare password. L’articolo ricostruisce il caso, spiega perché ha funzionato e indica le misure che ogni organizzazione dovrebbe adottare.

Vincenzo Calabrò | ILOVEYOU, maggio 2000: il worm che trasformò l’ingegneria sociale in un’arma globale
 

Che cosa è successo

La mattina del 4 maggio 2000, partendo dall’Asia, milioni di persone hanno ricevuto un messaggio di posta elettronica con oggetto «ILOVEYOU» e un testo breve che invitava ad aprire la lettera d’amore allegata. Il messaggio arrivava da un conoscente, perché il worm usava la rubrica di chi era già stato infettato. Nel giro di un giorno ha raggiunto aziende, governi e parlamenti in Asia, Europa e America. Molte organizzazioni hanno spento i server di posta per fermarne la diffusione.

Come funzionava

L’allegato si chiamava LOVE-LETTER-FOR-YOU.TXT.vbs. Windows, nelle impostazioni predefinite, nasconde le estensioni dei file noti, quindi l’utente vedeva LOVE-LETTER-FOR-YOU.TXT e pensava a un innocuo file di testo. In realtà era uno script in Visual Basic, eseguito dal Windows Scripting Host con un doppio clic. Una volta avviato, il worm:
  1. si copiava nelle cartelle di sistema e si registrava per ripartire a ogni avvio;
  2. inviava una copia di sé a tutti gli indirizzi della rubrica di Microsoft Outlook;
  3. sovrascriveva con il proprio codice file di immagini, musica, script e documenti presenti sui dischi locali e di rete, aggiungendo l’estensione .vbs;
  4. modificava la pagina iniziale di Internet Explorer per scaricare un programma che cercava di rubare password e inviarle a un indirizzo di posta;
  5. si diffondeva anche attraverso i canali di chat IRC.
Nei giorni successivi sono comparse decine di varianti, con oggetti diversi, come finte fatture o barzellette, a conferma che il meccanismo era facile da copiare.

I danni

Le stime parlano di decine di milioni di computer colpiti e di danni complessivi per miliardi di dollari, soprattutto per il blocco dei sistemi di posta, il tempo necessario per la bonifica e la perdita di file non salvati altrove. Il worm non era tecnicamente sofisticato. La sua forza stava nella combinazione di un messaggio emotivo, di un mittente conosciuto e di un ambiente che eseguiva gli script senza alcuna protezione.

L’indagine

Le tracce del codice e dell’indirizzo usato per ricevere le password hanno condotto gli investigatori nelle Filippine. Le autorità hanno individuato un giovane studente di informatica, ma hanno dovuto constatare che nel paese non esisteva una legge che punisse in modo specifico la creazione e la diffusione di un virus. Le accuse sono state abbandonate. Il caso ha spinto le Filippine ad approvare in giugno una legge sul commercio elettronico che include sanzioni per questi comportamenti, e ha rafforzato le richieste di un accordo internazionale sui reati informatici, in discussione al Consiglio d’Europa.

Perché ha funzionato

ILOVEYOU mostra con chiarezza il peso del fattore umano. Il worm ha sfruttato la curiosità e la fiducia verso un mittente conosciuto. Ha sfruttato poi una serie di impostazioni comode e pericolose, come le estensioni nascoste, l’esecuzione degli script con un doppio clic e l’accesso libero dei programmi alla rubrica di Outlook.

Che cosa fare

Le misure suggerite dal caso sono alla portata di qualsiasi organizzazione:
  • bloccare sui server di posta gli allegati con estensioni eseguibili come .vbs, .exe, .pif, .scr e .bat;
  • rendere visibili le estensioni dei file sulle postazioni;
  • disattivare il Windows Scripting Host dove non è necessario;
  • aggiornare gli antivirus più volte al giorno nei momenti di epidemia e installare le correzioni di Outlook che limitano l’accesso alla rubrica;
  • eseguire copie di sicurezza regolari dei file, anche sui dischi di rete;
  • formare gli utenti a diffidare degli allegati inattesi, anche da mittenti conosciuti, e a verificarli con il mittente.

In Italia

Anche in Italia il worm ha bloccato per ore la posta di aziende, banche, università e amministrazioni. Molte organizzazioni hanno scoperto di non avere una procedura per isolare rapidamente il server di posta e per avvisare gli utenti senza usare la posta stessa. Il caso è anche un argomento a favore dell’attuazione delle misure minime di sicurezza previste dal DPR 318 del 1999, che chiedono protezioni contro i programmi dannosi e copie di sicurezza dei dati.

Le prime ore

L’esperienza del 4 maggio suggerisce una sequenza di azioni da preparare in anticipo, per non doverla inventare durante l’emergenza:
  • bloccare sul gateway di posta i messaggi con l’oggetto e l’allegato noti, e se non è possibile sospendere temporaneamente la ricezione dall’esterno;
  • avvisare gli utenti con un canale diverso dalla posta, come il telefono, la rete interna o un messaggio sui terminali, chiedendo di non aprire il messaggio e di segnalarlo;
  • individuare le postazioni infette, scollegarle dalla rete e ripulirle con le firme antivirus aggiornate appena disponibili;
  • controllare le cartelle condivise sui server, perché il worm sovrascrive anche i file sui dischi di rete;
  • ripristinare dai backup i file danneggiati e verificare che le copie non contengano a loro volta lo script.
Un elenco come questo, con i nomi dei responsabili e i numeri da chiamare, occupa una pagina e fa risparmiare ore preziose.

Il ruolo degli utenti

Dopo ILOVEYOU è difficile sostenere che la sicurezza sia solo una questione di prodotti. Un antivirus aggiornato la sera prima non riconosceva il worm la mattina dopo. Le difese che hanno funzionato sono state i filtri sugli allegati, le persone che non hanno aperto il messaggio e gli amministratori che hanno bloccato la posta in tempo. Investire nella formazione degli utenti costa poco rispetto al danno di una sola giornata di posta ferma.
 
Vedi anche: l’articolo del 2000 Sicurezza dei sistemi operativi, l’articolo del 2001 Code Red e Nimda (2001) e l’articolo del 2001 La Convenzione di Budapest.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn