Компьютерный андеграунд

DST и ФБР начали работать совместно. Независимый наблюдатель мог разглядеть два независимых мотива. ФБР хотело схватить преступника. DST хотело показать, что позорное нападение червя на престижнейшее в мире космическое агентство было организовано не во Франции.

В лучших традициях агентств «плаща и кинжала» люди ФБР и DST установили два канала связи: официальный и неофициальный. Официальный канал, проходивший через посольства, постоянно испытывал бесконечные задержки в получении ответов на простейшие вопросы. Неофициальный канал включал в себя пару телефонных звонков и несколько быстрых ответов.

Во Франции у Рона Тенкати был коллега по сети SPAN по имени Крис, который был самым главным пользователем SPAN в Европе. Крис был вовлечен в больше, чем просто компьютерные сети ученых. У него были контракты с французским правительством. Так, когда ФБР нуждалось в технической информации для своего расследования, вроде информации, которая могла быть задержана бюрократами посольства, один из агентов звонил Тенкати. «Рон, спроси у своего друга это».

«Крис, ФБР хочет знать следующее», говорил Тенкати своему коллеге во Франции. Затем Крис получал необходимую информацию. Он звонил обратно Тенкати и говорил: «Рон, вот ответ. А теперь DST хочет знать следующее». И Рон искал информацию по запросу DST.

Расследование продвигалось с помощью закулисных каналов. Американское расследование было направлено в сторону неизбежного заключения, что атака на НАСА была организована с французских компьютеров.

Французам не нравился такой вывод. Не было доказательств, что червь пришёл из Франции.

По словам французов, они были уверены, что червь пришел из США. Почему же еще он был запрограммирован отсылать детали захваченных аккаунтов на машину в США – компьютер, известный как GEMPAK? Конечно потому, что автор червя был американцем! Следовательно это не наша проблема, говорили французы американцам. Это ваша проблема.

Большинство экспертов в компьютерной безопасности знали этот стандартный прием среди хакеров: создавать максимально запутанный след между хакером и хакнутой машиной. Для людей вроде ФБР будет очень сложно проследить кто это сделал. Следовательно, будет сложно сделать вывод о национальности хакера. Поскольку иначе хакер был бы сразу же схвачен после запуска червя.

Тенкати установил французское соединение по нескольким компьютерным логам, показывающим начало атаки ранним утром в понедельник 16 октября. Логи были очень важны, потому что они были относително чисты. С момента рождения червь начал атаковать компьютеры, с каждым разом все в большем количестве. К 11 часам уже невозможно было сказать где начиналась одна атака и заканчивалась другая.

Спустя некоторое время после первой атаки DST прислало сообщение, что ее агенты направляются в Вашингтон для обсуждения нескольких вопрсов. Они хотели встретиться с ФБР. Представитель Генерального Инспекционного Штаба НАСА посетил встречу как агент службы безопасности SPAN НАСА.

Тенкати был уверен, что он мог доказать французское происхождение атаки червя WANK на НАСА. Но чтобы дать точные ответы на каждый вопрос и контраргумент агентов французской секретной службы, у него должно быть всё задокументировано. Когда Тенкати разрабатывал план атаки, он обнаружил, что во время атаки червя машина GEMPAK показывала X.25-соединение с другой системой во Франции. Он продолжил исследование и встретился с администратором этой системы. Не мог бы он помочь? Машина в вашем распоряжении, монсениор Тенкати.

Никогда прежде Тенкати не использовал сети X.25; там были особенные команды, отличные от любого другого типа сетей компьютерных коммуникаций. Чтобы восстановить все следы червя, ему нужна была помощь. Итак, он позвонил другу Бобу Лиону в DEC и попросил его помочь провести этот процесс.