The Cuckoo's Egg: Tracking a Spy Through the Maze of Computer Espionage es un libro de 1989 escrito por Clifford Stoll . Es su relato en primera persona de la búsqueda de un pirata informático que entró en una computadora del Laboratorio Nacional Lawrence Berkeley (LBNL).
El uso que hace Stoll del término extendió la metáfora del huevo de cuco del parasitismo de cría en aves al malware .
El autor Clifford Stoll, astrónomo de profesión, administraba computadoras en el Laboratorio Nacional Lawrence Berkeley (LBNL) en California. Un día de 1986, su supervisor le pidió que resolviera un error contable de 75 centavos en las cuentas de uso de la computadora. Stoll atribuyó el error a un usuario no autorizado que aparentemente había usado nueve segundos de tiempo de computadora y no había pagado por ello. Stoll finalmente se dio cuenta de que el usuario no autorizado era un hacker que había adquirido acceso de superusuario al sistema LBNL explotando una vulnerabilidad en la función movemail del GNU Emacs original .
Al principio, y durante un fin de semana largo, Stoll reunió cincuenta terminales, así como teletipos , en su mayoría "tomando prestados" de los escritorios de compañeros de trabajo que estaban fuera durante el fin de semana. Los conectó físicamente a las cincuenta líneas telefónicas entrantes en LBNL. Cuando el hacker llamó ese fin de semana, Stoll localizó la línea telefónica utilizada, que provenía del servicio de enrutamiento Tymnet . Con la ayuda de Tymnet, finalmente rastreó la intrusión hasta un centro de llamadas en MITRE , un contratista de defensa en McLean, Virginia . Durante los siguientes diez meses, Stoll dedicó enormes cantidades de tiempo y esfuerzo a rastrear el origen del hacker. Vio que el hacker estaba usando una conexión de 1200 baudios y se dio cuenta de que la intrusión provenía de una conexión de módem telefónico . Los colegas de Stoll, Paul Murray y Lloyd Bellknap, ayudaron con las líneas telefónicas.
Después de devolver sus terminales "prestadas", Stoll dejó un teletipo conectado a la línea de intrusión para poder ver y registrar todo lo que hacía el hacker. Observó cómo el hacker buscaba (y a veces conseguía) acceso no autorizado a bases militares de todo Estados Unidos, buscando archivos que contuvieran palabras como "nuclear" o " SDI " (Iniciativa de Defensa Estratégica). El hacker también copiaba archivos de contraseñas (para realizar ataques de diccionario ) y configuraba caballos de Troya para encontrar contraseñas. Stoll se sorprendió de que en muchos de estos sitios de alta seguridad el hacker pudiera adivinar fácilmente las contraseñas, ya que muchos administradores de sistemas nunca se habían molestado en cambiar las contraseñas de sus valores predeterminados de fábrica . Incluso en bases militares, el hacker a veces podía iniciar sesión como "invitado" sin contraseña.
Este fue uno de los primeros casos documentados de intrusión informática ( si no el primero) y Stoll parece haber sido el primero en llevar un registro diario de las actividades del hacker. A lo largo de su investigación, Stoll se puso en contacto con varios agentes del FBI , la CIA , la NSA y la Oficina de Investigaciones Especiales de la Fuerza Aérea de los Estados Unidos . Al principio hubo confusión en cuanto a la jurisdicción y una reticencia general a compartir información; el FBI en particular no estaba interesado, ya que no había una gran suma de dinero en juego y no se accedió a ningún servidor de información clasificada .
Al estudiar su libro de registro, Stoll vio que el hacker estaba familiarizado con VAX/VMS , así como con AT&T Unix . También notó que el hacker tendía a estar activo alrededor del mediodía, hora del Pacífico . Finalmente, Stoll planteó la hipótesis de que, dado que las facturas del módem son más baratas por la noche y la mayoría de las personas tienen estudios o un trabajo diurno y solo tendrían mucho tiempo libre para hackear por la noche, el hacker se encontraba en una zona horaria a cierta distancia al este, probablemente más allá de la costa este de los EE. UU.
Con la ayuda de Tymnet y agentes de varias agencias, Stoll descubrió que la intrusión provenía de Alemania Occidental vía satélite. La oficina de correos de Alemania Occidental, la Deutsche Bundespost , tenía autoridad sobre el sistema telefónico allí y rastreó las llamadas hasta una universidad en Bremen . Para tentar al hacker a revelar su identidad, Stoll montó un elaborado engaño, conocido hoy como honeypot , inventando un departamento ficticio en LBNL que supuestamente se había creado recientemente mediante un contrato "SDI", también ficticio. Cuando se dio cuenta de que el hacker estaba particularmente interesado en la falsa entidad SDI, llenó la cuenta "SDInet" (operada por una secretaria imaginaria llamada "Barbara Sherwin") con grandes archivos llenos de jerga burocrática que sonaba impresionante . La estratagema funcionó y la Deutsche Bundespost finalmente localizó al hacker en su casa en Hanover .
El nombre del pirata informático era Markus Hess y llevaba varios años vendiendo los resultados de sus ataques a la agencia de inteligencia civil de la Unión Soviética , la KGB . Hubo pruebas complementarias de ello cuando un agente húngaro se puso en contacto con la ficticia SDInet del LBNL por correo, basándose en información que sólo pudo haber obtenido a través de Hess. Aparentemente, este era el método de la KGB para comprobar si Hess simplemente estaba inventando la información que estaba vendiendo. Stoll voló más tarde a Alemania Occidental para testificar en el juicio de Hess.