# Morris worm 1988: คืนที่หนอนคอมพิวเตอร์ทำอินเทอร์เน็ตสะดุด และที่มาของ CERT/CC

> Morris worm คือหนอนคอมพิวเตอร์ที่ถูกปล่อยเข้าอินเทอร์เน็ตเย็น 2 พ.ย. 1988 ทำเครื่อง VAX และ Sun-3 ทั่วสหรัฐฯ ช้าจนล่ม หลังจากนั้น DARPA ให้ SEI ตั้ง CERT/CC

- ประเภท: อธิบาย · หมวด: History
- เผยแพร่: 2026-10-27T16:53:00.000Z · อัปเดต: 2026-10-27T16:53:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/history/morris-worm-1988-history-internet-security/

## สรุปประเด็นสำคัญ

- **Morris worm** ถูกปล่อยเข้าอินเทอร์เน็ตเมื่อเย็นวันที่ **2 พฤศจิกายน 1988** ตามคำพิพากษาศาลอุทธรณ์สหรัฐฯ ปล่อยจากคอมพิวเตอร์ของ MIT โดย Robert Tappan Morris นักศึกษาปริญญาเอกปีแรกของ Cornell
- หนอนโจมตีเครื่อง VAX และเวิร์กสเตชัน Sun-3 ที่ใช้ Berkeley UNIX 4.2 และ 4.3 ผ่านช่องโหว่ใน sendmail และ fingerd, ความเชื่อใจระหว่างเครื่อง และการเดารหัสผ่านด้วยพจนานุกรม **432 คำ**
- ตามบทความของ MIT อินเทอร์เน็ตตอนนั้นเชื่อมคอมพิวเตอร์ราว **60,000 เครื่อง** ส่วน Carnegie Mellon ระบุว่าหนอนทำให้ระบบที่เชื่อมอินเทอร์เน็ต **10%** หยุดทำงาน
- ศาลระบุว่าค่าใช้จ่ายรับมือหนอนต่อหน่วยงานอยู่ระหว่าง **200 ถึงกว่า 53,000 ดอลลาร์** และ Morris ถูกตัดสินคุมประพฤติ 3 ปี บริการสังคม 400 ชั่วโมง ปรับ **10,050 ดอลลาร์**
- หลังเหตุการณ์ DARPA ให้ Software Engineering Institute ตั้ง **CERT/CC** ในเดือนพฤศจิกายน 1988 ส่วน GAO ส่งรายงาน IMTEC-89-57 ต่อรัฐสภาเมื่อ 12 มิถุนายน 1989

Morris worm คือหนอนคอมพิวเตอร์ (worm) ที่ถูกปล่อยเข้าอินเทอร์เน็ตเมื่อเย็นวันที่ 2 พฤศจิกายน 1988 แล้วคัดลอกตัวเองไปยังเครื่อง VAX และเวิร์กสเตชัน Sun-3 ที่ใช้ Berkeley UNIX ทั่วสหรัฐอเมริกา จนเครื่องจำนวนมากช้าลงหรือล่ม ในเวลาที่อินเทอร์เน็ตเชื่อมคอมพิวเตอร์ราว 60,000 เครื่องตามบทความวิเคราะห์ของ MIT หลังเหตุการณ์ครั้งนี้ DARPA ให้ Carnegie Mellon University ตั้ง CERT/CC ศูนย์ประสานงานเหตุฉุกเฉินด้านความปลอดภัยคอมพิวเตอร์

38 ปีต่อมา ช่องโหว่ที่ถูกโจมตีภายในไม่กี่วันหลังเปิดเผยยังเป็นข่าวทุกสัปดาห์ บทความนี้เล่าเรื่อง Morris worm จากเอกสารชั้นต้น ได้แก่ RFC 1135 ที่ J. Reynolds แห่ง ISI เผยแพร่ในเดือนธันวาคม 1989, บทความของทีม MIT ที่ร่วมแกะโปรแกรมในคืนนั้น, คำพิพากษาศาลอุทธรณ์สหรัฐฯ ปี 1991, รายงานของ GAO และประกาศของ Carnegie Mellon เพื่อดูว่าบทเรียนข้อใดยังใช้กับองค์กรไทยได้

## Morris worm คืออะไร และใครเป็นผู้ปล่อย

RFC 1135 นิยามคำว่า worm ว่าเป็นโปรแกรมที่ทำงานได้เองและส่งสำเนาที่ทำงานได้ครบของตัวเองไปยังเครื่องอื่นได้ ต่างจากไวรัสที่ต้องฝังตัวในโปรแกรมอื่นและรอให้โปรแกรมนั้นถูกเปิด RFC ระบุว่าในช่วงแรกสื่อเรียกเหตุการณ์นี้ว่าไวรัส ตามข้อสรุปเบื้องต้นของคนในวงการก่อนจะได้ตัวอย่างโปรแกรมมาแกะ และบทความของ MIT ก็ยังใช้คำว่า virus ในชื่อเรื่อง

คำพิพากษาคดี United States v. Morris ระบุว่า ในฤดูใบไม้ร่วงปี 1988 Robert Tappan Morris เป็นนักศึกษาปริญญาเอกปีแรกสาขาวิทยาการคอมพิวเตอร์ของ Cornell University เขาเริ่มเขียนโปรแกรมในเดือนตุลาคม 1988 โดยศาลระบุเป้าหมายว่าเพื่อแสดงว่ามาตรการรักษาความปลอดภัยของเครือข่ายยังไม่เพียงพอ และในวันที่ 2 พฤศจิกายน 1988 เขาปล่อย Morris worm จากคอมพิวเตอร์ของ MIT เพื่อปกปิดว่าโปรแกรมมาจาก Cornell

เอกสารชั้นต้นบันทึกจุดเริ่มต้นไม่ตรงกันทั้งหมด บทความของ MIT อ้างการวิเคราะห์ log ของเครื่องที่ Cornell โดย NCSC ว่ามีการทดสอบส่วนโจมตี sendmail ตั้งแต่ 19 ถึง 28 ตุลาคม 1988 และโปรแกรม "ถูกทดสอบหรือปล่อย" เวลา 17:01:59 น. (เวลาตะวันออกของสหรัฐฯ) ของวันที่ 2 พฤศจิกายน แต่บทความเดียวกันก็บันทึกว่ามีผู้ให้สัมภาษณ์ New York Times ว่าหนอนเริ่มจากเครื่องของ MIT AI Lab ผ่านการล็อกอินระยะไกลจาก Cornell ข้อเท็จจริงที่ศาลวินิจฉัยคือปล่อยจากคอมพิวเตอร์ของ MIT

## Morris worm แพร่กระจายอย่างไร

RFC 1135 ระบุว่า Morris worm โจมตีสำเร็จเฉพาะเครื่อง VAX และ Sun-3 ที่ใช้ Berkeley UNIX รุ่น 4.2 และ 4.3 โดยอาศัยช่องโหว่ที่ "เป็นที่รู้กันอยู่แล้ว" ในโปรแกรมที่ติดมากับระบบปฏิบัติการ คำพิพากษาของศาลสรุปช่องทางเข้าไว้ 4 ทาง สอดคล้องกับ RFC

| ช่องทาง | สิ่งที่หนอนใช้ตามเอกสารชั้นต้น |
| --- | --- |
| sendmail | คำสั่ง debug ที่ไม่ใช่มาตรฐานในโปรแกรมรับส่งอีเมล ใช้ส่งตัวหนอนไปยังเครื่องปลายทาง |
| fingerd | ส่งข้อมูลยาวเกินที่โปรแกรมรับได้จนล้นหน่วยความจำ แล้วรันโปรแกรมเล็ก ๆ ได้ RFC ระบุว่าเฉพาะเครื่อง VAX ที่ใช้ 4.3BSD |
| trusted hosts | ใช้ rsh และ rexec ซึ่งเครื่องที่ไว้ใจกันเข้าหากันได้โดยไม่ต้องใส่รหัสผ่าน |
| เดารหัสผ่าน | ลองรหัสที่เดาง่ายจากข้อมูลใน /etc/passwd เช่น ไม่มีรหัส หรือชื่อผู้ใช้ซ้ำสองครั้ง รวมถึงพจนานุกรมในตัว 432 คำ |

RFC 1135 อ้างการวิเคราะห์ของ Donn Seeley ว่า Morris worm ประกอบด้วยโปรแกรมเริ่มต้นภาษา C ยาว 99 บรรทัด กับไฟล์ object ขนาดใหญ่ที่มีทั้งรุ่นสำหรับ VAX และ Sun-3

![เวิร์กสเตชัน Sun 3/80 พร้อมจอสี 19 นิ้ว คีย์บอร์ด และเทปไดรฟ์ ตัวอย่างเครื่องตระกูล Sun-3 ที่ Morris worm โจมตีได้ (ภาพเครื่องของผู้ถ่าย เผยแพร่บน Wikimedia Commons ปี 2008)](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/morris-worm-1988-history-internet-security/sun-3-80-workstation.webp?v=15c71d5e) _(ภาพ: Lamune / Wikimedia Commons (สาธารณสมบัติ))_

## ทำไม Morris worm ทำให้เครื่องล่ม

ศาลบันทึกว่า Morris ตั้งใจให้ Morris worm กินทรัพยากรน้อย ไม่รบกวนการใช้งาน และไม่คัดลอกซ้ำลงเครื่องที่มีอยู่แล้ว โดยให้หนอน "ถาม" เครื่องปลายทางก่อนว่ามีสำเนาหรือยัง แต่เพราะกลัวผู้ดูแลจะตั้งเครื่องให้ตอบว่า "มีแล้ว" เพื่อหลอก เขาจึงให้หนอนคัดลอกตัวเองทุกครั้งที่ 7 ที่ได้คำตอบว่ามีแล้ว ศาลระบุว่าเขาประเมินจำนวนครั้งที่เครื่องจะถูกถามต่ำเกินไป อัตราหนึ่งในเจ็ดจึงทำให้เกิดสำเนาซ้อนกันมากกว่าที่คาดมาก

ผลคือเครื่องจำนวนมาก "crash" หรือค้างจนใช้งานไม่ได้ RFC 1135 อธิบายว่าผู้ใช้ส่วนใหญ่เจอโปรแกรมช้าลง เพราะระบบต้องรันสำเนาของหนอนหลายชุดพร้อมกัน หรือพื้นที่ดิสก์เต็มจากไฟล์ชั่วคราวของหนอน คำพิพากษาระบุว่าเครื่องที่ได้รับผลกระทบมีทั้งมหาวิทยาลัยชั้นนำ หน่วยงานทหาร และสถาบันวิจัยการแพทย์ และค่าใช้จ่ายในการรับมือของแต่ละหน่วยงานประเมินไว้ตั้งแต่ 200 ดอลลาร์ไปจนถึงกว่า 53,000 ดอลลาร์

ตัวเลขเครื่องที่ติด Morris worm ทั้งหมดไม่มีในเอกสารชั้นต้นที่เราเปิดอ่าน ประกาศของ Carnegie Mellon ระบุเป็นสัดส่วนว่าหนอนทำให้ระบบที่เชื่อมอินเทอร์เน็ต 10% หยุดทำงาน ส่วนบทความของ MIT บันทึกรายงานจาก Stanford ว่าหนอนเข้าถึงเครื่อง UNIX ส่วนใหญ่ในมหาวิทยาลัย "ราว 2,500 เครื่อง"

## ชุมชนอินเทอร์เน็ตกำจัด Morris worm อย่างไร

บทความของ MIT บันทึกเหตุการณ์ตั้งแต่ 2 ถึง 11 พฤศจิกายน 1988 ตามเวลาตะวันออกของสหรัฐฯ Stanford รายงานว่าถูก Morris worm โจมตีเวลา 21:00 น. คืนวันพุธที่ 2 พฤศจิกายน เครื่องหนึ่งของ MIT ถูกโจมตีเวลา 21:30 น. และเวลา 05:58 น. ของวันพฤหัสบดีที่ 3 พฤศจิกายน Keith Bostic แห่ง Berkeley ส่งวิธีแก้ sendmail ฉบับแรกเข้า mailing list และกลุ่มข่าวของผู้ดูแลระบบ ส่วนกลไกโจมตีผ่าน fingerd บทความของ MIT บันทึกว่า Ed Wang แห่ง Berkeley ค้นพบราว 08:00 น. แต่อีเมลที่แจ้งไม่ถูกเปิดอ่านจนวิกฤตผ่านไปแล้ว

![หน้าแรกของ RFC 1135 The Helminthiasis of the Internet โดย J. Reynolds แห่ง ISI ธันวาคม 1989 ระบุว่า Morris worm ถูกปล่อยเย็นวันที่ 2 พฤศจิกายน 1988 และโจมตีเครื่อง VAX และ Sun-3 ที่ใช้ Berkeley UNIX](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/morris-worm-1988-history-internet-security/rfc-1135-helminthiasis-internet.webp?v=ecd0c23d) _(ภาพ: RFC Editor (ภาพหน้าจอ))_

RFC 1135 สรุปว่าผู้ดูแลระบบอาศัย "old boy network" คือการโทรศัพท์และส่งอีเมลถามคนรู้จักต่อกันไป เพื่อกระจายแพตช์ปิด sendmail และ fingerd เมื่อปิดช่องโหว่แล้ว Morris worm ก็ติดเครื่องเดิมซ้ำไม่ได้ และถูกกำจัดออกจากเครื่องส่วนใหญ่ภายใน 48–72 ชั่วโมง โดยเฉพาะจากทีมวิทยาการคอมพิวเตอร์ของมหาวิทยาลัย ขณะที่ RFC ระบุว่าหน่วยงานรัฐและเอกชน "ดูเหมือนจะช้า" กว่าในการรับรู้และกำจัด RFC 1135 สรุปบทเรียนจากบทความของ MIT ไว้หลายข้อ เช่น การเชื่อมต่อที่ยังใช้งานได้สำคัญมาก การเก็บ log สำคัญ ควรมีคลังรวมแพตช์ความปลอดภัยกลาง และคำถามว่าถ้าต้องคุยกับผู้ดูแลเครือข่ายของ Ohio State University ตอนตีสาม จะโทรหาใคร และจะรู้ได้อย่างไรว่าปลายสายคือ MIT จริง

![หน้าบทความ With Microscope and Tweezers ของ Mark W. Eichin และ Jon A. Rochlis จาก MIT ซึ่งวิเคราะห์ Morris worm และนำเสนอในงาน IEEE Symposium on Research in Security and Privacy ปี 1989](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/morris-worm-1988-history-internet-security/mit-with-microscope-and-tweezers-paper.webp?v=b71d1943) _(ภาพ: Massachusetts Institute of Technology (ภาพหน้าจอ))_

## คดี United States v. Morris

Morris ถูกฟ้องตาม Computer Fraud and Abuse Act ปี 1986 มาตรา 1030(a)(5)(A) ซึ่งเอาผิดผู้ที่จงใจเข้าถึงคอมพิวเตอร์ที่รัฐบาลกลางมีส่วนได้เสียโดยไม่ได้รับอนุญาตและทำให้เกิดความเสียหาย คณะลูกขุนตัดสินว่ามีความผิด และศาลแขวงเขตเหนือของนิวยอร์กพิพากษาเมื่อ 16 พฤษภาคม 1990 ให้คุมประพฤติ 3 ปี ทำงานบริการสังคม 400 ชั่วโมง ปรับ 10,050 ดอลลาร์ และจ่ายค่าใช้จ่ายการคุมประพฤติ

ในชั้นอุทธรณ์ ฝ่ายจำเลยโต้แย้งว่าอัยการต้องพิสูจน์ว่าเขาตั้งใจทำให้เกิดความเสียหายด้วย ไม่ใช่แค่ตั้งใจเข้าถึง และการใช้ sendmail กับ finger ซึ่งเขามีสิทธิ์ใช้อยู่แล้วไม่ใช่การเข้าถึงโดยไม่ได้รับอนุญาต ศาลอุทธรณ์เขตที่ 2 ฟังการโต้แย้งเมื่อ 4 ธันวาคม 1990 และพิพากษาเมื่อ 7 มีนาคม 1991 ยืนตามศาลชั้นต้นทั้งสองประเด็น โดยวินิจฉัยว่าการใช้ช่องโหว่ของ sendmail และ finger ไม่ได้เป็นการใช้งานตามวัตถุประสงค์ของโปรแกรม

ด้านมหาวิทยาลัย RFC 1135 ระบุว่าคณะกรรมการไต่สวนเบื้องต้นของ Cornell ส่งรายงานต่อ Provost ของมหาวิทยาลัยเมื่อ 6 กุมภาพันธ์ 1989 สรุปว่าการเก็บรหัสผ่านโดยไม่ได้รับอนุญาตและการปล่อยหนอนเข้าเครือข่ายระดับประเทศเป็นสิ่งที่ผิด และ Cornell ไม่ได้สนับสนุนหรือยกย่องการกระทำนี้

![หน้าคำพิพากษาคดี United States v. Robert Tappan Morris ของศาลอุทธรณ์สหรัฐฯ เขตที่ 2 ระบุวันฟังการโต้แย้ง 4 ธันวาคม 1990 และวันพิพากษา 7 มีนาคม 1991 พร้อมข้อเท็จจริงว่า Morris เป็นนักศึกษาปริญญาเอกปีแรกของ Cornell](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/morris-worm-1988-history-internet-security/us-v-morris-928-f2d-504-opinion.webp?v=f64fb0e0) _(ภาพ: Public.Resource.Org (ภาพหน้าจอ))_

## Morris worm เปลี่ยนระบบรับมือภัยไซเบอร์อย่างไร

ผลที่ยังอยู่ถึงวันนี้คือแนวคิดศูนย์ประสานงานกลาง Carnegie Mellon ระบุว่าหลังเหตุหนอนอินเทอร์เน็ตในเดือนพฤศจิกายน 1988 DARPA มอบหมายให้ Software Engineering Institute ตั้งศูนย์สำหรับ "ประสานการสื่อสารระหว่างผู้เชี่ยวชาญในช่วงเหตุฉุกเฉินด้านความปลอดภัย และช่วยป้องกันเหตุในอนาคต" ศูนย์นี้คือ CERT Coordination Center (CERT/CC) ซึ่งตั้งขึ้นในเดือนเดียวกันนั้น

ฝั่งนโยบาย คณะที่ปรึกษาของ NSF ออกแถลงการณ์เรื่องจริยธรรมการใช้เครือข่ายเมื่อ 30 พฤศจิกายน 1988 และ Internet Activities Board (IAB) ออกแถลงการณ์นโยบายการใช้ทรัพยากรอินเทอร์เน็ตในเดือนมกราคม 1989 ที่ถือว่าการเข้าถึงโดยไม่ได้รับอนุญาตและการรบกวนการใช้งานเป็นสิ่งที่ยอมรับไม่ได้ ต่อมา GAO หน่วยงานตรวจสอบของรัฐสภาสหรัฐฯ ทบทวนเหตุการณ์ตามคำขอของรัฐสภา และเผยแพร่รายงาน IMTEC-89-57 เมื่อ 12 มิถุนายน 1989 (เปิดเผยต่อสาธารณะ 20 กรกฎาคม 1989) เสนอให้ตั้งคณะทำงานระหว่างหน่วยงานเป็นจุดประสานด้านความปลอดภัยของอินเทอร์เน็ต หน้ารายงานของ GAO ระบุสถานะข้อเสนอนี้ว่า "Closed – Not Implemented"

![หน้ารายงาน GAO IMTEC-89-57 Computer Security: Virus Highlights Need for Improved Internet Management เผยแพร่ 12 มิถุนายน 1989 ระบุว่า GAO ทบทวนเหตุ Morris worm เดือนพฤศจิกายน 1988 ตามคำขอของรัฐสภา](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/morris-worm-1988-history-internet-security/gao-imtec-89-57-report-page.webp?v=70394def) _(ภาพ: U.S. Government Accountability Office (ภาพหน้าจอ))_

## ลำดับเหตุการณ์ Morris worm

| วันที่ | เหตุการณ์ | แหล่งที่บันทึก |
| --- | --- | --- |
| ตุลาคม 1988 | Morris เริ่มเขียนโปรแกรม | คำพิพากษาศาลอุทธรณ์ |
| 19–28 ต.ค. 1988 | log ของ Cornell แสดงการทดสอบส่วนโจมตี sendmail | บทความ MIT (อ้าง NCSC) |
| 2 พ.ย. 1988 เย็น | Morris worm ถูกปล่อยเข้าอินเทอร์เน็ต | RFC 1135, คำพิพากษา |
| 3 พ.ย. 1988 05:58 น. | Keith Bostic ส่งวิธีแก้ sendmail ฉบับแรก | บทความ MIT |
| 48–72 ชั่วโมงหลังเริ่มระบาด | หนอนถูกกำจัดจากเครื่องส่วนใหญ่ | RFC 1135 |
| พ.ย. 1988 | DARPA ให้ SEI ตั้ง CERT/CC | Carnegie Mellon |
| 30 พ.ย. 1988 | แถลงการณ์จริยธรรมของคณะที่ปรึกษา NSF | RFC 1135 |
| ม.ค. 1989 | แถลงการณ์นโยบายของ IAB | RFC 1135 |
| 6 ก.พ. 1989 | รายงานคณะกรรมการไต่สวนของ Cornell | RFC 1135 |
| 12 มิ.ย. 1989 | GAO เผยแพร่รายงาน IMTEC-89-57 | GAO |
| ธ.ค. 1989 | RFC 1135 บันทึกเหตุการณ์ | RFC Editor |
| 16 พ.ค. 1990 | ศาลแขวงพิพากษาลงโทษ | คำพิพากษาศาลอุทธรณ์ |
| 7 มี.ค. 1991 | ศาลอุทธรณ์เขตที่ 2 ยืนคำพิพากษา | คำพิพากษาศาลอุทธรณ์ |

## บทเรียนสำหรับองค์กรไทยวันนี้

RFC 1135 ตั้งคำถามไว้ตั้งแต่ปี 1989 ว่า ทำไมคนจำนวนมากรู้ปัญหา debug ของ sendmail และปัญหาล้นหน่วยความจำของ fingerd อยู่แล้ว แต่ไม่ได้ลงแพตช์ในระบบที่ใช้งานจริง คำถามนี้ยังใช้ได้กับช่องโหว่ที่ถูกโจมตีเร็วขึ้นทุกปี ดังที่สรุปไว้ในบทความ[รอบแพตช์ขององค์กรไทยต้องเร็วแค่ไหน](/security/vulnerability-exploited-within-3-days-patch-cycle/)

1. **ปิดความสามารถที่ไม่ได้ใช้** Morris worm เข้าทางคำสั่ง debug ที่เปิดค้างไว้ใน sendmail วันนี้คือพอร์ตจัดการระบบ หน้าแอดมิน และโหมดทดสอบที่เปิดสู่อินเทอร์เน็ต
2. **เลิกความเชื่อใจแบบเหมารวมระหว่างเครื่อง** rsh และไฟล์ .rhosts ของปี 1988 เทียบได้กับเครือข่ายภายในที่ไม่แบ่งส่วนและบัญชีบริการที่ใช้รหัสเดียวกันทุกเครื่อง
3. **บังคับรหัสผ่านที่เดายากและ MFA** Morris worm เดารหัสได้จากชื่อผู้ใช้และพจนานุกรมเพียง 432 คำ

## จาก CERT/CC ถึง ThaiCERT: มรดกของ Morris worm

อีกสองบทเรียนเป็นเรื่องการประสานงานมากกว่าเทคนิค

1. **รู้ล่วงหน้าว่าจะติดต่อใครเมื่อเกิดเหตุ** ปัญหา "ตีสามจะโทรหาใคร" ของปี 1988 แก้ด้วยรายชื่อผู้ติดต่อและช่องทางประสานที่ตกลงกันไว้ก่อน ในไทย พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 (ค.ศ. 2019) กำหนดให้ตั้ง ThaiCERT ภายใต้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เป็นศูนย์ประสานการรับมือภัยคุกคามของประเทศ บทบาทคล้ายกับภารกิจประสานผู้เชี่ยวชาญในเหตุฉุกเฉินที่ Carnegie Mellon อธิบายไว้สำหรับ CERT/CC
2. **เก็บ log และแบ่งปันข้อมูลภัยคุกคาม** RFC 1135 ให้เครดิตการกำจัด Morris worm ภายใน 48–72 ชั่วโมงแก่ทีมวิทยาการคอมพิวเตอร์ของมหาวิทยาลัย และชี้ว่าการแลกเปลี่ยนข้อมูลอย่างเปิดเผยช่วยเร่งการวิเคราะห์และแก้ไข องค์กรไทยจึงควรเก็บ log ให้พอสืบย้อนได้ และติดตามประกาศของ ThaiCERT กับผู้ผลิตอย่างสม่ำเสมอ

อ่านต่อเรื่องจุดเริ่มต้นของเครือข่ายที่หนอนตัวนี้โจมตีได้ใน[ประวัติ ARPANET](/history/arpanet-history-birth-of-the-internet/) และ[ประวัติอินเทอร์เน็ตไทย](/history/thai-internet-history/) หรือดูเรื่องเล่าประวัติศาสตร์เทคโนโลยีอื่น ๆ ที่[หมวดประวัติศาสตร์](/history/)

## คำถามที่พบบ่อย

### Morris worm คืออะไร?

Morris worm คือโปรแกรมที่คัดลอกตัวเองข้ามเครือข่ายได้เอง (หนอนคอมพิวเตอร์) ซึ่งถูกปล่อยเข้าอินเทอร์เน็ตเมื่อเย็นวันที่ 2 พฤศจิกายน 1988 โจมตีเครื่อง VAX และ Sun-3 ที่ใช้ Berkeley UNIX จนเครื่องจำนวนมากช้าลงหรือล่ม ผู้เขียนคือ Robert Tappan Morris นักศึกษาปริญญาเอกปีแรกของ Cornell ตามคำพิพากษาของศาล

### Morris worm แพร่กระจายด้วยวิธีใด?

RFC 1135 และคำพิพากษาศาลระบุวิธีที่ Morris worm ใช้ไว้ตรงกัน ได้แก่ คำสั่ง debug ใน sendmail, การส่งข้อมูลเกินขนาดให้ fingerd, ความเชื่อใจระหว่างเครื่องผ่าน rsh และ rexec และการเดารหัสผ่านที่ง่าย รวมถึงพจนานุกรมในตัว 432 คำ

### Morris worm ทำให้เกิด CERT/CC จริงหรือไม่?

Carnegie Mellon University ระบุว่าหลังเหตุหนอนอินเทอร์เน็ตหรือ Morris worm เดือนพฤศจิกายน 1988 ซึ่งทำให้ระบบที่เชื่อมอินเทอร์เน็ต 10% หยุดทำงาน DARPA ได้มอบหมายให้ Software Engineering Institute ตั้ง CERT/CC ขึ้นในเดือนเดียวกัน เพื่อประสานผู้เชี่ยวชาญเมื่อเกิดเหตุฉุกเฉินด้านความปลอดภัย

### ผู้สร้าง Morris worm ถูกลงโทษอย่างไร?

ตามคำพิพากษาศาลอุทธรณ์สหรัฐฯ เขตที่ 2 ลงวันที่ 7 มีนาคม 1991 Robert Tappan Morris ผู้ปล่อย Morris worm ถูกตัดสินว่ามีความผิดตาม Computer Fraud and Abuse Act ปี 1986 ได้รับโทษคุมประพฤติ 3 ปี บริการสังคม 400 ชั่วโมง ปรับ 10,050 ดอลลาร์ และค่าใช้จ่ายการคุมประพฤติ ศาลอุทธรณ์ยืนตามศาลชั้นต้น


## แหล่งอ้างอิง

- [RFC 1135: The Helminthiasis of the Internet](https://www.rfc-editor.org/rfc/rfc1135.html) — RFC Editor
- [With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988](http://web.mit.edu/eichin/www/virus/main.html) — Massachusetts Institute of Technology
- [United States v. Robert Tappan Morris, 928 F.2d 504 (2d Cir. 1991)](https://law.resource.org/pub/us/case/reporter/F2/928/928.F2d.504.90-1336.774.html) — Public.Resource.Org
- [Computer Security: Virus Highlights Need for Improved Internet Management (IMTEC-89-57)](https://www.gao.gov/products/imtec-89-57) — U.S. Government Accountability Office
- [U.S. Department of Homeland Security Announces Partnership with Carnegie Mellon's CERT Coordination Center](https://www.cmu.edu/cmnews/extra/2003/030915_cyberpartner.html) — Carnegie Mellon University
- [ThaiCERT: ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ](https://www.thaicert.or.th/about-us/) — สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ