23:45 Вирус обнаружен в исследовательской лаборатории баллистики (Army Ballistic Research Laboratory).
Постепенно стало проясняться, что одни и те же признаки поражения вирусом наблюдают пользователи, находящиеся в разных концах страны. С учетом совпадения событий во времени был сделан вывод, что национальные компьютерные системы атакованы одним и тем же вирусом, распространяющимся через сети, поскольку иным способом распространения нельзя было объяснить скорость, с которой вирус появлялся в различных концах США, если, конечно, не предположить, что все происходящее — результат заранее спланированной и хорошо подготовленной акции некой преступной группы, имеющей доступ ко всем национальным системам. Жизнь администраторов американских систем после установления этого факта, как говорится, переставала быть безынтересной!
Для пользователей и системных администраторов атакованных узлов сетей поведение вируса было непостижимым. В некоторых системах в директории /usr/tmp появлялись необычные файлы; в журнальных файлах ряда утилит появлялись странные сообщения. Наиболее примечательным, однако, было то, что все более и более повышалась загрузка систем, приводившая в конце концов либо к исчерпанию свободного места, выделенного под свопинг, либо к переполнению системной таблицы процессов — в любом случае это означало блокировку системы.
Исходя из названия сетей, в которых вирус был обнаружен, его тут же окрестили вирусом Milnet/Arpanet. Вскоре, однако, выяснилось, что вирус из Arpanet благополучно перекочевал в сеть Science Internet — и он тут же получает название «вирус Internet». Но после того, как Корнеллский университет высказал косвенно доказанное предположение, что вирус, вероятно, разработан в его стенах, вирус получает, наконец, одно из наиболее распространившихся (благодаря стараниям прессы) названий — вирус Cornell/Arpanet. Это название вируса появилось в двух передовых статьях и последующей серии заметок Джона Маркофа (John Markoff), Лоренца М. Фишера (Lawrence M. Fisher), Мишеля Вайнеса (Michael Wines), Джеффа Герса (Jeff Geth) и Калвина Симса (Calvin Sims), опубликованных в «Нью-Йорк Таймс» с 4 по 17 ноября 1988 года.
Вообще для специалистов оказалось приятным сюрпризом то, насколько подробно и грамотно пресса комментировала события. Филипп Гарднер — полковник в отставке, специалист по безопасности компьютеров — писал по этому поводу: «Казалось, репортеры точно знали, у кого можно получить достоверную информацию, и, кроме того, они делали хорошие выводы из того, что эти лица говорили. Это тем более приятно в условиях, когда мы становимся, к несчастью, свидетелями ненормальной тенденции к росту числа „экспертов“ в среде самих журналистов».
Наступило 3 ноября, четверг.
01:0 °Cообщения о заражении 15-ти узлов сети Arpanet.
02:00 Поражена вирусом система Гарвардского университета (Массачусетс).
03:30 Вирус обнаружен в Центре Массачусетского технологического института.
03:46 В сообщении, прошедшем в электронной почте RISKS, уточняется, что атакуются системы UNIX 4.3 BSD и аналогичные ей Sun, работающие на компьютерах VAX фирмы DEC и компьютерах Sun фирмы Sun Microsystems Inc. Сообщается также, что вирус распространяется через дыры в системе безопасности утилиты электронной почты Sendmail, имеющейся в составе указанных систем.
04:00 Поскольку сеть перегружена, распространение вируса замедляется, к этому моменту заражены уже более 1000 узлов сети.
05:15 В университете Карнеги-Меллона в Питтсбурге (Пенсильвания) из 100 компьютеров, подключенных к Arpanet, вышло из строя 80.
08:0 °Cообщение о вирусе из астрофизического центра Smithonian.
Впоследствии возникло несколько версий того, как и кем именно был обнаружен вирус.
Согласно первой, вирус был обнаружен в ночь со 2 на 3 ноября 1988 года одним из научных сотрудников Ливерморской лаборатории им. Лоуренса. Обращаясь со своего домашнего терминала к вычислительной системе лаборатории, он заметил необычное повышение интенсивности ее загрузки. Заподозрив неладное, сотрудник сообщил об этом дежурному оператору, и тот (очевидно, руководствуясь инструкцией) сразу же отключил систему от сети Science Internet, по которой распространялся вирус.
Специалисты Ливерморской лаборатории действительно могли одними из первых обнаружить вирус. Дело в том, что эта лаборатория, проводившая исследования по программе СОИ и разработку новых видов ядерного оружия, в мае 1988 года уже сталкивалась с вирусом, после чего, по всей видимости, были приняты дополнительные меры предосторожности и повышена бдительность.