Creeper Virus: el primer experimento que mostró que el software también podía propagarse

A comienzos de los años setenta, ARPANET no era una red pública ni comercial. Era una infraestructura de investigación que conectaba universidades, laboratorios y centros vinculados al Departamento de Defensa de los Estados Unidos. Su relevancia histórica suele contarse desde la perspectiva del nacimiento de Internet, pero para la ciberseguridad tiene otro valor: fue el primer entorno donde resultó evidente que una red no solo sirve para intercambiar datos, sino también para transportar procesos, instrucciones y comportamientos no previstos.

En ese contexto apareció Creeper, desarrollado como experimento por Bob Thomas en BBN. El programa aprovechaba la posibilidad de moverse entre sistemas DEC PDP-10 que ejecutaban TENEX. No buscaba borrar archivos, cifrar discos ni ocultarse de manera sofisticada. Su efecto principal era mostrarse: saltaba de un equipo a otro y desplegaba un mensaje ya famoso, “I'M THE CREEPER: CATCH ME IF YOU CAN”. Era una demostración, casi una provocación técnica, pero el principio que introducía era enorme.

La lección de fondo era simple y poderosa. Cuando los sistemas empiezan a interoperar, la superficie de ataque se amplía de manera drástica. Lo que antes estaba encapsulado dentro de una sola computadora ahora podía desplazarse entre nodos. En otras palabras, la conectividad transformó el riesgo local en riesgo distribuido. Creeper no fue una catástrofe, pero sí la primera señal visible de ese cambio estructural.

El detalle exacto de implementación no suele conservarse con la precisión documental que hoy exigiríamos a un análisis forense moderno, pero la lógica general es suficientemente clara. Creeper se apoyaba en capacidades de acceso remoto y ejecución sobre sistemas compatibles en ARPANET. En vez de limitarse a copiar un archivo, el objetivo era mover el proceso y hacer que se manifestara en el sistema de destino.

Esto importa porque introduce una distinción central en ciberseguridad: no todo software dañino necesita alterar datos para ser históricamente relevante. A veces alcanza con demostrar una propiedad operativa nueva. En este caso, la propiedad era la propagación en red. Creeper no necesitó cifrar información ni destruir sistemas para inaugurar un problema. Bastó con probar que el perímetro de una computadora ya no terminaba en su carcasa física.

Su comportamiento visible, además, tenía un valor casi didáctico. El mensaje en pantalla hacía obvio que había ocurrido una intrusión o, al menos, una ejecución no esperada. Esa transparencia lo diferencia de gran parte del malware posterior, que buscaría persistencia, sigilo y monetización. Creeper pertenecía a una etapa en la que la sorpresa técnica era más importante que la invisibilidad.

El impacto inmediato de Creeper fue limitado en comparación con los desastres posteriores de la historia del malware. No hubo millones de equipos afectados, pérdidas financieras multibillonarias ni colapso de servicios críticos. Sin embargo, desde el punto de vista conceptual, fue un punto de inflexión. La demostración dejó claro que una red no es solo un canal pasivo. Es también un medio por el que puede circular comportamiento ejecutable.

Esa intuición cambió la manera de pensar la seguridad. Si un programa puede trasladarse, entonces aparecen preguntas nuevas: cómo autenticar el origen, cómo restringir la ejecución remota, cómo monitorear actividad anómala, cómo contener procesos no autorizados y cómo limpiar sistemas comprometidos. La ciberseguridad como disciplina todavía no existía en la forma actual, pero Creeper ya anticipaba varias de sus preocupaciones estructurales.

En retrospectiva, su importancia es comparable a la de una primera grieta en una represa. El daño inicial puede ser pequeño, pero la grieta revela una vulnerabilidad de diseño que, si se amplifica con más conectividad, más automatización y más incentivos maliciosos, terminará produciendo incidentes de otra magnitud.

La historia de Creeper es inseparable de Reaper, desarrollado poco después para localizar y eliminar ese programa experimental. Reaper suele presentarse como el primer antivirus. Esa afirmación también admite matices, pero su valor simbólico es enorme. La defensa nació utilizando una lógica análoga al problema: un programa recorriendo la red para neutralizar otro programa que se desplazaba por la red.

Esto anticipa una tensión que sigue vigente. Muchas herramientas defensivas modernas necesitan visibilidad distribuida, capacidad de ejecución remota y automatización para responder a amenazas en tiempo real. EDR, antivirus corporativos, sistemas de respuesta orquestada y escáneres de vulnerabilidades operan con ese mismo principio general: la defensa debe moverse tan rápido como el ataque o más rápido.

Reaper, por tanto, no es solo una curiosidad histórica. Es la primera muestra de una idea fundamental de la seguridad informática: cuando el riesgo se distribuye por la red, la defensa también tiene que distribuirse por la red.

Ser el “primero” no significa ser equivalente a todo lo que vino después. Creeper no debe leerse como si fuera una versión rudimentaria de WannaCry, NotPetya o Log4Shell. Es otra clase de fenómeno histórico. Nació en otra red, con otra escala, otra homogeneidad técnica y otra intención. Su amenaza no estuvo en la devastación, sino en la demostración.

También conviene ser precisos con la terminología. Llamarlo “virus” ayuda a ubicarlo en una narrativa general, pero desde una taxonomía estricta la comparación es imperfecta. Ese matiz no le quita relevancia. Al contrario, permite entender mejor la evolución posterior del malware y distinguir entre infección parasitaria, gusanos de red, programas móviles y herramientas experimentales.

La lectura madura de Creeper consiste en reconocerlo como un umbral. No fue todavía el cibercrimen moderno, pero sí una evidencia temprana de que la computación en red generaría amenazas cualitativamente distintas de las de la computación aislada.

La importancia de Creeper no reside en la magnitud del daño que causó, sino en la puerta conceptual que abrió. Mostró que el software podía circular, aparecer en un sistema remoto y convertir la red en un campo de acción. Esa intuición, casi modesta en 1971, terminaría sosteniendo buena parte de la historia posterior del malware.

Por eso Creeper merece el lugar de apertura en este curso. No porque ya contuviera toda la complejidad del cibercrimen actual, sino porque introdujo la pregunta fundamental que sigue vigente: si el software puede viajar, copiarse y ejecutarse a distancia, ¿cómo se construye una infraestructura realmente segura? Desde entonces, toda la historia de la ciberseguridad puede leerse como distintas respuestas, siempre incompletas, a ese primer desafío.