The Cuckoo's Egg: Tracking a Spy Through the Maze of Computer Espionage est un ouvrage documentaire anglophone de Clifford Stoll. Doubleday l'a publié en 1989 aux États-Unis sous forme imprimée. Le volume compte 326 pages, avec l'ISBN 0-385-24946-2 et le numéro OCLC 43977527. Stoll, astronome de formation, y raconte l'affaire à la première personne.

En 1986, Stoll administrait les ordinateurs du Lawrence Berkeley National Laboratory, en Californie. Son supérieur lui demanda d'expliquer une différence de 75 cents dans les comptes d'utilisation. Elle correspondait à neuf secondes de temps machine consommées par un compte non autorisé. Stoll remonta jusqu'à une faille de movemail, une fonction de la version originale de GNU Emacs, qui avait permis à l'intrus d'obtenir les droits de superuser.

Pendant un long week-end, Stoll relia environ cinquante terminaux et téléimprimeurs aux cinquante lignes téléphoniques entrantes du laboratoire. Il avait pris une grande partie du matériel sur les bureaux de collègues absents. Lorsque l'intrus appela, Stoll repéra la ligne. Le service de routage Tymnet la conduisit vers un centre d'appels de MITRE à McLean, en Virginie. Paul Murray et Lloyd Bellknap l'aidèrent à exploiter les lignes téléphoniques.

Stoll rendit ensuite presque tout le matériel, mais conserva un téléimprimeur sur la ligne d'intrusion. Il pouvait ainsi enregistrer les actions de l'attaquant. La liaison fonctionnait à 1200 bauds au moyen d'un modem téléphonique. L'intrus tentait d'entrer dans des installations militaires et cherchait des termes liés au nucléaire ou au SDI, la Strategic Defense Initiative. Il copiait des fichiers de mots de passe pour mener des attaques par dictionnaire. Il installait aussi des chevaux de Troie afin de récupérer des identifiants. Plusieurs sites protégés utilisaient encore leurs mots de passe par défaut. Sur certaines bases, le compte guest acceptait même une connexion sans mot de passe.

L'enquête figure parmi les premiers cas d'intrusion informatique décrits avec autant de détails. Stoll tenait un journal quotidien et contacta le FBI, la CIA, la NSA ainsi que l'United States Air Force Office of Special Investigations. Les agences se disputaient d'abord la compétence du dossier. Elles échangeaient peu d'informations. Le FBI se montra peu intéressé, car aucune forte somme d'argent ni machine contenant des données classifiées n'était concernée.

Les notes de Stoll montraient que l'intrus connaissait VAX/VMS et AT&T Unix. Il intervenait généralement vers le milieu de la journée, selon l'heure du Pacifique. Stoll en déduisit qu'il devait se trouver loin à l'est, puisque les appels par modem coûtaient moins cher la nuit et que l'attaquant pouvait avoir des cours ou un emploi pendant la journée. Avec Tymnet et des enquêteurs gouvernementaux, il suivit la connexion par satellite jusqu'en Allemagne de l'Ouest. La Deutsche Bundespost, qui contrôlait alors le réseau téléphonique du pays, localisa les appels dans une université de Brême, puis dans une maison de Hanovre.

Pour pousser l'intrus à se dévoiler, Stoll inventa un service du LBNL financé par un contrat SDI fictif. Il remplit un compte nommé SDInet de gros fichiers au jargon administratif. Le compte semblait être géré par une secrétaire imaginaire, Barbara Sherwin. L'attaquant s'intéressa particulièrement à ce leurre, ce qui permit de remonter jusqu'à lui.

L'intrus était Markus Hess. Selon le récit de Stoll, Hess vendait depuis plusieurs années les résultats de ses piratages au KGB, le service de renseignement civil de l'Union soviétique. Un agent hongrois écrivit ensuite au faux compte SDInet pour vérifier des informations qui ne pouvaient provenir que de Hess. Stoll se rendit en Allemagne de l'Ouest pour témoigner à son procès. Le titre du livre transpose au malware l'image de l'œuf de coucou, issue du parasitisme de couvée chez les oiseaux.

L'affaire a ensuite été racontée dans l'épisode de NOVA produit par WGBH, The KGB, the Computer, and Me. Il a été diffusé par des stations PBS le 3 octobre 1990. Yorkshire Television en a tiré un autre documentaire, Spycatcher. Une suite de nombres du chapitre 48 est devenue le puzzle appelé Cuckoo's Egg, suite de Morris ou suite look-and-say. À l'été 2000, le nom Cuckoo's Egg a servi à désigner une attaque contre Napster et des réseaux similaires, où des fichiers musicaux légitimes étaient remplacés par du bruit blanc ou des effets sonores. Cory Doctorow a également fait référence à l'affaire dans sa nouvelle The Things that Make Me Weak and Strange Get Engineered Away.