VIRUS INFORMATICOS
Que son?
Pero sabemos que son, lo primero que haremos ser diferenciar
algunos trminos que nos pueden conducir a error.
Para ver el grfico seleccione la opcin "Descargar" del men superior
As comprenderemos mejor el temario expuesto en este WEB.
Trminos
Gusano o Worm
Son programas que tratan de reproducirse a s mismo, no produciendo
efectos destructivos sino el fin de dicho programa es el de colapsar el
sistema o ancho de banda, replicndose a s mismo.
Caballo de Troya o Camaleones
Son programas que permanecen en el sistema, no ocasionando
acciones destructivas sino todo lo contrario suele capturar datos
generalmente password envindolos a otro sitio, o dejar indefenso el
ordenador donde se ejecuta, abriendo agujeros en la seguridad del
sistema, con la siguiente profanacin de nuestros datos.
El caballo de Troya incluye el cdigo maligno en el programa benigno,
mientras que los camaleones crean uno nuevo programa y se aade el cdigo
maligno.
Joke Program
Simplemente tienen un payload (imagen o sucesin de estas) y suelen
destruir datos.
Bombas Lgicas o de Tiempo
Programas que se activan al producirse un acontecimiento
determinado. la condicin suele ser una fecha (Bombas de Tiempo), una
combinacin de teclas, o un estilo tcnico Bombas Lgicas), etc... Si no
se produce la condicin permanece oculto al usuario.
Retro Virus
Este programa busca cualquier antivirus, localiza un bug (fallo) dentro
del antivirus y normalmente lo destruye
Para ver el grfico seleccione la opcin "Descargar" del men superior
Virus
Son una combinacin de gusanos, caballos de Troya, joke programs, retros y
bombas lgicas. Suelen ser muy DESTRUCTIVOS." La vida de un virus"
Otras definiciones
Aqu tenemos otras definiciones de lo que son los virus. Por personas
relacionadas del sector. Como vemos todas las definiciones pueden ser
correctas, aun as la mejor definicin seria una mezcla entre todas las aqu
expuestas.
Es un segmento de cdigo de programacin que se implanta a s mismo
en un archivo ejecutable y se multiplica sistemticamente de un archivo
a otro.
Pequeo segmento de cdigo ejecutable escrito en ensamblador o
lenguaje de macro, capaz de tomar el control de la maquina o aplicacin
en algn momento y auto replicarse, alojndose en un soporte diferente
al que se encontraba originalmente.
Programa que puede infectar otros programas modificndolos para
incluir una versin de s mismo.
Son programas de ordenador. Su principal cualidad es la de poder auto
replicarse o auto reproducirse. Intentan ocultar su presencia hasta el
momento de su explosin y alteran el comportamiento y rendimiento del
ordenador.
Los virus son programas capaces de auto reproducirse copindose en
otro programa al que infectan, todo ello sin conocimiento del usuario.
Los virus tienen la misin que le ha encomendado su programador, con
lo que sera difcil decir que los virus tienen una misin comn. Lo nico
que tienen de parecido es que deben pasar desapercibidos el mximo
tiempo posible para poder cumplir su misin. Si son detectado el usuario
puede eliminar el virus y controlar el contagio.
Pequeo programa cuyo objetivo es perjudicar el funcionamiento de una
computadora por medio de las instrucciones con que fue programado.
Por lo general se adhiere a un programa benigno y de all se activa y
reproduce a otros programas.
Los Virus Informticos o Electrnicos o Computacionales son aquellos
programas que se esconden en los dispositivos de almacenamiento y si
en estos se encuentran otros programas o datos son contaminados en
ese momento por aquellos. Ningn programa de Virus puede funcionar
por s slo, requiere de otros programas para poderlos corromper. Su
otra caracterstica es la capacidad que tienen de auto duplicacin,
haciendo copias iguales de s mismos, entrando furtivamente y
provocando anomalas en las computadoras al desarrollar su funcin
destructora. Se les ha dado el nombre de Virus por la analoga que tiene
su comportamiento con el de los Virus Biolgicos.
Un Virus Informtico no es ms que un programa parsito auto
reproductor, generalmente de efectos destructivos, que necesita de
otros programas para su reproduccin. Su nombre es totalmente
correcto, ya que su funcionamiento es similar al de los virus orgnicos,
de 1 pasa a 2, de 2 a 4, de 4 a 8 y as hasta llegar a la epidemia. Al
contrario que los Virus orgnicos, los Virus Informticos no sufren
mutaciones en su comportamiento por si solos, aunque si pueden
cambiar su cdigo en cada infeccin, sin alterar su funcionamiento, para
evitar su fcil deteccin. A estos virus, debido a su tcnica de ocultacin,
se les denomina Virus Polimrficos y cambian segn un cdigo de
Encriptacin variable.
Un virus informtico es simplemente un programa, al igual que los
utilizados en un ordenador, como WordPerfect, Lotus, o Windows. La
gran diferencia es que los programas mencionados son invocados
explcitamente por el usuario, para ejecutar una tarea como escribir una
carta o efectuar clculos, mientras que los virus se ejecutan solos, sin
pedirle permiso al usuario. Su propsito no es ayudar al usuario en la
resolucin de una tarea.
Un Virus es un programa que en poco ms de uno o dos Kbytes consiguen
realizar acciones inimaginables; desde mostrar diversos mensajes o grficos en
pantalla hasta formatear el disco duro o hacernos perder todos los datos en l
guardados.
Un virus de computadora, por definicin, es un programa -o cdigo- que
se replica aadiendo una copia de s mismo a otro archivo ejecutable. Un
virus es particularmente da debido a que, sin deteccin o proteccin
antivirus, el usuario no se percata que su sistema est siendo invadido
hasta que ve los resultados que pueden ir desde anuncios inocuos hasta
la prdida total del sistema.
Tipos de virus
Existen una variedad de virus en funcin de su forma de actuar o de
su forma de infectar clasificados de la siguiente manera.
Acompaante
Estos virus basan su principio en que MS-DOS, ejecuta el primer
archivo COM y EXE del mismo directorio. El virus crea un archivo COM
con el mismo nombre y en el mismo lugar que el EXE a infectar.
Despus de ejecutar el nuevo archivo COM creado por el virus y cede
el control al archivo EXE.
Archivo
Los virus que infectan archivos del tipo *.EXE, *.DRV, *.DLL, *.BIN,
*.OVL, *.SYS e incluso BAT. Este tipo de virus se aade al principio o al
final del archivo. Estos se activan cada vez que el archivo infectado es
ejecutado, ejecutando primero su cdigo vrico y luego devuelve el
control al programa infectado pudiendo permanecer residente en la
memoria durante mucho tiempo despus de que hayan sido activados.
Este tipo de virus se dividen en dos:
Virus de Accin Directa que son aquellos que no se quedan residentes
en memoria y se replican en el momento de ejecutar el fichero
infectado y los virus de Sobrescritura que corrompen el fichero donde
se ubican al sobrescribirlo.
Bug-Ware
Bug-ware es el trmino dado a programas informticos legales
diseados para realizar funciones concretas. Debido a una inadecuada
comprobacin de errores o a una programacin confusa causan daos
al hardware o al software del sistema.
Muchas veces los usuarios finales aducen esos daos a la actividad de
virus informticos. Los programas bug-ware no son en absoluto virus
informticos, simplemente son fragmentos de cdigo mal
implementado, que debido a fallos lgicos, daan el hardware o
inutilizan los datos del computador
El trmino "bug" fue asociado a interferencias y malfuncionamiento
desde mucho tiempo antes de que existieran los ordenadores
modernos, siendo Thomas Edison uno de los primeros en acuar este
significado. Si bien fue una mujer, Grace Murray Hopper, quin en
1945 document el primer "bug" informtico.
"bug", traducido literalmente del ingls como "bicho", adquiere otro
significado cuando hablamos de informtica. Esta otra acepcin se
refiere a elementos y circunstancias en el software o hardware,
involuntarios e indeseados, que provocan un malfuncionamiento. A lo
largo de los aos este trmino se ha popularizado y hoy da se utiliza
comnmente para referirse a los errores en los programas
informticos. La relacin con la seguridad informtica es directa, ya
que muchas de las vulnerabilidades que da a da vemos en Hispasec
estn asociadas a "bugs".
Grace Murray Hopper (1906-1992), graduada en matemticas y fsica
por el Vassar College, y doctora en matemticas por la universidad de
Yale, ha pasado a la historia por ser una innovadora programadora
durante las primeras generaciones de ordenadores.
En 1943, durante la segunda guerra mundial, decidi incorporarse a la
marina estadounidense. Fue destinada al laboratorio de clculo
Howard Aiken en la Universidad de Harvard, donde trabaj como
programadora en el Mark I.
El 9 de septiembre de 1945 el grupo de trabajo de Aiken y Grace se
encontraba en la sala del Mark II intentando averiguar porque el
ordenador no funcionaba adecuadamente. Tras un examen
concienzudo lograron detectar que la culpable era una polilla de dos
pulgadas que se haba colado entre los contactos de unos de los rels
del Mark II. Ms tarde, Grace registrara el incidente en el cuaderno de
bitcoras, peg la polilla que caus el problema y anot debajo la
frase "First actual case of bug being found".
Puede verse una foto de la anotacin original del primer "bug"
Para ver el grfico seleccione la opcin "Descargar" del men superior
A partir de entonces, cada vez que algn ordenador daba problemas ellos
decan que tena "bugs" (bichos o insectos). Aos ms tarde Grace tambin
acuara el trmino "debug" para referirse a la depuracin de programas.
Adems de los fines militares, nica razn de ser de los primeros ordenadores,
cuentan que Grace fue de las primeras personas en buscar utilidades civiles a
la informtica. Entre sus muchos mritos destaca la creacin del lenguaje
Flowmatic, el desarrollo del primer compilador, o su trabajo en la primera
versin del lenguaje COBOL.
Grace continu con sus avances en computacin y tuvo numerosos
reconocimientos a lo largo de su carrera. Entre otros, recibi el premio Hombre
del Ao en las Ciencias de Cmputos por la Data Processing Management
Association. Fue la primera mujer nombrada Distinguished fellow of the British
Computer Society, y la primera y nica mujer almirante en la marina de los
Estados Unidos hasta la fecha.
Macro
De acuerdo con la Internacional Security Association, los virus macro forman el
80% de todos los virus y son los que ms rpidamente han crecido en toda la
historia de los ordenadores en los ltimos 5 aos. A diferencia de otros tipos de
virus, los virus macro no son exclusivos de ningn sistema operativo y se
diseminan fcilmente a travs de archivos adjuntos de e-mail, disquetes,
bajadas de Internet, transferencia de archivos y aplicaciones compartidas.
Para ver el grfico seleccione la opcin "Descargar" del men superior
Los virus macro son, sin embargo, aplicaciones especficas. Infectan las
utilidades macro que acompaan ciertas aplicaciones como el Microsoft Word y
Excel, lo que significa que un Word virus macro puede infectar un documento
Excel y viceversa.
En cambio, los virus macro viajan entre archivos en las aplicaciones y pueden,
eventualmente, infectar miles de archivos.
Los virus macro son escritos en Visual Basic y son muy fciles de crear.
Pueden infectar diferentes puntos de un archivo en uso, por ejemplo, cuando
ste se abre, se graba, se cierra o se borra. Lo primero que hacen es modificar
la plantilla maestra ([Link]) para ejecutar varias macros insertadas por el
virus, as cada documento que abramos o creemos, se incluirn las macros
"vricas".
Con la posibilidad de contener un virus convencional, cambiar un ejecutable o
DLL e insertarlo en el sistema.
MailBomb
Casi virus o no?
Esta clase de virus todava no est catalogado como tal pero, os voy a poner
un ejemplo de lo que hacen, y haber que opinaras del este tipo de programas
si son o no.
Por lo general todos son iguales, escribes un texto que quieras una direccin
de e-mail (victima) introduces el nmero de copias y ya est.
El programa crea tantos mensajes como el nmero de copias indicado antes,
seguidamente empezara a enviar mensajes hasta saturar el correo de la
vctima.
Mirc
No se considera virus tal cual, pero son idnticos y tienen muchas
caractersticas comunes.
Virus del Mirc
Son la nueva generacin de infeccin, aprovechan la ventajas
proporcionadas por la Red y de los millones de usuarios conectados a
cualquier IRC a travs del Mirc. Consiste en un script para el cliente de
IRC Mirc. Cuando se accede a un canal de IRC, recibe por DCC un archivo
llamado "[Link]". Por defecto, el subdirectorio donde se descargan los
archivos es el mismo donde est instalado el programa, esto causa que
el "[Link]" original se sobrescrito por el "[Link]" maligno.
Bueno despus de lo dicho nos preguntaremos y para en que nos afecta a
nosotros? Pues muy fcil, los autores pueden desconectarte del IRC o acceder a
informacin privada, (archivo de claves o el "etc/passwd" de Linux).
Multi-Partes
Los virus multi-parte pueden infectar tanto el sector de arranque como los
archivos ejecutables, suelen ser una combinacin de todos los tipos existentes
de virus, su poder de destruccin es muy superior a los dems y de alto riesgo
para nuestros datos, su tamao es ms grande a cambio de tener muchas ms
opciones de propagarse e infeccin de cualquier sistema.
Sector de Arranque
Este tipo de virus infecta el sector de arranque de un disquete y se esparce
en el disco duro del usuario, el cual tambin puede infectar el sector de
arranque del disco duro (MBR). Una vez que el MBR o sector de arranque est
infectado, el virus intenta infectar cada disquete que se inserte en el sistema,
ya sea una CD-R, una unidad ZIP o cualquier sistema de almacenamiento de
datos.
Los virus de arranque trabajan de la siguiente manera: se ocultan en el primer
sector de un disco y se cargan en la memoria antes de que los archivos del
sistema se carguen. Esto les permite tomar total control de las interrupciones
del DOS y as, pueden diseminarse y causar dao.
Estos virus, generalmente reemplazan los contenidos del MBR o sector de
arranque con su propio contenido y mueven el sector a otra rea en el disco. La
erradicacin de un virus de arranque puede hacerse inicializando la mquina
desde un disquete sin infectar, o encontrando el sector de arranque original y
reemplazndolo en el lugar correcto del disco.
VBS
Debido al auge de Internet los creadores de virus han encontrado una forma de
propagacin masiva y espectacular de sus creaciones a travs mensajes de
correo electrnico, que contienen archivos Visual Basic Scripts, anexados,
los cuales tienen la extensin .VBS
El antiguo D.O.S. empleaba archivos .BAT (Batch), que eran un conjunto de
instrucciones o comandos en lotes. Con el advenimiento de Windows
95/98/NT/Me/2000/XP, este tipo de archivos dej de ser empleado y fue
reemplazado por los Visual Basic Scripts.
Un Visual Basic Script es un conjunto de instrucciones lgicas, ordenadas
secuencialmente para realizar una determinada accin al iniciar un sistema
operativo, al hacer un Login en un Servidor de Red, o al ejecutar una
aplicacin, almacenadas bajo un nombre de archivo y extensin adecuada.
Los Scripts pueden ser interpretados y ejecutados por el Sistema Operativo
Windows, Novell, etc. o por una aplicacin mIRC, pIRC, AutoCad, etc.
Los virus pueden ser desarrollados en cualquier lenguaje y tener determinados
objetivos de dao y algunos simplemente usan las instrucciones Visual Basic
Scripts, como medios de propagacin. Asimismo, un VBS puede contener
instrucciones que afecten a los sistemas. Tambin es posible editar
instrucciones en la Libreta de Notas (NotePad) y guardar el archivo con la
extensin .VBS.
Actualmente existen 2 medios de mayor difusin de virus en VBS:
1. Infeccin de canales IRC
(el chat convoca a una enorme cantidad de "victimas")
El IRC (Internet Relay Chat) es un protocolo desarrollado para permitir la
comunicacin entre usuarios de Internet en "tiempo real', haciendo uso de
software especiales, llamados "clientes IRC" (tales como el mIRC, pIRCh,
Microsoft Chat).
Mediante un software de chat, el usuario puede conectarse a uno o ms
canales IRC, pero es necesario que primero se conecte a un servidor chat, el
cual a su vez, est conectado a otros servidores similares, los cuales
conforman una red IRC. Los programas "clientes IRC" facilitan al usuario las
operaciones de conexin, haciendo uso del comando /JOIN, para poder
conectarse a uno o ms canales.
Las conversaciones pueden ser pblicas (todo el canal visualiza lo que el
usuario digita) o privadas (comunicacin entre 2 personas).
Para "cargar" una sesin de chat los usuarios deben registrarse en un servidor
chat, elegir un canal y un apodo (nickname). Todo esto se hace mediante un
denominado "bachero", que emplea comandos propios del protocolo IRC,
permitiendo ejecutar estas operaciones de manera intuitiva y proporcionando
al usuario un entorno grafico amigable.
Como atacan los gusanos (VBS/Worms)
Todos los gusanos del Chat, siguen el mismo principio de infeccin. Usando el
comando SEND file, envan automticamente una copia del [Link] a
todas las personas conectadas al canal chat, adems de otras instrucciones
dentro de un Visual Basic Script. Este script que contiene el cdigo viral sobreescribe al original, en el sistema remoto del usuario, logrando infectarlo, as
como a todos los usuarios conectados a la vez, en ese mismo canal.
Este tipo de propagacin de archivos infectados, se debe a la vulnerabilidad de
las versiones de mIRC anteriores a la 5.31 y todas las versiones de PIRCH,
antes de PIRCH98.
2. Re-envo de mensajes de la libreta de direcciones Microsoft
Outlook.
Office 95/97/2000/XP, respectivamente, integran sus programas MS Word,
Excel, Outlook y Power Point, haciendo uso del lenguaje Visual Basic for
Aplications, que permiten invocar la ejecucin de determinadas instrucciones.
En MS Word y Excel, el usuario tiene acceso a un Editor de Visual Basic. Aunque
tambin pueden editar instrucciones y comandos con el NotePad y archivarlo
con la extensin .VBS
Virus como el W97M/Melissa o el VBS/Loveletter, al ser escritos en Visual
Basic for Aplications, tienen un fcil y poderoso acceso a los recursos de otros
usuarios de MS Office. El ms afectado es la libreta de direcciones de MS
Outlook, el cual es controlado por las instrucciones del VBS y recibe la orden de
re-enviar el mensaje con el archivo anexado, en formato VBS, a todos los
nombres de la libreta de direcciones del sistema de usuario infectado.
Estas infecciones tambin se reproducen entre todos los usuarios de una red,
una vez que uno de sus usuarios ha sido infectado.
Web
Los applets de JAVA y los controles Active X, son unos lenguajes nuevos
orientados a Internet, pero las nuevas tecnologas abren un mundo nuevo a
explotar por los creadores de virus.
De momento no son muy utilizados pero a partir del 2000, superaran en
nmero a los virus de macro.
ACTIVE X vs
JAVA
Sntomas
Cuales son los sntomas ms comunes cuando tenemos un virus?
Reduccin del espacio libre en la memoria o disco duro.
Un virus, cuando entra en un ordenador, debe situarse
obligatoriamente en la memoria RAM , y por ello ocupa una porcin de
ella. Por tanto, el tamao til operativo de la memoria se reduce en la
misma cuanta que tiene el cdigo del virus.
Aparicin de mensajes de error no comunes.
Fallos en la ejecucin de programas.
Frecuentes cadas del sistema
Tiempos de carga mayores.
Las operaciones rutinarias se realizan con ms lentitud.
Aparicin de programas residentes en memoria
desconocidos.
Actividad y comportamientos inusuales de la pantalla.
Muchos de los virus eligen el sistema de vdeo para notificar al usuario
su presencia en el ordenador. Cualquier desajuste de la pantalla, o de los
caracteres de esta nos puede notificar la presencia de un virus.
El disco duro aparece con sectores en mal estado
Algunos virus usan sectores del disco para camuflarse, lo que hace que
aparezcan como daados o inoperativos.
Cambios en las caractersticas de los ficheros ejecutables
Casi todos los virus de fichero, aumentan el tamao de un fichero
ejecutable cuando lo infectan. Tambin puede pasar, si el virus no ha
sido programado por un experto, que cambien la fecha del fichero a la
fecha de infeccin.
Aparicin de anomalas en el teclado
Existen algunos virus que definen ciertas teclas que al ser pulsadas,
realizan acciones perniciosas en el ordenador. Tambin suele ser comn
el cambio de la configuracin de las teclas, por la del pas donde se
programo el virus.
Tcnicas
Detallamos las tcnicas ms utilizadas por los virus para ocultarse,
reproducirse y camuflarse de los antivirus.
OCULTACIN
Mecanismos de Stealth
ste es el nombre genrico con el que se conoce a las tcnicas de ocultar un
virus. Varios son los grados de stealth, y en ellos se engloban argucias tan
diversas como la originalidad y nivel del autor permiten. A un nivel bsico
basta saber que en general capturan determinadas interrupciones del PC para
ocultar la presencia de un virus, como mantener la fecha original del archivo,
evitar que se muestren los errores de escritura cuando el virus escribe en
discos protegidos, restar el tamao del virus a los archivos infectados cuando
se hace un DIR o modificar directamente la FAT, etc.
Mantener la fecha original del archivo
Restaura el tamao original de los archivos infectados
Modifica directamente la FAT
Modifican la tabla de Vectores de Interrupcion
Se instalan en los buffers del DOS
Soportan la reinicializacion del sistema por teclado
Se instalan por encima de los 649 KB normales del DOS
Evita que se muestren mensajes de error, cuando el virus intenta escribir
sobre discos protegidos.
Tcnicas de stealth avanzadas pretenden incluso hacer invisible al virus frente
a un antivirus. En esta categora encontramos los virus que modifican la tabla
de vectores de interrupcin (IVT), los que se instalan en alguno de los buffers
de DOS, los que se instalan por encima de los 640KB e incluso los hay que
soportan la reinicializacin del sistema por teclado.
Tcnicas de auto encriptacin
Esta tcnica muy utilizada, consigue que el virus se encripte de manera
diferente cada vez que se infecta el fichero, para intentar pasar desapercibido
ante los antivirus
PROTECCIN ANTIVIRUS
Anti-debuggers
Un debugger es un programa que permite descompilar programas ejecutables
y mostrar parte de su cdigo en lenguaje original.
Los virus usan tcnicas para evitar ser desensamblados y as impedir su
anlisis para la fabricacin del antivirus correspondiente.
Armouring
Mediante esta tcnica el virus impide que se examinen los archivos que l
mismo ha infectado. Para conocer ms datos sobre cada uno de ellos, stos
deben ser abiertos (para su estudio) como ficheros que son, utilizando
programas especiales (Debuger) que permiten descubrir cada una de las lneas
del cdigo (lenguaje de programacin en el que estn escritos). Pues bien, en
un virus que utilice la tcnica de Armouring no se podr leer el cdigo.
CAMUFLAJE
Mecanismos Polimorficos
Es una tcnica para impedir ser detectados, es la de variar el mtodo de
encriptacin de copia en copia. Esto obliga a los antivirus a usar tcnicas
heursticas ya que como el virus cambia en cada infeccin es imposible
localizarlo buscndolo por cadenas de cdigo. Esto se consigue utilizando un
algoritmo de encriptacin que pone las cosas muy difciles a los antivirus. No
obstante no se puede codificar todo el cdigo del virus, siempre debe quedar
una parte sin mutar que toma el control y esa es la parte ms vulnerable al
antivirus.
La forma ms utilizada para la codificacin es la operacin lgica XOR. Esto es
debido que esta operacin es reversible:
2 XOR 5 = 3
3 XOR 2 = 5
En este caso la clave es el nmero 9, pero utilizando una clave distinta en
cada infeccin se obtiene una codificacin tambin distinta.
Otra forma tambin muy utilizada consiste en sumar un nmero fijo a cada
byte del cdigo vrico.
EVASIN
Tcnica de Tunneling
Con esta tcnica, intentar burlar los mdulos residentes de los antivirus
mediante punteros directos a los vectores de interrupcin.
Requiere una programacin compleja, hay que colocar el procesador en modo
paso a paso. En este modo de funcionamiento, tras ejecutarse cada instruccin
se produce la interrupcin 1.
Se coloca una ISR (Interrupt Service Routine) para dicha interrupcin y se
ejecutan instrucciones comprobando cada vez si se ha llegado a donde se
quera hasta recorrer toda la cadena de ISRs que haya colocando el parche al
final de la cadena.
RESIDENTES
TSR
Los virus utilizan esta tcnica para permanecer residente en memoria y as
mantener el control sobre todas las actividades del sistema y contaminar todo
lo que encuentren a su paso.
El virus permanece en memoria mientras el ordenador permanezca encendido.
Por eso una de las primeras cosas que hace al llegar a la memoria es
contaminar los ficheros de arranque del sistema para asegurarse de que
cuando se vuelva a arrancar el ordenador volver a ser cargado en memoria.