Virus en Internet
Cualquier usuario que utilice un ordenador sabe que se
enfrenta al peligro de los virus informáticos. Con los años, estos algoritmos
malignos han ido adquiriendo especial importancia, principalmente debido a las nuevas
características malignas que los diseñadores les han ideado. Internet nos ha
dado nuevos horizontes a todos, pero también se los ha dado a los creadores de
virus (virus-maker).
Es
curioso que los primeros algoritmos malignos, allá por los años sesenta, se
diseñaron para que actuaran en las redes que por aquél entonces copaban el
mundo informático, algunas de la cuales dieron origen al actual Internet.
Posteriormente, y en los principios del auge de los ordenadores personales, los
virus (salvo excepciones) limitaron su campo de actuación a sistemas operativos
que poco tenían que ver con la Red. La razón, posiblemente, es que los
diseñadores pasaron de ser universitarios o expertos con acceso a grandes
sistemas a ser jovenes con un PC a su disposición.
|
|
|
Imagen
del virus MARBURG |
La
situación ha cambiado, ya que raro es el usuario que hoy día no posee un
fax-módem conectado a Internet. Por ello los virus-maker vuelven a los
orígenes, y se han creado una serie de familias de virus, a cuál más peligroso.
Por si fuera poco, Internet permite el intercambio de ideas y técnicas entre
diseñadores. El objetivo primordial de un virus es infectar y/o destruir
programas.
Internet
presta a los algoritmos malignos la posibilidad de viajar de un punto a otro
del globo a una velocidad y con una extensión inimaginable en los años sesenta.
Ya no es el número de usuarios potenciales el que influye en exclusiva en la
velocidad de difusión de un virus, sino el correo electrónico, las libretas de
direcciones, o incluso los favoritos de los navegadores. Un ordenador infectado
y conectado a Internet, podrá potencialmente infectar a todos aquellos
ordenadores que figuren en la libreta de direcciones del usuario.
Asimismo,
el auge de programas de IRC o ICQ, en los cuales se desarrollan auténticas
guerras entre jóvenes usuarios, hace que aparezcan nuevas técnicas, como el
desarrollo de Scripts, Applets o controles ActiveX malignos.
Hay
que señalar sin embargo, que un virus que se reparta por una red no es
necesariamente un virus de Internet. Usted puede mandar a un usuario un fichero
infectado inadvertidamente, y eso no lo convierte en un virus de Internet. Los
virus de Internet son los que pueden utilizar y aprovecharse de los protocolos de
comunicación de la Red para transmitirse o infectar (como el FTP, o los que
usan las posibilidades del IRC, por ejemplo). Vamos a ver varios grupos
definidos, algunos de los cuales ya han proporcionado al mundo informático
algún que otro famoso destructor de programas.
|
Virus de Java
Una buena solución para los virus-maker es usar lenguajes
utilizados expresamente para su uso en Internet en el campo del diseño de
páginas web. Por supuesto, en este grupo no incluimos aquellas páginas de
broma. Algunos principiantes suelen programar páginas que producen efectos
molestos. Un caso típico es el de la página web que comienza a abrir miles de
nuevas ventanas hasta que bloquea la memoria del ordenador del usuario. En
realidad esto no son virus.
Los
virus de Java son mucho más sofisticados y, por supuesto, peligrosos. El
sistema más recurrido es crear Applets o Módulos en dicho lenguaje. Un usuario
ansioso por ver determinada página web, no impedirá la ejecución de unos u
otros, iniciando la infección. Posiblemente, ni siquiera tomará la más mínima
precaución.
Un
sistema sofisticado (y por desgracia inteligente) es el que usa el BEANHIVE. El
virus se divide en dos partes. Una activa (Main), para "atacar" e
infectar y otra pasiva (Starter) en la que se guarda el programa propiamente
dicho del virus, y que no se graba en el ordenador del usuario, sino en una web
remota. Un intento en suma de borrar huellas y alejar el programa principal de
un antivirus.
Los
sistemas estándar de protección del navegador pueden poner difícil la
reproducción y la infección. No está pues de más repasar la sección de
seguridad.
Por
supuesto, siempre debe usted comprobar de dónde vienen los módulos (plug-in).
Algunos orígenes pueden ser dudosos. No se fíe ni de sus mejores amigos. Ellos
pueden haber sido engañados. Y por supuesto, vigile los ficheros CLASS o
utilice una herramienta de validación para comprobar los posibles cambios
anómalos en los mismos.
Virus de Scripts
En un principio, cuando los diseñadores de virus se
plantearon la posibilidad de utilizar las páginas web para realizar
infecciones, encontraron un buen método de ataque en el uso de los Scripts que
se añaden a las páginas HTML.
Hoy en
día los ficheros HTML pueden llevar Scripts diseñados en lenguajes ejecutables
como el Visual Basic Script, JavaScript u otros. Aparte de que esto permite que
el virus adquiera más posibilidades malignas, hace que al abrir la página web,
el usuario esté ejecutando inadvertidamente el virus de turno. En realidad la
filosofía es parecida a los virus JAVA, ya que éstos vienen a ser algo así como
unos hijos de los virus Script.
Como
dijimos en la introducción, hay programas como el IRC o el ICQ que pueden
ayudar a los diseñadores de virus, ya que es totalmente normal el desarrollo de
Scripts para "mejorar" la apariencia o funcionamiento de estos
programas. Con tantos Scripts, uno más pasa desapercibido.
Un
ejemplo de utilización de ficheros mediante Scripts lo encontramos en el virus
INF que usa los ficheros INF del Windows para reproducirse.
Muchos
virus Script, como el HTML.INTERNAL, graban su código al principio de la
cabecera del fichero HTML para asegurarse de que el virus se ejecuta al abrirse
la página de turno. El diseñador en este caso, debe ser hábil para disimular la
ocupación de la cabecera. Suelen utilizarse para ello los huecos vacíos que
siempre existen en este tipo de ficheros. En general, los virus Script se
caracterizan por crear ficheros nuevos en el ordenador, bien para apoyo de la
reproducción o en menor caso, de la infección. Así, el RABBIT crea un fichero
llamado CB.URL, el INF crea el VXER.TXT o el AVM, que crea el fichero AVM.VBS.
En casos como éstos, el borrado de estos ficheros, si bien no destruye al
virus, suele impedir la reproducción del mismo.
|
Virus de Ejecutables
Son virus muy clásicos. Pero algunos de ellos pueden
aprovecharse de características de los protocolos de comunicaciones. Por
ejemplo, el INCA infecta el MIrc y lo utiliza para transmitir un dropper
llamado REVENGE.COM. En ese aspecto, presenta una cierta dualidad, ya que actúa
como un troyano, y una vez ejecutado, como un virus. El PARVO, manda ficheros
infectados usando protocolos estándar de correo electrónico. Estos virus
resultan muy peligrosos si están bien diseñados. Suelen estar preparados para
infectar ficheros y librerías fundamentales para el correcto funcionamiento de
Windows. La naturaleza de los ficheros ejecutables de 16 y 32 bits permite
magníficas posibilidades de ocultación, ya que su estructura está llena de
huecos. El único problema para un diseñador es ocultar el llenado de los
huecos.
No hay
muchos virus de ejecutables que utilicen Internet, pero los que se han
descubierto no son nada inofensivos. Por suerte, las vacunas más habituales del
mercado proporcionan, convenientemente utilizadas, una adecuada protección
contra ellos.
Macrovirus
Los virus tipo Macro son tal vez los más populares
actualmente. La mayoría son demasiado peligrosos, o se limitan a sacar mensajes
y simplemente reproducirse sin hacer nada más. No suele haber punto medio. Esto
se debe a que suelen estar diseñados en Word Basic, que no parece que sea un
lenguaje que entusiasme a los diseñadores. Muchos además son simples intentos o
ensayos de virus.
|
|
|
Imagen
del macrovirus MELISSA |
Los
ficheros de datos de programas como el Microsoft Word, Microsoft Excel, y
otros, poseen una cabecera con una serie de macros que permiten realizar
operaciones simples como la apertura del fichero, el salvado del mismo, etc…Un
Macrovirus añadirá macros nuevas o modificará alguna de las habituales para que
las operaciones no se realicen o lo hagan de forma anómala. Además de eso,
algunos pueden reproducirse e incluso esparcirse utilizando los protocolos de
comunicaciones.
Existe
un reducido grupo de Macrovirus que son francamente peligrosos. Parte de su
peligrosidad viene del hecho de que se diseñan para actuar sobre ficheros de
datos de algunos de los programas más populares (y por tanto, usados) del
mercado informático. Esto hace que estén muy difundidos, y que cuando aparece
alguno realmente peligroso como sucedió con el MELISSA, se extienda por miles
de equipos en un tiempo récord.
La
técnica más normal que usan algunos Macrovirus es utilizar los protocolos de
transmisión de correo electrónico para viajar de un ordenador a otro. El modus
operandi, salvo pequeñas variaciones, consiste en que una vez que el usuario
realiza una operación determinada con el fichero infectado (generalmente
abrirlo o guardarlo), el virus infecta el programa de correo mediante un
fichero temporal o un Dropper. Suelen ser víctimas los programas de correo más
populares (los diseñadores por desgracia no son tontos).
Desde
el programa de correo, el virus suele leer la libreta de direcciones del
usuario para mandar copias de sí mismo a otros usuarios. La víctima infecta sin
querer a sus amigos y clientes. Esto ha creado cierta psicosis infundada entre
los usuarios acerca de todo tipo de ficheros de correo malignos. No hay que
hacer caso. Muchos avisos de correos destructivos son lo que conocemos como
Hoax, o lo que es lo mismo, mitos o bromazos sin fundamento (de muy mal gusto).
Hay que dejar bien claro que un correo es simplemente un texto, y como tal, no
puede infectar ni crear efectos malignos en un ordenador. Sólo por el hecho de
leer su correo usted no infecta el ordenador. Estos correos electrónicos llevan
insertado (attach) un fichero adicional que es el que está infectado. Este
fichero insertado es el peligroso, no el correo. Lo peor es que algunos se
disfrazan como información de utilidad sobre seguridad. El cinismo de los
diseñadores a veces e increíble. Desconfíe también de utilidades que
amablemente le envíen desconocidos por correo. Muchas de esas utilidades
"milagrosas" realizan "milagros" de lo más desagradable. Un
método menos utilizado, es enviar el fichero de trabajo infectado a grupos de
NEWS, como hace el AGENT. Sin embargo, la forma de operar es la misma en
realidad. Sólo cambia el medio.
Gusanos
Los Gusanos y Troyanos no son propiamente virus, pero no
dejan de ser malignos, en algunos casos incluso muy peligrosos. Los Gusanos
suelen actuar principalmente aprovechándose de programas de tipo IRC. Estos
programas pueden ejecutar Scripts de muchos tipos. De hecho existe todo un
mundo de utilidades que los usuarios se pasan unos a otros para mejorar
botones, sonidos, transmisión, grupos de chat…No todas son lo simpáticas que
deberían.
En
algunos casos, como el CLAW, poseen una capacidad de infección terrible,
infectando no sólo páginas HTML sino incluso ficheros ejecutables como el
propio WIN.COM. La mayoría se sirven para actuar de la creación de un fichero
tipo Dropper en el ordenador víctima para poder iniciar la infección. Si usted
es usuario del ICQ o del MIrc, recibirá peticiones de ejecución de utilidades. No
ejecute el botón de "forward" salvo que esté seguro del origen del
mensaje. Piense además, que para un pirata no es muy difícil interceptar
números de ICQ.
|
|
|
Generador
de troyanos NETBUS |
Troyanos
Los troyanos, se caracterizan porque es el propio usuario
el que inadvertidamente debe ejecutarlos. El sistema más típico es mandarle a
la incauta víctima (por correo electrónico, por ejemplo), un fichero
aparentemente inocuo. Muy típico es el envío de supuestas animaciones porno o
parecidos. Cuando el usuario intenta ejecutar el fichero, está ejecutando sin
saberlo el troyano. Algunos troyanos, una vez ejecutados, se limitan a actuar
como simples virus, borrando ficheros e incluso formateando el disco duro. Sin
embargo, la filosofía más seguida actualmente por los diseñadores de virus
consiste en crear "administradores remotos". Un troyano de este tipo
actúa de forma parecida a la de algunos virus de JAVA o Script. Consta de dos
partes. Al ejecutase el "regalo" que te mandan por correo, el
ordenador se infecta y queda bajo el mando de un ordenador remoto que suele
pertenecer al virus-maker de turno. Cada vez que el usuario se conecta a
Internet, el troyano avisa a su diseñador. Éste puede realizar todo tipo de
funciones, según el troyano de que se trate. Desde bloquear el Windows mediante
errores de todo tipo hasta interceptar el teclado, la tarjeta de sonido o el
CD-ROM. Una auténtica pesadilla.
|
|
|
Monitor
de administración remota del troyano NETBUS |
Los
troyanos son más detectables por los antivirus que los gusanos, o los virus
JAVA, lo que les convierte en vulnerables. De hecho, su mejor baza es el
secretismo con que actúan, pues una vez detectados puede incluso rastrearse al
bromista de turno. El cazador se convierte en cazado.
|
|
|
Monitor
de administración remota del troyano DEEPTHOAT |
Tienen
por tanto una vulnerabilidad muy definida, pero son muy atractivos para los
diseñadores por las grandes posibilidades que permiten, por su perfección de
diseño, que gusta a los programadores y por cierto elemento de voyeurismo que
llevan implícito, ya que no siempre se fabrican destructivos, sino como
diversión para el diseñador. En determinadas páginas se pueden encontrar
generadores de troyanos. Por ello, muchos usuarios con no demasiados
conocimientos y si muchas ganas de venganza o similares, puede diseñar y lanzar
variantes del NETBUS o el BACKORIFFICE, por ejemplo. Los antivirus pueden
detectarlos, pero esto no siempre basta.
Volviendo a los orígenes
¿Quién diseña los virus? Ésta es una de las preguntas más
frecuentes que se suele hacer a los expertos. Lo curioso es que hace años,
mayoritariamente los virus eran diseñados por particulares, salvo honradas
excepciones, como el desaparecido grupo inglés APACHE WARRIOR. Hoy en día la
sofisticación de los virus obliga a una fase de experimentación. Muchos de
ellos aparecen alrededor de grupos conocidos que se dedican a la investigación
y desarrollo de algoritmos. No es que estos grupos realicen actividades
delictivas. La ciencia y la tecnología implican el intercambio de ideas, y de
igual forma que en tiempos de la guerra fría grupos de espionaje utilizaban el
libre intercambio de información, así hay individuos aislados que se aprovechan
de la información desarrollada por estos investigadores. Lo más que se les
podría reprochar desde un punto de vista científico es la falta de reserva,
pero hasta eso es discutible.
Hasta
en este aspecto los virus han vuelto a sus orígenes, gracias a Internet.
Decíamos al principio que los primeros virus se desarrollaron en las redes.
Aquellos algoritmos como el CREEPER, el ELK CLONER y otros, atacaban a redes.
En aquella época Internet no existía. Esos primeros virus pudieron
desarrollarse a partir de investigación de campo, en un principio ideado con la
mejor de las intenciones.
Hoy
sucede lo mismo. Unos idean con la mejor de las intenciones y otros manipulan
la información para hacer daño. En ese aspecto, no hemos cambiado mucho. ¿Verdad, Ralph Burger?
|
Jesús
de Marcelo. [01/04/2000 ]