CD Actual 1/PC Actual CD 01.iso/f1/tutor1.arj/DATOS/TEMA10.SAC

Text File | 1980-01-01 | 18.3 KB | 406 lines

                        LECCION DECIMA


En esta penúltima lección voy a hablar sobre los virus, ya
que no es difícil que se infecte, este tema pretende
indicarle como prevenir, evitar, y en último caso combatir el
ataque de un virus.

No se actúa igual ante algo que se desconoce que ante un
enemigo conocido al que se conocen los puntos débiles.

Los virus, en informática, no son mas que programas como
cualquier otro que se ejecuta en un ordenador, pero con
determinadas características que los hacen diferentes a
estos.  Principalmente la principal facultad que poseen es la
inteligencia programada.

Es decir que poseen la capacidad de decidir como y cuando
actuar, esconderse, modificarse, transmitirse y copiarse, con
la intención de intentar sobrevivir, reproducirse y hacer el
mayor daño posible.

Se le da este nombre (aplicado de la terminología médica) por
que su comportamiento no difiere prácticamente en nada del de
los virus que afectan a los seres humanos y a los animales.

Incluso cuando comenzó a hablarse de ellos, fueron muchas las
personas que pensaban, que eran virus reales y temían
acercarse al ordenador por miedo a contagiarse, e incluso hoy
hay quien cree que un ordenador se puede contagiar
espontáneamente o por el tendido eléctrico (que burrada) y no
enciende el ordenador por ejemplo los viernes 13.

Estas creencias tan ridículas están provocadas por la falta
de cultura informática y por la difusión de los medios de
comunicación, que han dado a entender por ejemplo que los
viernes 13 no debe encenderse el ordenador para que no actúe
dicho virus, pero cualquier usuario experimentado sabe que
este virus muestra sus efectos durante todo el año, y
que es el viernes 13 cuando se torna más destructivo.  Así si
no hemos observado ningún efecto raro durante todo el año,
¿por que hemos de dejar apagado el ordenador?.

Existe una leyenda en torno a los virus es la de que son
creados por los ▒hackers▓.  Es cierto que los hackers, a veces,
crean programas que podrían denominarse virus con el objetivo
de acceder a sistemas de datos, pero en ningún caso se puede
decir que estos programas son virus, pues su misión no es
destructiva.  Mas bien se los podría meter dentro de la
categoría de Knowbots (pequeños programas inteligentes).

Otra leyenda que existe alrededor de los virus es la de que
fueron creados como medio disuasorio por empresas de software
para evitar la piratería de sus programas.  Pero es solo eso,
una leyenda, para empezar ninguna empresa se arriesgaría a
perder sus ventas introduciendo un virus en sus programas,
que actuase cuando se copian los mismos.
Los usuarios lo descubriesen (por ejemplo haciendo una copia
de seguridad para utilizarla en vez del original, el virus se
dispararía), no se fiarían de comprar programas de esta
empresa, por miedo a los virus.

Pero la verdad es que los virus tienen su historia.

Una de las primeras personas en hablar de los virus fue A. K.
Dewdney, el escritor de la sección "Juegos de Ordenador" de
Investigación y Ciencia.  Habló de un programa, llamado
"Cangrejos", que afectaba a las ventanas de las terminales de
un centro de investigación de la AT&T, y un juego, llamado
"Guerra Nuclear", en el que dos programas creados en un
código especial llamado Redcode, se trataban de destruir uno
a otro en una zona especial de la memoria de un ordenador que
actuaba como arena de gladiadores.  En España, el código para
realizar "Guerra Nuclear" en el Spectrum se publicó en
MicroHobby.

(para los lectores de PC ACTUAL: el Redcode es algo así como
el Batcode que esta revista ha publicado en un disco de la
colección F1-PC ACTUAL, en el que dos programas han de
destruirse dentro de un laberinto, pero se acerca más al
código máquina que al lenguaje utilizado por el Batcode).

Se puede decir que los virus son evoluciones de programas,
más pequeños que en un principio no eran más que experimentos
sin malicia.

Un ejemplo de estos programas es el GEMINI.  Un programa que
se copia a sí mismo a una nueva posición en la memoria.  Este
programilla de solo 10 líneas de código consta de un simple
bucle que copia el contenido de una dirección (en la que se
encuentra el) en otra, y luego transfiere el control a la
nueva posición, que estará 93 posiciones más adelante.

Probablemente el primer virus que se hizo para el sistema
▒PC▓ fue el Brian.  Fue programado en Enero de 1986 por dos
hermanos como un experimento en una universidad.  Existen
muchas versiones de este virus realizadas por alumnos de la
misma universidad donde se originó, algunas de ellas
destructivas.  Se transmite sólo en diskettes de 360 Kbytes,
es decir, no afecta a discos duros ni a otro tipo de
disquetes.  Al infectar el diskette cambia la etiqueta del
volumen del disco por la de "(c) Brian".  Al editar el sector
cero (BOOT) podemos ver el siguiente mensaje:

     Welcome to the  Dungeon         (c) 1986 Brain & Amjads
     (pvt) Ltd VIRUS_SHOE  RECORD   v9.0   Dedicated to the
     dynamic memories of millions of virus who are no longer
     with us today - Thanks GOODNESS!!  BEWARE OF THE
     er..VIRUS  : \this program is catching program follows
     after these messege....

Este virus, en su versión original, es totalmente inofensivo.
Sólo se reproduce y no afecta al sistema.  Para instalarse,
genera tres sectores defectuosos donde se instala el virus y
la antigua BOOT (zona donde se encuentra el sistema de
arranque de un disco), de tal forma que, al arrancar, se
carga el virus en memoria y luego sigue con la carga de la
BOOT original, arrancando normalmente.

En nuestro país se comenzó a hablar de los virus informáticos
en 1988, cuando en Barcelona hubo un importante foco de un
virus inofensivo que mostraba una pelotita rebotando por la
pantalla (virus de la pelotita) que afectó, sobre todo, a
usuarios de Barcelona.  Este virus se origino probablemente
en la FIB (Facultat d'Informàtica de Barcelona).

Hay otros virus programados en España como SPANISH, ZARAGOZA,
SPANISH FOOLS y el INCORDIO (que al intentar ejecutar el
antivirus SCAN destruye la partición de disco duro).

La gran cantidad de virus existentes en la actualidad se debe
a las mutaciones de estos.  Una mutación, normalmente es o
una nueva versión del virus o otro virus creado a partir del
código fuente del virus original.
Crear un virus desde el principio puede resultar bastante
difícil, pero modificar uno ya existente es bastante fácil.

Como curiosidad se puede contar que en Bulgaria hay un BBS
llamado "The virus Exchange BBS" en el que se puede encontrar
el código fuente de multitud de virus, que puede ser
modificado, para crear mutaciones o virus más perfectos.
También en algunas BBSs se puede encontrar una revista
electrónica llamada "40 Hex", que publica trucos para ayudar
a los programadores de virus a mejorar sus virus.

Los virus quedan residentes en memoria copiándose a cualquier
fichero que se ejecute o a cualquier disco que se introduzca,
según su tipo.

Los virus se pueden clasificar de muchas formas.

Atendiendo a su forma de reproducción se pueden dividir en
dos grandes grupos:

     -El primer grupo estaría formado por los virus que se
      introducen en nuestro ordenador a través de un diskette
      con arranque.  El virus instala una rutina en el sector
      cero (área BOOT) que carga el virus, y después, carga
      la antigua rutina de arranque para que el usuario no
      note nada anormal.
      El sector cero, ó área BOOT, es la parte del disco a la
      que, el ordenador, siempre accede en el arranque.

      Estos virus sólo se pueden transmitir por copias de
      disco, y no por red local.

      Una vez que el virus consigue infectar un ordenador,
      cualquier disco que pase por el será contagiado.  Así,
      por ejemplo, un simple comando "dir" provocará el
      contagio, ya que cada vez que se produce un acceso a
      disco el virus comprueba si ya está presente.  De no
      ser así, se instala.

     -En el segundo grupo podemos clasificar todos aquellos
      virus que se instalan en los ficheros ejecutables (EXE,
      COM y OVL) añadiéndose a los mismos, generalmente al
      final y haciéndolos crecer en una cantidad fija de
      bytes cada vez que se ejecutan (a veces solo se añaden
      una vez al fichero).  Algunos son fácilmente
      detectables porque al ver la lista de programas
      residentes podemos ver como hay algún programa
      "extraño".  Casi todos desvían la ▒interrupción▓ 21h
      (servicios del DOS) para producir la infección.


Atendiendo a su forma de actuación se los puede catalogar
como:

     -Troyanos: son programas independientes o rutinas
      incluidas en una aplicación aparentemente divertida o
      útil, que ejercen su acción en el mismo momento de
      ejecutar el programa.  No tienen la capacidad de
      reproducirse ellos mismos y solo lo hacen mediante las
      copias que los usuarios hacen al programa.

      Así por ejemplo, miramos en un ordenador de un
      instituto y encontramos un programa grabado y unos
      ficheros que nos explican su funcionamiento y utilidad,
      nosotros viendo que se anuncia que es de dominio
      público, lo consideramos interesante y nos lo llevamos
      a nuestra casa para probarlo.  Al ejecutarlo no hace lo
      prometido sino que nos destroza el disco duro.

     -Bombas lógicas: actúan después de un cierto tiempo,
      como por ejemplo tras copiarse 100 veces o arrancar 20
      veces el ordenador o que sea un determinado día, lo que
      hace que sea imposible determinar quien es el autor del
      virus.

     -Gusanos: son autónomos y autosuficientes, pues han sido
      diseñados para propagarse a través de las redes de
      ordenadores.  Tras un determinado tiempo viajando por
      la red e infectando los sistemas que la componen
      destruyen los ficheros.  Estos han evolucionado a
      partir de los programas que los hackers utilizaban para
      infiltrarse en las redes.


Algunos virus (últimamente casi todos los que salen), poseen
características que los hacen muy difíciles de detectar.
Mediante la utilización de técnicas denominadas "stealt" (de
ocultamiento) pueden engañarnos de las más diversas formas:

     -Hay virus que parchean los accesos a disco, y aunque se
      copien varias veces en los ficheros ejecutables,
      aumentando su tamaño, si hacemos un "DIR" o desde un
      programa vemos un listado de los ficheros ejecutables,
      veremos como estos tienen su tamaño de siempre.

     -Otros se instalan en los sectores de arranque y los
      copian a algún otro sitio, de forma que cuando los
      vemos con algún programa que permita hacerlo, el virus
      nos mostrará los antiguos sectores, con lo que todo
      parecerá normal.

     -Otros son capaces incluso de informar de la cantidad de
      memoria libre y de los programas que hay residentes,
      pero sin mostrarse a si mismos y sin cambiar la
      cantidad de memoria libre que había antes de cargarse
      ellos.  Es decir que al utilizar el comando MEM del
      sistema operativo, no habrá el menor rastro de virus.

     -Otros para evitar ser cazados por un antivirus son
      capaces de encriptarse o recompilarse, cambiando así
      sus cadenas de identificación.


Un nuevo virus llamado Proto-T, para esconderse es capaz
incluso de alojarse en la memoria RAM de las tarjetas VGA.

Este tipo de virus interceptan las ▒interrupciones▓ del
▒BIOS▓, para modificarlas de forma que puedan controlar su
actuación y evitar ser descubiertos.

A pesar de correr el rumor de que pueden hacerlo, ningún
virus puede estropear el ▒hardware▓.

La cúspide del refinamiento es infectar con un virus un
programa antivirus, como ocurrió con el Flushot4, o el
Notroj.  Lo que hace que al ejecutar un antivirus el sistema
quede infectado, incluso pueden infectarse de una sola vez
todos los ficheros ejecutables por medio de este sistema,
pues el antivirus accede a todos para comprobar si están
infectados, y en ese momento son infectados.

Los virus más conocidos son:

     -El Virus de la pelota: se copia en la BOOT y baja en
      dos Kbytes la memoria del ordenador.
      Al cabo de media hora imprime una pelotita que va
      rebotando por toda la pantalla.
      También lo hace instantáneamente si introducimos un
      disco infectado para arrancar.

     -Virus viernes 13: también conocido como virus
      Jerusalén.  Es el virus más conocido ya que hace
      relativamente poco tiempo hubo una infección en masa, y
      hubo miles de ordenadores infectados.  Todos los
      indicios parecen indicar que este virus fue creado en
      Diciembre de 1987.  Las primeras infecciones de dieron
      en la Hebrew University de Jerusalen.  Su
      funcionamiento es un tanto complejo: para empezar
      infecta todos los ficheros ejecutables aumentando su
      longitud en 1808 bytes.  Los ficheros con extensión
      .COM sólo son infectados una vez, mientras que los
      ficheros con extensión .EXE son infectados infinidad de
      veces.  Tal acción provoca que el usuario note la
      incursión del virus.  A los treinta minutos de tener
      este virus en memoria, ralentiza todas las operaciones
      del ordenador, bajando considerablemente la velocidad
      de proceso, y haciendo un desplazamiento hacia arriba
      de una zona de la pantalla.
      Su efecto destructivo se pone en funcionamiento a
      partir de cualquier viernes 13 de un año diferente a
      1987, momento en el que borra todos los ficheros que se
      ejecuten.  Todos los ficheros contaminados poseen en su
      interior la cadena "sUMsDos".

     -Virus Anarkia: es una modificación del Viernes 13.
      Actúa igual que el anterior, pero ralentiza todas las
      operaciones a partir de la hora, no de los treinta
      minutos como el Viernes 13.  En esta variación del
      virus el efecto destructivo es el 12 de Octubre.  La
      elección de esta fecha no está clara.  Se puede
      localizar fácilmente buscando la la cadena "ANARKIA".

     -VG1: este virus infecta todos los ficheros con
      extensión .EXE y .COM, pero sólo una vez, lo que lo
      hace más difícil de detectar por el crecimiento de los
      ficheros.  Sin embargo, si listamos con algún programa
      los programas residentes, observaremos cómo hay algún
      fichero residente que en realidad no lo es.  Por
      ejemplo, si tenemos el CHKDSK contaminado cuando lo
      carguemos se quedará residente.  Cuando llevamos una
      hora con el ordenador encendido el virus produce un
      efecto de pantalla un tanto gracioso, todas las letras
      descienden hasta el fondo de la pantalla, y tras pasar
      unos 20 segundos podemos contemplar perplejos como
      vuelven a sus posiciones iniciales, dejando la pantalla
      como si nada hubiese pasado.  Este virus se reproduce a
      gran velocidad debido a que no sólo infecta los
      ficheros que ejecutemos sino que en cada ejecución
      aprovecha el tiempo para buscar un directorio e
      infectar el primer fichero, en la segunda ejecución el
      del programa el segundo, y así sucesivamente.  Esto
      hace que el ordenador se vuelva algo lento, sobre todo
      si trabajamos con diskettes.  Este virus se puede
      localizar buscando la cadena "VG1" en interior de los
      ficheros .EXE y .COM.

     -Flip: tiene su origen en la República Federal Alemana e
      infecta fichero .EXE, .COM, y .OVL.  Altera la tabla de
      partición y el sector de arranque de los discos duros.
      Existen varias mutaciones de este virus, y su principal
      causa de difusión es España puede que sean las copias
      piratas de un disquete que regalaba el Ministerio de
      Hacienda para realizar la declaración de la renta de
      1991.

      El programa se instala como residente en la parte alta
      de la memoria, infectando cualquier programa que se
      ejecute.
      El segundo día de cada mes los usuarios que posean una
      tarjeta gráfica VGA o EGA, podrán ver como entre las
      tres y las cinco de la tarde vibra la pantalla y las
      letras se invierten.

     -Holocausto: se ha programado en Barcelona.  Se queda
      residente en memoria y posee varios métodos de
      encriptación, por lo que es difícil de localizar.
      Es conocido también como virus anti-telefónica por
      mostrar este mensaje al final de los programas
      infectados:

        Anti-Virus - C.T.N.E. V2.10/a. (C) 1990. Kampanya
        Anti-Telefónica. Menos tarifas y más servicio.
        Programmed in Barcelona (Spain). 23-08-90 -666.


Para no ser infectados por un virus basta con seguir las
siguientes normas:

     -Realizar copias de seguridad con frecuencia: esto no
      evita la acción de los virus pero permite recuperar los
      datos perdidos.

     -Proteger los discos de programas: los discos flexibles,
      siempre que podamos, los tendremos protegidos para
      escritura.

     -Usar software legal: la principal fuente de propagación
      de los virus es la piratería, cuando esta desaparezca,
      desaparecerán los virus.  Si usamos software original,
      tendremos la seguridad de no infectarnos a través de
      ese software.

     -Usar un antivirus: es recomendable usar uno
      frecuentemente, algunos son incluso shareware.
      Hay antivirus que tienen módulos residentes que
      detectan la aparición de cualquier virus e impiden el
      contagio, pero a veces generan falsas alarmas y hay
      virus diseñados para burlarlos.


Un virus ▒PC▓ sólo puede afectar a ▒PCs▓, igual que un virus
Macintosh sólo puede afectar a Macintosh.  Los virus en los
sistemas Macintosh tienen la ventaja de que estos sistemas
poseen disqueteras a las que se accede en el momento de meter
un disquete, con lo que basta con meter un disquete para
infectarse.

En la plataforma Commodore Amiga, la cosa va más allá, pues
dispone de 2 Kbytes de memoria RAM no volátil, con lo que si
un virus se instala en ella, no hay forma de eliminarlo hasta
que se cree el antivirus, pues no desaparece de la memoria al
apagar el ordenador.

Si desea obtener una lista de los virus que circulan
actualmente en el sistema ▒PC▓ pulse este botón:

                     ┌──────────────────┐
                     │  ▒lista de virus▓  │
                     └──────────────────┘