KAKO2006

Si alguna vez alguien se pregunto "Que es un virus computacional?", "Cuando empezaron a existir los virus?", "Cuantos virus han existido??" o "Quien invento los virus?" se encontraría con tanta información repartida por tantos lugares que, a menos que se ponga a revisar muchas paginas web y mezclar contenidos, es poco probable que pueda saber a ciencia cierta el principio.. como a mi me gusta mucho la historia, me di a la tarea de averiguar estas fundamentales y existencialmente perturbadoras preguntas....

Iniciemos este recorrido con un poco de aclaración de terminologías (y también historia).. bug : este termino se refiere a problemas o fallas que se producen tanto en programas (software) como en dispositivos físicos (hardware), de este termino nace la palabra debugging que se aplicaría a la resolución de los problemas relacionados a los bugs, cuando nacieron estos términos??? aunque no lo crean nació en 1945 y fueron acuñadas por la Almirante Grace Murray cuando una polilla se quedo atrapada en uno los circuitos (relay 70) de una computadora de la armada (Mark II). como lo pueden ver aquí -->

virus computacional : este termino tiene 2 orígenes, uno mas bien general que establecería las bases teóricas donde un programa es capaz de auto replicarse realizada por el Científico húngaro John von Neumann en 1949 y la segunda que es la que representa mejor el estado actual de estos es la realizada por Fred Cohen (mientras realizaba un doctorado) en 1983 donde los describe como "programas computacionales capaces de afectar otros programas de tal forma que podían incluir una copia (posiblemente evolucionada) de si mismos".

worm : es un termino acuñado por los ingenieros de desarrollo Xerox (Palo Alto), lo asignaron a un programa que registra una red en búsqueda de procesadores en estado idle, diseñado para proveer un uso mas eficiente de los computadores. Este programa y su nombre son los antecesores de los actuales gusanos. ahora que ya sabemos porque los virus se llaman así veremos que tipos de virus existen..

Boot Virus : es un virus que se almacena en el sector de booteo de los diskettes así cuando se carga en un PC, se carga y ejecuta, contaminando los discos que se inserten posteriormente..

File Virus : es un virus que se añade a un archivo .exe o .com y que al ejecutarse contamina el equipo replicándose en otros programas.

Macro Virus : es un virus que copia sus líneas de ejecución en los documentos o templates de algunos programas.

Trojan Horse : es un virus que se disfraza de programas benignos (protectores de pantalla, etc) para infectar los computadores, aunque actualmente se denominan backdoor trojan debido a que abren una puerta a conexiones remotas en el computador infectado o PSW (Password Stealers).

Worm : es un virus que afecta la información del computador, ya sea copiándola, enviándola a algún sitio o eliminándola, replicándose generalmente a través de la libreta de direcciones o a través de fallas de seguridad en los puertos de la conexión a Internet.

Los virus en la (pre) historia

Los primeros virus conocidos no eran para WINDOWS ni DOS como muchos pueden pensar, de hecho el primer virus conocido se llamo "Elk Cloner" y tuvo 3 versiones...en 1981, aunque mas que un virus habría sido una protección "anti-copia" para un juego de MAC que modifica el sistema de booteo de los diskettes usando el espacio de memoria B6E8, al final de la pista 0 del sector 0 pasemos la pre y sigamos adelante.. luego en 1986 un par de ociosos no hallo nada mas entretenido que crear un virus que se alojaba en el sector de booteo de los diskettes, el cual fue el primer boot sector virus y este fue conocido con el nombre de "Brain".. luego aparecieron otros como el "Vienna" y el "Cascade" que siguieron el ejemplo dejado por "Brain"... luego hacia 1987 apareció otro tipo de virus, ya no sólo infectaba el sector de booteo (boot sector) sino que contaminaba archivos de sistema como el "command.com" y este fue el "Lehigh". Al poco tiempo (1988) sobrevinieron esas grandes catástrofes que fueron conocidos como "Jerusalem" y "viernes 13" que afectaban tanto a archivos .exe como a los .com, fue en este tiempo cuando el gurú Peter Norton decían "Los Virus no existen, son tan solo mitos así como los cocodrilos que viven en las alcantarillas de Nueva York".

Si creen que solo los DOS tenian virus hasta ahora, se equivocan también los virus "MacMag" y "Scores" aparecen por este tiempo atacando al sistema MAC. También en este tiempo apareció el primer gusano (worm) que produjo graves problemas en las comunicaciones en Internet y este se llamo Morris (llamado así por su creador, un graduado del programa de Ph.D. de Ciencias de la Computación) este gusano infecto mas de 6000 computadores incluyendo los de la NASA. Sin embargo esta no era la única característica que estaban adquiriendo los virus que aparte de copiarse al sector de booteo, apropiarse de archivos .exe y .com y a veces eliminar información de los computadores de sus victimas, estaban obteniendo la capacidad de pasar desapercibidos (Stealth), el primero conocido con esta capacidad fue "Frodo.4096" que interceptaba las llamadas Int21h al archivo y reemplazaba la información del archivo solicitado (que estaba contaminado) con la del archivo sin contaminar, pero este solo era un aperitivo para lo que vendría "Beast.512" que interceptaba los escaneos de los anti-virus que solicitaban el sector de booteo mostrando el sector que no estaba contaminado.

Sin embargo lo peor vino en 1991 con el virus "Dir-II", quien no se contamino alguna vez con este virus??...Combatir este tipo de virus fue relativamente fácil para los desarrolladores de antivirus, pero la evolución sigue y no hay pero que valga... A principios de 1990 apareció el primer virus polimórfico "Chamaleon" (que solo infectaba los archivos .com sin causar daño verdadero), esto produjo una revolución en cuanto a antivirus se refiere ya que debieron cambiar la forma en que detectaban la presencia de los virus, esta revolución se destaco por modificar el codigo de los virus para evitar su detección, dicha modificación se efectuaba cada vez el virus era ejecutado mediante un algoritmo de encriptación, aunque esta encriptación no es completa (siempre hay una parte que no se encripta para evitar la perdida del codigo del virus) es suficiente como para complicarle la vida a los antivirus.

Como dato anecdótico podemos decir que la revista "PC Today" (Gran Bretaña) regalo en conjunto con su revista un diskette que traía como regalo el virus "DiskKiller", esa edición vendió mas de 50.000 copias..(aunque Ud. no lo crea). A estas alturas Symantec lanza el primer antivirus creado por una compañía de software "Norton Antivirus". Hubo algún momento donde se dijo "Nos vamos de carrete??" "si!!!!" fue la respuesta y esta vino en la forma de "Tequila" (1991) quien no solo se adjuntaba a los archivos .exe y permanecía residente en memoria sino que también se copiaba al sector MBR (sector de booteo) del disco duro cargándose en memoria cada vez que se iniciaba el PC (quizás a alguien le interese saber que este virus fue desarrollado por un par de suizos pero Rusia no fue atacada por este virus...extraño, no?)

Para que no se diga que seguimos nombrando solo virus de Windows, tenemos 2 gusanos que atacan a los sistemas Unix, uno es el “Scalper” que se aprovechan de una vulnerabilidad en apache para propagarse y “Slapper” que usa un bug de las librerías SSL., ambos generan una backdoor para que se puedan dirigir ataques DDoS (Distributed Denial of Service), ejecución de comandos con los mismos privilegios que apache en el caso del primero y el segundo abre una puerta para la administración remota del equipo. Hacia finales de 1992 ya habían unos 1300 virus dando vueltas por Internet, además de la creación de un motor de mutaciones llamado "Dark Avenger", que es esto se preguntaran? simple es una herramienta que convierte los virus normales en virus polimórficos, lindo , ya en 1993 habían 7 motores de mutación para virus, que son:

- MTE 0.90 (Mutation Engine).

- TPE (Trident Polymorphic Engine), de este se desarrollaron 4 versiones.

- NED (Nuke Encryption Device).

- DAME ( Dark Avenger Mutation Engine).

Hagamos un alto en la historia y descansemos un poco...

Crea virus con un par de clicks (o comandos) En conjunto con esto se libera el programa "VLC" (Virus Creation Laboratory) que seria el primero de varios programas para la creación de virus en masa. para completar este "Deadly Trio" también aparecen los programas "G2" y "PS-MPC" (Phalcon/Skism Mass-Produced Code Generator). Todos estos programas permiten crear muchos cientos de virus solo con algunos minutos de configuración. Quien dijo que "la pereza es la fuerza motriz del progreso" ciertamente tenia razón . Con esto aparecieron los primeros "Lamers" que podían crear virus tal como los habilidosos programadores que los habían hecho hasta ese entonces, y tal como les paso a los hackers, de ser considerados creativos, originales y respetables (no hay que olvidar que para crear un virus original hay que "saber" hacerlo) quedaron reducidos a solo un grupo molestos seres del montón. Reanudemos nuestras andanzas en el camino hacia los actuales virus La aparición de los programas antes descritos generó un ansia de ser diferente de la masa, con lo cual se fueron desarrollando nuevos métodos de infección, ocultamiento, etc..Algunos ejemplos de esta originalidad son :

"PMBS", se manejaba en el modo protegido de los procesadores Intel 80386.
"Strange" (o "Hmm") - una "obra maestra" de la tecnología de ocultamiento (Stealth), que sin embargo estaba rebosante de interrupciones de hardware INT 0Dh e INT 76h.
"Emmie", "Metallica", "Bomber", "Uruguay" y "Cruncher" - utilizaban técnicas novísimas de "esconder" su propio codigo dentro de los archivos infectados.
En 1993 Microsoft lanza su propio antivirus llamado "MSAV" que estaba basado en CPAV de Central Point. Ya adentrándonos en 1994 aparecen nuevos virus que crean pánico debido a su difusión a través de los medios de masas, se decía que estos virus se contagiaban a través del correo electrónico, aunque estos virus jamás existieron si aparecieron variaciones de DOS que los emulaban el mas famoso de estos fue el “Good Times” , sin embargo aparecieron verdaderas amenazas también en este tiempo como los virus SMEG (SMEG.Pathogen Y SMEG.Queeg ), que debido a la complejidad en sus algoritmos polimórficos incluso los antivirus de hoy en día tendrían problemas tratando de detectarlos. también en este año Central Point cierra sus puertas y es adquirido por Symantec junto con otras pequeñas compañías desarrolladoras de Anti-Virus (Peter Norton Computing, Cetus International y Fifth Generation Systems).

Hacia 1995 se empieza a tener conocimiento de infecciones a través de todo el mundo con nuevos virus como: "NightFall", "Nostardamus", "Nutcracker", "bisexual", "RMNS", "Winstart", "ByWay" y "DieHard2". Y 2 grandes compañías de antivirus aúnan esfuerzos - ESaSS (ThunderBYTE anti-virus) y Norman Data Defense (Norman Virus Control), pero lo mas importante de este año es la nueva evolución que toman los virus...los “Macro Virus”. Este es otro paso en la evolución de los virus.. aparecen los Virus de Macros que atacan los documentos de Word, el primer virus fue “Concept” que se dice fue liberado en las dependencias de Microsoft contaminando millones de computadores en una fracción del tiempo usual de los virus conocidos, incluso se decía que tu PC no se contaminaría con virus “sólo” por leer un documento, lo cual se demostró ser obsoleto a partir de este momento. Ni siquiera las compañías antivirus estaban preparadas para este tipo de virus, lo único que pudieron hacer en ese momento fue crear antivirus que eliminaban las líneas modificadas por el virus. Como se producía la contaminación? Simple: obtenías un documento contaminado de Internet, lo abrías con Word y automáticamente estabas contaminado, contaminando además cualquier otro archivo editado con Word. Con esto se empezaron a desarrollar virus específicos para Windows y Office.

En este tiempo (1996) también apareció el primer macro virus para Excel, el “Laroux”, que también usaba el sistema de macros que se incluía en los documentos. también en este tiempo aparece el primer virus residente en memoria para Windows 95, el "Win95.Punch" que se mantenía en memoria como un archivo VxD contaminando los archivos .EXE de Windows cuando se ejecutaban. De aquí en adelante los virus de macros se harán cada vez mas comunes aprovechando las características de MS Office para contaminar otros equipos. En 1997 aparecen varios virus de este tipo que aprovechan las nuevas características del recién aparecido MS Office 97, de los cuales podemos nombrar a "ShareFun" que se propagaba vía MS Mail cuando contaminaba a MS Office. También en este tiempo vemos el primer virus para Linux llamado “Staog” y poco tiempo después aparecerá “Bliss”. Estos virus supuestamente tenian codigo malicioso pero nunca se pudo saber si se ejecutaba ese código o no. También apareció un virus que contaminaba tanto a los computadores con Windows como a los MAC, este fue conocido como “Esperanto". Incluso aparecieron worms para IRC que utilizo el cliente mas famoso de este servicio “mIRC”, este gusano aprovechaba una falla en el cliente que fue reparada en la siguiente entrega del programa. Para completar la escena aparece “Homer" el primer virus que se propaga usando el protocolo FTP.

Así como aumentaba la cantidad de usuarios conectados a Internet, la propagación de los virus y su control se hizo cada vez mas critica, un gran aviso en que la seguridad de los equipos debía ser aumentada la presento el virus “Win32.HLLP.DeTroie” (1998) que no solo contaminaba los ejecutables de Windows sino que a través de unas dll especificas de la versión francesa de Windows enviaba la información del equipo al creador del virus. También aparece un nuevo tipo de virus de macro que ataco a MS Excel “Excel4.Paix” (también conocido como “Formula.Paix”) que no usaba la sección de macro de los documentos sino que usaba la sección de formulas y que además probó ser capaz de modificar el código autorreproducible. En esta época además aparece un virus que afecta a MS Access llamado “AccessIV”. Siguiendo la evolución lógica de los virus podemos ver que poco después de la aparición de “Excel4.Paix”, el siguiente paso eran los virus de macro multiprograma, de estos el primero fue “Cross” que afectaba tanto a MS Access como a MS Word. Si algo nos faltaba en esta nueva plataforma (Windows 95) eran los virus polimórficos, que hacen su primera aparición con sus representantes “Win95.HPS” y “Win95.Marburg”, luego apareció “RedTeam” que no solo contaminaba los ejecutables de Windows sino que se propagaba usando Eudora Mail, es en esta época cuando vemos el primer reporte de infección mundial por un virus “win95.CIH”, el gran despliegue de este virus se debió a como inició su infección. Ésta comenzó en una lista de correo luego de la cual se desplegó rápidamente a Estados Unidos donde infecto unos juegos en uno de los servidores de juegos contaminando seguidamente a muchos mas equipos que cualquier otro virus anterior. Una característica de este virus que podía ser fatal era que dependiendo de la fecha del computador procedía a borrar la bios de la placa madre.

A fines de 1998 vemos nuevos tipos de virus, como el virus java, que atacaba a los ejecutables de java, el primero de esta serie fue “Java.StangeBrew” que demostró que a través de un navegador también podíamos contaminar el computador con un virus, como lo hacia? Modificando los archivos CLASS para crear una copia de si mismo y ejecutar el código del virus. También vemos el primer virus VBScript (“HTML.Internals”), en este punto quedo clara la inclinación de los creadores de virus en diseñar virus que aprovecharan las características compartidas y de colaboración de Windows con MS Office. De estas opciones colaborativas de Windows con MS Office vienen muchos más gusanos y virus que veremos en la siguiente entrega, aunque no nos restringiremos solamente a los virus de Windows

me prece super q hagas esto ya q en verdad necesitaba toda esta informacion...gracias . at. evy.