Viernes, 18 de Febrero de 2005

¿Cómo funciona un virus?

Ciclo de vida de un virus

Efectos de los virus

Antivirus ¿Cómo funcionan? Detección de virus

Consejos de protección frente a virus

Direcciones web Antivirus

¿Cómo funciona un virus?

Tipos de virus
Virus de ejecutables: Se introducen en ficheros .EXE, .COM, .DLL, etc
Virus de arranque: Se ubican en sectores BOOT y MBR
Virus mixtos o multiparte (ejecutables+arranque)
Virus de macro: Se insertan en ficheros de MS Office (Excel, Word, Powerpoint). (desarrollados en VBA)
Virus de script: Suelen propagarse mediante correos electrónicos (desarrollados en VBS, SHS, JS, ...)

Otros tipos:

Gusanos (Gusano de Internet, 1988) / i-worms (Melissa)
Caballos de Troya
Puertas traseras (Backdoors)
Virus Manuales
Virus en PDAs y telefonía móvil
Bulos (Hoaxes)

Técnicas
Polimorfismo: Cuando el virus se reproduce varía su código (muta con distintas formas) y, a menudo, utilizan cifrado aleatorio para dificultar su búsqueda.
Stealth: Engañan a los programas que intentan detectarlos sustituyendo determinadas funciones del sistema operativo (ej. Virus Brain)

Ciclo de vida de un virus

1) Entrada al sistema. Según las estadísticas las vías son:
Correo electrónico 87%
Disquetes o CD-ROM 7%
Internet 2%
Otros 4%
2) Activación: El código del virus se ejecuta y pasa a memoria tomando el control del sistema.
Virus de ejecutable: por ejecución directa del programa infectado (se encuentra oculto dentro de otro programa, incitación a su ejecución con ingeniería social) o aprovechando fallos del navegador o cliente de correo
Virus de macro: apertura de fichero con macro (en Word al abrir un documento infectado el virus se copia a la plantilla Normal.dot y de ahí a otros documentos)
Virus de arranque: arranque desde disco infectado.
3) Propagación: Crea copias de si mismo y las introduce en otros programas (los que se ejecutan, se abren para ser escaneados, los de un directorio visualizado (infectores rápidos), etc.), documentos, se auto-envía a las direcciones de correo de nuestra libreta o se propaga a través de un canal IRC.
4) Manifestación: Puesta en marcha de sus efectos (carga o payload), en muchos casos destructivos o, como poco, molestos.
 

Efectos de los virus

Payload
Desde visualizar un mensaje hasta ...
Borrado de ficheros
Corrupción de ficheros
Borrado del contenido de la configuración en la CMOS
Formateado del disco duro
Pérdida de confidencialidad (virus que envían por correo o en forma de paquete documentos contenidos en nuestro disco)
Establecimiento de puertas traseras
Efectos laterales
Fallos en el sistema y bloqueos
No disponibilidad de los sistemas/Bloqueo de servidores (Melissa y LoveLetter provocaron la desconexión de servidores Exchange e incluso redes corporativas completas)
Ralentización del sistema

Virus mas recientes

Antivirus ¿Cómo funcionan? Detección de virus

• Detección en disco (correos, ficheros y sectores) de virus conocidos (recomendable buscar primero en memoria):

• Búsqueda de fragmentos/patrones de código característicos (cadenas bytes)

• Virus polimórficos: Búsqueda de múltiples cadenas para cada virus. Si el virus recurre a cifrado con clave aleatoria  Búsqueda del código que se encarga de descifrar (decryptor) o utilización de emulador.

• Virus stealth:Si está activo, intentará engañar al buscador de cadenas.

• Emuladores: ejecución de virus en una especie de máquina virtual para que se descifren y queden expuestos a su detección por las técnicas anteriores.

• Detección de determinadas actividades u operaciones sospechosas en el sistema (escritura en ficheros ejecutables, modificación del sector de arranque, cambio vectores de interrupción, etc).

• Registro de características de los ficheros (tamaño, checksum, fecha de creación, etc.) y comparación posterior con el estado pregrabado.
  
   

Consejos de protección frente a virus

Internet y correo electrónico

• Ser precavidos cuando se descarguen ficheros desde Internet Asegurarse de que provengan de sitios web fiables (tendrán antivirus incluso mucho más actualizados que los nuestros).

• Poner un nivel de seguridad Mediano o Alto en el navegador de Internet.

• Actualizar nuestros programas con los parches que sacan los fabricantes para tapar agujeros de seguridad (principalmente nuestro navegador y cliente de correo).

• No reenviar por correo alertas sobre virus que no provengan de una fuente fiable. De otra forma, podemos estar distribuyendo un Hoax. Si sospechamos, enviar al administrador.

• No abrir ficheros incluidos en los correos que provengan de fuentes desconocidas o sospechosas.

• No abrir ficheros incluidos en los correos si se desconoce lo que son aunque provengan de fuentes conocidas (muchos gusanos utilizan la lista de direcciones personales para reenviarse por lo que nos llegarán de personas conocidas).

• No ocultar las extensiones para los tipos de archivos conocidos.

No abrir/ejecutar ficheros sospechosos

Otros consejos de protección

• Actualizar nuestro antivirus frecuentemente (ficheros .DAT y Scan Engines).

• Activar la protección antivirus en macros de ficheros de MS Office (Excel, Powerpoint, Word).

• Mantener disquetes protegidos contra escritura cuando sólo se vaya a leer de ellos.

• Establecer secuencia de arranque con el disco duro (C:) como primera opción.

• Tener un disquete de arranque libre de virus para poder arrancar desde él en caso de infección o sospecha de la misma.

• Si sospechamos que podemos tener un virus (el sistema va muy lento, hay algunos ficheros extraños, aumento de tamaño de algunos ficheros, etc), buscar síntomas en alguna de las web que tienen enciclopedia de virus. Enviar ficheros sospechosos al fabricante del antivirus.

• Estar informado de los nuevos virus y sus efectos (lista de suscripción, alertas).

• Efectuar copias de seguridad frecuentemente de toda la información importante (no olvidar Favoritos de internet, ficheros de agenda , ficheros de correos, etc.) y mantener en las copias varias versiones de los documentos más importantes

Direcciones web Antivirus

Antivirus Sophos (www.sinutec.com y www.sophos.com)
Antiviral Toolkit Pro (www.kaspersky.com)
Antivirus Doctor Web (www.espanadir.com/drwebsp/index.shtml)
Computer Associates (www.cai.com)
F-secure (www.f-secure.com)
Network associates (www.nai.com)
Panda Antivirus (www.pandasoftware.es): Chequeos online gratuitos, alertas...
Symantec (www.symantec.com): Enciclopedia de virus
Trend Micro (www.antivirus.com): Chequeos on-line gratuitos, enciclopedia de virus, alertas, lista Top 10, hoax
 

Referencia Digital:

La Web del Programador. Comunidad de Programadores. (año 2000). Recuperado el 11 de febrero de 2005, de http://www.lawebdelprogramador.com/temas/mostrar.php?id=123&texto=Virus/Antivirus

Si tienes alguna duda o comentario acerca de los temas, escríbeme