La fábrica de virus de Bulgaria
por Vesselin Bontchev
Publicamos la primera parte de este trabajo de Vesselin
Bontchev donde este importante investigador de virus de
origen Búlgaro nos explica por que en su país se hacen
tantos virus.
Nota: Este trabajo fue escrito en 1991, y su autor nos
autorizó su publicación con la condición de que aclaremos
que en este momento las condiciones en Bulgaria cambiaron
un poco. Ya no se hacen tantos virus y la industria del
software está funcionando mejor que hace un par de años.
Es indudable que los cambios políticos introducidos en
Bulgaria últimamente cambiaron las condiciones incluso de
la creación de virus en ese país.
Cómo comenzó la historia
Hace apenas tres años no existían virus de computadoras
en Bulgaria. Después de todo, estas eran cosas que sólo
podían suceder en los países capitalistas. La primera
mención que se hizo de los virus de este tipo fue en la
edición de Abril de la revista de computación de Bulgaria
"Komputar za vas" ("Computación para usted") en una nota
traducida de la revista Alemana "Chip". Inmediatamente
después de que el artículo mencionado apareciera, la
misma revista Búlgara publicó un artículo escrito por mi,
explicando el motivo por el cual los virus no podían ser
peligrosos. Los argumentos allí presentados eran en
general correctos, pero el autor había olvidado por
completo el hecho de que la mayoría de los usuarios de PC
no son programadores experimentados.
Algunos meses más tarde, en el otoño de ese mismo año,
llegaron dos hombres a la oficina del jefe de redacción
de la revista y manifestaron que habían encontrado un
virus de computadora. Después de una cuidadosa
investigación se llegó a la conclusión de que se trataba
del virus VIENNA.
En ese momento el virus de computadora significaba una
idea completamente nueva para nosotros. La posibilidad de
generar un programa de computadora, cuya performance sea
semejante a la de un ser vivo, capaz de reproducirse y
desplazarse de una computadora a otra aún contra la
voluntad del usuario, parecía extremadamente excitante.
El hecho de que "se puede hacer" y más aún, "se había
hecho" se esparció en nuestro país como un reguero de
pólvora. De inmediato los piratas informáticos
consiguieron una copia del virus y comenzaron a
"piratearlo". En poco tiempo se pudo comprobar que el
programa no contenía ninguna "magia negra" y hasta había
sido escrito de manera muy descuidada. De inmediato
aparecieron nuevas versiones caseras y mejoradas del
mismo. Algunas de ellas se generaron simplemente
reuniendo los diferentes módulos del virus pero
utilizando un assembler que optimizaba mejor el código.
Algunas de estas versiones directamente se optimizaron a
mano. Como resultado, en la actualidad existen varias
versiones de este virus que fue creado en Bulgaria ---
versiones con longitudes de infección de 627, 623, 622,
435, 367, 353 y aún 348 bytes. El virus se redujo casi
dos veces respecto de su tamaño original (su longitud de
infección original era de 648 bytes) sin que por ello se
haya visto afectada en lo más mínimo su eficacia
operativa.
Este virus fue el primer caso. Inmediatamente después,
fuimos "visitados" por los virus CASCADE y PING PONG. El
último fue el primer virus de sector de booteo y demostró
que este área especial, presente en todos los diskettes
también se puede utilizar para transportar virus. Los
tres virus mencionados probablemente se importaron a
través de copias ilegales de programas pirateados.
¿Quién, Qué y Por Qué? El primer virus Búlgaro.
Por aquellos días los dos virus conocidos ( VIENNA y
CASCADE) infectaban solamente los archivos COM. Debido a
ello, yo creía que la infección de los archivos EXE era
mucho más difícil. Lamentablemente, cometí el error de
comentarle mi opinión a un amigo. Llamémoslo "V.B." por
razones de privacidad.(Estas son las iniciales de su
verdadero nombre. Lo mismo sucederá con otros escritores
de virus que mencionaré más adelante. Por favor, tenga en
cuenta que a pesar de que yo tengo las mismas iniciales
(y que aún el nombre completo es muy parecido al mío),
somos dos personas distintas.)
El desafió se aceptó de inmediato y rápidamente después
de mi
comentario recibí un virus simple que era capaz de
infectar sólo a los archivos EXE. En la actualidad, ese
virus se conoce en el mundo bajo el nombre de OLD YANKEE.
El motivo por el cual recibe este nombre es porque cada
vez que el virus infecta un nuevo archivo, ejecuta la
melodía "Yankee Doodle".
El virus en sí era bastante trivial. Su única
característica especial consistía en la capacidad de
infectar los archivos EXE. El autor de este virus además
distribuyó su código fuente (o más exactamente, el código
fuente del programa que lo libera). De todos modos, el
virus no se extendió demasiado ampliamente ni tampoco
sufrió grandes mutaciones. Sólo algunos pocos lugares
informaron haberse infectado con este virus.
Probablemente la razón de esta expansión limitada haya
sido el hecho de que se trataba de un virus no residente
y que sólo infectaba archivos que se encontraban en la
diskettera default. Por lo tanto la única posibilidad de
infectarse con él era copiar un archivo infectado de una
computadora a otra.
Una vez resuelto el acertijo de crear un virus que fuese
capaz de infectar archivos EXE, V.B. perdió el interés
por seguir trabajando en este campo y no creó ningún otro
virus. Hasta donde yo sé, actualmente está trabajando en
procesamiento de señales en tiempo real.
El caso T.P.
El segundo escritor del virus Búlgaro, T.P., ocasionó
mucho más daño. Cuando escuchó por primera vez la idea
acerca de crear un programa que se reprodujese a sí mismo
de manera automática, estuvo muy interesado en el tema y
decidió escribir su propio virus, objetivo que logró
satisfactoriamente. Luego intentó implementar un esquema
de protección antivirus y nuevamente consiguió sus fines.
El próximo movimiento consistió en mejorar su virus para
poder burlar su propia protección antivirus, luego mejoró
también la protección del virus y así sucesivamente. Es
por este motivo que en la actualidad hay alrededor de 50
versiones diferentes de sus virus.
Lamentablemente, varias de estas versiones
(aproximadamente una docena) fueron sumamente "exitosas".
Se esparcieron por todo el mundo. Existen informes sobre
los mismos provenientes de todos los países del antiguo
bloque del Este, como así también de Estados Unidos y del
Oeste de Europa.
Versiones anteriores de estos virus de T. P. se conocen
bajo el nombre de VACSINA, porque contienen esa sucesión
de caracteres. En realidad es el nombre del programa de
protección antivirus del autor del virus. Se instala como
un controlador de dispositivo con este nombre. El virus
simplemente intenta abrir un archivo con este nombre, que
significa "Hey, soy yo, déjenme pasar."
Las últimas versiones del virus son más conocidas bajo el
nombre YANKEE DOODLE, porque ejecutan esta melodía. Las
condiciones en las cuales se generan los sonidos son
diferentes según las diferentes versiones del virus ---
por ejemplo, cuando el usuario intenta rebootear, o bien,
cuando el reloj del sistema marca las 5 p.m.
Todos los virus TP son estrictamente no destructivos. El
autor de los mismos prestó particular atención en que no
fuesen a destruir ningún dato. Por ejemplo, el virus no
infecta archivos EXE para los cuales la longitud de
archivo real y la longitud de la parte ejecutable como
está declarada en el encabezamiento EXE, no sean iguales.
Hasta donde yo tengo conocimiento, no existe otro virus
capaz de infectar archivos EXE que funcione de esta
manera.
Además, el virus no intenta eludir los programas
residentes que han interceptado INT 13h, por lo tanto
corre el riesgo de ser detectado por la mayoría de los
softwares de monitoreo de actividades de virus. El autor
del virus podría, obviamente, haber evitado este riesgo -
-- por ejemplo utiliza una técnica muy inteligente,
conocida en la actualidad como "rastreo de interrupción"
para eludir todos los programas que han establecido INT
21h. La única razón para no eludir también INT 13h, es
que de este modo también se pasarían por alto todos los
programas de caché de disco, y ello podría ocasionar
serios problemas deteriorando datos.
Por supuesto, el hecho de que el virus no sea
intencionalmente destructivo no significa que no cause
daño alguno. Existen varios informes sobre
incompatibilidades con otros softwares, o que indican el
pánico de los usuarios que han formateado sus discos; o
bien, como mínimo, el daño ocasionado por pérdidas de
tiempo, negativas de servicios de la computadora o gastos
en los cuales se debió incurrir para combatir el virus.
Es bien sabido que "no hay nada que pueda superar a un
buen virus."
Los virus TP no se expandieron intencionalmente; la causa
podría caratularse como "negligencia criminal." La
computadora utilizada por T.P. para desarrollar sus
variedades de virus también fue utilizada y compartida
con muchas otras personas. Esta es una práctica común en
Bulgaria, lugar en el que no todo el mundo puede tener
una computadora "personal" para trabajar. T.P. advirtió a
los otros usuarios que estaba escribiendo virus, pero en
ese momento la idea del virus de computadora era
completamente nueva, razón por la cual nadie tomó
seriamente esta advertencia. Debido a que T.P. no se
preocupó por efectuar una "limpieza" del sistema después
de utilizarlo para su tarea, estos usuarios -- por
supuesto -- se infectaron con el virus. Sin querer
intencionalmente hacerlo, ellos contribuyeron a diseminar
la infección.
Cuando se le consultó a T.P. el motivo por el cual había
decido escribir virus, respondió que lo hizo para probar
nuevas ideas; para aprender mejor cómo funcionaba el
sistema operativo y diversos trucos de programación. En
la actualidad ya no está interesado en trabajar en este
campo --- ha dejado de escribir virus hace
aproximadamente dos años.
Dark Avenger
En la primavera de 1989 apareció un nuevo virus en
Bulgaria. Obviamente era de fabricación "casera" y
simplemente para aventar cualquier duda al respecto
incluía una leyenda que decía "Este programa se escribió
en la ciudad de Sofia (C) 1988-89 Dark Avenger."
El virus era increíblemente infeccioso --- cuando estaba
en memoria, era suficiente copiar o simplemente abrir un
archivo para infectarse. Cuando el usuario detectaba la
existencia de un virus en su sistema y ejecutaba un
programa antivirus que no estuviese advertido de la
existencia de este nuevo virus sin rebootear (hacer
arrancar nuevamente el sistema) desde un diskette de
sistema protegido contra escritura y no infectado,
infectaba todos sus archivos ejecutables.
La idea de infectar un archivo al abrirlo era nueva y
realmente "exitosa." En la actualidad esos virus se
denominan "de infección rápida." Esta estrategia ayudó a
que los virus se dispersaran por todo el mundo. Existen
informes provenientes de todos los países de Europa, de
Estados Unidos, de la Unión Soviética, y hasta de
Tailandia y Mongolia.
Pero lo realmente destacable es que el virus era
peligrosamente destructivo. En cada decimosexta ejecución
de un programa infectado, se sobregrababa un sector en un
lugar aleatorio del disco, el cual posiblemente destruía
el archivo o el directorio que contenía ese sector. El
contenido del sector sobregabado constituía los primeros
512 bytes del cuerpo del virus, por lo que aún después de
haber borrado el sistema, existían archivos que contenían
una sucesión de caracteres que decían "Eddie vive...en
algún lugar del tiempo!" Esto causaba mucho más daño aún
que si el virus formateara el disco rígido, ya que la
destrucción pasaba desapercibida para el usuario y cuando
éste accidentalmente la descubría, sus backups
probablemente ya contenían datos deteriorados.
Muy poco tiempo después de conocerse este virus,
comenzaron a aparecer otros virus inteligentes. Casi
todos ellos eran sumamente destructivos. Muchos contenían
ideas completamente nuevas. En la actualidad esta persona
(todavía no podemos identificarlo con exactitud) es
autora de los siguientes virus:
DARK AVENGER, V2000 (dos variantes), V2100 (dos
variantes), 651, DIAMOND (dos variantes), NOMENKLATURA,
512 (seis variantes), 800, 1226, PROUD, EVIL, PHOENIX,
ANTHRAX, LEECH...
Dark Avenger ha atacado varias veces a algunos
desarrolladores de programas antivirus. Los virus
V2000/V2100 se anuncian como escritos por "Vesselin
Bontchev" y cuelgan el sistema cuando se ejecuta
cualquier programa que contenga las palabras "Vesselin
Bontchev". Existe una variante levemente modificada del
V2100 (V2100-B) que se utilizó como caballo de Troya para
la infectar la versión 66 del paquete VIRUSCAN de John
McAfee.
Existen informes que indican que el Dark Avenger ha
entrado en diversos BBS en Europa y ha dejado allí el
virus. Los informes provienen del Reino Unido, de Suecia,
de los Países Bajos, de Grecia... Algunas veces los virus
cargados de este modo en los sistemas son variedades
desconocidas en Bulgaria (NOMENKLATURA,ANTHRAX). Pero
indudablemente fueron generados en nuestro país --- ya
que contienen mensajes en Cirílico. En ciertas ocasiones
Dark Avenger no sólo carga un programa infectado, sino un
programa Troyano que esparce el virus. Esto dificulta
sumamente la detección del origen de la infección.
Un caso particular es el que se presenta cuando carga un
archivo denominado UScan, que al ejecutarlo informa que
se trata del "explorador de virus universal," escrito por
Vesselin Bontchev. Incluso la persona que lo subió se
registró bajo el nombre "Vesselin Bontchev." En realidad,
el programa infecta todos los archivos con el virus
ANTHRAX.
Mientras que los otros escritores de virus de Bulgaria
parecen ser sólo irresponsables o personas con mentalidad
infantil, el escritor del Dark Avenger se puede
clasificar como un "tecnópata." Es un usuario habitual de
varios BBS, por lo que cualquier persona que los utilice
puede intercambiar fácilmente mensajes de correo
electrónico con él. Cuando se le consultó por qué
generaba virus tan destructivos, respondió que " destruir
datos era un placer" y que simplemente "le encantaba
destruir el trabajo de otras personas."
Lamentablemente no se pueden tomar medidas contra él en
Bulgaria. Debido a que no existe legislación para
protección de la información sus actividades allí no son
ilegales. Se lo podría localizar fácilmente interviniendo
los teléfonos de las BBSes que utiliza frecuentemente,
pero las autoridades judiciales no pueden tomar estas
medidas, ya que no existe evidencia alguna de actividades
ilegales. Es obvio que este individuo conoce
perfectamente esa situación.
Lubo e Ian.
Algunos de los virus de Dark Avenger demostraron ser muy
"eficaces" y causaron reales epidemias. Es por ese motivo
que fueron frecuentemente imitados por otros escritores
de virus, que no tuvieron suficiente imaginación para
diseñar sus propios virus, pero envidiaron la fama del
Dark Avenger. Por lo tanto desensamblaron sus virus
(generalmente el primero) y utilizaron partes del mismo,
en ocasiones, sin entender cuál era su finalidad. Tal es
el caso de los virus MURPHY.
Según lo indica una sucesión de caracteres que en ellos
se incluye, fueron escritos por "Lubo & Ian, USM
Laboratory, Sofia." Estas personas existen y han
utilizado sus nombres reales. "Lubo" ha sido varias veces
entrevistado por reporteros gráficos.
Según declaran, escribieron el virus por venganza,
hicieron un trabajo muy importante para su jefe y éste
finalmente se negó a pagarles. Ese es el motivo por el
que desarrollaron el virus en una noche y lo pusieron en
funcionamiento. El hecho de que este virus se esparciera
fuera del laboratorio ni se cruzó por sus cabezas. Sin
embargo, esto no explica el desarrollo de otras versiones
del mismo virus (existen al menos cuatro variantes). De
todos modos, comprueba una vez más que es mejor (y
también más seguro) pagar bien a los buenos
programadores...
Además de MURPHY, estos dos escritores de virus crearon
otros virus denominados SENTINEL (5 variantes). Lo único
inusual de este virus es que está escrito en un lenguaje
de programación de alto nivel (Turbo PASCAL), pero no es
una sobreescritura o un programa compañero como lo son la
mayoría de los virus hechos en lenguajes de alto nivel.
Es capaz de infectar los archivos COM y EXE agregándose a
ellos y preservando su total funcionamiento. Este virus
también es residente en memoria, oculta el aumento de
longitud del archivo cuando el usuario invoca el comando
DIR y además tiene la capacidad de mutar.
El escritor de virus de Plovdiv.
Este hombre, P.D., declara que ha escrito diversos virus
"para divertirse" y sólo "para su uso personal" y que
"nunca los libera." Lamentablemente, al menos dos de
ellos han "escapado" por accidente. Estos virus son el
ANTIPASCAL605 y el TERROR. El último, especialmente, es
extremadamente virulento y ha causado una amplia epidemia
en Bulgaria.
P.D. lamentó profundamente lo sucedido y envió muestras
de sus virusa los investigadores de antivirus para que
desarrollaran los respectivos programas antivirus -- en
caso de que alguno de ellos también escapara. Finalmente
dichos virus resultaron ser solo unos pocos que cubrían
la gama completa, desde algunos muy tontos hasta otros
muy sofisticados. A continuación se detallan algunos de
ellos:
XBOOT, ANTIPASCAL (5 variantes), TINY (11 variantes),
MINIMAL-45, TERROR, DARK LORD, NINA, GERGANA, HAPPY NEW
YEAR (2 variantes), INT13.
P.D. asegura que el virus DARK LORD (una variante menor
de TERROR) no fue escrito por él. La familia TINY no
tiene nada que ver con el virus TINY Danés (variante de
163 bytes del virus KENNEDY), y al igual que el virus
MINIMAL-45, están escritos con el exclusivo propósito de
lograr el virus más corto del mundo.
En la actualidad P.D. ya no escribe programas de virus --
- porque "es tan fácil, que no resulta interesante,"
según sus propias palabras. En la actualidad está
escribiendo programas antivirus -- y según parece son muy
buenos.
Los dos muchachos de Varna.
Son dos alumnos (V.P. y S.K.) de la Mathematical High
School de Varna (una ciudad ubicada en la costa del Mar
Negro). Ellos desarrollaron varios virus y continúan
haciéndolo, y producen cada vez variedades más
sofisticadas. Más aún, intencionalmente diseminan sus
virus, por lo general liberándolos en las computadoras de
la escuela o en la Universidad Técnica de Varna. Cuando
se les preguntó por qué escriben y liberan virus,
respondieron "porque es muy interesante".
Los virus escritos por ellos son: MG (5 variantes), SHAKE
(5 variantes), DIR y DIR II. Todos estos virus residen en
la memoria e infectan los archivos cuando se ejecuta el
comando DIR.
El último es un virus extremadamente virulento y
sofisticado -- tan sofisticado como THE NUMBER OF THE
BEAST (el número de la bestia). Es también un tipo
completamente nuevo de virus -- no infecta ni los
sectores de booteo (arranque del sistema) ni los
archivos. En cambio, infecta al sistema de archivos en su
totalidad, modificando la información de las entradas de
directorio, de manera tal que cada archivo parece
comenzar con el virus.
Existe un contador de cantidad de sistemas infectados en
el cuerpo del virus. Se cuenta con suficiente evidencia
que indica que V.P. y S.K. coleccionan archivos
infectados, copian el contenido del contador y luego
dibujan curvas de dispersión de la infección, controlando
la ley de distribución normal. Lo hacen sólo "para
divertirse".
El caso de W.T.
W.T. es un escritor de virus de Sofia, que escribió dos
virus --- WWT (2 variantes) y DARTH VADER (4 variantes).
De acuerdo con sus propias palabras, lo hizo para poner a
prueba una nueva idea y para poder acceder al BBS de
intercambio de virus.
La nueva idea consistía en un virus (DARTH VADER) que no
aumenta las longitudes de los archivos, porque busca
agujeros no utilizados, completados con ceros, y se ubica
a sí mismo en esos lugares. Además el virus no efectúa
ninguna operación de grabación. En cambio, espera que DOS
grabe en un archivo COM y modifica la imagen del archivo
en la memoria antes de que se realice la operación de
grabación.
W.T. ya no no escribe programas de virus, pero aún está
extremadamente interesado en este campo. Colecciona virus
sofisticados y los desensambla, buscando ideas
interesantes.
Naughty Hacker.
Este escritor de virus, M.H., es un alumno y también vive
en Sofia. Ha escrito varios virus, la mayoría de los
cuales contienen una sucesión de caracteres que dice
"Naughty Hacker". Todos los virus escritos por M.H. no
son destructivos, pero contienen diferentes efectos de
video -- desde falta de sincronización de la pantalla,
hasta la pelotita que rebota.
En la actualidad, se han aislado al menos 8 variantes
diferentes, pero se cree que existen aún más y que están
diseminadas por todo el mundo. Además se cree que M.H.
continúa produciendo virus. Como es habitual, el motivo
que lo mueve a hacerlo es "porque está interesado en
ello" y "para divertirse."
También es el autor de tres virus sencillos de sectores
de booteo (BOOTHORSE y otras dos variedades que todavía
no tienen un nombre asignado).
Otros escritores de virus conocidos.
Las personas que se mencionaron anteriormente son los
principales productores de virus de Bulgaria. Sin
embargo, ellos no están solos. Muchas otras personas en
Bulgaria han escrito como mínimo un virus (a veces más).
En realidad, la fabricación de un virus es considerada
como un deporte, una broma práctica o una manera de
adquirir notoriedad.
Algunos de estos escritores de virus han suministrado sus
creaciones directamente a los investigadores de
antivirus, como si estuvieran esperando una recompensa.
Esto sucede con frecuencia --- probablemente ellos
esperan que el investigador de antivirus, como la persona
más calificada, evalúe mejor su creación. Algunas veces
el hecho de que el virus se conozca, y se describa e
incluya en los mejores programas antivirus, es suficiente
para estas personas y no les importa diseminar sus virus
de manera salvaje. Por lo tanto, probablemente la razón
principal para que esta gente produzca virus es la
búsqueda de gloria, fama y notoriedad personal.
Este grupo de escritores de virus Búlgaros conocidos (con
los nombres de sus respectivos virus entre paréntesis)
son V.D. de Pleven (MICRO-128), A.S. y R.D. de
Mihajlovgrad (V123), I.D. de Trojan (MUTANT, V127,
V270x), K.D. de Tutrakan (BOYS, WARRIER, WARRIOR, DREAM)
y otros.
Escritores de virus Búlgaros desconocidos.
Desde luego, también existen otros escritores de virus
desconocidos para el autor de este documento. Algunas
veces es posible determinar la ciudad en la que se
desarrolló el virus -- por lo general debido a una
sucesión de caracteres en el mismo cuerpo del virus, o
bien, debido a que el virus no se encontró en ninguna
otra parte. Algunos de los virus son muy simples, otros
son algo sofisticados. A continuación se incluyen
ejemplos de esos virus.
- El virus KAMIKAZE se detectó sólo en el Institute of
Mathematics en la Academia de Ciencias de Bulgaria, Sofia
y probablemente fue desarrollado allí;
- El virus RAT, fue creado en Sofia, tal como aparece en
el cuerpo del mismo;
- El virus VFSI (HAPPY DAY) fue desarrollado en el Higher
Institute of Finances and Economics in Svishtov (una
pequeña ciudad del Danubio) por un programador
desconocido;
- El virus DESTRUCTOR, probablemente fue desarrollado en
Plovdiv, donde se detectó por primera vez;
- El virus PARITY, probablemente fue escrito en la
Technical University, Sofia, ya que no se detectó en
ningún otro lugar;
- Los virus de archivo y de sector de booteo TONY,
probablemente fueron creados en Plovdiv, donde se
detectaron por primera vez;
- El virus ETC, fue detectado sólo en Sofia;
- El virus 1963, una variedad algo sofisticada,
probablemente fue creado en la Universidad de Sofia;
- El virus JUSTICE.