Análisis de virus: virus chilenos
por Amador Ahumada Zuñiga
Analizamos los dos primeros virus chilenos, detectados en
Chile y también en algunos puntos de Argentina cercanos a
Chile, como Mendoza.
A principios de 1993, abruptamente se nos rompe la
provinciana tranquilidad informática, pues aparece en
Valparaíso (Chile) un virus nuevo, que pasaba
desapercibido para todos los antivirus, a excepción del
SCAN (97), que lo identificaba como el 1530 (CB 1530)
Para quiénes estamos preocupados del tema fue una
novedad, ya que ese espécimen no tenía registradas
apariciones en nuestro país, si bien era conocido
internacionalmente desde 1991, siendo considerado como de
una peligrosidad medio-alta. Investigando a fondo fui
encontrando que la información existente no calzaba con
las características que estaba presentando este supuesto
"1530", especialmente los tamaños en RAM, en archivos y
el hecho que éste infecta los .OVL, algo que no logré por
más empeño que le puse, con el bicho nuevo.
Después de muchos Análisis y pruebas llegué a la
conclusión de que se trataba del primer virus "made in
Chile", del que sólo se sabía el nombre, CPW y que se
habría originado en la Serena. (Rev. Microbyte, nov.
1992)
Los datos técnicos obtenidos, los entrego en el siguiente
cuadro para mayor claridad:
Nombre : CPW
1º detección : septiembre de 1992
tipo : de archivo
infecta : exe, y com, incluido el command.com
forma de infección : al ejecutarse archivos, y con algunas apertura de archivos; attrib, scaneos.
tamaño en archivo : 1459 bytes (al final)
tamaño en RAM : 2000 bytes
ubicación en RAM : últimos 2 KB, bajo los 640 (9F83)
lo elimina Ctrl-ALT-DEL : sí
fecha de ataque : 27 de mayo
tipo de ataque : escribe: ¡Feliz cumpleaños
CPW! y traba el equipo. escribe: You are here CPW (raras veces)
antivirus efectivo : Scan (McAfee) lo confunde con el 1530, pero no lo limpia, Dr. Solomon, última versión
F-Prot 2.07 lo detecta y limpia
Cadena para detectarlo : 46656C697A2063756D706C6561A46F7320435057
Observaciones : Borra los antivirus Scan y
Clean (McAfee), al ser ejecutados, en cualquier fecha.
Revisa espacio en disco antes de infectar. No cambia
fecha ni hora de los archivos infectados. Controla
algunos mensajes de error del DOS.
Recomendaciones : Reemplazar los archivos
infectados Renombrar los antivirus mencionados
Fallas : Al intentar borrar ARCH. en
discos protegidos contra ESCR. se queda leyendo
indefinidamente.
En un comienzo la situación fue compleja, ya que
contábamos sólo con el SCAN, que sólo lo detectaba (como
1530), sin limpiarlo hasta que aparecieron los upgrades
de los otros softwares. En la revista Microbyte nº 98
realicé el primer Análisis que se hizo de este espécimen.
Chile Mediera: segundo virus chileno
No acabábamos de reponernos de la sorpresa, cuando
comenzamos a observar que aparentemente CPW se comportaba
de una manera distinta, al principio supuse que se
debería a la fecha, y que prepararía alguna fechoría, ya
que a esa altura aún no se podía determinar con certeza
los días de ataque.
Pero no era CPW, sino que se trataba de su hermano menor,
bautizado como Chile Mediera, (Chile Mierda), del mismo
autor y de algunas características similares, pero de
mucha mayor peligrosidad, como queda demostrado por el
hecho que el CPW aparentemente se está extinguiendo, pues
cada vez reporta menos apariciones, mientras que el Chile
Mediera (CHME) tiene "vuelto loco a medio mundo" en mi
país, dada una rara y peligrosísima característica que
analizaremos al final.
Su currículum es el siguiente:
Apodos : CPW 2, CPW Viva
Autor : El mismo del CPW
Tipo : de archivo
Infecta : Exe y com, incluído el
command.com (sólo mayores de 10 kb.)
Forma de infección al ejecutarse archivos, y con algunas
apertura de archivos, Attrib, scaneos
Tamaño de archivo :1527 bytes (al final)
Tamaño de RAM : 2000 bytes
Ubicación en RAM : últimos 2 kb bajo los 640
(9F83)
Lo elim.Ctrl-Alt-Del :sí
Fecha de ataque : 27 mayo, 11 septiembre, 28
diciembre
Tipo de ataque : borra archivos, no siempre los
ejecutados, y hasta de cuatro a la vez
Mensaje en pantalla : Viva Chile mierda (rara veces)
Antivirus efectivo : Scan hasta el 104 lo confunde
con el 1530 en la RAM, y en archivos no lo detecta. Scan
106 sólo lo detecta. Scan 108 lo detecta y limpia. F-Prot
2.09. Dr. Solomon (última versión)
Cadenas p/ detectar : 56495641204348494C45204D494552
(en RAM) 0681FA1B05752BB42CCD2180 (en archivos)
Observaciones : Borra los siguientes programas
antivirus al ser ejecutados, el Scan y el Clean, CPAV
y VSAFE (Central Point), Checkvirus, Toolkit, Guard,
Chklist.Cps, al copiarse y al ejecutarse el CPAV
(renombrado) Revisa espacio en disco antes de infectar.
No cambia de fecha ni hora de archivos infect. Controla
algunos mensajes de error del DOS.
Recomendaciones : Reemplazar todos los archivos
infectados. Renombrar los antivirus mencionados.
Fallas : Al intentar ejecutar Arch. en
discos protegidos contra escritura se queda leyendo
indefinidamente.
Las diferencias con su hermano mayor son varias e
importantes. Borra varios antivirus más que CPW.
Tiene alguna forma de encriptamiento, pues al desplegarse
en la RAM su código cambia con respecto al que presenta
cuando está inactivo en un archivo, esto trae como
complicación que para su detección a través de cadenas se
deban ingresar dos, aunque cabe la posibilidad que se
pueda hallar una que mantenga su estructura, pero eso
implicaría un trabajo de chinos.
Por esta razón los Scan hasta el 104 lo detectaban sólo
en RAM, confundiéndolo nuevamente con el 1530, lo que
explica el explosivo ritmo de propagación de éste, en
comparación con CPW, que a pesar de ser más antiguo no ha
prosperado mucho.
Otra curiosidad: cuando termina la ejecución de algún
programa que necesita cargar el Command.com, este siempre
será buscado en la raíz, aunque la variable Comspec, esté
definida por el usuario a otro lugar. Incluso normalmente
después de ciertos comandos va deliberadamente a infectar
el Command.com de C:. De esta forma se asegura que estará
activo en memoria en cada arranque.
Situación peligrosísima
A mediados de mayo, se comenzaron a reportar con mayor
frecuencia casos de discos duros en que absolutamente
todos (o casi) los ejecutables estaban infectados con uno
de los dos hermanos, cosa muy rara, pues los virus de
archivos normalmente infectan al ejecutarse programas o
al hacerse un DIR, lo que hace el proceso relativamente
lento.
Después de conversar con usuarios y operadores, analizar
todas las posibilidades, y realizar innumerables pruebas
comenzó a revelarse la explicación. Los dos virus
chilenos, el CPW y el Chile Mediera, tienen una rara
habilidad. Al estar activo en la RAM uno de ellos, es
decir que si durante la sesión o el arranque se ejecutó
algún archivo infectado; y se habrá algún archivo por
cualquier razón éste será casi invariablemente infectado.
Entendamos la gravedad de ésto, si Ud. da el comando:
C:attrib *.* +r /s (return)
todos o casi todos los .com y .exe de la unidad quedarán
infectados con el virus que esté activo en RAM. ¿No me
creen?, hagan la prueba, ¡pero con un diskette! por si
acaso. Debe haber otros comandos del DOS, con los que
esto también ocurra, estemos alertas.
Pero la cosa no termina ahí, cuando un antivirus scanea
en una unidad, debe abrir los archivos para realizar la
operación, ¿qué creen que pasa si uno de los dos
chilenitos está en RAM y el software no lo detecta?, lo
mismo que en el caso anterior, se infectan todos los
ejecutables, ¿que no me creen de nuevo?, vuelvan a hacer
la prueba. (parte de esto apareció en Microbyte nº 100)
Simplificando la cosa, si se realiza un scaneo con casi
cualquier antivirus, dependiendo de algunas condiciones,
todos, o casi todos los archivos investigados, se habrán
infectado, así de simple. Si se escaneó todo el disco
duro, todos los .com y .exe se habrán infectado.
El autor de los virus, podría jactarse de que él programó
así a sus creaturas, pero debo bajarle los humos de la
cabeza, es una casualidad. Si él hubiera reparado en el
hecho, no les hubiera ordenado borrar a los antivirus más
comunes, pues habrían sido el mejor vehículo para
expandir la infección a niveles increíbles. Más bien creo
que fue un grave error el borrar antivirus, y que de paso
alerta a los usuarios, que algo deberían sospechar al ver
desaparecer metódicamente al software de sus amores.
Temiendo que este fenómeno también suceda con otros
especímenes aparte de los ya nombrados, efectúe tediosas
pruebas con el 1575/1591, Jerusalem, cascade, y con el
DIR 2, todos muy comunes en América, y los resultados
fueron negativos, concluyentemente. Escarbando en mis
archivos sólo he encontrado algunas características
similares en los especímenes más peligrosos a nivel
mundial, tales como el Dark Avenger, Taiwan 3, 4096
(Frodo), Holocausto y Whale. Algunos de estos infectan
hasta con un Chkdsk, cosa que no pasa en nuestro caso.
He podido determinar muchas variantes para el problema,
dependiendo de algunos factores, principalmente del virus
y del antivirus que se trate. Lo primero que queda claro
es que el CPW es más peligroso que su hermano, (en éste
aspecto puntual) pues no se le escapa prácticamente
ningún archivo. Diría que su efectividad es del 98%. En
el caso del Chile Mediera, pro razones de diseño no
infecta los menores a 10 kb. y deja por causas no
determinadas un porcentaje de alrededor del 10% del resto
de los archivos, sin dañar. Esto hace que su performance
se acerque aproximadamente a un 85% según lo almacenado
en el disco.
MSAV
Para este antivirus, incluído en el MS DOS 6.0, ambos
especímenes simplemente "no existen", por lo que un
scaneo con uno de ellos activo en RAM es el fin de los
ejecutables. Lamentablemente este producto no contiene la
opción de búsqueda por cadenas externas, pues es una
versión de batalla que la Central Point negoció con
Microsoft. Ni tampoco parece preocuparle que el
ejecutable principal haya sido incrementado, ni alterado.
De los antivirus tratados es claramente el menos adecuado
a la realidad nacional del momento, esperando que con la
llegada de los Upgrades correspondientes esta debilidad
se solucione
CPAV
Si se ejecuta (renombrado) este software, tampoco detecta
a ambos hermanos. Por lo que una revisión del disco duro
con una de ellos activo en RAM sería fatal.
Afortunadamente éste sí posee la forma de ingresar las
cadenas, lo que asegura su detección.
Curiosamente este antivirus no es infectado por el CHME,
incluso sin inmunización. Otro dato, el CHME borra los
archivos de verificación CHKLIST.CPS al ejecutarse el
CPAV y ¡al intentar copiarlos!
NAV
Abreviatura del Norton Anti Virus. El NAV.EXE, al
ejecutarse es infectado por cualquiera de los virus si
están en memoria, pero este producto tiene una
característica muy positiva. Una de las primeras
funciones que realiza es autochequearse, y si se detecta
alterado (se le agregaron los bytes del virus) no permite
completar la ejecución y vuelve al DOS. Por lo tanto con
él no se podría realizar la infección masiva. Otro asunto
es que, hasta la versión que conozco, no es capaz de
identificar a ninguno de los virus chilenos ni en RAM ni
en archivos, lo cual es una gran limitación, pero posee
la opción de ingresar cadenas vía usuario.
SCAN
En el caso del popular SCAN la situación es bastante más
compleja, pero también ocurre, aunque para ello se
requiere de la conjunción de varias condiciones, las que
son relativamente fáciles de conseguir.
El SCAN posee la opción /NOMEN que se salta el chequeo de
la RAM con lo que se acelera notablemente el trabajo al
estar usándolo continuamente. Pero el uso de esta opción
supone la certeza de trabajar en un ambiente
absolutamente libre de virus, pues de activarse alguno,
ya no nos será avisado, esto es advertido en las
instrucciones, pero tal vez no con la suficiente fuerza.
Existen muchos usuarios que han descubierto las
"bondades" de /NOMEM pero no han reparado en las
restricciones, y practican su uso indiscriminadamente.
Relataré los hechos ordenados cronológicamente para mayor
claridad:
- El CPW o el Chile Mediera están residentes en RAM, o
ambos.
- Se ejecuta el SCAN, renombrado, o sino es borrado por
el virus. Muchos usuarios han renombrado sus antivirus
permanentemente, ante la amenaza de estos entes.
- El SCAN se infecta inmediatamente por lo que al
autochequearse, algo que hace siempre, detecta esa
condición y nos avisa, preguntando si continúa o no.
Normalmente si uno está al corriente de la situación,
responde que sí a todas esas consultas.
- Desde este momento la suerte de nuestro disco duro está
echada, al ir revisando los archivos, los abrirá, se
infectarán y después se hará el scaneo. Este es el único
consuelo que nos queda, la infección se produce antes,
por lo que nuestra pantalla se llenará de nombres de
archivos infectados, deteniéndose cuando se completa,
esperando que se pulse la barra espaciadora para
continuar revisando e infectando. Se debe ser muy
observador, demasiado quizás, la primera vez que esto
ocurre para notar que los archivos que van a apareciendo
son absolutamente todos los .com y los .exe en el mismo
orden. Si se reparara en ello con pulsar control-pausa,
se pararía el proceso pero no es fácil, lo digo por
experiencia propia, y a mucha honra.
- Existe una posibilidad agravante, si se agregó
/NOPAUSE, que evita que se detenga el scaneo cuando se
llena la pantalla de información, no habrá espera al
llenarse ésta y el proceso ocurrirá más rápidamente.
Amador Ahumada Zuñiga es profesor y programador de
Valparaíso-CHILE. Comenzó con el ya legendario ZX 81,
actualmente dicta clases en el Instituto PROCAP y en
ASICOM, siendo creador del primer curso de Control de
Virus Computacional, aprobado por el Sence.