Correo
Investigando virus
Estimados amigos:
Les envío cordiales saludos, y los felicito por su
publicación, de la cual soy asiduo lector desde el número
1.
Hace seis años que me dedico al trabajo en computadoras,
y con el tiempo he notado que el medio se está
convirtiendo de a poco en "Yo se manejar mejor el Windows
que vos", "Soy analista programador porque manejo Qpro".
El que alguna vez haya pasado por una carrera con
técnicas de programación se dará cuenta de que lo
anterior ocupa sólo un área de la informática, y que no
tiene demasiado secreto descubrir las bondades de una
planilla de cálculo o de un procesador de palabras, ya
que mirando la pantalla y consultando un manual se
aprende solo.
El motivo de esta carta es la nota que apareció en el
número 15, acerca de un grupo de adolescentes que,
aburridos de los utilitarios, comenzaron la investigación
del assembler y los virus informáticos. Tengo alumnos que
tienen la misma postura y las mismas ganas de aprender,
pero en nuestra escuela no hay tiempo durante el ciclo
lectivo para ocupar horas máquina en estas
investigaciones. Por lo tanto, movidos por esta
inquietud, se reúnen a investigar por su cuenta, pero no
tienen demasiado acceso a ese tipo de información.
Consultando por ellos les envío esta carta, para saber de
qué manera se podrían comunicar con este grupo, para
intercambiar información general del tema. Los chicos no
tienen modem ni nada que se le parezca como para hacerlo
vía cable.
Saluda atentamente
Fernando Battellini
VR: Lo que pueden hacer es acercarse a una de las
reuniones de los primeros viernes de cada mes, a partir
de las 17 horas, en San Jose 5, Capital Federal, donde se
van a encontrar con gente con sus mismos intereses.
Predator II
Recibimos en nuestro contestador automático el siguiente
mensaje:
"Hola, habla Maxwell de Bahía Blanca. El mensaje del
Predator, que no pudiste descifrar, es 'Dedicated to
ARCV...'".
Después de oir esta información, fué fácil ver cómo
estaba encriptado el mensaje. Hay que usar la operación
XOR FF con cada byte y luego sumarle uno, y queda ese
mensaje.
Los bytes eran:
BC 9B 9C 97 9D 9F 8C 9B 9C E0 8C 91 E0 BF AE BD AA D2 D2
D2 E0
Israeli Boot y Filler
Editores de Virus Report:
Tomé conocimiento de su revista en la feria Computación
94, en la cual tuve la posibilidad de acceder a varios
números de su revista. Les escribo por varios motivos,
principalmente porque hace poco compré una PC (486 DX/2-
66, con un HD de 540 MB), y ya tengo problemas con un par
de virus que me dificultan las cosas. Estos son, según el
Scan V116, el Israeli Boot y el Filler. Ya me afectaron
la primera vez, y llevé la máquina al lugar donde la
compré, donde me dijeron que formatearon el dico a bajo
nivel, pero que de todas formas no pudieron recuperarlo
(ya habían tenido problemas de compatibilidad entre el
driver del disco, un Quantum, con la tarjeta multifunción
y la de video, por lo cual instalaron una tarjeta Genoa
M5 veloce, con lo cual se terminaron los problemas,
aparentemente). Cuando tuve esos problemas con los virus
terminaron cambiando el disco por un Maxtor. Después de
esto no quise tener más problemas e instalé el vshield y
puse al scan en el autoexec.bat con los parámetros scan
c:/a/m/chkhi, aparte de revisar cada 4 o 5 días con el
MSAV desde windows. Si embargo, hace poco aparecieron
estos virus alternativamente activos en memoria en
scaneos realizados en la disquetera a:. Cuando arranqué
con un disco limpio no los pude encontrar en el c:, y
luego de eso no aparecieron siempre en los scaneos, y el
que aparece con mucha mayor frecuencia es el Israeli
Boot, pero de todas maneras no lo puedo localizar en el
disco. Mis preguntas son las siguientes:
Si no tenía software ilegal, y revisé de todas las formas
que antes describí a los diskettes que ya tenía, ¿cuál
fué el costado que descuidé para que se pudieran colar
estos bichos? (no tengo modem aún).
¿Con qué los puedo sacar, si se puede, que sea menos
terminante que un formateo a bajo nivel?
¿Qué tan peligrosos son realmente? (la otra vez me
dijeron que volaron el disco, pero aunque mucho no les
creo, tengo el culo en la mano porque no creo que me lo
vuelvan a cambiar gratis)
VR: Tu caso parece ser una falsa alarma. Si booteando
desde un diskette no encontrás nada, difícilmente se
trate de estos virus, especialmente teniendo en cuenta de
que se trata de virus viejos y conocidos. Se sabe que si
se tiene el MSAV o el CPAV residentes en memoria el Scan
da falsas alarmas, las más común es que diga encontrar
justamente a esos virus. Esto es un problema del MSAV o
CPAV (ambos son básicamente el mismo producto), que no
encriptan las strings de búsqueda de los virus. Si
booteando de un diskette limpio y revisando el disco con
el Scan y con el F-Prot no encontrás nada, es casi seguro
que es una falsa alarma.