VR8: La ética y los virus: Entrevista a Alan Solomon
por Fernando Bonsembiante
El autor del Dr. Solomon Anti Virus Toolkit, Alan Solomon, estuvo en Buenos Aires los días 6 y 7 de Julio de 1993, para dar un seminario sobre seguridad informática. Se trata de una de las personas más respetadas en la comunidad anti virus internacional, e incluso en la comunidad de escritores de virus. Estuvimos hablando con él, en una entrevista exclusiva, sobre anti virus, polimorfismo, falsas alarmas y chicos que no pueden usar una computadora.
VR: ¿Cómo empezó a trabajar con virus?
AS: Hace unos cinco años, una de las actividades principales de nuestro negocio era la recuperación de datos, discos rígidos rotos, bases de datos destruidas, ese tipo de cosas. Una mujer de la universidad nos llamó y nos dijo que tenía unos disquettes a los que se les agregaba solos la etiqueta de volumen "(C) Brain", y pensaba que era un virus. Nosotros pensamos (un poco incrédulamente) "puede ser...", le dijimos que nos envíe los discos, que los ibamos a mirar y decirle. Ella nos los mandó. Hay dos cosas muy importantes. Primero, Brain es un virus de boot sector. Hace cinco años, nadie había oído hablar de boot sectors. Se hablaba de virus que podrían infectar el Command.com, porque no teníamos virus para analizar. Entonces, este es un virus que infectaba algo que la gente ni siquiera sabía que existía. No infectaba archivos, venía de una dirección completamente inesperada. Y lo segundo, es que es stealth. Puede ser que mucha gente piense que las técnicas stealth son una idea nueva, pero no es así, Brain es stealth. Por eso la mayor parte de la gente era incapaz de encontrarlo. Entonces escribí un artículo para una revista sobre este virus, y otra revista más me pidió un artículo sobre virus, y se los escribí. Otra persona que tenía el virus Ping Pong me lo mandó, y lo desensamblé. Alguien me mandó el Stoned, alguien el Vienna, el Cascade, el Jerusalem, y al final del año, todo el mundo creía que yo era un experto en virus. Probablemente hice el trabajo que no hicieron los demás, porque todos los demás estaban diciendo pavadas sobre los virus. Todos estaban imaginándose como funcionaría un virus, sin haber visto uno nunca y yo había visto cómo funcionaban realmente. Había desensamblado varios virus. Si uno habla de virus sin haberlos desensamblado, está diciendo pavadas, son sólo rumores. Si se desensambla un virus sabe exactamente qué está haciendo y cómo funciona. Entonces, al final del año, yo era uno de los pocos que sabía sacar un virus. Una gran compañía financiera tenía el virus Jerusalem, eran alrededor de 1000 computadoras, un trabajo grande, había que chequear 1000 computadoras. Al final, el trabajo fueron dos o tres semanas, y lo primero que me dije 'no puedo hacer esto para todos, no hay suficientes tiempo en el año para hacerlo'. Lo segundo y más importante, fue 'realmente, no me necesitan para esto, lo que necesitan son las herramientas para hacer el trabajo'. Entonces, si yo escribía las herramientas, la gente podía manejar a los virus solos, no necesitaban a un experto caro en virus. Para eso escribí el anti virus toolkit, por eso lo llamo 'toolkit' (conjunto de herramientas), porque son herramientas.
VR: ¿Alguna vez escribió un virus?
AS: Nunca lo pensé seriamente. Escribir un programa anti virus es muy interesante. Es un desafío. Tiene que hacer tres cosas: tiene que detectar virus, no tiene que dar falsas alarmas, y mientras hace eso, no tiene que ponerse en el camino del usuario. El usuario no tiene que notarlo. Por ejemplo, un scanner, tiene que ser muy rápido.
VR: ¿Por que la gente debería comprar su producto, y no CPAV, Scan, etc.?
AS: Vayamos de uno por vez. ¿Por qué el Toolkit es mejor que Central Point? El scanner es varias veces más rápido, encuentra tres veces más virus, no da falsas alarmas, Central Point da muchas falsas alarmas. Con respecto a McAfee, el Toolkit es más barato, es o más barato o el mismo precio: si lo compran, es más barato, si lo roban, es el mismo precio. Es más rápido, alrededor de 5 o 6 veces más rápido. El programa residente del Toolkit es mucho más chico que el de McAfee. Y encuentra más virus. Tambien tenemos mejor soporte técnico, nuestro soporte técnico atiende antes de los 5 rings del teléfono, y no ponemos música, directamente atiende el técnico. Para la mayoría de los productos no se puede hablar con el soporte técnico hasta por lo menos 15 minutos después de empezar a llamar. Ademas, el soporte tecnico no es alguien que fue simpremente a un curso sobre el tema, y está repitiendo algo que alguien dijo, es alguien que desensambló el virus y sabe lo que está diciendo. Hay tres tipos de problemas de soporte técnico. Uno, que no es en realidad un problema, es que alguien encuentra un 'virus' con un producto conocido pero el nuestro no muestra nada, es porque no hay tal virus, es una falsa alarma del otro producto. Nos llaman a nosotros porque no hay ninguna otra persona a quien llamar. Es una llamada muy fácil de responder, porque ya conocemos la respuesta. El segundo tipo de llamada, tambien es muy fácil, es cuando alguien tiene problemas instalando el programa, o quiere saber qué opcion del programa usar. El tercer tipo de soporte técnico es con los virus nuevos. Este debe ir a Inglaterra, pero no es tan difícil porque las telecomunicaciones hacen que Buenos Aires esté más cerca de Londres, entonces el virus nos puede llegar muy rápido. Hay algo en el Toolkit que se llama 'extra driver', con el que podemos mandar por fax, por correo electrónico, o como sea, un virus nuevo, entonces tenemos un virus nuevo que detecta el Toolkit.
VR: Con respecto a los virus polimórficos, ¿cómo funciona el Toolkit? ¿No es complicado descubrir cómo están encriptados y luego desencriptarlos?
AS: Es muy fácil, porque si miro el código, puedo ver qué está haciendo, de dónde saca la clave, qué es lo que hace, es muy muy fácil. La clave no es secreta con el virus. A menos que alguien escriba un virus que le pida al usuario que tipee la clave...
VR: En los virus polimórficos, la clave cambia en todo momento...
AS: Es lo mismo, si uno analiza el código ve lo que hace, el virus saca la clave del offset tal, está todo en el código, es clarísimo. Si el virus puede leer la clave para desencriptarse, yo también. De donde la saque el virus, yo también puedo sacarla.
VR: Con respecto al desencriptor genérico del que habló en el seminario, no es tan genérico, es específico para tal o cual virus....
AS: Es genérico. Dejame explicarte cómo funciona el scanner. Primero que nada, hay que hacer tres cosas: encontrar el virus, no dar falsas alarmas, y ejecutarse rápido. Después, hay que actualizarlo, todos los meses o todas las semanas. Eso es mantenimiento del programa. No tiene nada que ver con bits y bytes, es el viejo y conocido mantenimiento de programas. Se necesita entre diez y cien veces más mantenimiento que con un programa normal, un programa normal se actualiza una vez por año, y si no se hace, no importa. Con un scanner, hay que actualizarlo una vez por mes, ese es el problema, cómo actualizarlo. Es un problema de mantenimiento de programas. Para que un programa sea fácilmente mantenible, hay que separar las cosas que cambian de las que no cambian. Todo esto está en los libros de texto de programación.
Tenemos un motor y una base de datos. El motor lee la base de datos, y la base de datos le dice qué hacer. Le dice a que parte del archivo ir, qué buscar, ese tipo de cosas. El problema con los virus polimórficos es que la base de datos debe ser más compleja. En lugar de buscar secuencias de bytes debe hacer una descripción más compleja de lo que hay que buscar. Con Findvirus, inventamos un lenguaje de programación llamado 'Virtran' Virus Transaction Language. En ese lenguaje podemos describir un virus, podemos describir qué tipo de archivos infecta, qué le agrega al archivo cuando lo infecta, dónde está dentro del archivo, qué bytes hay que buscar para encontrarlo. Entonces, se puede calcular el checksum del virus, y compararlo con los de la base de datos, de esa forma podemos tener una identificación exacta del virus, para no decir 'bueno, este se parece al Jerusalem', podemos decir 'este es Jerusalem 1808'. Cuando uno sabe exactamente qué virus encontró, entonces es seguro intentar una reparación. Con los virus polimórficos, la forma tradicional de encontrarlos era usando un algoritmo en el programa, pero esto era un problema para el mantenimento. Lo que queremos es poner todo en la base de datos, no queremos tener nada en el código del programa. Para esto creamos un desencriptor genérico. Lo que tenemos que hacer es agarrar un archivo, suponer que contiene el virus, ver dónde está la clave de desencriptado, cómo está encriptado, y desencriptarlo. Es un simple comando en la base de datos: 'desencripte'. Cuando ya hizo eso, o sea, que desencriptó el virus, busca los bytes de identificación para identificarlo. Esto significa la solución al problema de mantenimiento.
VR: A ver si lo entendí. El programa agarra un archivo, y supone que tiene un virus, pero no sabe si es así o que virus puede tener. Lo desencriptamos como si lo tuviese, y miramos si tiene virus o no.
AS: Así es. Y aún si es un virus polimórfico, una vez desencriptado, los bytes son constantes. Nadie usó este método antes. Y esta es una razón más por la cual damos tan pocas falsas alarmas. Las falsas alarmas son algo muy común. Por ejemplo, el caso del Norton Anti Virus y Pkunzip. Este ha sido un gran problema en toda la industria anti virus. La gente llamaba y decía 'Tengo Maltese Amoeba'. La pregunta que le hacíamos inmediatemente era '¿Está usando Norton Anti Virus?' y la persona respondía 'Si, ¿Cómo sabe?' y le decíamos '¿El virus está en Pkunzip?' y decían 'Wow, esto es mágico!'
VR: Hablando de esto, ¿es cierto lo que se dice que Peter Norton dijo que los virus informáticos no existían?
AS: Si, es cierto. En una entrevista en una revista norteamericana, hace unos tres años, dijo que los virus eran una leyenda urbana. Y no fue el único. Me acuerdo, hace unos tres o cuatro años, discutía con la gente que no creía en que existían los virus, y me acuerdo de una persona que decía que tenía la prueba de que los virus no podían existir. El quería que yo viera esa prueba. Le dije que si, que iba a ver esa prueba, pero que él debía ver primero el virus Ping Pong. Se lo mostré, y nunca llegué a ver su prueba... Hoy nadie discute sobre la existencia de los virus, la pregunta es cuan comunes son. Por eso pregunté hoy en el seminario a los asistentes cuales eran los virus con los cuales habían tenido experiencias, para saber cuán comunes son los virus acá en Argentina.
VR: ¿Cada país tiene sus virus más comunes?
AS: Si, pero todos los países tienen el Stoned, casi todos tienen el Cascade, todos tienen el Jerusalem. Hay mucho más Michelangelo en Sudamérica que en cualquier otro lugar. El virus Form es muy raro en Sudamérica, pero muy común en Europa. Así que hay diferencias entre los países.
VR: Yo pienso que Michelangelo vino de Asia.
AS: La teoría principal dice que Michelangelo vino de Taiwan.
VR: ¿Cómo es su empresa?
AS: Tenemos 75 personas, su base es en Europa, pero tenemos representantes en Sudamérica y en Norteamérica. Nos dedicamos a los virus, por supuesto, todavía hacemos recuperación de datos, es una perte importante de nuestro negocio. Hacemos investigaciones criminales, fraude, por ejemplo, derechos de autor o trabajos de propiedad intelectual. También trabajamos mucho con redes, las redes son mucho más complicadas que las PC, y no mucha gente entiende las PC. La gente tiene los problemas más tontos con las redes.
VR: ¿Cómo detectan los nuevos virus?
AS: Bueno, de muchas fuentes. Primero que nada, tenemos representantes en casi todos los países del mundo. Cuando aparece un virus nuevo, por ejemplo en Chile, el virus CPW, fue enviado por nuestros representantes. Si aparece un virus nuevo en Argentina, ustedes nos lo mandarían, y conozco mucha gente en muchos países. Segundo, existe una organización internacional llamada CARO, Computer Anti- Virus Research Organization, tiene alrededor de 25 o 30 miembros en todo el mundo, principalmente en Europa, pero también en Note América, Africa, Australia. Los miembros de CARO comparten los virus entre sí, por ejemplo, yo le mando virus a Fridrik Skulason, él se los manda a Vesselin Bontchev, y así. Para el usuario sería muy malo tener que comprar venticinco produtos anti virus distintos si quiere detectar todos los virus, y si es malo para el usuario, es malo para el vendedor. Nosotros competimos, por supuesto, competimos en precio, en interfaz de usuario, en velocidad, etcétera, pero tenemos un acuerdo: no vamos a competir en la base de quien tiene qué virus.
VR: ¿Piensa que el problema de los virus puede acabarse?
AS: No.
VR: ¿Aún cambiando de sistema operativo?
AS: De aquí a veinte años, todavía van a haber de diez a cincuenta millones de computadoras bajo DOS. De aquí a veinte años las computadoras van a ser compatibles con PC. Los standards son muy poderosos. Hoy en el seminario hablé sobre ferrocarriles. Los ferrocarriles en Argentina tienen una trocha que es la misma que en Inglaterra, que es la misma que en Francia, que en todos los países del mundo. Esto viene de los caminos romanos. Una vez que se estableció una norma, no puede cambiarse, como pasó con la trocha de los ferrocarriles. Las PC son un standard, el DOS es un standard, dentro de veinte años van a seguir habiendo PC, con el sistema operativo DOS.
VR: ¿Cómo le eligen los nombres a los virus?
AS: En el mundo de los virus, tenemos una organización para ponerle nombres a los virus, y tenemos convenciones para ponerle nombres a los virus. Por ejemplo, si se encuentra un virus en Argentina, no le pueden poner 'virus Argentina', porque parte de la convención es no ponerle a un virus el nombre del país en el cual se encontró. Una vez cada seis meses el comité se reune, y hay quinientos o mil virus nuevos, entonces vemos los virus, uno por uno, y nos ponemos de acuerdo en un nombre internacional del virus. La primera vez que se reunió este comité, habían unos cincuenta u ochenta virus, y discutimos sobre cada uno. La última vez habían quinientos virus, y no hubo ni una discusión. Si no se estandarizan los nombres, si uno usa tres productos, tiene un solo virus y tres nombres distintos, y el usuario piensa que tiene tres virus distintos. El virus 'Argentina', por ejemplo, salía con ese nombre en las versiones anteriores del Findvirus, pero después de la última convención lo cambiamos, por eso a veces parecen 'desaparecer' ciertos virus de los productos anti virus.
VR: ¿Por qué empezó la revista que editan ustedes, Virus News International?
AS: La gente nos preguntaba qué pasaba con los virus, entonces siempre perdíamos unos cinco minutos explicando las últimas novedades y los chimentos, y después de hacerlo varias veces, pensamos que sería más fácil si lo escribiésemos y se lo mandásemos por fax. El fax empezó a crecer, y les estábamos mandando doce páginas de fax, y dijimos 'esto es una locura'. Así creamos un newsletter, contratamos gente para hacerlo, y creamos Virus News International.
VR: ¿Conoce algún autor de virus? ¿Qué piensa de ellos?
AS: Si, hablé con muchos escritores de virus, porque quiero hablar con ellos de ética. Quiero hablar sobre bien y mal, y sobre daño. Quiero hablar del impacto de los virus. Por ejemplo, una persona hoy me contó que dejaba jugar a sus hijos con su máquina, éstos ponían jueguitos, y gracias a los jueguitos su máquina se llenó de virus, como el ping-pong, el Michelángelo, etcétera. Entonces, ahora no le deja a sus hijos usar la computadora. Eso es terrible. Hay una computadora en la casa, y no se permite usarla a los chicos. Hay un gran daño que se hizo con eso. Quiero explicarle a los autores de virus el daño que están haciendo con sus virus. Ellos piensan en formateo de discos, pero no, dos chicos no pueden usar una computadora. Esto es el daño. Una persona tuvo el Michelángelo, y el día seis de marzo borró su disco rígido. Vino con si máquina a verme para ver si podía recuparar algo. Vino con un perro y un bastón blanco, porque era ciego. No lo sabía hasta que llegó. El se manejaba en forma totalmente independiente, escribía aplicaciones de bases de datos. Tenía un aparato con el cual todo lo que aparecía en la pantalla era pronunciado por un parlante. El se ganaba la vida con eso. Y el Michelangelo lo puso en serios problemas. Y su actitud fue: la vida me volvió a pegar en la cabeza, y esto no me va a frenar. Esto es lo que quiero mostar a los autores de virus, para que vean lo que están haciendo. Hablé mucho con los autores de virus sobre esto. Hablamos sobre daño. No es ilegal escribir un virus, uno puede hacer lo que quiera con su computadora, no me preocupa, pero con las computadoras de otra gente, esto es diferente. Es malo dañar las computadoras de otros, ellos están de acuerdo con eso, ellos lo ven, lo entienden, pero dicen 'yo sólo escribí el virus'. Entonces les explico: si me subo a la cima de una montaña y tiro una piedra, que golpea dos piedras, y así sucesivamente, y se crea una avalancha, que mata a alguien, ¿Quien es culpable?
VR: ¿Es posible que haya compañías que escriban virus para hacer negocio?
AS: No, creo que no. ¿Cuál sería el negocio? No creo que haya ninguna compañía que se beneficie con esto. Nosotros vendemos nuestro producto anti virus a la gente que tiene el virus Stoned, el Jerusalem, eso es lo que vende los productos. Los virus nuevos no hacen vender más productos anti virus que los virus viejos. Si se necesitaran a lo virus nuevos para vender los anti virus o sus actualizaciones, tenemos unos cien virus nuevos por mes, escritos por los chicos, gratis. No hace falta, no tiene ningun valor comercial. Y por supuesto, es criminal. Por eso no pienso que haya ninguna compañía escribiendo virus.
VR: ¿Qué piensa del futuro de los virus? Nuevas técnicas, cosas nuevas, es posible crear un virus indetectable...
AS: Dejame dividirlo en dos preguntas. Primero, que pienso sobre el futuro. En el pasado, la cantidad de virus se ha duplicado aproximadamente cada ocho o diez meses. Cada vez que pasa, digo 'no puede volver a pasar'. Y pasa cada vez, porque aparece algo nuevo. Por ejemplo, hace dos años, la idea de los BBS de intercambio de virus, esto creó una explosión de virus nuevos. El BBS de intercambio de virus en Bulgaria, de Todor Todorov, llegando hasta, mucho más recientemente, al gobierno de los Estados Unidos, que tenía un BBS de intercambio de virus, en el departamento del tesoro. El Washington Post escribió un artículo sobre esto, así que decidieron cerrarlo. Hace un año, vimos paquetes de creación de virus, como el Virus Creation Lab, el Mass Produced Code Generator de Phalcon/Skism, lo que hace muy fácil hacer un virus, sólo hay que saber usar uno de esos. Entonces, cada año hay algun avance en la organización, o tecnología, o algo nuevo que uno no había esperado, y que nos deja sin aliento. El gobierno de los Estados Unidos estaba distribuyendo virus... ¿Alguien podía predecir eso? Entonces, estas cosas siempre suceden... ¿Cual va a ser el próximo cambio en la organización, o nueva tecnología? No sé, pero esto sigue pasando. Supongamos que una compañía decide vender virus. Esto no es ilegal. La otra parte de la pregunta era si es posible escribir un virus que no pueda ser detectado. Una respuesta simple es: si, pero no. Se puede escribir un virus difícil de detectar, se puede escribir un virus que sea el doble de difícil de detectar, diez veces más difícil, etcétera. Cuando uno termina de escribir un virus, ahora es mi turno. Yo puedo tomarme todo el tiempo que quiera trabajando en el virus. Jueguemos un juego. El juego es: quien puede decir el número más alto. Vos empezás... Si vos empezás, yo voy a ganar siempre. Este es el juego que jugamos con los autores de virus. Nosotros siempre estamos segundos. Ellos escriben el virus, y nosotros estamos segundos. Si ellos hacen al virus muy difícil, tal vez nos tome dos horas descubrir como detectarlo. Si lo hacen diez veces más difícil, nos tomarán veinte horas. Si lo hacen mil veces más difícil, nos tomarán mil horas. Y el tema se convierte en algo económico. Algunas compañías van a decidir que no es económicamente aceptable, el costo de investigación y desarrollo es demasiado grande, y prefieren no detectar el virus. Otras compañías van a decidir que es economicamente posible, y van a detectar el virus. Al final, el tema termina siendo económico. Quizá pueda haber un virus que alguna compañía piense que no es economicamente posible, pero técnicamente, es posible siempre. El juego al que jugamos es muy interesante.
VR: ¿Qué piensa de los otros autores de anti virus?
AS: La mayoría son amigos míos. El propósito principal de CARO es tomar cerveza juntos. Por ejemplo, tuvimos una reunión de CARO hace un par de meses, en la cual discutimos muchas cosas técnicas, y al final terminamos en un restaurante, estabamos con Fridrik Skulason, autor del F-Prot, Yuval Rakavi, de BRM technologies, que vende el Intouchable, Vesselin Bontchev, que no tiene ningún producto pero es muy famoso, y un par más. Somos gente técnica, no somos gente comercial. Estamos trabajando en los mismos problemas técnicos, en gran medida nos ayudamos los unos a los otros. Por supuesto, reconocemos que somos competidores, no compartimos nuestros códigos fuentes, pero intercambiamos ideas.
VR: ¿Y con los que no son miembros de CARO? Por ejemplo, John McAfee.
AS: McAfee es una persona de marketing, no es un técnico. Yo no soy de marketing, reconozco la importancia del marketing para el éxito de una empresa, un ejemplo es Microsoft. Para que una compañía sea exitosa, necesita buen marketing y buenos técnicos. Tenemos muy buena gente de marketing en nuestra compañía. Si me preguntás del producto, técnicamente, es un poco lento. Y si examinamos las strings de búsqueda, algunas son demasiado cortas, y da falsas alarmas. Hubo un juicio, una compañía llamada Imageland le hizo un juicio a McAfee porque su producto daba una falsa alarma sobre un programa de ellos. Creo que le sacaron un millón de dólares a McAfee. Es algo que preocupó a todos en la industria. John me llamó una semana después de que le iniciaron el juicio, y me pidió que escribiera una carta diciendo que las falsas alarmas son una característica standard en los anti virus. La carta que escribí decía que muchos productos dan falsas alarmas, algunos más que otros. Findvirus da pocas falsas alarmas, porque en vez de buscar el virus en todo el archivo, lo busca en determinados lugares donde puede estar el virus.
VR: ¿Por qué se creó CARO?
AS: Por dos razones. Una fue el problema con los nombres. Y este es un problema muy tonto, porque a nadie le preocupa cual es el nombre exacto de cada virus, y sería muy bueno si todos podemos usar el mismo nombre. La segunda razón fue que teníamos una situación como la siguiente. Estaba yo, estaba Fridrik Skulason, Vesselin Bontchev, y algunos más. Yo le mandaba virus a esta gente, ellos se los mandaban a otros, y a su vez estos a otros... ¿No sería más simple si tuviésemos sólo un lugar para mandar virus, de donde despues todos los sacáramos? Esto es mucho más eficiente. Entonces, esas son las dos razones. Empezaron a unírsenos las grandes compañías, Symantec, Fifth Generation, Stiller Research, Virex, etcétera. En este momento hay sólo dos compañías grandes de anti virus que no son miembros de CARO, son Central Point y McAfee.
