VR10: Análisis de virus: virus chilenos
por Amador Ahumada Zuñiga
Analizamos los dos primeros virus chilenos, detectados en Chile y también en algunos puntos de Argentina cercanos a Chile, como Mendoza.
A principios de 1993, abruptamente se nos rompe la provinciana tranquilidad informática, pues aparece en Valparaíso (Chile) un virus nuevo, que pasaba desapercibido para todos los antivirus, a excepción del SCAN (97), que lo identificaba como el 1530 (CB 1530) Para quiénes estamos preocupados del tema fue una novedad, ya que ese espécimen no tenía registradas apariciones en nuestro país, si bien era conocido internacionalmente desde 1991, siendo considerado como de una peligrosidad medio-alta. Investigando a fondo fui encontrando que la información existente no calzaba con las características que estaba presentando este supuesto "1530", especialmente los tamaños en RAM, en archivos y el hecho que éste infecta los .OVL, algo que no logré por más empeño que le puse, con el bicho nuevo. Después de muchos Análisis y pruebas llegué a la conclusión de que se trataba del primer virus "made in Chile", del que sólo se sabía el nombre, CPW y que se habría originado en la Serena. (Rev. Microbyte, nov. 1992)
Los datos técnicos obtenidos, los entrego en el siguiente cuadro para mayor claridad:
Nombre : CPW
1º detección : septiembre de 1992
tipo : de archivo
infecta : exe, y com, incluido el command.com
forma de infección : al ejecutarse archivos, y con algunas apertura de archivos; attrib, scaneos.
tamaño en archivo : 1459 bytes (al final)
tamaño en RAM : 2000 bytes
ubicación en RAM : últimos 2 KB, bajo los 640 (9F83)
lo elimina Ctrl-ALT-DEL : sí
fecha de ataque : 27 de mayo
tipo de ataque : escribe: ¡Feliz cumpleaños
CPW! y traba el equipo. escribe: You are here CPW (raras veces)
antivirus efectivo : Scan (McAfee) lo confunde con el 1530, pero no lo limpia, Dr. Solomon, última versión F-Prot 2.07 lo detecta y limpia
Cadena para detectarlo : 46656C697A2063756D706C6561A46F7320435057
Observaciones : Borra los antivirus Scan y Clean (McAfee), al ser ejecutados, en cualquier fecha. Revisa espacio en disco antes de infectar. No cambia fecha ni hora de los archivos infectados. Controla algunos mensajes de error del DOS.
Recomendaciones : Reemplazar los archivos infectados Renombrar los antivirus mencionados
Fallas : Al intentar borrar ARCH. en discos protegidos contra ESCR. se queda leyendo indefinidamente.
En un comienzo la situación fue compleja, ya que contábamos sólo con el SCAN, que sólo lo detectaba (como 1530), sin limpiarlo hasta que aparecieron los upgrades de los otros softwares. En la revista Microbyte nº 98 realicé el primer Análisis que se hizo de este espécimen.
Chile Mediera: segundo virus chileno
No acabábamos de reponernos de la sorpresa, cuando comenzamos a observar que aparentemente CPW se comportaba de una manera distinta, al principio supuse que se debería a la fecha, y que prepararía alguna fechoría, ya que a esa altura aún no se podía determinar con certeza los días de ataque.
Pero no era CPW, sino que se trataba de su hermano menor, bautizado como Chile Mediera, (Chile Mierda), del mismo autor y de algunas características similares, pero de mucha mayor peligrosidad, como queda demostrado por el hecho que el CPW aparentemente se está extinguiendo, pues cada vez reporta menos apariciones, mientras que el Chile Mediera (CHME) tiene "vuelto loco a medio mundo" en mi país, dada una rara y peligrosísima característica que analizaremos al final.
Su currículum es el siguiente:
Apodos : CPW 2, CPW Viva
Autor : El mismo del CPW
Tipo : de archivo
Infecta : Exe y com, incluído el command.com (sólo mayores de 10 kb.)
Forma de infección al ejecutarse archivos, y con algunas apertura de archivos, Attrib, scaneos
Tamaño de archivo :1527 bytes (al final)
Tamaño de RAM : 2000 bytes
Ubicación en RAM : últimos 2 kb bajo los 640 (9F83)
Lo elim.Ctrl-Alt-Del :sí
Fecha de ataque : 27 mayo, 11 septiembre, 28 diciembre
Tipo de ataque : borra archivos, no siempre los ejecutados, y hasta de cuatro a la vez
Mensaje en pantalla : Viva Chile mierda (rara veces)
Antivirus efectivo : Scan hasta el 104 lo confunde con el 1530 en la RAM, y en archivos no lo detecta. Scan 106 sólo lo detecta. Scan 108 lo detecta y limpia. F-Prot 2.09. Dr. Solomon (última versión)
Cadenas p/ detectar : 56495641204348494C45204D494552 (en RAM) 0681FA1B05752BB42CCD2180 (en archivos)
Observaciones : Borra los siguientes programas antivirus al ser ejecutados, el Scan y el Clean, CPAV y VSAFE (Central Point), Checkvirus, Toolkit, Guard, Chklist.Cps, al copiarse y al ejecutarse el CPAV (renombrado) Revisa espacio en disco antes de infectar. No cambia de fecha ni hora de archivos infect. Controla algunos mensajes de error del DOS.
Recomendaciones : Reemplazar todos los archivos infectados. Renombrar los antivirus mencionados.
Fallas : Al intentar ejecutar Arch. en discos protegidos contra escritura se queda leyendo indefinidamente.
Las diferencias con su hermano mayor son varias e importantes. Borra varios antivirus más que CPW. Tiene alguna forma de encriptamiento, pues al desplegarse en la RAM su código cambia con respecto al que presenta cuando está inactivo en un archivo, esto trae como complicación que para su detección a través de cadenas se deban ingresar dos, aunque cabe la posibilidad que se pueda hallar una que mantenga su estructura, pero eso implicaría un trabajo de chinos.
Por esta razón los Scan hasta el 104 lo detectaban sólo en RAM, confundiéndolo nuevamente con el 1530, lo que explica el explosivo ritmo de propagación de éste, en comparación con CPW, que a pesar de ser más antiguo no ha prosperado mucho.
Otra curiosidad: cuando termina la ejecución de algún programa que necesita cargar el Command.com, este siempre será buscado en la raíz, aunque la variable Comspec, esté definida por el usuario a otro lugar. Incluso normalmente después de ciertos comandos va deliberadamente a infectar el Command.com de C:. De esta forma se asegura que estará activo en memoria en cada arranque.
Situación peligrosísima
A mediados de mayo, se comenzaron a reportar con mayor frecuencia casos de discos duros en que absolutamente todos (o casi) los ejecutables estaban infectados con uno de los dos hermanos, cosa muy rara, pues los virus de archivos normalmente infectan al ejecutarse programas o al hacerse un DIR, lo que hace el proceso relativamente lento.
Después de conversar con usuarios y operadores, analizar todas las posibilidades, y realizar innumerables pruebas comenzó a revelarse la explicación. Los dos virus chilenos, el CPW y el Chile Mediera, tienen una rara habilidad. Al estar activo en la RAM uno de ellos, es decir que si durante la sesión o el arranque se ejecutó algún archivo infectado; y se habrá algún archivo por cualquier razón éste será casi invariablemente infectado. Entendamos la gravedad de ésto, si Ud. da el comando:
C:attrib *.* +r /s (return)
todos o casi todos los .com y .exe de la unidad quedarán infectados con el virus que esté activo en RAM. ¿No me creen?, hagan la prueba, ¡pero con un diskette! por si acaso. Debe haber otros comandos del DOS, con los que esto también ocurra, estemos alertas.
Pero la cosa no termina ahí, cuando un antivirus scanea en una unidad, debe abrir los archivos para realizar la operación, ¿qué creen que pasa si uno de los dos chilenitos está en RAM y el software no lo detecta?, lo mismo que en el caso anterior, se infectan todos los ejecutables, ¿que no me creen de nuevo?, vuelvan a hacer la prueba. (parte de esto apareció en Microbyte nº 100) Simplificando la cosa, si se realiza un scaneo con casi cualquier antivirus, dependiendo de algunas condiciones, todos, o casi todos los archivos investigados, se habrán infectado, así de simple. Si se escaneó todo el disco duro, todos los .com y .exe se habrán infectado. El autor de los virus, podría jactarse de que él programó así a sus creaturas, pero debo bajarle los humos de la cabeza, es una casualidad. Si él hubiera reparado en el hecho, no les hubiera ordenado borrar a los antivirus más comunes, pues habrían sido el mejor vehículo para expandir la infección a niveles increíbles. Más bien creo que fue un grave error el borrar antivirus, y que de paso alerta a los usuarios, que algo deberían sospechar al ver desaparecer metódicamente al software de sus amores. Temiendo que este fenómeno también suceda con otros especímenes aparte de los ya nombrados, efectúe tediosas pruebas con el 1575/1591, Jerusalem, cascade, y con el DIR 2, todos muy comunes en América, y los resultados fueron negativos, concluyentemente. Escarbando en mis archivos sólo he encontrado algunas características similares en los especímenes más peligrosos a nivel mundial, tales como el Dark Avenger, Taiwan 3, 4096 (Frodo), Holocausto y Whale. Algunos de estos infectan hasta con un Chkdsk, cosa que no pasa en nuestro caso. He podido determinar muchas variantes para el problema, dependiendo de algunos factores, principalmente del virus y del antivirus que se trate. Lo primero que queda claro es que el CPW es más peligroso que su hermano, (en éste aspecto puntual) pues no se le escapa prácticamente ningún archivo. Diría que su efectividad es del 98%. En el caso del Chile Mediera, pro razones de diseño no infecta los menores a 10 kb. y deja por causas no determinadas un porcentaje de alrededor del 10% del resto de los archivos, sin dañar. Esto hace que su performance se acerque aproximadamente a un 85% según lo almacenado en el disco.
MSAV
Para este antivirus, incluído en el MS DOS 6.0, ambos especímenes simplemente "no existen", por lo que un scaneo con uno de ellos activo en RAM es el fin de los ejecutables. Lamentablemente este producto no contiene la opción de búsqueda por cadenas externas, pues es una versión de batalla que la Central Point negoció con Microsoft. Ni tampoco parece preocuparle que el ejecutable principal haya sido incrementado, ni alterado. De los antivirus tratados es claramente el menos adecuado a la realidad nacional del momento, esperando que con la llegada de los Upgrades correspondientes esta debilidad se solucione
CPAV
Si se ejecuta (renombrado) este software, tampoco detecta a ambos hermanos. Por lo que una revisión del disco duro con una de ellos activo en RAM sería fatal. Afortunadamente éste sí posee la forma de ingresar las cadenas, lo que asegura su detección. Curiosamente este antivirus no es infectado por el CHME, incluso sin inmunización. Otro dato, el CHME borra los archivos de verificación CHKLIST.CPS al ejecutarse el CPAV y ¡al intentar copiarlos!
NAV
Abreviatura del Norton Anti Virus. El NAV.EXE, al ejecutarse es infectado por cualquiera de los virus si están en memoria, pero este producto tiene una característica muy positiva. Una de las primeras funciones que realiza es autochequearse, y si se detecta alterado (se le agregaron los bytes del virus) no permite completar la ejecución y vuelve al DOS. Por lo tanto con él no se podría realizar la infección masiva. Otro asunto es que, hasta la versión que conozco, no es capaz de identificar a ninguno de los virus chilenos ni en RAM ni en archivos, lo cual es una gran limitación, pero posee la opción de ingresar cadenas vía usuario.
SCAN
En el caso del popular SCAN la situación es bastante más compleja, pero también ocurre, aunque para ello se requiere de la conjunción de varias condiciones, las que son relativamente fáciles de conseguir. El SCAN posee la opción /NOMEN que se salta el chequeo de la RAM con lo que se acelera notablemente el trabajo al estar usándolo continuamente. Pero el uso de esta opción supone la certeza de trabajar en un ambiente absolutamente libre de virus, pues de activarse alguno, ya no nos será avisado, esto es advertido en las instrucciones, pero tal vez no con la suficiente fuerza. Existen muchos usuarios que han descubierto las "bondades" de /NOMEM pero no han reparado en las restricciones, y practican su uso indiscriminadamente. Relataré los hechos ordenados cronológicamente para mayor claridad:
- El CPW o el Chile Mediera están residentes en RAM, o ambos.
- Se ejecuta el SCAN, renombrado, o sino es borrado por el virus. Muchos usuarios han renombrado sus antivirus permanentemente, ante la amenaza de estos entes.
- El SCAN se infecta inmediatamente por lo que al autochequearse, algo que hace siempre, detecta esa condición y nos avisa, preguntando si continúa o no. Normalmente si uno está al corriente de la situación, responde que sí a todas esas consultas.
- Desde este momento la suerte de nuestro disco duro está echada, al ir revisando los archivos, los abrirá, se infectarán y después se hará el scaneo. Este es el único consuelo que nos queda, la infección se produce antes, por lo que nuestra pantalla se llenará de nombres de archivos infectados, deteniéndose cuando se completa, esperando que se pulse la barra espaciadora para continuar revisando e infectando. Se debe ser muy observador, demasiado quizás, la primera vez que esto ocurre para notar que los archivos que van a apareciendo son absolutamente todos los .com y los .exe en el mismo orden. Si se reparara en ello con pulsar control-pausa, se pararía el proceso pero no es fácil, lo digo por experiencia propia, y a mucha honra.
- Existe una posibilidad agravante, si se agregó /NOPAUSE, que evita que se detenga el scaneo cuando se llena la pantalla de información, no habrá espera al llenarse ésta y el proceso ocurrirá más rápidamente.
Amador Ahumada Zuñiga es profesor y programador de Valparaíso-CHILE. Comenzó con el ya legendario ZX 81, actualmente dicta clases en el Instituto PROCAP y en ASICOM, siendo creador del primer curso de Control de Virus Computacional, aprobado por el Sence.
