VR18: Correo
Investigando virus
Estimados amigos:
Les envío cordiales saludos, y los felicito por su publicación, de la cual soy asiduo lector desde el número 1.
Hace seis años que me dedico al trabajo en computadoras, y con el tiempo he notado que el medio se está convirtiendo de a poco en "Yo se manejar mejor el Windows que vos", "Soy analista programador porque manejo Qpro". El que alguna vez haya pasado por una carrera con técnicas de programación se dará cuenta de que lo anterior ocupa sólo un área de la informática, y que no tiene demasiado secreto descubrir las bondades de una planilla de cálculo o de un procesador de palabras, ya que mirando la pantalla y consultando un manual se aprende solo.
El motivo de esta carta es la nota que apareció en el número 15, acerca de un grupo de adolescentes que, aburridos de los utilitarios, comenzaron la investigación del assembler y los virus informáticos. Tengo alumnos que tienen la misma postura y las mismas ganas de aprender, pero en nuestra escuela no hay tiempo durante el ciclo lectivo para ocupar horas máquina en estas investigaciones. Por lo tanto, movidos por esta inquietud, se reúnen a investigar por su cuenta, pero no tienen demasiado acceso a ese tipo de información. Consultando por ellos les envío esta carta, para saber de qué manera se podrían comunicar con este grupo, para intercambiar información general del tema. Los chicos no tienen modem ni nada que se le parezca como para hacerlo vía cable.
Saluda atentamente
Fernando Battellini
VR: Lo que pueden hacer es acercarse a una de las reuniones de los primeros viernes de cada mes, a partir de las 17 horas, en San Jose 5, Capital Federal, donde se van a encontrar con gente con sus mismos intereses.
Predator II
Recibimos en nuestro contestador automático el siguiente mensaje:
"Hola, habla Maxwell de Bahía Blanca. El mensaje del Predator, que no pudiste descifrar, es 'Dedicated to ARCV...'".
Después de oir esta información, fué fácil ver cómo estaba encriptado el mensaje. Hay que usar la operación XOR FF con cada byte y luego sumarle uno, y queda ese mensaje.
Los bytes eran:
BC 9B 9C 97 9D 9F 8C 9B 9C E0 8C 91 E0 BF AE BD AA D2 D2 D2 E0
Israeli Boot y Filler
Editores de Virus Report:
Tomé conocimiento de su revista en la feria Computación 94, en la cual tuve la posibilidad de acceder a varios números de su revista. Les escribo por varios motivos, principalmente porque hace poco compré una PC (486 DX/2- 66, con un HD de 540 MB), y ya tengo problemas con un par de virus que me dificultan las cosas. Estos son, según el Scan V116, el Israeli Boot y el Filler. Ya me afectaron la primera vez, y llevé la máquina al lugar donde la compré, donde me dijeron que formatearon el dico a bajo nivel, pero que de todas formas no pudieron recuperarlo (ya habían tenido problemas de compatibilidad entre el driver del disco, un Quantum, con la tarjeta multifunción y la de video, por lo cual instalaron una tarjeta Genoa M5 veloce, con lo cual se terminaron los problemas, aparentemente). Cuando tuve esos problemas con los virus terminaron cambiando el disco por un Maxtor. Después de esto no quise tener más problemas e instalé el vshield y puse al scan en el autoexec.bat con los parámetros scan c:/a/m/chkhi, aparte de revisar cada 4 o 5 días con el MSAV desde windows. Si embargo, hace poco aparecieron estos virus alternativamente activos en memoria en scaneos realizados en la disquetera a:. Cuando arranqué con un disco limpio no los pude encontrar en el c:, y luego de eso no aparecieron siempre en los scaneos, y el que aparece con mucha mayor frecuencia es el Israeli Boot, pero de todas maneras no lo puedo localizar en el disco. Mis preguntas son las siguientes:
Si no tenía software ilegal, y revisé de todas las formas que antes describí a los diskettes que ya tenía, ¿cuál fué el costado que descuidé para que se pudieran colar estos bichos? (no tengo modem aún).
¿Con qué los puedo sacar, si se puede, que sea menos terminante que un formateo a bajo nivel?
¿Qué tan peligrosos son realmente? (la otra vez me dijeron que volaron el disco, pero aunque mucho no les creo, tengo el culo en la mano porque no creo que me lo vuelvan a cambiar gratis)
VR: Tu caso parece ser una falsa alarma. Si booteando desde un diskette no encontrás nada, difícilmente se trate de estos virus, especialmente teniendo en cuenta de que se trata de virus viejos y conocidos. Se sabe que si se tiene el MSAV o el CPAV residentes en memoria el Scan da falsas alarmas, las más común es que diga encontrar justamente a esos virus. Esto es un problema del MSAV o CPAV (ambos son básicamente el mismo producto), que no encriptan las strings de búsqueda de los virus. Si booteando de un diskette limpio y revisando el disco con el Scan y con el F-Prot no encontrás nada, es casi seguro que es una falsa alarma.
