- Servicios
- Utilidades
- Entretenimiento
- Enlaces Útiles
- FAQ´S
Virus
Indice
> ¿Qué es un virus informático?
> ¿Cuáles son las características principales de los virus?
> ¿Qué significan los prefijos en los nombres de los virus?
> ¿Qué es un virus macro y cómo se dispersa?
> ¿Cómo se infecta una computadora con un virus macro?
> ¿Cómo trabajan los virus macro?
> ¿Por qué los virus macro de Word son tan fáciles de crear?
> ¿Qué versiones de Word son susceptibles a los virus macro?
> ¿Cuál es el peor daño que puede causar un virus macro?
> ¿Por qué las técnicas tradicionales de detección no funcionan en los virus macro?
> ¿Qué es un virus macro desconocido?
> ¿Qué sucede con los archivos de datos, los virus también los infectan?
> ¿Puede un virus esconderse en la memoria del CMOS en una PC o en el High Memory?
> ¿Pueden los virus esconderse en la memoria extendida o expandida?
Respuestas
Un virus es un archivo ejecutable capaz de realizar acciones sin el consentimiento del usuario. Existen varios tipos de virus:
Programas: archivos ejecutables con extensiones .com, .exe, .drv, .ovl, .sys, .bin.
Boot: rutinas que se ejecutan durante el booteo, en el sector de booteo, la tabla de partición, y la FAT.
Multipartite: capaces de hacer ambas cosas.
Un virus puede reproducirse, autoejecutarse, ocultarse, infectar otros tipos de archivos, encriptarse, cambiar de forma (polimórficos), residir en memoria, etc.
Los archivos que sólo contienen datos, no pueden ser infectados, dado que no pueden ejecutar ninguna rutina, pero sí pueden ser dañados.
Los virus sólo se activan cuando el programa infectado es ejecutado, o cuando el registro de booteo es leído. En el momento que se activan, ejecutan su rutina, y pueden realizar cualquier acción no deseada sin que el usuario lo noté.
Los virus residentes en los registros de booteo, pueden infectar archivos o ejecutarse, cuando leemos un diskette o cualquier otro dispositivo, sin que ejecutemos nada que se encuentre en él.
Los otros virus sólo pueden realizar acciones cuando el archivo ejecutable infectado es ejecutado.
¿Cuáles son las características principales de los virus?
Un virus puede tener más de una, de las siguientes características:
- - Residir en Memoria: un programa puede cargarse en la memoria del ordenador, y desde allí infectar todos los archivos ejecutables que se usen, y monitorear cualquier acción que el usuario realice.
- - No residentes: no se cargan en memoria, por lo tanto, sólo pueden correr rutinas infecciosas cuando el programa infectado es ejecutado.
- - Ocultamiento (Stealth): Un virus puede esconderse de los antivirus en forma completa, redirigiendo la lectura del disco hacia otro sector, o por el tamaño del archivo que infectan, modificando la información para que el antivirus no detecté que el archivo creció.
- - Encriptado: éste es otro método de ocultamiento, por el cual el virus permanece encriptado hasta que se ejecuta.
- - Polimórficos: un virus polimórfico tiene la capacidad de mutar cambiando parte de su programación para parecer distinto, de un momento a otro.
- - Ejecutables por evento (Trigger o Payload): capaces de ejecutarse cuando un evento sucede en el PC. Por ejemplo, ejecutarse en una fecha en especial, o cuando el usuario apaga el computador, etc.
¿Qué significan los prefijos en los nombres de los virus?
Este tipo de prefijos son los nombres que se le da a los virus para clasificarlos. Según ese prefijo se puede saber qué tipo de virus es. La siguiente es una lista de estos prefijos:
- - A97M: Macro Virus. Sólo infecta Bases de Datos de Microsoft Access 97.
- - Backdoor: Virus capaz de abrir una "puerta trasera" por la que usuarios, no deseados puedan entrar al sistema infectado.
- - O97M: Macro Virus. Infecta archivos de Microsoft Office 97.
- - VBS: Virus de Visual Basic Script. Infecta scripts de Visual Basic.
- - W32: Capaz de infectar archivos o sectores de booteo. Corre en cualquier ambiente Windows 32 (Windows 95, 98 y NT).
- - W95 o Win95: Capaz de infectar archivos o sectores de booteo. Corre en Windows 95 y 98.
- - W97M: Macro Virus. Sólo infecta Documentos de Microsoft Word 97.
- - WM: Macro Virus. Sólo infecta Documentos de Microsoft Word 95.
- - X97F: Macro Virus. Sólo infecta Planillas de Microsoft Excel 97 a través de sus fórmulas.
- - X97M: Macro Virus. Sólo infecta Planillas de Microsoft Excel 97 a través de sus macros.
- - XF: Macro Virus. Sólo infecta Planillas de Microsoft Excel 95 a través de sus fórmulas.
- - XM: Macro Virus. Sólo infecta Planillas de Microsoft Excel 95 a través de sus macros.
Un troyano no es directamente un virus, dado que no se reproducen. Son programas ejecutables que son ingresados a un sistema por un usuario malicioso de una forma encubierta, como un programa amistoso, gráficos, juegos, etc. De esta manera, al ser ejecutados, realizan acciones que el usuario no desea y que fueron desarrolladas por el escritor del virus. Conocidos ejemplos de estos "virus" son el Back Oriffice o el NetBus.
¿Qué es un virus macro y cómo se dispersa?
Los virus macro son macros especiales que se replican a sí mismos en archivos de aplicación personal, como ser Microsoft Word y Excel. La mayoría de los virus macro infectan documentos Word. Cuando se abre un archivo que contiene un macro infectado, generalmente el virus es copiado a la plantilla global de Word (generalmente NORMAL.DOT) por medio de comandos macro que se ejecutan al abrir el archivo. Luego el virus puede infectar otros archivos de Word. Cualquier documento abierto o creado después que la plantilla haya sido infectada, será infectado también.
Los virus macro, que forman parte del documento mismo, son transferidos desde el archivo al usuario vía disquettes, transferencias o archivos adjuntos de e-mail . Los virus macro son, hoy en día, los virus de computadora más comunes.
¿Cómo se infecta una computadora con un virus macro?
Los virus macro son usualmente creados para infectar algunos o todos los comandos "auto", incluyendo AutoOpen, AutoSave, AutoClose y AutoNew. Debido a que estos comandos son ejecutados automáticamente en el momento en que se abre el archivo de Word, es muy posible que no se note la infección. La consola es una pantalla que aparece en la mitad superior de la pantalla en la que podemos introducir líneas de comando.
¿Cómo trabajan los virus macro?
Los virus macro obtienen acceso a los archivos de procesadores de palabras y planillas de cálculos acoplándose a las porciones ejecutables de un documento, generalmente reemplazando los comandos macro AutoOpen, AutoExec, AutoNew, AutoClose, AutoExit.
Los virus macro son particularmente difíciles de erradicar porque se pueden ocultar en archivos adjuntos de e-mail viejos. Por ejemplo, una red que ya fue infectada una vez por un virus macro, puede re-infectarse cuando se abre un archivo adjunto de e-mail viejo que contiene un virus. Cuando redirecciona el archivo adjunto de e-mail, el virus puede dispersarse nuevamente. Por lo tanto, se necesita una segunda ronda de detección y desinfección.
¿Por qué los virus macro de Word son tan fáciles de crear?
Antes de la era del virus macro, crear un virus requería el conocimiento del lenguaje assembler u otro lenguaje de programación compleja. Hoy, se puede crear un virus macro usando Visual Basic, que usa comandos en inglés. Hasta existe en Internet una guía para crear paso por paso un virus macro de Word. La mayoría de los virus macro son pequeñas modificaciones sobre los virus macro ya existentes.
¿Qué versiones de Word son susceptibles a los virus macro?
Los virus macro pueden infectar cualquier versión de Word que tenga la posibilidad de correr macros. Esto incluye Word 6.x para Macintosh y Windows, y Word 7 para Windows '95. El Word 8 tiene una protección virus macro llamado "Protection Toll" incorporada.
¿Cuál es el peor daño que puede causar un virus macro?
Como todos los virus de computadoras, los virus macro pueden destruir información. Para los usuarios individuales, lo peor que puede ocurrir es que se reformatee el disco rígido de la computadora.
Las corporaciones están sufriendo graves daños causados por los virus macro, sobre todo, los que pueden restringir las operaciones del guardado de archivos, manipular información, controlar el almacenamiento de información y reformatear los discos rígidos de todas las PC que el virus macro ataque en la empresa. Mientras que la mayoría de los más de 500 virus macro conocidos no son destructivos, pueden causar una considerable perdida de productividad y tiempo del personal.
¿Por qué las técnicas tradicionales de detección no funcionan en los virus macro?
Hay una combinación de factores. Antes de que los virus macro fuesen detectados en agosto 1995, el software antivirus sólo rastreaba archivos ejecutables y el sector de arranque, antiguos blancos de los virus de computadoras. Los virus macro infectan documentos de Word y Excel, cuyas estructuras internas son muy diferentes a la de los archivos ejecutables y los sectores de arranque. Los documentos usan una estructura OLE intrincada, lo que hace que se requieran cambios en la manera en que el software antivirus rastrea los archivos.
Además, por el gran número de variantes de los virus macro, las viejas técnicas de similitud con la lista de virus no son lo suficientemente eficientes para asegurar una detección apropiada.
Finalmente, la manera en que los documentos Word y Excel son compartidos (vía archivos adjuntos de e-mail) requiriera de nuevas técnicas para habilitar el software antivirus, que revise dentro de las bases de datos de e-mails.
¿Qué es un virus macro desconocido?
Un virus macro desconocido es aquel que no ha sido identificado o aislado por una empresa antivirus. Antes de que las empresas antivirus puedan detectar un virus macro desconocido, primero deben encontrar el virus, analizar y crear una firma, que detectará y removerá el virus.
Hoy, los virus macro desconocidos pueden variar de un simple virus macro como el original Word_Concept a uno que puede borrar archivos en el disco rígido de un usuario, como el Word_MDMA.
Los investigadores de antivirus usan diferentes criterios para analizar cómo los virus se diferencian de un tipo a otro. Algunos contabilizan como virus si éstos varían al menos en 1 bit su código no variable.
Otros organizan los virus en familias con similares estructuras de código.
Es importante saber que pocos virus existentes están dispersos. Por ejemplo, sólo 3 docenas de virus de PC están causando hoy en día la mayoría de las infecciones. Pero la cantidad de virus cambia diariamente. La International Computer Security Association (ICSA) estima que se crean entre 5 y 7 virus por día. El ICSA Annual Virus Prevalence Report tiene algunas estadísticas sobre la proporción de infecciones con virus en empresas.
¿Puede un e-mail estar infectado?
No. Los e-mails no contienen un código ejecutable. Esto significa que al abrir un e-mail no infectará su computadora. Sin embargo, los archivos adjuntos de e-mail pueden estar infectados. Si recibe un archivo adjunto de e-mail de una fuente desconocida, la mejor manera de tratarlo es grabar el archivo y rastrearlo antes de correrlo o abrirlo en Word o Excel. Si se abren los archivos adjuntos de e-mail directamente, corre el riesgo de infectar su computadora. La última generación de software antivirus, generalmente puede ser configurada para rastrear los archivos adjuntos de e-mail antes de que puedan abrirse.
¿Qué sucede con los archivos de datos, los virus también los infectan?
Generalmente no. La excepción son los archivos de datos que contienen un código ejecutable, el cual puede ser infectado. Un buen ejemplo es un archivo del Microsoft Word (.DOC, .DOT). Aunque los archivos Word son generalmente archivos de datos, contienen macros, que son ejecutables y por eso son sensibles a la infección. La mayoría de las infecciones reportadas hoy son de virus macro.
¿Puede un virus esconderse en la memoria del CMOS en una PC o en el High Memory?
No. La información del CMOS no es ejecutable. El CMOS contiene información del sistema, que se guarda en un chip de la computadora. Un virus malicioso puede alterar los valores en el CMOS como parte de su función de descarga causando que el sistema no se reinicie, pero no puede dispersarse o esconderse él mismo dentro del CMOS.
Por otro lado, es posible construir un virus que se cargue en el Upper Memory (640K a 1024K) o High Memory (1024K a 1088K). Por ejemplo, un usuario puede cargar los programas Terminate Stay Resident (TSR) en el High Memory. Si esto sucede después que un virus la haya infectado, el código del virus estará también residente en el Upper Memory. Un rastreador efectivo debe ser capaz de rastrear esa parte del Upper Memory.
¿Pueden los virus esconderse en la memoria extendida o expandida?
Si, teóricamente, aunque ningún virus ha sido detectado hasta el momento.
