Análisis de virus: virus benignos
Por Fernando Bonsembiante
En este numero analizamos dos casos de virus que pretenden ser benignos.
¿Es posible que en el futuro haya virus que queramos tener en nuestra
máquina? Tambien veremos un virus que usa una técnica novedosa para no
ser detectado.
Normalmente, la persona que hace un virus no piensa en hacerle un bien a
nadie. La imagen que tenemos de un autor de virus es la de una persona
que quiere hacer un mal, o por lo menos quiere tener una 'fama anónima'
con su virus. En los últimos meses surgieron autores de virus que, si
bien todavía no dan su dirección y nombre reales, están tratando de
cambiar la imagen de los virus. Estos dos virus que analizamos podrían
considerarse como 'utilitarios que utilizan técnicas y conceptos de
virus informáticos'. Esto es un concepto totalmente nuevo en los virus
conocidos hasta ahora, ninguno pretendió ser más benigno que no hacer
nada. En la teoría, sin embargo, Fred Cohen, una de las primeras
personas que hizo invesigación seria sobre virus en el mundo, ya venía
hablando de usos benéficos de los virus. El ejemplo que daba era el de
un programa de compresión auto-instalable y auto-propagante. En
principio, la ventaja que tiene esto es que el usuario no tiene que
preocuparse en instalar el programa, simplemente se instala en memoria
cada vez que ejecutamos un programa 'infectado' en nuestro disco. El
problema es obvio, no tenemos opción de no instalarlo, y fácilmente lo
podemos llegar a encontrar en máquinas donde no pretendíamos usarlo,
donde llegó solo, por su afan de auto-propagación.
Cruncher
Según parece, una persona que se llama (o se hace llamar) Masud Khafir,
perteneciente al 'Trident Group', según consta en la documentación, leyó
a Cohen y decidió poner sus ideas en práctica. Su virus, el Cruncher, es
precisamente un compresor de ejecutables al mejor estilo Pklite o Lzexe.
Si bien estos programas modifican los ejecutables, como hace un virus,
requieren que el usuario se preocupe de instalarlos en cada programa que
quiera comprimir, por lo tanto la diferencia fundamental es que no se
auto propagan. Esto es lo que los diferencia de un virus, ya que tanto
el Pklite como el Lzexe como otros programas de su tipo agregan su
código al principio del programa, al igual que un virus. Este código es
el que se ejecuta en primer lugar, y luego el programa 'huesped'. Como
necesitan que el usuario los instale, no pueden considerarse virus de
ninguna manera.
Cruncher funciona como éstos, pero con la diferencia fundamental de que
no necesita que el usuario lo instale. Cuando se ejecuta el primer
programa comprimido con Cruncher, éste queda en memoria e 'infecta' cada
programa que no haya sido previamente comprimido con él. De esta forma,
sin que el usuario ni siquiera lo note, va a tener cada vez más lugar
libre en el disco rígido, pero sin perder datos. En principio, parece
ser el primer virus que reduce la longitud de sus huéspedes en lugar de
aumentarla.
De todas formas, si bien funciona por lo general sin problemas, si se
comprime un ejecutable que contenga overlays o chequee su propia
integridad, va a causar problemas. Como no tenemos un control directo
sobre los programas que va a comprimir o no, no hay forma de prevenir
fácilmente estas incompatibilidades. Cruncher hace un pequeño esfuerzo
para no causar problemas evitando tocar archivos que comiencen con
determinados pares de letras, por ejemplo CO (command.com) SC (scan.exe)
CL (clean.exe) etcétera. En definitiva, si no fuera que un virus es algo
intrínsecamente incontrolable, sería un caso de 'virus benigno'.
King of Hearts
El virus King of Hearts, descubierto a mediados de agosto de 1993, es
otro caso de un virus con supuestas buenas intenciones. En este caso, la
utilidad es la de encriptar discos. Se trata de un virus de boot sector
o tabla de particiones. Cuando infecta un nuevo disco, tanto un rígido
como un diskette, le pide al usuario un password con el cual encriptará
el disco. Los siguientes accesos al disco se podrán hacer sólamente con
el virus cargado en memoria y con el password correcto. Existen
programas comerciales y shareware que proveen este tipo de servicio,
pero éste es el primero en funcionar como un virus, ya que cuando está
en memoria va a infectar todo diskette al que se acceda con él activo, o
todo disco rígido si booteamos desde diskette.
En principio, es un virus que respeta al usuario, ya que antes de
infectar un disco rígido va a pedir permiso para hacerlo. Así mismo,
permite que, si pulsamos las teclas control-alt-H, se desinstale del
disco rígido. En el caso de los diskettes, no permite la desinstalación,
pero con control-alt-O podemos conectar o desconectar la rutina de
infección de diskettes, y con control-alt-K podemos cambiar el password
del diskette.
Funcionamiento
El virus viene en un programa de 32000 bytes que lo instala por primera
vez en nuestro disco. Una vez que se ejecuta este instalador, el virus
estará activo en memoria e infectará nuestro disco. Una vez que se
instale y encripte el disco, la única forma de leerlo será con el virus
activo en memoria. Este actúa como un filtro de toda la información que
se lea o escriba al disco, la cual parecerá normal para nuestros
programas de aplicación, pero será totalmente ilegible si se accede
directamente sin pasar por el virus.
En el caso de los diskettes de 1.2 megas, el virus ocupa el sector de
booteo, y marca ocho sectores en la FAT como malos. Luego copia el
sector de booteo original en uno de esos sectores marcados como malos, y
pone su propio código en los siete restantes. En los discos rígidos
copia la tabla de particiones al cilindro 0, cabeza 0, sector 9, una
parte que generalmente no se usa. El resto del código del virus va a
parar a los sectores 2 al 8. Cuando se bootea un disco infectado con
King of Hearts, éste reserva 9K de la memoria principal de la máquina
para su propio uso, bajando la cantidad de memoria libre que reporta el
BIOS. En ese lugar se copia luego. El virus funciona tomando la
interrupción 13h, que maneja todo el acceso a disco tanto del DOS como
del BIOS. Todo acceso que se haga al disco pasando por ahí será
encriptado o desencriptado según sea necesario. En el caso de que usemos
algun utilitario que acceda directamente al disco sin usar el BIOS o el
DOS, vamos a ver basura en lugar de la información. Si se intenta
escribir en el disco sin el virus en memoria o con este tipo de
utilitarios, se corre serio peligro de destruir la información contenida
en él, ya que se encripta todo, hasta los directorios. Otros programas
que usen el BIOS pero que usen técnicas como la llamada 'tunneling' para
evitar que sean interceptados por otras rutinas, y que por lo tanto usan
el BIOS en forma directa, tambien van a ocasionar serios problemas.
El virus también toma la interrupción 09h, la de manejo del teclado,
para detectar sus teclas de activación o desactivación. Cuando se le
ordena desinstalarse, va a restaurar el manejo de la interrupción 13h y
09h al BIOS, y pone nuevamente en su lugar la tabla de particiones del
disco. Los otros sectores del virus en el disco no son modificados.
En el caso de los diskettes, no hay forma de desinstalarlo, y si se
quiere desinfectar, el antivirus deberá poder pedirle la clave al
usuario.
Este virus parece estar basado en uno escrito por Mark Ludwig, y
publicado en su libro 'The little black book of computer viruses' donde
describe un virus de sector de booteo que funciona en forma similar,
pero que no incluye ni las rutinas de desinstalación ni las de
encripción.
Exebug II
El virus Exebug II es un virus de boot sector que en cualquier día de
marzo se activa e intenta destruir el disco rígido. Es un virus stealth,
por lo tanto es imposible de detectar en el disco cuando éste está
activo en memoria. Ocupa sólo 512 bytes, o sea que cabe en un sector de
booteo más otro sector en el disco. Es un virus pequeño pero no por eso
menos destructivo. Contiene dos rutinas muy inteligentes de destrucción,
una de ellas es similar a la del Michelángelo, pero con el agregado de
que en vez de destruir 256 cilindros, destruye 1024. Esta es la rutina
que se activa cada día de marzo. La otra rutina de destrución se basa en
un truco no documentado del DOS, muy poco conocido. Este truco en
realidad consta de dos partes. En DOS existe un modo de compatibilidad
con CP/M, que utiliza los vectores de interrupción 30h y 31h como un
modo de entrada a algunas funciones del DOS. Entre las funciones que
podemos acceder con este método existe una, tambien heredada del CP/M,
que permite borrar de un solo golpe la totalidad de las entradas de
directorio del drive actual. Esta frase, 'totalidad de entradas de
directorio', significa que no importa que sean archivos de sistema, read
only, o a su vez subdirectorios, simplemente borra todo lo que
encuentra. Si se ejecuta esta función desde el directorio raíz del disco
rígido, se borrará absolutamente todo el contenido del mismo. Lo
interesante es cuándo se activa esta rutina. Pero para ver esto, debemos
ver dos modos más de funcionamiento del virus.
Cada vez que se escribe un sector que empieze con M (algunas variantes
buscan MZ), el virus asume que se trata de un archivo .EXE. En ese caso,
verifica si el sector está en el disco B: o en algun cilindro entre 512
y 1023. Si es así, sobreescribe el sector con un trozo de código del
virus. Este código es justamente el mismo que destruye los 1024
cilindros del disco, el primero que vimos. Esto convierte al programa en
un troyano que destruirá el disco apenas sea ejecutado. En el caso de el
supuesto .EXE que se escriba esté en el disco A:, y en el sector 3, en
lugar de escribir el código destructivo solamente, escribe todo el
código del virus en ese sector, pero con una instrucción JMP distinta en
el comienzo. Esto transforma al programa en un 'instalador' o dropper
del virus. Cuando se ejecute el programa, éste va a instalar el virus en
la tabla de particiones del disco rígido. Luego de hacerlo, va a
ejecutar la rutina que ya describimos que utiliza las funciones
heredadas de CP/M. O sea que no solo obtenemos un disco infectado, sino
que también lo borra por completo.
Lo más interesante de este virus es el método que utiliza para evitar
ser detectado. Como es un virus stealth, lo normal para desinfectarlo
sería primero bootear desde un diskette limpio, y luego utilizar un
antivirus para restaurar la tabla de particiones original. Pero aquí es
donde este virus se muestra como realmente novedoso. Apenas se ejecuta
el virus, cambia la CMOS para que parezca que no tenemos una diskettera
A: instalada. De esta manera, cada vez que se bootee, el BIOS va a
pensar que no hay diskettera, y va a intentar cargar el sistema
operativo del disco rígido. Como lo primero que se carga es el virus,
éste va a verificar si hay un diskette en el drive A:, luego de
activarlo nuevamente, y si es así va a continuar booteando de diskette,
pero con el virus ya instalado en memoria. Para cualquier persona que
esté viendo el proceso de booteo, le va a parecer que no hubo nada raro,
y va a pensar que cargó un sistema operativo libre de virus, cuando en
realidad el virus está activo en memoria. Para evitar ser detectado,
cada vez que se intente acceder a la diskettera A: va a restaurar la
CMOS para que el BIOS piense que ésta existe, y cuando se deje de
acceder va a volver a desactivarla. Entonces, aunque apagemos la máquina
y la volvamos a prender, el virus sigue teniendo control de la
situación. La única forma de sacarnos de encima a este virus es
modificando la CMOS con la utilidad de setup del BIOS, y luego cargando
un sistema operativo limpio. En el caso de que no se pueda acceder al
setup del BIOS sin usar un programa externo, debemos desconectar la
batería de la CMOS para borrar el setup y evitar que se cargue el virus.
En algunas máquinas, como ser algunas PS/2, aún esto es imposible, por
lo que se deberán tomar medidas más drásticas como desconectar el disco
rígido. Este virus es realmente novedoso, y utiliza una técnica que
nadie, ni los autores de virus, ni los de anti-virus habían pensado
hasta ahora para evitar ser detectado y mantener el control de la
máquina aún despues de ser apagada.
