Analisis de Virus

Por Fernando Bonsembiante

 

En este número analizamos un virus argentino nuevo, que nos acercó un
lector de Bahía Blanca.

 

Recibimos en nuestra redacción la siguiente carta de un lector de Bahía
Blanca:

A fin de colaborar con su publicación les facilito un disco conteniendo
un virus, segun entiendo bastante nuevo. Lo detecté en el colegio al
cual concurro la noche del 20/4. A toda prisa desarrollé una vacuna beta
para detectarlo (y en la medida de lo posible erradicarlo) y realicé un
rápido análisis del mismo, donde saqué las siguientes conclusiones:

-Se trata de un virus de boot sector.

-Al igual que otros virus (Michelangelo, Anti Tel, etc.) disminuye la
cantidad de memoria instalada reportada por el BIOS en 2Kb, por lo cual
su presencia se delata al ejecutar un simple CHKDSK o MEM.

-Alamcena la copia del Boot Sector siempre en el sector físico ubicado
en el cilindro 0, lado 1, sector 3. Esto sin considerar el tipo de medio
en el cual se encuentre (es decir, no considera si se trata de un disco
de 360k, 1.2M, etcétera) Esto causa que en discos de poca capacidad
sobreescriba el cluster 2 o 3, o en discos de alta capacidad escriba
sobre uno de los primeros sectores del directorio raíz.

-Seleccioné un string de identificación con cierto criterio, pero no
tuve todavía tiempo de desensamblarlo y buscar un string mejor, (aún así
intuyo que seleccioné una parte de la rutina de control de la
interrupción 10h o 21h, pues viene luego de una secuencia de PUSH AX,
PUSH BX, PUSH CX, etc., lo cual implica una rutina que no modifique
registros) El string es el siguiente:

1E 06 16 56 80 FC 02 72 62 80 FC 03 77 5D 80 FA 00 75

El mismo es utilizado en mi vacuna para detectar el virus.

-Me llama la atención el tiempo que tarda en cargar el sistema desde un
disco infectado y la presencia de sectores defectuosos falsos (creados
por el virus). Todavía no pude determinar la causa de esos factores.

-Hasta donde pude determinar, el virus no afecta los discos de 3.5, al
menos no como drive B.

Me tomé la libertad de asignarle un nombre al virus en cuestión, el cual
tiene un elevado nivel de integración (estimo que su longitud no supera
los 512 bytes). De no haber sido bautizado previamente, sería mi
intención denominarlo CAMOUFLAGE II. Al día de la fecha, aquí en Bahía
Blanca circula la versión 100 del Scan/Clean, quien no pudo detectar el
presente virus, ni sus versiones 91 o 97.

De no poder distribuirse la vacuna que realicé, creo que sería
conveniente publicar el string y las instrucciones para añadirlo al SCAN
a fin de que no se propague. Aquí en la ciudad se transformó en
epidemia.

Alejandro G. Stankevicius

Inmediatamente procedimos a desensamblar el virus y a analizarlo. El
resultado de nuestro análisis fue ligeramente distinto al de Alejandro,
pero básicamente igual en los puntos fundamentales.

Este virus infecta el boot sector de los diskettes ubicados en el drive
A, independientemente de su formato, y del disco rígido infecta la tabla
de particiones. En los discos rígidos pone la tabla de particiones
original en el sector 7, cilindro 0, cabeza 0. Este lugar es muy usado
por los virus ya que normalmente no se guardan datos en ese lugar. En
los diskettes pone el boot original en el sector 3, cilindro 0, cabeza
1. En los diskettes causa el problema de sobreescribir una parte de la
información del disco, o el directorio raíz. Cuando el virus se carga en
memoria reduce en dos la cantidad de memoria instalada que reporta el
BIOS, como hacen la mayoría de los virus de boot, pero éste tiene una
particularidad. En vez de restarle dos al valor ya existente en ese
lugar, pone el valor 638 decimal, con lo cual indica que hay 638k de
memoria instalada. El problema surge si hay menos de 640k de memoria
real, en ese caso indicaría que hay más memoria de la que realmente hay,
causando problemas. Eso no suele suceder con las máquinas de ahora, que
todas tienen por lo menos 640k de memoria, pero en máquinas más antiguas
seguramente cause algun problema. Como al copiarse a memoria alta
tampoco verifica si hay o no 640k de memoria, seguramente el virus se
cuelgue al intentar ejecutarse.

La causa de que el virus tarde tanto en cargar el sistema se debe a que
cada vez que bootea incrementa en uno un contador de veces que se
booteó. Para hacerlo debe escribir el virus en el boot sector o en la
tabla de particiones cada vez que bootea, por eso se hace más lento el
proceso. Cuando dicho contador llega a 65535, o sea a 0FFFFh, o sea que
booteo esa cantidad de veces con el virus, cada vez que se llame a la
interrupción 13h se escribirá en la pantalla el mensaje 'LAVOT NO
ENSEÑA'.

Esto nos hace sospechar que el virus fue creado como venganza o protesta
contra un profesor. El mensaje está encriptado de una forma muy básica
en el código del virus y no se ve a simple vista.

Para infectar, en el caso de que haya booteado de diskette, simplemente
se copia en la tabla de particiones en el momento de bootear, si ésta no
está previamente infectada. Cuando el virus está en memoria, cada vez
que se acceda a la disketera A para lectura o escritura va a infectar el
diskette que contenga a menos que ya esté previamente infectado. Cada
vez que infecta un nuevo disco, rígido o floppy, pone en cero el
contador de veces que el mismo fue booteado. Sólamente lo incrementa
cuando se bootea de un diskette infectado.

El string elegido por Alejandro está justamente en la rutina que
reemplaza la interrupción 13h, de servicios de disco del Bios (la única
tomada por el virus, por otra parte). Un string mejor y mas dificil de
que cause falsas alarmas o identificaciones incorrectas es

2E C7 06 04 00 00 00 33 DB B8 01 03 B9 01 00 33 D2 9C 2E

que es justamente parte de la rutina que infecta los diskettes. Por lo
general es adecuado elegir como string de identificación parte de las
rutinas de infección, que son segmentos mucho más críticos del código y
difíciles de cambiar.

Para agregar este string en el Scan debemos usar un archivo de
definición de virus externo. Este archivo se crea con un editor de texto
cualquiera que permita guardar el archivo en ASCII puro, y tiene la
siguiente forma:

#Camouflage II
"2E C7 06 04 00 00 00 33 DB B8 01 03 B9 01 00 33 D2 9C
2E" Camouflage_II

Este archivo se guarda con el nombre, por ejemplo, ext.vir y se llama al
Scan con los parámetros, por ejemplo

Scan C: /EXT c:\ext.vir

Con esto se le indica al Scan que busque tambien los virus definidos en
ext.vir. Pueden usarse conjuntamente con esta opción cualquier otra que
se use normalmente.