Analisis de virus
Por Fernando Bonsembiante


Ya hablamos en otra nota del Virus Creation Lab, el programa que permite
crear virus sin esfuerzo. Ahora veremos algunos otros programas
similares.

El Virus Creation Lab fue el primer programa de creación de virus que
llegó a la Argentina, pero no es el único. Además de él, existen muchos
otros, más complejos o más simples, que cumplen la misma función:
permitir la creación de virus sin esfuerzo y sin conocimientos. Vamos a
pasar revista brevemente a algunos de ellos:

Satanic Brain virus tools

Este es el primer generador de virus argentino. Fue hecho basándose en
el VCL, y los virus que generan son variantes de los generados por el
VCL. Su autor se hace llamar Azrael. La documentación está escrita en
castellano, con muchos errores de ortografía. Aclara explícitamente que
los virus que genera están basados en los del VCL ligeramente
modificados. El programa funciona con menúes, de donde se puede
configurar para crear el virus deseado. Las únicas opciones que tiene
son elegir el nombre del virus, que día del mes se activará, y la acción
a realizar, a elegir entre beeps por el parlante de la PC y mostrar un
texto a elección. Con tan pocas opciones, casi podríamos decir que
genera un solo virus con una acción variable. Como en todos los
programas de este tipo, el autor promete una próxima versión con
capacidades destructivas.

Instant Virus Production Kit

Este programa, también llamado IVP, fue creado por Admiral Bailey de un
grupo llamado YAM (Youngsters Against McAfee, jóvenes contra McAfee). El
programa funciona con una configuración que hay que modificar con un
editor de texto común, en modo ASCII. En esta configuración se eligen
las opciones que el autor desee para su virus. Entre ellas se puede
definir el nombre del autor y del virus. Entre las opciones de creación
del virus en sí, se puede elegir el tipo de infección, .com, .exe, ambos
o generar un troyano. Se puede hacer que el virus sobreescriba el
huésped o que su código se agrege al programa. El virus puede hacerse
encriptado o sin encriptar. La rutina de encripción es un simple XOR,
nada complicada, con un valor elegido al azar. Con respecto a la
activación, se puede elegir la fecha y hora, con precisión de segundos.
Lo que hará en el momento de la activación es totalmente configurable.
En principio se puede hacer que muestre un mensaje por pantalla, pero
esto puede complicarse todo lo que se quiera. Existe la posiblidad de
escribir rutinas en assembler que hagan lo que se desee y activarlas con
el virus. Entre los ejemplos que trae hay rutinas desde borrar parte del
disco hasta hacer un ruido extraño por el parlante de la máquina. El
virus generado no es demasiado complicado, y ni siquiera puede hacerse
un virus residente.

G²

G² es un generador de virus creado por Dark Angel de Phalcon/Skism. Como
el IVP, se configura editando un archivo de texto con un editor en modo
ASCII. Este programa puede ser configurado para crear virus de .com, de
.exe, y que infecten ambos tipos de ejecutables. En la configuración se
especifica el nombre del virus y del autor. Se puede hacer un virus
residente o uno que infecte sólo en el momento de ser ejecutado. Existe
también la opcion de crear un virus encriptado, tambien en forma muy
sencilla con XOR o con un ADD y un valor elegido al azar. El programa
usa algunos trucos para evitar que se haga un string de detección simple
y único para detectar todos los virus generados con él. Lo que hace es
cambiar al método de encripción al azar y cambiar algunas instrucciones
de lugar para evitar generar el mismo código dos veces aún sin modificar
la configuración. A pesar de todos estos esfuerzos, las pruebas que
hicimos demostraron que el F-Prot detecta sin problemas todos y cada uno
de los virus generados con este programa.

Fernando Bonsembiante es jefe de redacción de Virus Report y está
estudiando los virus informáticos desde hace varios años. Tambien es
miembro de la comisión directiva del Círculo Argentino de Ciencia
Ficción, (CACyF) y participa como columnista de varias revistas sobre
informática. También es consultor en seguridad informática de varias
empresas. Puede ser contactado en Fido en 4:901/303 o en Internet en
ubik@ubik.to