Actualmente existen más de 160000 tipos de programas malignos en internet y miles más que no se han identificado. Los defectos en los
protocolos de correo electrónico, las debilidades de seguridad en los
software de exploración y una carencia de
educación básica sobre
seguridad informática contribuyen al aumento de los ataques de malwares o programas maliciosos, pues los programadores de los mismos se aprovechan de esta situaciones.
Los llamados malwares o programas dañinos son códigos creados por una
persona con conocimientos de
programación capaces de por ejemplo, dañar la información contenida en unidades de
almacenamiento permanente, ya sea alterando, cambiando o eliminando
archivos; mover configuraciones del equipo de manera que dañe la integridad del mismo; atentar contra la integridad de los
datos guardados en el equipo de cómputo y todas aquellas formas de ocasionar daños en la parte
lógica de un sistema informático.
Dentro de este
concepto están incluidos los Virus informáticos, Bombas lógicas, Caballos de Troya y Gusanos.
Según plantean algunos autores el primer
código malicioso fue un virus creado en 1982, conocido por "Elk Cloner", y su autoría corresponde a Rich Skrenta, quien en ese entonces era un muchacho de sólo 14 años de edad. El virus fue escrito para las
máquinas Apple II, que al infectarse mostraban el siguiente mensaje en pantalla por cada cincuenta veces que se encendiese la computadora:
Elk Cloner: The program with a personality
It will get on all your disks
It will infiltrate your chips
Yes it's Cloner!
It will stick to you like glue
Send in the Cloner!
Al tratarse de un período en que Internet era un sistema limitado a los círculos académicos, la propagación de Elk Cloner se producía mediante disquetes.
Sin embargo en la conocida enciclopedia libre Wikipedia se plantea que el primer virus que atacó a una máquina IBM Serie 360 (y reconocido como tal), fue llamado Creeper, creado en 1972 por Robert Thomas Morris. Este
programa emitía periódicamente en la pantalla el mensaje: "I'm a creeper... catch me if you can!"
(soy una enredadera, agárrenme si pueden).
Para eliminar este problema se creó el primer programa
antivirus denominado
Reaper (segadora).
Sea como fuere la denominación "virus informático" fue introducida en 1983 por el investigador Fred Cohen, quien usó tal concepto para referirse a sus
experimentos de códigos autorreproducibles. Sin embargo, la
producción masiva de tales códigos -y la
competencia por crear los virus más destructivos, molestos o "ingeniosos" surgió luego del lanzamiento del
libro "Neuromancer" de William Gibson, que sirvió de fuente de inspiración para muchos escritores de virus.
El primer virus que llamó la
atención mediática a nivel mundial fue "Jerusalen", que luego de propagarse silenciosamente liberaba su carga destructiva cada viernes 13, eliminando archivos en las máquinas infectadas.
Con ello se había dado inicio a la eterna lucha entre los escritores de códigos malignos y su contraparte, las
empresas de seguridad informática y sus programas antivirus.
Entonces no todos los códigos maliciosos son virus. ¿Qué es entonces un
Virus informático específicamente? Un
virus informático es un pequeño programa creado para alterar la forma en que funciona un equipo sin el permiso o
el conocimiento del usuario. Un virus debe presentar dos características:
Debe ser capaz de ejecutarse a sí mismo. A menudo coloca su propio código en la ruta de ejecución de otro programa.
Debe ser capaz de replicarse. Por ejemplo, puede reemplazar otros archivos ejecutables con una copia del
archivo infectado. Los virus pueden infectar tanto equipos de escritorio como
servidores de
red.
Algunos virus están programados para atacar el equipo dañando programas, eliminando archivos o reformateando el
disco duro. Otros no están creados para causar
daño alguno, sino para replicarse y dar a conocer su presencia mediante la presentación de mensajes de
texto, vídeo o
sonido. Incluso estos virus benignos pueden crear
problemas al usuario informático. Normalmente hacen uso de
la memoriacorrespondiente a los programas legítimos.
Como resultado, pueden provocar a menudo un
comportamiento irregular en el equipo e incluso hacer que el sistema deje de responder. Además, muchos virus contienen errores que pueden ocasionar pérdidas de datos y bloqueos del sistema.
Existen cinco tipos de virus conocidos
Virus que infectan archivos: este tipo de virus ataca a los archivos de programa. Normalmente infectan el código ejecutable, contenido en archivos .com y .exe, por ejemplo. También pueden infectar otros archivos cuando se ejecuta un programa infectado desde un disquete, una unidad de disco duro o
una red. Muchos de estos virus están residentes en
memoria. Una vez que la memoria se infecta, cualquier archivo ejecutable que no esté infectado pasará a estarlo. Algunos ejemplos conocidos de virus de este tipo son Jerusalén y Cascade.
Virus del sector de arranque: estos virus infectan el área de sistema de un disco, es decir, el
registro de arranque de los disquetes y los
discos duros. Todos los disquetes y discos duros (incluidos los que sólo contienen datos) tienen un pequeño programa en el registro de arranque que se ejecuta cuando se inicia el equipo.
Los virus del sector de arranque se copian en esta parte del disco y se activan cuando el usuario intenta iniciar el sistema desde el disco infectado. Estos virus están residentes en memoria por
naturaleza. La mayoría se crearon para DOS, pero todos los equipos, independientemente del sistema operativo, son objetivos potenciales para este tipo de virus. Para que se produzca la infección basta con intentar iniciar el equipo con un disquete infectado. Posteriormente, mientras el virus permanezca en memoria, todos los disquetes que no estén protegidos contra
escritura quedarán infectados al acceder a ellos. Algunos ejemplos de virus del sector de arranque son Form, Disk Killer, Michelangelo y Stoned.
Virus del sector de arranque maestro: estos virus están residentes en memoria e infectan los discos de la misma forma que los virus del sector de arranque. La diferencia entre ambos tipos de virus es el lugar en que se encuentra el código vírico.
Los virus del sector de arranque maestro normalmente guardan una copia legítima del sector de arranque maestro en otra ubicación. Los equipos con
Windows NT infectados por virus del sector de arranque o del sector de arranque maestro no podrán arrancar. Esto se debe a la diferencia en la forma en que el
sistema operativo accede a la información de arranque, en comparación con
Windows 95/98. Si el sistema con Windows NT está formateado con particiones FAT, normalmente se puede eliminar el virus arrancando desde DOS y utilizando un programa antivirus.
Si la partición de arranque es NTFS, el sistema deberá recuperarse utilizando los tres discos de instalación de Windows NT. Algunos ejemplos de virus del sector de arranque maestro son NYB, AntiExe y Unashamed.
Virus múltiples: estos virus infectan tanto los
registros de arranque como los archivos de programa. Son especialmente difíciles de eliminar. Si se limpia el área de arranque, pero no los archivos, el área de arranque volverá a infectarse. Ocurre lo mismo a la inversa. Si el virus no se elimina del área de arranque, los archivos que hayan sido limpiados volverán a infectarse. Algunos ejemplos de virus múltiples son One_Half, Emperor, Anthrax y Tequilla.
Virus de macro: estos virus infectan los archivos de datos. Son los más comunes y han costado a empresas importantes gran cantidad de tiempo y
dinero para eliminarlos. Con la llegada de
Visual Basic en
Microsoft Office 97, se puede crear un virus de macro que no sólo infecte los archivos de datos, sino también otros archivos. Los virus de macro infectan archivos de Microsoft Office:
Word,
Excel,
PowerPoint y
Access.
Actualmente están surgiendo también nuevos derivados en otros programas. Todos estos virus utilizan el
lenguaje de programación interno de otro programa, creado para permitir a los usuarios automatizar ciertas tareas dentro del programa. Debido a la facilidad con que se pueden crear estos virus, existen actualmente miles de ellos en circulación. Algunos ejemplos de virus de macro son W97M.Melissa, WM.NiceDay y W97M.Groov.
Los Gusanos
Los
gusanos son programas que se replican a sí mismos de sistema a sistema sin utilizar un archivo para hacerlo. En esto se diferencian de los virus, que necesitan extenderse mediante un archivo infectado. Aunque los gusanos generalmente se encuentran dentro de otros archivos, a menudo
documentos de Word o Excel, existe una diferencia en la forma en que los gusanos y los virus utilizan el archivo que los alberga.
Normalmente el gusano generará un documento que ya contendrá la macro del gusano dentro. Todo el documento viajará de un equipo a otro, de forma que el documento completo debe considerarse como gusano.
Se han hecho muy populares debido al amplio uso actual de Internet y el
correo electrónico. Aunque los primeros experimentos con estos tipos de programas se remontan al año 1982 en el Research Center de Palo Alto,
Estados Unidos, no fue hasta el 2 de noviembre de 1988 que se multiplicó el primer gusano a través de Internet.
Su nombre era Morris, explotó múltiples huecos de seguridad y afectó en pocas horas alrededor de 6 000
computadoras, causando problemas de conectividad por varios días. A partir de esa fecha otros códigos maliciosos también hicieron irrupción en las redes, pero no fue hasta los primeros días del mes de marzo de 1999, cuando apareció Melissa, que estos se convirtieron en un verdadero dolor de cabeza.
Melissa logró un alto nivel de infección por el gran intercambio de información contenida en archivos escritos en la aplicación Word de Microsoft Office, y por su modo de diseminación. Viajó en un correo electrónico con Asunto: Important Message From <nombre> (Mensaje Importante de...), donde el nombre correspondía al de la cuenta de correo electrónico del usuario que lo "enviaba".
El texto invitaba a su
lectura, y el anexo contenía referencias a sitios
web con información pornográfica, aunque podía sustituirse por un documento de
la computadora infestada. De esta forma viajaron por Internet documentos con información sensible.
Un mensaje con estas características llamó la atención de muchos receptores, quienes tentados abrieron el anexo y se contaminaron. Esta técnica de explotar la debilidad de la confianza de los seres humanos, conocida como
ingeniería social, ha sido ampliamente usada por los creadores de virus.
Este fue el gusano que inició la lista de los más propalados y dañinos en la
historia de los códigos malignos, y en pocos días logró afectar 1 200 000 computadoras con daños ascendentes a 1 100 millones de dólares, según Computer Economics.
Ese mismo año, en el mes de junio, fue reportado el altamente destructivo gusano ExploreZip. Al igual que el anterior, viajó en un correo electrónico y con un fichero anexo nombrado zipped_files, con ícono de compresión del "
WinZip", dando la impresión de ser la respuesta a un texto previamente enviado por el receptor.
Este código infeccioso borraba además los ficheros con extensión .C, .H, .CPP, .ASM, .DOC, .XLS, .PPT, poniéndoles tamaño de 0 bytes, con lo cual eran irrecuperables.
En mayo de 2000 las redes informáticas de todo el mundo sufrieron una gran conmoción cuando apareció el célebre gusano I love you o Love Letter. Este fue un programa que explotó varias vías de
reproducción, como el correo, las conversaciones electrónicas instantáneas o
chat, los
servicios de
noticias, ficheros compartidos en una red y páginas web en Internet.
El mensaje tenía como asunto ILOVEYOU (Te amo, en
inglés), y el texto le sugería abrir una
carta de
amor enviada a usted que aparecía como anexo con el nombre LOVE-LETTER-FOR-YOU.TXT.VBS (CARTA DE AMOR PARA TI, en inglés).
A diferencia del Melissa, ILOVEYOU intentaba enviar un mensaje similar a todas las direcciones de correo que tenía la máquina infestada, por lo cual el nivel de difusión alcanzado fue muy alto, alrededor de tres millones de computadoras en un día. Esto, junto a la destrucción de archivos en el disco duro, que realizó mediante la sobreescritura con su código, provocó daños en todo el mundo valorados en 8 750 000 dólares.
El año 2001 también fue pródigo en gusanos notorios. El primero de ellos, Code Red o Código Rojo, resultó todo un acontecimiento, tanto por los altos niveles de extensión como por las novedosas técnicas que empleó. Este código afectó servidores de Internet de Microsoft, además de lanzar ataques de denegación de servicios.
SIRCAM fue el segundo de los afamados de ese año, detectado inicialmente el 25 de julio, y se distribuyó con textos escritos en inglés y
español. El anexo, con doble extensión, contenía un fichero formado por dos archivos, uno con el código del gusano y otro robado de la computadora desde donde era enviado. En esa ocasión los daños evaluados fueron del orden de los 1 150 millones de dólares, sin considerar el hecho de que creó brechas de confidencialidad al dar a la
luz archivos con información potencialmente sensible.
Para finalizar el año, el 8 de diciembre se emitieron los primeros reportes del Nimda, que transitó con formato de página Web, alterado de forma tal que engañó al Internet Explorer, permitiendo la ejecución del adjunto con solo visualizar la vista previa. Los daños ocasionados por su
acción se calcularon en 635 millones de dólares.
Durante el año 2002, los gusanos más distinguidos fueron los pertenecientes a
la familia Klez, los cuales se mantuvieron alrededor de 12 meses en el primer lugar de las listas de reportes de las empresas antivirus. Según el boletín G2 Security, de mayo de 2002, con el nivel de propagación alcanzado de la variante Klez.H se llegaron a detectar 2 000 copias diarias.
Finalmente, en el transcurso del año 2003 nuevos gusanos como el Slammer o Sapphire causaron estragos, al punto de que Corea del Sur desapareciera de Internet, 13 000 computadoras de un gran
banco de Estados Unidos dejaron de trabajar, y una línea aérea americana canceló vuelos por problemas en los
sistemas de compra y chequeo de boletos. Logró afectar entre 100000 y 200000 computadoras en diez minutos, duplicando la cantidad de las aquejadas en pocos segundos.
Famosos también fueron el Blaster o Lovesan y los miembros de la
familia Sobig. En el caso de la versión Sobig.F, aparecida en agosto, rompió todos los récords históricos de gusanos que utilizan como vía principal el correo electrónico, pues en su momento pico fue detectado un correo portador por cada 20 transmitidos a través de Internet.
Otro gusano que basó su
éxito en la ingeniería social superó esta cifra a inicios de 2004; su nombre: Mydoom.A. Entre sus características principales se encuentra el viajar en anexos comprimidos, tendencia seguida por sucesores como las variantes de Netsky y Bagle, muy diseminadas durante este mismo año.
Esta nueva propensión, más compleja aún con el uso de palabras claves o contraseñas, se debe a que los administradores del
servicio de correo electrónico están limitando el envío y recepción de archivos ejecutables, no así la de los compactados.
Lo curioso es que si bien el usuario tiene que descomprimir el código del gusano para ejecutarlo, y en muchos casos teclear la palabra clave, más tarde o más temprano ocurre, pues los creadores de virus inteligentemente han dispuesto que la palabra clave viaje dentro del texto del mensaje.
En general, aunque las principales vías de transmisión de los gusanos han sido el correo electrónico y los
recursos compartidos a través de las redes, existen otros como las redes para el intercambio de archivos, e incluso la vía sencilla de los disquetes.
También se ha comprobado que existe una nueva tendencia, cada vez más utilizada, de explotar las vulnerabilidades o defectos de seguridad de los sistemas operativos y aplicaciones, por lo que se espera que este
método de propagación aumente en un futuro cercano.
No obstante, la mayoría de los especialistas coincide en que uno de los problemas más preocupantes es el desconocimiento de los usuarios, que aprovechan los creadores de gusanos para con ingeniería social tentar a los incautos a que abran mensajes sospechosos, que nunca se deben tocar.
Los caballos de Troya son impostores, es decir, archivos que pretenden ser benignos pero que, de hecho, son perjudiciales. Una diferencia muy importante con respecto a los virus reales es que no se replican a sí mismos. Los caballos de Troya contienen código dañino que, cuando se activa, provoca pérdidas o incluso robo de datos. Para que un caballo de Troya se extienda es necesario dejarlo entrar en el sistema, por ejemplo abriendo un archivo adjunto de correo.
Se denomina troyano (o caballo de Troya) a un programa malicioso capaz de alojarse en computadoras y permitir el acceso a usuarios externos, a través de una red local o de Internet, con el fin de recabar información y/o controlar remotamente la máquina "huesped".
Un troyano no es de por sí, un virus, aún cuando teóricamente pueda ser distribuido y funcionar como tal. La diferencia fundamental entre un troyano y un virus consiste en su finalidad. Para que un programa sea un "troyano" solo tiene que acceder y/o controlar la maquina "huesped" sin ser advertido, normalmente bajo una apariencia inocua.
Suele ser un programa pequeño alojado dentro de una aplicación, una
imagen, un archivo de
música u otro elemento de apariencia inocente, que se instala en el sistema al ejecutar el archivo que lo contiene. Una vez instalado parece realizar una
función útil (aunque cierto tipo de troyanos permanecen ocultos y por tal motivo los antivirus o anti troyanos no los eliminan) pero internamente realiza otras tareas de las que el usuario no es consciente, de igual forma que el Caballo de Troya que los griegos regalaron a los troyanos.
Habitualmente se utiliza para espiar, usando la técnica para instalar un software de acceso remoto que permite monitorizar lo que el usuario legítimo de la computadora hace y, por ejemplo, capturar las pulsaciones del
teclado con el fin de obtener contraseñas u otra información sensible.
La mejor defensa contra los troyanos es no ejecutar nada de lo cual se desconozca el origen y mantener software antivirus actualizado y dotado de buena heurística. Es recomendable también instalar algún software anti troyano, de los cuales existen versiones gratis aunque muchas de ellas constituyen a su vez un troyano. Otra solución bastante eficaz contra los troyanos es tener instalado un
firewall.
Otra manera de detectarlos es inspeccionando frecuentemente la lista de
procesos activos en memoria en busca de elementos extraños, vigilar accesos a disco innecesarios, etc.
NetBus y Back Orifice tienen muchos puntos en común . Ambos son caballos de Troya basados en la idea de
cliente-
servidor . Han sido creados para sistemas Microsoft, pero Back Orifice sólo funciona en Windows 95/98, mientras que NetBus también lo hace sobre NT . El programa servidor, en ambos casos, debe ser instalado en el ordenador de la víctima . Como se ha explicado, esta tarea se ha simplificado, ya que el atacante puede ocultar el troyano dentro de cualquier programa o aplicación . Incluso puede mandar el virus por correo y ser instalado con sólo abrir el mensaje ( ver artículo "Las verdades del correo electrónico" en iWorld, febrero 1999 ) . Una vez instalado, el servidor abre un puerto decomunicaciones y se queda escuchando las peticiones del oyente . Es decir, los
comandos que le envía el programa cliente que está utilizando el atacante desde su ordenador remoto . NetBus abre un puerto TCP, mientras que Back Orifice utiliza un puerto UDP . Se puede cambiar el número del puerto por el que atiende el servidor en ambos casos . También se puede proteger el acceso al servidor mediante una clave . De esta forma, ya no es suficiente con tener instalado el cliente del Troya y conocer la
IP de la máquina infectada . También será necesario conocer la clave que autoriza el acceso al servidor .
Tanto NetBus como Back Orifice ofrecen un entorno gráfico para manejar todas las posibilidades del cliente . Lo que significa que cualquiera que conozca el funcionamiento básico de Windows, está en disposición de gestionar, de forma remota, cualquier recurso del ordenador infectado por el troyano . Netbus incluye una herramienta que permite buscar máquinas, indicando un rango de direcciones IP, que tengan abierto el puerto del servidor, de forma muy rápida . De todas formas, los piratas informáticos ( y los responsables de seguridad ) suelen utilizar
herramientas mucho más sofisticadas para rastrear los posibles objetivos.
Ya se ha indicado una de las grandes diferencias entre estos dos troyanos: Back Orifice no corre en Windows NT . Por otra parte, Back Orifice es capaz de cifrar la
comunicación entre el cliente y el servidor, algo que no hace NetBus . En
cambio, este último permite ciertas lindezas adicionales, como abrir y cerrar la unidad de CDROM o modificar las
funciones de los botones del ratón . Otra diferencia importante es el tamaño del servidor .
La última versión del servidor de NetBus ( NetBus Pro 2 . 0 ) supera los 600 Kb, mientras que el servidor Back Orifice 1 . 2, sólo ocupa 122 Kb . El tamaño resulta importante cuando el atacante quiere ocultar el caballo de Troya dentro de una aplicación . Resulta menos sospechoso un aumento de 122 Kb que uno de 600 Kb, con respecto a la aplicación original . Por último, la versión más reciente de NetBus presenta nuevas opciones, pero es su nueva ventana de
gestión del cliente, con ayuda en línea incluida, donde
marca la diferencia con respecto a Back Orifice . La instalación y la aplicación resultan tan profesionales, que su frase de presentación casi parece cierta: "NetBus Pro es una herramienta para la
administración remota de ordenadores, de fácil uso y con un amigable entorno de gestión"
Una bomba lógica es un programa informático que se instala en un ordenador y permanece oculto hasta cumplirse una o más condiciones preprogramadas para entonces ejecutar una acción.
A diferencia de un virus, una bomba lógica jamás se reproduce por sí sola.
Ejemplos de condiciones predeterminadas:
Hora concreta.
Pulsación de una tecla o una secuencia de teclas concreta.
Levantamiento de un interfaz de red concreto.
Ejemplos de acciones:
Borrar la información del disco duro.
Mostrar un mensaje.
Reproducir una canción.
Enviar un correo electrónico
Abundando lo que comentamos inicialmente una bomba lógica es un programa o parte de un programa que se ejecuta condicionalmente, dependiendo del
estado de determinadas
variables ambientales, causando daños al sistema donde reside o impidiendo el correcto funcionamiento del mismo. Las variables ambientales por las que puede
explotar una bomba lógica pueden ser de muy diverso tipo, como la presencia de ciertos archivos o la realización de determinadas acciones, aunque las más comunes tienen que ver con el tiempo (fecha y hora). A este tipo se les denomina también bombas de tiempo.
Las bombas lógicas son una de las amenazas software o programas malignos más antiguos que hay, anterior a los virus.
Por lo general, y aunque existen algunos virus que se activan en fechas concretas, las bombas lógicas suelen ser
producto de empleados descontentos o insatisfechos que programan sus sistemas de modo que son los únicos capaces de hacer que sigan funcionando, desactivando regularmente la bomba lógica. Naturalmente, en caso de ser despedidos nadie desactiva la bomba, y esta provoca los daños previstos, que como ya se ha dicho pueden oscilar entre la destrucción de todos los datos de
la empresa o simplemente el bloqueo de uno o varios programas fundamentales.
Otra forma que tiene el empleado descontento de conseguir sus objetivos es usando una bomba lógica que no explote en una fecha concreta, sino que explote cuando el identificador del empleado no aparezca en dos cálculos consecutivos de la
nómina. De esta manera se evita el tener que desactivarla cada cierto tiempo, evitando el
riesgo de que la bomba explote por descuido.
Otro tipo de bombas lógicas son fragmentos de código que algunos programadores colocan en sus programas a medida para asegurarse el cobro del trabajo. Si llegada cierta fecha
el trabajo no está pagado, la bomba lógica no deja arrancar el programa, o ciertos módulos del mismo, y obviamente el programador se negará a efectúar cualquier trabajo de
mantenimiento mientras no se le pague lo estipulado en un principio. Si el pago se ha realizado sin problemas, el programador, con la excusa de haber descubierto defectos o haber mejorado ciertas características, cambia la copia defectuosa por otra correcta. Por supuesto, el cliente nunca está al corriente de todo esto.
Como vemos, las bombas lógicas son muy versátiles, ya que se trata de una amenaza que no actúa de forma indiscriminada, al contrario, su ejecución suele estar muy planeada y cuidada así como tener una finalidad muy específica.
Es normal que la gente se confunda entre los virus con temporizador y las bombas lógicas. Sin embargo, los virus son pequeños programas que se autorreproducen infectando a otros programas y extendiéndose así de sistema en sistema, mientras que una bomba lógica no se puede reproducir, permanece como una mina en el sistema en el que fue instalada por su programador.
