Virus y
ataques externos: prevención y eliminación
 |
 |
En
muchas ocasiones, los problemas que surgen durante el uso de PC se originan o
se deben a factores externos al hardware y al software utilizado.
Los mas conocidos son los virus, los cuales han evolucionado y crecido en
número y variantes, pero también existen otras clases de ataques externos que
pueden confundir al técnico mas experto.
Índice del curso:
1. ¿Qué
es un Virus?
2. Clasificación
de los Virus
3. Antivirus
4. Herramientas
para Facilitar el Trabajo
5. Diagnóstico
General
6. Pruebas
Masivas (Burn-In o Stress Tests)
7. Diagnóstico
Específico
8. Espías
9. Benchmarking.
Uso de un benchmark
10. Utilitarios
1. ¿Qué es un Virus?
Un virus es simplemente un
pequeño programa el cual se agrega automáticamente a una aplicación
convencional de manera tal que cuando ésta sea utilizada, se incorporará a
otras aplicaciones (infectando así a todas las que tengamos).
Cuando se haya dispersado
por todas nuestras aplicaciones, puede quedar latente a la espera de algún
evento para causar algún daño. Un evento puede ser una fecha determinada, la
ejecución de una aplicación en particular, etc., es decir, cualquier cosa que
suceda en el entorno del funcionamiento de nuestras aplicaciones.
No sólo DOS
y Windows 9X/Me. Algunos creen que los virus son un mal del DOS y sus
sucesores, como Windows 95, y afirman que en Unix ese problema no existe. A
pesar que La cantidad de virus desarrollados para DOS y Windows 95 es superior
a la de cualquier otro S.O., NT/2000, OS/2 y Unix en todas sus versiones
también sufren ataques de virus aunque más limitados porque son S.O. con
seguridad incorporada al sistema de archivos. Además, así como Atenas era
considerada el centro de la cultura, Unix es visto como el palacio de los
hackers.
2. Clasificación de los
Virus
Hace algunos años, en DOS
y Windows 9X/Me, los virus únicamente infectaban a los archivos ejecutables
(.EXE, .COM) y a los drivers que se cargaban desde el archivo CONFIG.SYS, sin
embargo, ahora existen otros tipos de virus los cuales se insertan en
documentos, como por ejemplo los de Word y Excel.
A continuación, brindamos
una clasificación completa de los virus informáticos:
- De Archivos. Infectan archivos
ejecutables y drivers. Al ejecutar una aplicación, es probable que la misma se
infecte.
- De Partición (MBR).
Infectan al MBR de un disco duro. Pueden borrarse fácilmente sin necesidad de
un antivirus arrancando con un diskette limpio (con la certeza del 100 % de que
no se encuentra infectado por ningún virus) y ejecutando el comando FDISK /MBR
desde la línea de comandos.
- De Sector de
Inicio. Infecta el código ejecutable del sector de arranque de
un medio de almacenamiento. Cuando se intenta bootear desde este medio, el
virus pasa a memoria y puede hacer lo que desee.
- De Macro. Modifican las secuencias
de instrucciones pregrabadas (macros) ubicadas en un documento o en plantillas
(por ejemplo: de Word o Excel) de manera tal que al abrirlos, pueden ejecutar
acciones no deseadas, como por ejemplo, destruir el contenido del documento.
- Multipartido. Utiliza una
combinación de técnicas para propagarse, como por ejemplo: infectar archivos y
sectores de inicio.
- Troyano. Es un virus que no se
propaga por sí sólo, por lo cual es necesario que se copie e instale
manualmente en la PC a infectar. Se oculta en programas que dicen hacer una
cosa pero esconden posibilidades de hacer otras. Un ejemplo de este tipo de
virus es aquél que al ser ejecutado en una PC habilita funciones para el
control de la misma en forma remota, sin el consentimiento del usuario e
invadiendo su privacidad.
-Stealth (Fantasmas). Se esconden a
sí mismos. Si un virus de este tipo se encuentra en la memoria, cuando
cualquier programa intenta leer el archivo infectado, resulta engañado y cree
que el virus no se encuentra en el archivo. El virus residente en la memoria se
encarga de cambiar el contenido que se informa.
- Polimórfico. Se cambia a sí mismo
cada vez que se propaga, por lo cual, al intentar identificarlo buscando una
secuencia de bytes que lo caractericen, no se lo encuentra. Cambia su contenido
en forma aleatoria y dificulta su identificación.
-De Camuflaje. Utilizan trucos para esconderse de los
antivirus.
- De Acción Directa. En el mismo
momento en el que infectan, disparan su acción destructiva o principal
objetivo, como ser destruir archivos o mostrar un mensaje de broma.
-Residentes. Se mantienen dentro de
la memoria y esperan que ocurra un evento para disparar su acción destructiva u
objetivo principal.
Existen algunos virus
residentes que nunca se disparan.
Mitos y leyendas. Hay que tener en cuenta un concepto
fundamental para no caer en creencias, mitos ni leyendas que nada tienen
que ver con la realidad: una vez apagada el PC, se pierde todo el contenido de
la memoria y el único lugar en donde puede quedar un virus es en los medios de
almacenamiento, es decir, diskettes, discos duros, CD-ROM, etc., o bien en la
Flash BIOS (tener mucho cuidado con estos últimos), pero si desactivamos esta
última, ¡Los virus no quedan registrados en el reloj, ni en la motherboard, ni
en la memoria caché.
Los virus suelen afectar
al correcto funcionamiento del PC y de las aplicaciones que corren sobre ésta
cuando la han infectado, por lo que cual no sería extraño que dejen de
funcionar aplicaciones, o la máquina se quede colgada con frecuencia o
aparezcan mensajes inesperados.
La acción destructiva de
un virus puede incluir la eliminación de archivos, destrucción de particiones o
sistemas de archivos completos, instalación de mensajes no deseados,
modificación del contenido de documentos, etc. Cuando hacen efecto, los
resultados pueden ser muy perjudiciales, por lo cual siempre es conveniente
tener las copias de seguridad al día.
3. Antivirus
Los antivirus son las
herramientas que tenemos disponibles para identificar la presencia de los virus
en los PC y eliminarlos. Normalmente poseen algunas de las siguientes
herramientas bien diferenciables entre sí:
- Utilitario para la copia
de seguridad, limpieza y recuperación de áreas críticas del sistema de
archivos.
- Rastreadores de virus,
que intentan identificar la presencia de virus en nuestros medios de
almacenamiento mediante diferentes técnicas de análisis, para que no se escape
ninguna de las clases de virus mencionados anteriormente. Entre otras, las
técnicas más comunes son las siguientes:
- Análisis de
Firmas. Utilizando una base de datos con las firmas (secuencia
de bytes característica que aparece en los archivos infectados por ese virus)
de cada uno de los virus que ya fueron identificados se rastrean los archivos o
sectores de arranque por la presencia de las mismas y en caso afirmativo se
identificará al mismo como infectado. Dado que la detección de los virus es
dependiente de la base de datos de firmas, esta última deberá estar actualizada
para que el resultado del proceso sea confiable. Es por ello que un buen
paquete antivirus debe ofrecer actualizaciones cada pocos días. Utilizar esta
técnica de rastreo con una base de datos de más de un mes no brinda ninguna
seguridad.
- Análisis
Heurístico.
Es una tecnología inteligente que intenta buscar indicios de actividad de virus
tales como código para formatear una unidad, para quedar residente en memoria,
cambios en archivos ejecutables o cualquier otro algoritmo sospechoso. Como se
buscan indicios, puede resultar en falsas alarmas, pero al menos brinda un
nivel más de seguridad que el simple análisis de firmas. Su desventaja es que
puede resultar un poco lento debido al análisis a llevar a cabo.
- Anti-stealth. Los antivirus que utilizan esta técnica
son capaces de eliminar las trampas tendidas por los virus stealth explicados
anteriormente cuando clasificamos los virus.
Juntas o
separadas. Todas
estas herramientas pueden estar integradas en una única interfaz con el usuario
o tratarse de aplicaciones separadas. Ello dependerá exclusivamente del
fabricante y de las plataformas en las cuales corra cada una de ellas, por
ejemplo: un utilitario de recuperación de áreas críticas sería difícil de
ejecutar desde Windows 9X/Me o NT/2000 en modo gráfico, ya que si se perdieron
las particiones es imposible arrancar en ese modo.
- Limpiadores de virus,
que intentan eliminar el código ingresado por el virus recuperando el contenido
original del archivo infectado antes de ser atacado. Hay algunos virus que no pueden
ser eliminados, por lo cual se deberá proceder a cambiar el nombre del archivo
o eliminarlo.
El software ilegal, el
intercambio de diskettes, y todos los servicios de Internet que no sean
provistos por empresas reconocidas son fuentes de alto riesgo para la
adquisición de virus. Existen muchos paquetes antivirus, de los cuales
deberemos evaluar las características que ofrece cada uno de ellos para decidir
cuál utilizar. Sin lugar a dudas, debemos tener uno, pues muchos de los
problemas generados en las PC son a causa de estas malignas porciones de código
que no se las puede considerar software.
La forma de remover un
virus dependerá exclusivamente del antivirus que utilicemos y deberemos
consultar la documentación que acompaña al mismo.
La intención de este
capítulo fue la de dejar claro el daño que puede hacer un virus, clasificarlos
y explicar el funcionamiento básico de los antivirus. El tema es muy largo y
justificaría un libro por sí solo, pero vimos todo lo necesario como para
prevenimos e identificar los problemas relacionados con los virus.
4. Herramientas para
Facilitar el Trabajo
Las herramientas son
necesarias para llevar a cabo las tareas de diagnóstico, reparación,
instalación y/o actualización. Éstas nos ayudarán a realizar algunas tareas más
rápidamente. Todos los conceptos explicados anteriormente deben estar claros
antes de enfocarnos en las herramientas.
Clasificación de
las Herramientas
Cuando hablamos de
diagnóstico, reparación, instalación y actualización de PC, surgen dos clases
de herramientas que nos ayudarán a llevar a cabo más rápidamente los
procedimientos que utilizamos para realizar estas tareas: herramientas
basadas en hardware y/o software y herramientas mecánicas.
1.- Herramientas Basadas en Hardware y/o Software
Las herramientas basadas en
hardware y/o software se pueden clasificar en:
- Diagnóstico general.
- Pruebas masivas (Bumn-In o Stress Tests).
- Diagnóstico específico.
- Espías.
- Utilitarios.
Se ha desarrollado un gran
mercado alrededor de esta clase de herramientas. Hay empresas especialmente
dedicadas a producirlas y en cada clase tendremos casi con seguridad más de una
para evaluar.
2.- Shareware. Además, no debemos dejar
de lado a todas las herramientas shareware de excelente calidad que podemos
bajar de Internet y probarlas sin costo alguno.
A continuación,
analizaremos en detalle cada una de estas clases y brindaremos una serie de
ejemplos.
5. Diagnóstico General
Se encargan de comprobar
el funcionamiento correcto de la mayoría de los componentes críticos del
sistema como microprocesador, coprocesador matemático, memoria principal,
memorias caché, discos duros, unidades de diskette, etc.
Realizan una serie de
pruebas de bajo nivel sobre cada uno de los componentes y generan un informe
con el resultado de todas las pruebas efectuadas. Si encuentran algún problema
en uno de los pasos de una prueba, nos dan información acerca del posible
componente defectuoso y en la mayoría de los casos podremos consultar con la
documentación de la herramienta la cual nos ampliará detalles sobre cómo se
interpreta el problema y cómo podríamos solucionarlo.
No es un ser
humano, pero... Podemos
considerar a los resultados del uso de herramientas basadas en hardware y/o
software como los diagnósticos que nos brinda un médico: se puede equivocar. Si
le tenemos desconfianza, deberemos recurrir a otro doctor para que efectúe el
diagnóstico y si ambos coinciden posiblemente les demos la razón. Lo mismo pasa
con estas herramientas, aunque a veces muchas coinciden en el origen del
problema, pero como su capacidad de análisis es reducida no termina ayudándonos
demasiado y tenemos que hacer un diagnóstico más minucioso por nuestra cuenta.
Las herramientas basadas
en software requieren que el sistema arranque correctamente para poderlos
ejecutar, por lo cual a veces resultan útiles solamente para diagnosticar
fallas intermitentes o bien problemas en el funcionamiento de componentes que
no son críticos, como ser la tarjeta de sonido, el puerto serie o el mouse.
Los siguientes son algunos
ejemplos de herramientas de esta clase basadas en software:
- Checklt Pro Deluxe de
Touchstone Corp.
- Norton Diagnostics incorporado a Norton Utilities.
- Micro-Scope de Micro 2000.
- QA PIus.
- Troubleshooter de AllMicro, Inc.
- WinSleuth Gold Plus de Eware.