Virus - Troyanos - Gusanos

VIRUS INFORMATICO

Se auto ejecuta y se propaga insertando copias de sí mismo en otro programa o documento.

Se adjunta a un programa o archivo de forma que pueda propagarse, infectando los ordenadores a medida que viaja de un ordenador a otro causan efectos ligeramente molestos mientras que otros pueden dañar tu hardware, software o archivos.

Casi todos los virus se unen a un fichero ejecutable,  (por ejemplo ejecutando un programa infectado).

La inserción del virus en un programa se llama infección, y el código infectado del archivo (o ejecutable que no es parte de un archivo) se llama hospedador (host).

Los virus son uno de los varios tipos de Malware o software malévolo.

Algunos virus tienen una carga retrasada “bomba”.

El efecto más negativo de los virus es su auto reproducción incontrolada

Ejemplos

Mydoom (W32.MyDoom@mm, Novarg, Mimail.R o Shimgapi): Nueva variante de MIMAIL que se propaga masivamente a través del correo electrónico y la red P2P KaZaa desde las últimas horas del 26 de Enero de 2004.

Este virus utiliza asuntos, textos y nombres de adjuntos variables en los correos en los que se envía, por lo que no es posible identificarlo o filtrarlo fácilmente, y utiliza como icono el de un fichero de texto plano para aparentar inocuidad.

CIH (Chernobyl o Spacefiller):  El código fuente del virus CIH (capaz de sobrescribir en determinadas circunstancias el BIOS y dejar la máquina absolutamente inoperante), los más diversos kits de creación de virus y otras tantas linduras están al alcance de todo mundo en Internet. Esta información alienta a otros programadores de virus a generar otros, e incluso a auténticos aficionados (“lamercillos” y crackers) a sentirse como niños en dulcería con el simple hecho de jugar con estas cosas

Win32/Simile (Etap): Son los primeros virus híbridos que han aparecido, capaces de atacar tanto sistema Linux como Windows.

Frethem es un gusano muy engañoso que suele tener como asunto “Re: Your password!”. Es muy fácil infectarse con él, ya que el virus se activa automáticamente con la previsualización del mensaje en el Outlook Express.

Clasificación de Virus

Virus de macros: Un macro es una secuencia de oredenes de teclado y mouse asignadas a una sola tecla, símbolo o comando. Son muy utiles cuando este grupo de instrucciones se necesitan repetidamente. Los virus de macros afectan a archivos y plantillas que los contienen, haciendose pasar por una macro y actuaran hasta que el archivo se abra o utilice.

Virus de sobre escritura: Sobreescriben en el interior de los archivos atacados, haciendo que se pierda el contenido de los mismos.

Virus de Programa: Comúnmente infectan archivos con extensiones .EXE, .COM, .OVL, .DRV, .BIN, .DLL, y .SYS., los dos primeros son atacados más frecuentemente por que se utilizan mas.

 

Virus de Boot:  Son virus que infectan sectores de inicio y booteo (Boot Record) de los diskettes y el sector de arranque maestro (Master Boot Record) de los discos duros; también pueden infectar las tablas de particiones de los discos.

 

Virus Residentes: Se colocan automáticamente en la memoria de la computadora y desde ella esperan la ejecución de algún programa o la utilización de algún archivo.

 

Virus de enlace o directorio: Modifican las direcciones que permiten, a nivel interno, acceder a cada uno de los archivos existentes, y como consecuencia no es posible localizarlos y trabajar con ellos.

 

Virus mutantes o polimórficos: Son virus que mutan, es decir cambian ciertas partes de su código fuente haciendo uso de procesos de encriptación y de la misma tecnología que utilizan los antivirus. Debido a estas mutaciones, cada generación de virus es diferente a la versión anterior, dificultando así su detección y eliminación.

 

Virus falso o Hoax: Los denominados virus falsos en realidad no son virus, sino cadenas de mensajes distribuídas a través del correo electrónico y las redes. Estos mensajes normalmente informan acerca de peligros de infección de virus, los cuales mayormente son falsos y cuyo único objetivo es sobrecargar el flujo de información a través de las redes y el correo electrónico de todo el mundo.

 

Virus Múltiples: Son virus que infectan archivos ejecutables y sectores de booteo simultáneamente, combinando en ellos la acción de los virus de programa y de los virus de sector de arranque.

 

GUSANO INFORMÁTICO

Similar a un virus por su diseño, y es considerado una subclase de virus. 

Los gusanos informáticos se propagan de ordenador a ordenador

Tiene la capacidad a propagarse sin la ayuda de una persona.

Viajan mediante archivos.

Se replica muy rápidamente

El gusano consume demasiada memoria de sistema (o anchura de banda de la red), haciendo que los servidores y los ordenadores individuales dejen de responder.

El gusano está diseñado para hacer un túnel en tu sistema y permitir que usuarios malévolos controlen remotamente tu ordenador.

Ejemplos

Host Computer Worm: son contenidos totalmente en una computadora, se ejecutan y se copian a si mismo vía conexión de una red. Los Host Computer Worm, originalmente terminan cuando hicieron una copia de ellos mismos en otro host. Entonces, solo hay una copia del gusano corriendo en algún lugar de una red. También existen los Host Computer Worm, que hacen una copia de ellos mismos e infectan otras redes, es decir, que cada maquina guarda una copia de este Gusano.

Network Worms: consisten en un conjunto de partes (llamadas "segmentos"), cada una corre en una maquina distinta (y seguramente cada una realiza una tarea distinta) y usando la red para distintos propósitos de comunicación

Bubbleboy Worm. Este gusano nunca salió a la luz, sino que fue creado por una persona que quiso demostrar las falencias que tiene el sistema VBS Script. Lo importante de este virus es que es enviado por e-mail, pero puede infectar a la máquina sin la necesidad de abrir ningún archivo adjunto, ya que el gusano vienen incluido en el e-mail, por eso hace de este gusano muy peligroso. Simplemente al hacerle un click en el mensaje el virus se activa. Es por esto, que este virus solo infecta maquinas Windows 98 / 2000, con IE 5 y Outlook / Outlook Express.

Morris obtuvo acceso a un equipo UNIX , creó una lista de equipos conectados a éste, forzó la obtención de todas las contraseña de una lista de palabras, hizo pasar por un usuario de cada uno de los otros equipos. Creó un pequeño programa en el equipo para poder reproducirse, se ocultó en el equipo infectado y así sucesivamente.

I Love You: Gusano que causó un grave daño masivo financiero, logrando infectar millones de computadores. Se propagaba a través del correo electrónico, utilizando como asunto una carta de amor. Apareció en marzo del año 2000.

Blaster (Lovsan o Lovesan): Se trata de un virus con una capacidad de propagación muy elevada. Esto lo consigue porque hace uso de una vulnerabilidad de los sistemas Windows NT, 2000 XP y 2003 (que son los únicos afectados) conocida como”Desbordamiento de búfer en RPC DCOM “.

Sobig Worm: Gusano de envío masivo de correo cuya propagación se realiza a todas las direcciones electrónicas encontradas dentro de los ficheros de extensiones: .txt, .eml, .html, .htm, .dbx, y .wab. El correo en el que se propaga el gusano parece como si fuese enviado por ”big@boss.com”. También realiza copias de sí mismo en máquinas remotas a través de recursos compartidos en red.

Code Red: Este virus al atacar configuraciones más complejas, que no son implementadas por el usuario final, tuvo menor impacto que el Sircam . Cabe destacar las 2 mutaciones basadas en este virus que circulan por Internet, Codered.C y el Codered.D , que utilizan su misma técnica variando su carga destructiva.

Nimda: Gusano troyano que emplea tres métodos de propagación diferentes: a través del correo electrónico, carpetas de red compartidas o servidores que tengan instalado IIS (empleando el “exploit” Web Directory Traversal). Descarga en el directorio C:\Windows\Temp un fichero (meXXXX.tmp.exe, un correo en el formato EML) que contiene el fichero que será enviado adjunto por el gusano

Klez Este virus explota una vulnerabilidad en el Internet Explorer por la cual es capaz de autoejecutarse con solo visualizar el correo electrónico en el que llega como adjunto. El virus es capaz de impedir el arranque del sistema y de inutilizar ciertos programas.

Melissa (”Mailissa”, “Simpsons”, “Kwyjibo”, o “Kwejeebo”): El virus es conocido como W97M_Melissa o Macro.Word97.Melissa. Nos puede llegar en un archivo adjunto a un mensaje electrónico, enviado por alguien conocido (como el Happy99). Dicho mensaje, incluye en asunto (en inglés): “Important message from…” (Mensaje importante de…) y en el cuerpo del mensaje: “Here is that document you asked for … don’t show anyone else ;-)“, donde se indica que dicho documento fue solicitado por usted (y que no se lo muestre a nadie más).

Sasser (Big One): Gusano que para propagarse a otros equipos, aprovecha la vulnerabilidad en el proceso LSASS (Local Security Authority Subsystem). Sólo afecta a equipos Windows 2000/XP y Windows Server 2003 sin actualizar. Los síntomas de la infección son: Aviso de reinicio del equipo en 1 minuto y tráfico en los puertos TCP 445, 5554 y 9996.

Bagle (Beagle): Gusano que se difunde mediante el envio masivo de correo electrónico a direcciones que captura de diversos ficheros en la máquina infectada. Utiliza un truco de ingeniería social muy simple pero efectivo, consistente en hacerse pasar por un mensaje de prueba con un fichero adjunto que usa el icono de la calculadora de Windows, lo que parece que hace pensar a las víctimas que es inofensivo.

TROYANO INFORMÁTICO

 

El troyano parece ser un programa útil, pero en realidad hará daño una vez instalado o ejecutado en tu ordenador.

Los que reciben un troyano normalmente son engañados a abrirlos porque creen que han recibido un programa legítimo o archivos de procedencia segura.

Los troyanos se diseñan para ser más molestos que malévolos (como cambiar tu escritorio agregando iconos de escritorio activos tontos), mientras que otros pueden causar daño serio, suprimiendo archivos y destruyendo información de tu sistema.

También se conoce a los troyanos por crear puertas traseras en tu ordenador permitiendo el acceso de usuarios malévolo a tu sistema, accediendo a tu información confidencial o personal.

A diferencia de los virus y gusanos, los troyanos ni se auto replican ni se reproducen infectando otros archivos

Ejemplos

NetBus: Este "troyano" o "herramienta de administración remota" fue uno de los más difundidos en Internet, ganó un gran número de usuarios adictos al programa por su sencillez de uso y la rapidez del mismo. El tamaño del servidor (el encargado de permitir el acceso a la máquina con o sin autorización) ahora parece grande en comparación con los troyanos nuevos. Tamaño del servidor: 495 KB aproximadamente.

Back Oriffice 2000: Sin lugar a duda el troyano que más pánico causó en los últimos tiempos. Fue el preferido de todos por ser el primero que salió en Internet con una facilidad de uso impresionante y características que otros troyanos aun no imaginaban, como la renovada parte gráfica.

SubSeven: Otro troyano que causó un gran impacto, probablemente el más usado en la actualidad, ya que el programa servidor ocupa menos aun que el servidor del NetBus o el Back Oriffice.

Cybersensor: Este troyano esta programado especialmente para funcionar bajo WindowsNT. No es tan conocido como los anteriores. Tamaño del servidor: 29.5 KB

DeepThroat v2: Este programa también es bastante conocido, incluye muchas funciones muy parecidas al resto de los troyanos, como la de adquirir las contraseñas en el chache de la PC remota y las típicas funciones del resto. Tamaño del servidor: 304 KB

Dolly Trojan: Excelente troyano, lástima que no se ganó el aprecio del público porque el servidor es muy grande. Evidentemente el programador no tenía la experiencia necesaria.

Girlfriend 1.35: Al contrario del Dolly Troyan este programa es muy pequeño, al igual que su servidor, por lo tanto no incluye tantas funciones.

InCommand v1.0: Diferente a todos los demás este programa es de tamaño medio, pero lamentablemente no pudo adquirir la atención del usuario porque no tiene suficientes funciones. Tamaño del servidor: 168 KB

NetSphere: Nuevamente, al igual que el Dolly este troyano posee un servidor muy grande por lo que se hace pesado el envío por Internet o por e-mail, lo que lleva a la gente a buscar algo menos pesado para enviar, recurriendo a otro troyano. Tamaño del servidor: 621 KB

Master Angel 97: Este troyano es uno de los menos conocidos, pero no deja de ser muy bueno.