Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-settings.php on line 512

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-settings.php on line 527

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-settings.php on line 534

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-settings.php on line 570

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-includes/cache.php on line 103

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-includes/query.php on line 61

Deprecated: Assigning the return value of new by reference is deprecated in /home/mygeeksi/public_html/wp-includes/theme.php on line 1109
 MyGeekSide » Blog Archive » Identificando al enemigo: Qué es un verdadero virus informático y cómo actúa

Warning: mktime() [function.mktime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 41

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 50

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 52

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 54

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 55

Warning: mktime() [function.mktime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 41

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 50

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 52

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 54

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 55

Warning: mktime() [function.mktime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 41

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 50

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 52

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 54

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 55
Nov

Warning: mktime() [function.mktime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 41

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 50

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 52

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 54

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-includes/functions.php on line 55
23
Leído 2,116 veces

Amigos, el término virus en nuestros días se ha hecho tan común que ahora lo usamos para describir a casi todo el software malicioso que conocemos: troyanos, backdoors, spyware, bots, keyloggers, rootkits, etc.

En realidad el término más adecuado para todo lo que acabamos de describir es: MALWARE ( que viene de MALicious softWARE) o Software malicioso.

Software malicioso es todo aquel que contiene código hostil e intrusivo y que sin consentimiento informado del usuario se ejecuta sobre el ordenador. Cuando digo consentimiento informado hablo de aquel en el que el usuario tiene plena conciencia de los efectos, implicaciones y consecuencias de lo que sucederá si decide ejecutar determinado programa.

Considero que es bueno poder diferenciar a todo el Software Malicioso, ya que puede ayudarnos a identificarlos, analizarlos y de acuerdo a esto, incluso podamos escoger el método más adecuado de eliminación y/o desinfección.

Con este post inicio la saga que denominaré: ” Identificando al Enemigo”, y como tema inicial: Qué es un virus informático.

Posteriormente, los temas serán:

Identificando al enemigo: Qué es un gusano.
Identificando al enemigo: Qué es un troyano.
Identificando al enemigo: Qué es Adware y Spyware.
Identificando al enemigo: Qué es un backdoor.
Identificando al enemigo: Qué es una BotNet.
Identificando al enemigo: Qué es un Bug y un Exploit.
Identificando al enemigo: Qué es un Rootkit.
Identificando al enemigo: Qué es una Bomba Lógica.
Identificando al enemigo: etc…

Cada tema contendrá ejemplos reales y muestras de cómo funcionan.

Empecemos ahora definiendo e identificando a los verdaderos virus.

Un virus informático al igual que un virus biológico, necesita un huesped en el cual insertar su código, este huesped infectado a su vez, va infectando a los demás. Para nuestro caso los huéspedes suelen ser archivos ejecutables y/o correos, archivos html, etc.

Un virus informático en el sentido correcto entonces, es aquel que es capaz de insertar su código dentro un programa, correo o archivo HTML y también dentro de documentos de Microsoft Office (en el caso de los Virus de Macros), de modo que al ejecutarse el programa, abrir el correo, el documento o la página web, se ejecute también el código del virus. El virus al ser ejecutado es cargado en memoria y desde ahí procede a infectar los demás archivos, y es así como se reproduce

La siguiente imagen es una muestra de cómo un virus infector inserta su código en el archivo huesped.

virus

Como podemos ver en la figura, el virus escribe parte de su código en el archivo, parcha rutinas y mueve ciertas secuencias o segmentos de código a otras partes  de modo que el archivo o programa pueda seguir ejecutándose. En algunos casos - y dependiendo de la técnica de infección - el tamaño del archivo infectado puede crecer o no, de acuerdo a la cantidad de bytez insertados por el virus.

Esto diferencia a los infectores de sobreescritura destructiva que sólo escriben su código sin preocuparse de que el archivo siga siendo válido. Un infector de sobreescritura destructiva una vez que infecta un archivo, solamente ejecutará su rutina más ya no el código del programa original. Es por eso que muchas veces es facil darnos cuenta cuando algo está mal. Este tipo de virus son más fáciles de detectar por las razones mencionadas.

Los verdaderos virus, a parte de sobreescribir su código se aseguran de que el archivo o ejecutable siga “funcionando” de modo que al ejecutarse el código del programa, también se ejecute el código insertado del virus. Si el virus está bien diseñado es bien dificil que se note la infección, pues todo aparenta seguir funcionando normalmente. Este es el caso de los tan conocidos y mencionados Virus Sality, Halman, Virut, etc.

Esto es lo que diferencia un virus de un gusano. El gusano necesita copias de sí mismo para seguir propagándose ( ya sea por autoejecución de autoruns - lo más usual en la actualidad-, autoinicio en el registro del sistema, etc).

En cambio el virus, infecta e inserta su código en el huesped (ejecutables, mensaje de correo, archivo html, documentos, etc) y ahí es donde se transporta. Cuando el archivo infectado es ejecutado, también se ejecuta el código del virus. No percibimos la ejecución anomal o el cambio a simple vista ya que un gusano lo podemos detectar al encontrar un archivo raro dentro de nuestras carpetas, pero al virus no - al menos a simple vista ( ya veremos más adelante cómo podemos verificar que nuestros archivos y/o ejecutables han sido modificados) -.

Por ejemplo el virus Sality busca en todas las unidades locales y de red por archivos ejecutables de formato PE e inserta su código dentro ellos. Esto es, reemplaza el Punto de Entrada (Entry Point) de los archivos y lo infecta con su código viral y se agrega así mismo al final de la última sección de la Imagen del archivo PE. Esto - dependiendo de la variante y la técnica de infección - hace que el tamaño del archivo crezca en unos cuantos KiloBytes, si es que usa la técnica de infección EPO y si usa la técnica Cavity, posiblemente ni aumente en tamaño.

  • EPO (Entry Point Obscure) (Ocultamiento del Punto de Entrada o de Ejecución).- Es una técnica para infectar programas mediante la cual un virus intenta ocultar su punto de entrada para evitar ser detectado. El virus, en lugar de tomar el control y realizar sus acciones al principio del programa (de su utilización o ejecución), permite el correcto funcionamiento de éste hasta un cierto momento en el que comienza a actuar.
  • Cavity: Es una técnica utilizada por algunos virus y gusanos para dificultar su localización. Aplicando dicha técnica consiguen no variar el tamaño de cada uno de los ficheros infectados o afectados  insertando su código en los espacios en blanco(”cavidades”) del archivo.

En la mayoría de los casos los virus infectores de ejecutables pueden acarrear daños irreparables a los archivos con las técnicas mencionadas, ya que dificultan no solamente su detección sino también su eliminación. Y también la mayoría de las veces la única forma de remover el virus es remover también el archivo infectado, lo que significa mejor formatear el sistema operativo, e instalar las aplicaciones desde fuentes confiables.

Amigos,  acabamos de ver a grandes rasgos la definición más acertada sobre virus informático. En los temas posteriores veremos que en la actualidad hay mucho malware que  combina las características de gusanos, bots, rootkits, exploits, etc…

El siguiente video tiene un tamaño de 39 MB y tiene una duración de 32 minutos .

El video está dividido en las siguientes secciones:

Identificando al Enemigo: Qué es un Virus Informático.

Caso: Virus Virut

1. - DEFINICIÓN DE VIRUS INFORMÁTICO

  • 1.1.- Infector de ejecutables VIRUT

2.- ANALISIS PREVIO LA INFECCION

  • 2.1.- Verificación de integridad en archivos
  • 2.1.1.- HashChecker Shell Extension
  • 2.1.2.- Spy The Spy
  • 2.1.3.- Verificación de carpeta WINDOWS
  • 2.1.4.- Copia de seguridad de msconfig.exe para posterior verificación.

3. ANALISIS POST-INFECCION

  • 3.1.- Ejecución de archivo infectado
  • 3.2.- Monitoreo de modificaciones con Spy the Spy
  • 3.3.- Comparación de Hashes MD5 de archivos
  • 3.4.- Copia de muestra de msconfig.exe Infectado para comparación con msconfig_original.exe
  • 3.5.- Comparación entre archivos original e infectado
  • 3.5.1.- A simple vista : tamaño
  • 3.5.2.- Comparación de hashes: Sumas MD5.
  • 3.5.3.- Internamente : Estructura binaria y en código usando Araxis Merger e IDA (Interactive DissAssembler)

Espero les guste el video.

Para descargar el video haz click en el siguiente enlace:

imagesthumbnail

Saludos,

Felipe


Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-content/plugins/math-comment-spam-protection/math-comment-spam-protection.classes.php on line 77

Warning: date() [function.date]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Chicago' for 'CST/-6.0/no DST' instead in /home/mygeeksi/public_html/wp-content/plugins/math-comment-spam-protection/math-comment-spam-protection.classes.php on line 163

13 Respuestas

  1. bendroide Says:

    se aprecia tu trabajo felipe, desde ya salu2

  2. ciberjovial Says:

    Hola Felipe. Muy agradecido por tu aporte y tus videos que me hacen querer mas mi carrera (Ing. Informatica).
    Espero algún día puedas viajar como ponente para mi cuidad para un Seminario que pronto habrá en mi Universidad.

    Saludos, y nuevamente GRACIAS!

  3. Tom Says:

    hola felipe que buen post y q bueno q sea el inicio de una coleccion queria pedirte si por favor podria darme los pasos para enviarte la copia del malware para q me ayudes a limpiar mi maquina como te decia es uno que lleva el nombre de samdump una herramienta de hacking y otro que se desaparece la barra de tareas y sale una avertencia de que explorer.exe debe cerrarse…

  4. Sebastian Caicedo Casas Says:

    excelentes sus antivirus, tengo una pregunta un pc se contamino de virus y lo formatie, cuando se carga el sistema se reinicia normalmente, pero cuando estoy configurando el software y el sistema pide ser reiniciado el computador no encuentra el sistema operativo ni el disco (el disco esta bueno ya lo probé en otro pc) ¿que puede ser?

  5. ronald herrera Says:

    por favor ayudenme mi pc se queda paralizada y no responde a ninguna orden no se que hacer tengo el avira free y el superantispyware free pero cada ves que navego en internet me sale un anuncio q dice q yo tengo un virus spam y entre parantesis dice envio de correos masivos no deseados. entonces le paso los antivirus pero estos no encuentra nada asi q si me pudiera ayudar ya q verdaderamente ya no se que hacer porfavor y gracias muy buen sitio web.

  6. Felipe Says:

    RONALD:
    CREES QUE PODRIAS TOMAR UN SCREENSHOT DEL MENSAJE DE ERROR Y ENVIARLO A MI CORREO:
    ADMIN@MYGEEKSIDE.COM

    DE MODO QUE PUEDA VERIFICAR POR INFORMACION ADICIONAL.

    SALUDOS,

    FELIPE

  7. Micke Says:

    Como siempre un excelente tutorial Felipe, fuera de lo común.

  8. ronald herrera Says:

    MUCHISIMAS GRACIAS HOY POR LA TRADE LE LOGRE PASAR EL SUPERANTISPYWARE Y ME ENCONTRO EL VIRUS ME PIDIO REINICIAR LUEGO DE HACERLO TODO QUEDO BIEN PERO LO UNICO Q ME HA QUEDADO BIEN LENTA LA PC Y ES PENTIUM 4 Q SERA?? BUENO GRACIAS EL MENSAJE TRATE DE VERLO OTRA VES ERO DICE Q NO ENCUENTRA EL ENLACE PARA BAIRLO EL MENSAJE ME LO ENVIA LA COMPAÑIA Q ME APORTA EL INTERNET GRACIAS TE LO AGRADESCO MUCHO POR OFRECERTE EN MI AYUDA

    SALUDOS.

  9. Emmanuel Says:

    Gracias mi amigo, esta información es muy util y se ha convertido en la información que busco casi a diario en internet desde que me infecto Sality (&$%@*)

  10. Surya Says:

    Nice tutorial..

    Thanks.

  11. jorge 2009 Says:

    buena definicion amigo voy a bajarme el video y estos temas me encanta lo malo que no se nada de ellos

  12. isra Says:

    hola kerido amigo em primer lugar dejame darte las gracias por ayudar a los ke sabemos poco en este gran mundo de la imformatika…. Bueno me quiro ver si me puedes ayudar mi pc se me a infectado de un virus rraro que no puedo eliminarlo el virus se llama o aparece como una carpeta con el nombre
    System Volume Information
    y no se puede abrir y otra carpeta $RECYCLE.BIN qu se abre y direcciona a la papelera. bueno espero respuesta mi correo es patricckuper@hotmail.es ayuda por fa gracias

  13. Nico Says:

    saludos.

    gracias por el aporte. sumamente interesante.

Deja un comentario

Por favor note que: La moderacion de comentarios esta habilitada y podria retrasar tu comentario. No hay necesidad de reenviar tu comentario.