El mundo de antivirus

miércoles 15 de marzo de 2017

Eránse una vez… los virus stealth (de inglés stealth virus — virus escondido)… Fue hace mucho – en la época del sistema operativo DOS. Los stealth virus y sus herederos vivieron una vida muy interesante, hubo muchos representantes de estos virus. Pero… desaparecieron por causa de difusión de muchos otros virus populares. ¡Vamos a recordarlo!

Antes de hablar sobre los representantes de esta clase de virus, vamos a ver las peculiaridades de sistemas operativos.

¿Cómo en realidad con los archivos que Vd. abre al hacer clic sobre un icono del escritorio? Es un conjunto de bits (y fragmentos vacíos – los sistemas operativos pueden omitir la escritura de algunas partes del archivo que no contienen ninguna información) guardados en algunos dispositivos. Esta explicación no es completa, pero suficiente para este caso.

Este conjunto de bits– normalmente, de ceros y unos – está esparcido por todo el disco duro (y a veces por todo Internet).

Al hacer clic sobre el icono, el SO procesa el evento, calcula el nombre del archivo, lo convierte en notación que entiende y envía una solicitud a nivel más bajo. Al hacer recibido un conjunto de bits (a veces, convertidos), el programa normalmente no lo visualiza en la pantalla, sino lo convierte para que el usuario lo pueda entender, porque no todos somos capaces de convertir un conjunto de bits en un gato en nuestra imaginación.

Quiere decir que los programas que usamos no trabajan directamente con el disco duro (excepto algunas utilidades de sistema que tampoco suelen consultar el disco directamente y lo hacen a niveles más bajos). En cada etapa el sistema permite incrustar su filtro.

Es lo que hacen los antivirus – interceptan las solicitudes a archivos y los procesan antes de que los usuarios los reciban. Pero los programas nocivos también pueden hacer lo mismo.

Por ejemplo, si un usuario avanzado al haber sospechado algo desea ver el listado de procesos o archivos en una carpeta, es muy probable que empiece a trabajar con la utilidad de sistema. Esta utilidad le enviará al sistema una solicitud sobre el contenido de la carpeta, el sistema solicitará estos datos al disco duro. Y el filtro del virus limpiará el listado de archivos transferidos al usuario que pensará que en el disco no sobra nada.

Es por eso que el filtro (controlador) del antivirus debe estar mucho más abajo en jerarquía – en caso contrario, el virus filtrará la información y el antivirus no podrá saber si hay archivo nocivo.

¿Cómo podemos afrontarlo?

Los antivirus polífagos son eficaces para afrontar los virus ya conocidos, es decir, los virus cuyos métodos de comportamiento ya son conocidos para los desarrolladores y ya están en la base del programa. Si el virus es desconocido, no se detecta.

¿Recuerda qué son los virus polífagos? :-)

Resulta que el Antivirus Dr.Web conocido para todos es polífago y además detector!

Pero en la época cuando había muchos tipos de antivirus y el desarrollo de sistemas de protección no era muy claro para todos, los stealth virus eran de tres tipos:

• Los virus de arranque permitían evitar la atención de las utilidades de sistema que tienen acceso de bajo nivel a dispositivos capaces de leer la información directamente de los mismos (por sectores). Con mucha frecuencia, estos virus visualizaban el contenido del disco antes de infectar.
• Los virus de archivo interceptaban las funciones de trabajo con archivos para ocultar los cambios en el archivo del disco o en la memoria.
• Los macrovirus.

¿Vamos a leer las noticias de aquella época?