El mundo de antivirus

jueves, 5 de julio de 2018

¿Qué asociaciones le evoca la palabra “crypt” o “cryptor”?

Es muy probable que Vd. no encuentre estas palabras en Internet con mucha frecuencia, si no se aficiona a los foros de creadores de virus, si no es un empleado del departamento de seguridad informática o un lector de siempre de las ediciones del proyecto “El mundo de antivirus”.

Vd. habrá notado que las palabras “crypt” y “cryptor” tienen la misma raíz que la “criptografía”. La raíz “crypt” procede de griego, “criptos” - “oculto”. Resulta que estos términos sirven para denominar algo destinado para ocultar la información. Pero ¿qué información? Vamos a verlo.

Es muy probable que cualquier troyano lanzado tarde o temprano sea analizado por los desarrolladores de antivirus. Las firmas del programa nocivo formarán parte de la base de virus, y el mismo dejará de ser oculto.

Por supuesto, los creadores de virus que reciben bastante beneficio al vender su “obra” no están de acuerdo con todo esto, y sus clientes tampoco: ellos desean infectar más equipos y compensar el dinero gastado en la compra del troyano cuanto antes. Es verdad, nadie quiere cada x días volver a crear un programa nocivo complicado y caro.

Los crypts ayudan a los malintencionados. Su tarea básica es ocultar los programas nocivos para que los mismos no sean detectados por los antivirus. Un crypt puede ser creado tanto manualmente como usando una herramienta automatizada especial – un cryptor.

Se usan varias tecnologías para crypts: el cifrado de varias partes del código, la incrustación de mecanismos cuya función es evitar el inicio en un sandbox o la acción de ignorar los honeypots, así como la modificación de la estructura del archivo para complicar la ingeniería reversiva.

Al final, tenemos una compilación “limpia”, en el momento de su creación no detectada por todos los antivirus populares (o, por lo menos, por la mayoría de los mismos). En el anuncio más arriba podemos ver las palabras: «…con detección 1/37…». Significa que el archivo nocivo creado fue detectado solo por 1 antivirus de los 37 sometidos a pruebas.

Las compilaciones encriptadas dejan de ser actuales muy rápido, el periodo de su existencia suele ser de 1 a 10 días, y luego los mismos entran en las bases de antivirus. Pero se puede volver a encriptar muchas veces. Los creadores y difusores de troyanos más activos lanzan las nuevas compilaciones encriptadas todos los días. Los servicios de encriptar archivos suelen ser de pago, pero a veces se ofrece un bonus para algunos programas nocivos: la “limpieza” gratuita.

Pero ¿cómo se puede comprobar si la compilación lista está limpia?

Ya hemos mencionado que junto con un minero oculto popular los usuarios reciben la suscripción al escáner de virus de pago. Esto no se hace para mayor seguridad de los usuarios, la suscripción es necesaria para que los usuarios puedan escanear sus compilaciones sin ayuda para ver si las mismas se detectan por los antivirus y, en caso necesario, volver a encriptarlas.