Download Qué es un virus, un troyano, un backdoor, un rootkit...?.

GUÍA DE MANTENIMIENTO Y REPARACIÓN DE PENDRIVES DE CARA A
LA INFECCIÓN POR TROYANOS Y VIRUS.
INTRODUCCIÓN
De todos es sabido que un centro educativo de las características del nuestro es un estupendo caldo
de cultivo para la proliferación de virus, troyanos, y otras formas de malware que tanto pueden
amargarnos, o por lo menos complicarnos, la vida. Los profesores somos supervivientes natos (no
en vano nuestro metabolismo está acostumbrado al trabajo con adolescentes sin grandes efectos
secundarios), pero a veces también nos guiamos por la ley del mínimo esfuerzo, y en un noble
intento de no desperdiciar energía (supongo), nos acostumbramos a ir por el centro con los archivos
más importantes (exámenes, listas de notas, fotografías de gran valor sentimental) en un pendrive,
en nuestro bolsillo, o en el bolso, para más inri, al lado del móvil, a ver si con un poco de suerte una
llamada en un momento determinado nos decapita el sector de arranque. No hacemos copias de
seguridad en otros ordenadores, ni en CD. ¿Que sería la vida sin un poco de riesgo?.
Por supuesto, casi todas las semanas alguien acaba por sufrir un... digamos, “accidente”. Y es
entonces cuando viene a mí. El héroe de la historia. Un grito de angustia... “¡Antonio!. ¡Tienes que
ayudarme!. ¡Lo he perdido todo!”... Levanto la cabeza, en un épico gesto que trata de emular al
mejor Humphrey Bogart... Sólo me sale guiñar los ojos como un chino cabreado... “¿Qué pasa
ahora?”, pregunto...
¡SE ME HA MUERTO EL PEN!.
.
..
…
Vale. ¿Te imaginas qué escena tan ridícula estamos montando?. Pues pasa cada dos por tres. Así
que, en pocas líneas, voy a tratar de explicarte:
a) SIEMPRE debes hacer copias de seguridad alternativas. Los pendrives se “mueren”, como las
baterías de coche, y no avisan.
b) Vamos a tratar de comprender el mecanismo que utilizan los virus y troyanos en general para
infectar un pendrive y tratar de utilizarlo como vehículo para infectar otros ordenadores.
c) Si has comprendido esto, estarás preparado para desinfectar tu pendrive por tu cuenta.
d) Todo esto te lo ahorrarías si en vez del dichoso Windows, trabajaras con sistemas operativos
GNU/Linux. Pero bueno, ya veo la sonrisa que estás poniendo, pensando “que si ya está el fanático
echando el discursito, que si no lo suelta revienta...”. Ok, ok, ok. Tú mismo.
¿Preparado?. Vamos allá...
¿Qué es un virus, un troyano, un backdoor, un rootkit...?.
Bueno, existen multitud de tipos distintos de programas malintencionados; lo que comúnmente se
denomina malware. Veamos algunas definiciones que utilizamos en la materia TIC de 1º de
Bachillerato:
Virus: programa informático que viene oculto en el interior de otro programa informático,
normalmente de origen dudoso. Dicho programa se instala junto al programa huésped sin nuestro
conocimiento, de forma oculta, y hace copias por su cuenta de sí mismo en distintos puntos del
disco duro.
El programa huésped se define como infectado.
El objetivo principal de un virus es propagarse y causar daños en el sistema (borrar datos,
modificarlos, etc..)
El funcionamiento de un antivirus estándar consiste en localizar rutinas de instalación ajenas al
objetivo que dicho programa crea que estamos persiguiendo (carpetas de instalación distintas,
etc...), o copias o borrados automáticos dentro del disco duro que no constaban la tabla de tareas
del sistema operativo.
Gusano: al igual que un virus, es un programa con objetivos maliciosos que trata de instalarse en
nuestro ordenador sin nuestro conocimiento, haciendo copias de sí mismo en distintas partes del
disco duro. Al contrario que un virus, no trata de dañar el equipo, sino de mantenerse oculto el
mayor tiempo posible para realizar cualesquiera tarea para la que esté programado.
Según el tipo de tarea que realice, podemos distinguir entre gusanos de tipo TROYANO y
BACKDOOR. También puede tomar la forma de un ROOTKIT.
Troyano: por definición, es un programa de tipo gusano (worm) que granjea el acceso externo a un
programador malintencionado (cracker) (no confundir con el hacker, que es el aficionado
investigador compulsivo)
Backdoor: es una puerta trasera que un gusano deja abierta en nuestro ordenador para posibilitar
accesos externos posteriores. Mientras que un troyano está más pensado para permitir el control
directo por el cracker de nuestro ordenador, el backdoor simplemente deja pasar a un pirata o a un
programa.
Rootkit: viene a ser un programa que oculta a sí mismo o a otro programa al administrador de
tareas. Así, el usuario no puede localizar manualmente a dicho proceso “fantasma” que sin
embargo está residente en memoria.
Bueno. Así tenemos varias páginas de apuntes. Para nosotros, de momento, tendrá que valer. Como
puedes ver, cada uno de estos tipos de programas tiene múltiples funciones, pero en todos los casos,
uno de sus objetivos básicos es llegar a la máxima cantidad posible de ordenadores para infectarlos
y aumentar así su red de poder. Y para ello, nuestros pendrives, que conectamos y desconectamos
mil veces en varios ordenadores, muchos de ellos, no ya infectados ¡radiactivos!, nuestros
pendrives, decía, constituyen la herramienta ideal. ¿Cómo lo hace?. ¡Veámoslo!.
Mecanismo de infección de un pendrive
Cuando conectamos un pendrive en un ordenador infectado, lo primero que éste hace es hacer una
copia, sin tu permiso, de al menos dos archivos, y después los ocultará :
•
El primero, y más importante, siempre tiene el mismo nombre: AUTORUN.INF
•
El segundo (o los siguientes) tienen nombres muy extraños, a veces serán secuencias
alfanuméricas, o de caracteres ilegibles. Pero siempre terminan en la misma secuencia:
EXE.
Como serán archivos de tipo oculto, no podrás verlos en la ventana exploradora que te muestra el
contenido del pendrive; cuando trabajas en Windows, para poder ver dichos archivos maliciosos,
necesitarás activar la opción Ver-> Opciones de carpeta->Ver carpetas y archivos ocultos.
En Linux, por supuesto (qué quieres que te diga, la cabra siempre tira al monte, sí, pero es que esto
es verdad), no tenemos esta desventaja: en cuanto conectes el lapicerillo, aparecerán dichos
archivos. Veamos el aspecto de un pendrive infectado:
Ilustración 1: Este pendrive tiene cinco troyanos, así como el autorun.inf que los dispara.
Bueno, ¿y cómo actúa este conjunto de archivos?. Verás, el archivo AutoRun.inf aprovecha la
opción de autoarranque que Windows tiene prevista. Cuando conectas un dispositivo que tiene
grabado un Autorun.inf, que es un archivo de texto, el ordenador lee los nombres que hay en ese
texto, que son nombres de programa, y los arranca. Por supuesto, dichos programas son los que
realmente te hacen la pifia en el equipo. Por ejemplo, el texto que había en dicho AutoRun.inf era el
siguiente:
Ilustración 2: El texto consignado en Autorun.inf apunta a los nombres y rutas de los programas de
tipo virus que se tienen que poner en marcha en cuanto conectamos el lápiz USB.
¿Cómo podemos, entonces, desinfectar nuestro pendrive?. ¡Pues muy fácil!. Una vez has activado la
opción Ver->Opciones de carpeta->Ver archivos y carpetas ocultas, basta con que borres ese
autorun.inf. Entonces, el pen estará “capado”. Estará infectado, pero no podrá contagiar a otros
equipos. Una opción más segura es abrir primero con el procesador de textos dicho archivo, ver los
nombres de los virus que incluye, y borrarlos también de nuestro pendrive. Así, el lapicerillo estará
completamente limpio.
¿Podemos prevenir futuras infecciones?
Bueno, no hay nada seguro, pero desde el año pasado, en el Departamento de Tecnologías, estamos
probando lo siguiente, y en un 90 % de las veces funciona: si coges un pendrive limpio, y creas en
él un archivo de texto con tu procesador normal de textos, que esté vacío, y lo nombras como
AutoRun.inf, en un principio tendrías un disparador de virus vacío en dicho pendrive. A
continuación, para evitar que lo modifique posteriormente ningún malware, con el botón derecho
del ratón, te vas a propiedades, y en Permisos, le quitas todos los permisos de lectura y escritura
para todos los usuarios. Tendrías así un disparador de virus vacío, que sólo tú podrías borrar
manualmente cuando quisieras. No hay muchos virus y troyanos que puedan con eso. Si te
funciona, me lo haces saber, ¿vale?.
¡NOS VEMOS POR EL CENTRO!