🚀 go-pugleaf

1) Pueden los virus del sector de arranque infectar disquetes que no
son de arranque ?
     Cualquier disquete que a sido formateado contiene un programa
ejecutable en su sector de arranque. Si el disquete no es de
"arranque", todo lo que hace el sector de arranque es imprimir un
mensaje como "Disco sin sistema o error en el disco; remplacelo y
oprima cualquier tecla", pero sigue siendo ejecutable y sigue siendo
vulnerable a infecciones. Si tu accidentalmente enciendes tu
computadora con un disquete no-arrancable y ves ese mensaje, significa
que cualquier virus de arranque que pudo estar en el disquete fue
ejecutado, y a tenido la oportunidad de infectar tu disco duro, o
cualquier cosa. Asi que al pensar acerca de virus, las palabra "de
arranque" (o "no-de arranque") es realmente enga�oso. Todo disquete
formateado es capas de tener un virus.

2) Puede un virus esconderse en la memoria CMOS de la PC ?

     No. El RAM CMOS en donde se guarda la informacion del sistema y
respaldada     por baterias es manejada por puertos, no direccionable.
Esto significa, para poder     sacar cualquier cosa, utilizas
instrucciones de E/S. Asi que cualquier cosa que se  guarde alli no
esta directamente en memoria. Nada en una maquina normal carga los
datos que alli y los ejecuta, asi que un virus que se "esconde" en la
RAM CMOS  tendria ademas que infectar un objeto ejecutable de alg�n
tipo para poder cargar y ejecutar lo que tenia escrito en el CMOS. Un
virus maligno puede por supuesto "alterar" valores en el CMOS como
parte de su trabajo, pero no se puede propagar,  o esconder en el
CMOS.
     Un virus puede tambien usar la RAM CMOS para esconder una peque�a
parte de su cuerpo (ej. su carga, contadores, etc.). Sin embargo,
cualquier codigo ejecutable  guardado alli debe ser primero extraido a
memoria ordinaria para poder ser  ejecutado.

3) Puede un virus esconderse en RAM Extendida o Expandida ?

     Teoricamente si, aunque todavia no se conoce ningun virus asi.
Sin embargo, aun si  llegaran a ser creados, tendrian que tener una
peque�a parte residente en la RAM convencional; ellos no pueden
residir completamente en la RAM Extendida o  Expandida. 

4) Puede un virus esconderse en la Memoria Superior y Memoria Alta ?

     Si, es posible construir un virus que se acomode en la memoria
superior (640K     hasta 1024K) o en la memoria alta (1024K hasta
1088K), algunos virus conocidos     (ej. EDV) si se esconden en la
memoria superior.
     Se puede pensar que no hay sentido buscar en estas areas para
encontrar otros virus que no sean los que ya se conoce especificamente
que los habiten. Sin     embargo, hay algunos casos en los que virus
ordinarios se pueden encontrar en la     memoria superior. Suponga que
un virus residente en memoria convencional infecta a un programa
residente y este programa es cargado en alta por el usuario (por
ejemplo, desde el AUTOEXEC.BAT). Entonces el codigo del virus tambien
reside en la memora superior. Por lo tanto, un rastreador efectivo
debe ser capaz de buscar virus en esta parte de la memoria tambien.



5) Puede un virus infectar archivos de datos ? 

     Algunos virus (ej. Frodo, Cinderella) modifican archivos no
ejecutables. Sin     embargo, para poder propagarse, el virus debe ser
ejecutado. Por lo tanto el     archivo no-ejecutable "infectado" no
puede ser la fuente de mas infecciones. Sin embargo, toma en cuenta
que no siempre es posible hacer distinciones certeras    entre
archivos ejecutables y no ejecutables. El codigo de un hombre son los
datos     de otro hombre y vise versa. Algunos archivos que no son
directamente ejecutables contienen codigo o datos que en algunos casos
pueden ser ejecutados o interpretados.
     Algunos ejemplos del mundo de la IBM PC son los archivos .OBJ,
librerias,     manejadores de dispositivos, archivos fuente para
cualquier copilador o     interpretador, archivos de macros para
algunos paquetes como el MS Word y     Lotus 1-2-3, y muchos otros.
Actualmente hay algunos virus que infectan el sector     de arranque,
sector maestro de arranque, archivos COM, archivos EXE, archivos
BAT, y manejadores de dispositivos, aunque cualquiera de los objetos
mencionados arriba pueden teoricamente ser usados como un portador de
infeccion. Archivos PostScript tambien pueden ser usados para llevar
virus, aunque no se conoce ningun virus que haga eso.

6) Pueden los virus propagarse de un tipo de computadora a otro ? 

     La respuesta mas simple es que actualmente no se conoce ningun
virus que haga esto. Aunque los formatos de discos puedan ser los
mismos (ej. Atari St y DOS), las maquinas diferentes interpretan
diferente el codigo. Por ejemplo, el virus Stoned no puede infectar
una Atari ST como el ST no puede ejecutar su codigo de virus en el
sector de arranque. El virus Stoned contiene instrucciones para la
familia de CPUs 80x86 que la familia de CPUs 680x0 (Atari ST) no puede
entender o ejecutar.
     La respuesta mas general es que tales virus son posibles, pero
improbables. Tales virus serian mucho mas grandes que los virus
actuales y muy probable mas faciles de detectar. Adicionalmente, la
poca incidencia de maquinas diferentes compartiendo el software
significa que cualquiera de estos virus seria dificil de propagarse
--seria un medio ambiente pobre para el crecimiento de virus.

7) Pueden los virus de DOS correr en maquinas sin DOS (ej. Mac, Amiga)
?

     En general, no. Sin embargo, en maquinas corriendo un emulador de
DOS (basados en hardware o software), virus de DOS - al igual que
cualquier programa de DOS - puede funcionar. Estos virus serian
sometidos al control de acceso de archivos del sistema operativo
anfitrion. Un ejemplo de esto es cuando corriendo un emulador de DOS
como el VP/ix en un ambiente UNIX 386, a los programas de DOS no se
les permite accesar los archivos que el sistema anfitrion UNIX les
prohibe. Entonces, es  importante administrar estos sistemas
cuidadosamente. 

8) Pueden las computadoras mainframe ser susceptibles a los virus
computacionales ?

     Si. Numerosos experimentos han demostrado que los virus
computacionales se     esparcen rapidamente y facilmente en sistemas
mainframe. Sin embargo, para     nuestro conocimiento, ningun virus
computacional no-investigado a sido visto en     sistemas mainframe.
(El gusano de Internet en noviembre de 1988 no fue un virus
computacional en su definicion total, aunque si tenia algunas
caracter�sticas parecidas a un virus.)
     Los virus computacionales en realidad son un caso especial de
otra cosa llamada  "logica maligna", y otras formas de logica maligna
-- notablemente los caballos de Troya -- son mas rapidos, mas
efectivos, y mas dificiles de detectar que los virus computacionales.
Sin embargo, en computadoras personales se programan mas virus
computacionales que Troyanos. Hay dos razones para esto: (1) Ya que
los virus se propagan, el numero de usuarios a los que se les puede
causar da�o es mucho mayor que el caso de los Troyanos; (2) Es casi
imposible rastrear la fuente de un virus ya que los virus no estan
ligados a cualquier programa en particular. Para mas informacion en
programas malignos en sistemas muti-usuarios, ver el escrito de Matt
Bishop, "An Overview of Malicios Logic in a Research Enviroment",
disponible mediante FTP anonimo en Dartmounth.edu (129.170.16.4) en
"pub/security/malilogic.ps".

9) Algunas personas dicen que desinfectar los archivos es una mala
idea. Es esto cierto?

     Desinfectar un archivo es completamente "seguro" solo si el
proceso de desinfectado restituye el estado no infectado del objeto
completamente. Esto es, no solo se debe  de remover el virus del
archivo, pero la longitud del archivo debe ser restituida
exactamente, asi como el tiempo y fecha de su ultima modificacion,
todos los archivos en el encabezado, etc. Algunas veces es necesario
estar seguros que el archivo sea colocado en los mismos clusters del
disco que ocupaba antes de la infeccion. Si esto no se efectua,
entonces un programa que utiliza alguna clase de auto-chequeo o
proteccion de copias puede parar de funcionar adecuadamente, se es que
funciona.
     Ninguno de los programas desinfectantes actualmente disponibles
hacen todo esto.  Por ejemplo, a causa de los errores que existen en
muchos virus, alguna de la  informacion del archivo original es
destruida y no puede ser recuperada. Otras     veces, es incluso
imposible detectar que esta informacion a sido destruida y advertir al
usuario. Ademas, algunos virus alteran la informacion ligeramente y de
una forma aleatoria (Nomenklatura, Phoenix), asi que no es muy
factible encontrar que archivos fueron alterados.
     Por lo tanto, usualmente es mejor remplazar los objetos
infectados con respaldos limpios, siempre que estes seguro que tus
respaldos no esten infectados (ver D10). Tu debes tratar de
desinfectar archivos solo si estos contengan alguna clase de
informacion valiosa que no puede ser restaurada del respaldo o
copilada de la fuente original.

E10) Puedo evitar los virus evitando el shareware/software
gratuito/juegos ?

     No. Hay muchos casos documentados en los cuales aun software
comercial     "empacado" fue inadvertidamente distribuido con virus.
Evitando shareware,     freeware, juegos, etc. solo lo aisla de una
vasta coleccion de software (alguno es     muy bueno, otro es muy
malo, casi todo esta regular).
     Lo importante es no perderse cierto tipo de software, pero ser
cuidadoso de     cualquiera y todo software adquirido recientemente.
Con solo rastrear todo el     software nuevo para encontrar virus
conocidos seria una forma algo efectiva para     prevenir infecciones
de virus, especialmente cuando se combina con otra estrategia de
prevencion/deteccion como la administracion de integridad de los
programas.

11) Puedo contraer un virus en mi PC al ejecutar un "DIR" de un
disquete infectado ?

     Si tu asumes que la PC tu estas usando estaba limpia de virus
antes de ejecutar el comando DIR, entonces la respuesta es no. Sin
embargo, cuando tu realizas un  DIR, el contenido del sector de
arranque del disquete es cargado en la memoria  buffer para usarse al
determinar la composicion del disco etc., y algunos productos
antivirus buscan esta memoria buffer, que puede causar que algunos
paquetes antivirus pongan el mensaje "xyz virus fue encontrado en
memoria, apague la  computadora de inmediato". 
     En realidad, el virus no es una amenaza de esta forma ya que el
control del CPU nunca se le da al codigo del virus residente en el
buffer. Pero, aun cuando el virus no es realmente una amenaza en este
punto, este mensaje no debe ser ignorado. Si tu recibes un mensaje
como estos, y luego reinicialisas desde un disquete de DOS limpio y
rastreas tu disco duro y no encuentras virus, entonces tu sabes que el
falso aviso fue causado por el hecho que un sector de arranque fue
cargado a un buffer, y el disquete debe ser propiamente desinfectado
antes de usarse. El uso del DIR no infectara un sistema limpio, aun si
el disquete al cual se le ejecuta si contiene un virus.

12) Hay algun riesgo si copio archivos de datos desde un disquete
infectado al disco duro limpio de la PC?

     Asumiendo que tu no arrancaste o corriste algun programa
ejecutable del disco     infectado, la respuesta es generalmente que
no. Hay dos advertencias: 
    1) tu deberias de estar algo preocupado de verificar la integridad
de estos archivos  de datos ya que pudieron ser destruidos o alterados
por el virus, y 
     2) si cualquier archivo de "datos" es interpretado como
ejecutable por otro     programa (como las macros de Lotus) entonces
estos archivos deben ser tratados     como potencialmente malignos
hasta que los sintomas de la infeccion sean     conocidos. 
     El proceso de copiado por si solo es seguro (con las condiciones
anteriores). Sin embargo, tu deberias estar preocupado con que tipo de
archivos se esten copiando para evitar introducir otros problemas.

13) Puede un virus de DOS sobrevivir y esparcirse en un sistema OS/2
usando el sistema de archivos HPFS ?

     Si, tanto los virus que infectan los archivos y los que infectan
el sector de arranque pueden infectar las particiones de HPFS. Los
virus que infectan los archivos funcionan normalmente y pueden
activarse y hacer sus maldades, y los virus que atacan el sector de
arranque evitar que el OS/2 arranque si la particion primaria de
arranque fue infectada. Los virus que tratan de direccionar los
sectores de disco directamente no pueden funcionar porque el OS/2 no
permite esta actividad.

14) Bajo OS/2 2.0, podria una seccion de DOS infectada de virus
infectar otra seccion de DOS ?

     Cada programa de DOS es ejecutado en una Maquina Virtual de DOS
por     separado (sus espacios de memoria esten separados por el
OS/2). Sin embargo,     cualquier programa de DOS tiene casi completo
acceso a los archivos y discos, asi     que una infeccion puede
ocurrir si los archivos infectados por virus; en cualquier otra
seccion de DOS que ejecute un programa infectado por un virus que se
hace     residente en memoria sera a su ves infectado.
     Sin embargo, ten en mente que todas las secciones de DOS
comparten la misma copia del interprete de comandos. Entonces si este
se infecta, el virus estara activo  en *todas* las secciones de DOS.

15) Puede un normal de DOS funcionar bajo el MS Windows ?

     La mayoria de estos no puede. Un sistema que corre exclusivamente
MS Windows es, en general, mas resistente a los virus que un sistema
solo de DOS. La razon es que la mayoria de los virus que residen en
memoria no son compatibles con el manejo de memoria en Windows.
Ademas, la mayoria de los virus existentes da�an las aplicaciones de
Windows si tratan de infectarlos como archivos EXE normales. Las
aplicaciones da�adas paran de funcionar y esto alertara al usuario de
que algo  esta mal.

     Sin embargo, ser resistente a los virus de ningun modo significa
ser aprueba de virus. Por ejemplo, la mayoria de los virus residentes
que son bien portados infectan solo los archivos COM (Cascade es un
ejemplo excelente), trabajaran perfectamente en una ventana de DOS.
Tambien todos los virus no residentes que infectan los archivos COM
podaran ejecutarse e infectar. Y actualmente existe tan siquiera un
virus especial para Windows que puede da infectar propiamente una
aplicacion de Windows (si es compatible con el formato de los nuevos
archivos EXE).
     Cualquier manipulacion de bajo nivel de la interrupcion 13, como
la de los virus     residentes en el sector de arranque y los MBR,
tambien pueden afectar la operaci�n de Windows, especialmente si el
acceso protegido a disco (32BitAccess=ON en el SYSTEM.INI) esta
activado.


___      __       ___
\    /     \     /      \    /                             Pablo Saavedra.
 |   |       |   |        |   |                        psico@webhost.cl
 |   |       |   |        |   |        Si te interesa la psicologia, visita mi p�gina
 |    \__ |   | __ /    |    http://www.geocities.com/athens/3874/index.html
 \_____    _____/
             |   |
             |   |
             |   |
           /_ _\