🚀 go-pugleaf

1) Cuales son los sintomas e indicaciones que muestra una infeccion ?

     Los virus se tratan de dispersar lo mas posible antes de dejar su
"carga", sin embargo puede haber sintomas de la infeccion antes de que
esto suceda, este es el momento mas oportuno par realizar la
desinfeccion del sistema y evitar destrucciones en los discos.
     Hay varios tipos de sintomas que los programadores han escrito en
sus virus, tales como desplegados en pantalla, mensajes, musica. Sin
embargo los principales     indicadores son cambios en el tama�o de
los archivos y en su contenido, el cambio en vectores de interrupcion
o reasignamieto en otros recursos del sistema. El uso inesperado de
RAM o la reduccion en la cantidad de RAM libre esperada en la maquina,
son indicadores importantes de una infeccion. Para un ojo experto, el
analisis del codigo es importante, Sin embargo hasta un principiante
puede distinguir las diferencias entre un sector de arranque infectado
y uno limpio. Sin embargo, estos sintomas, junto con una actividad mas
larga en el disco y un comportamiento exotico del hardware pueden ser
causados tambien por causas legitimas o por software inofensivo, o
bien -por fallas en hardware.
     El unico metodo a prueba de tontos para determinar si un sistema
esta infectado es que un experto analize todo el codigo de todos los
programas y todas las areas del sistema, pero esto es muy poco
practico. Los programas rastreadores de software tratan de hacer esto
buscando rastros de codigo de algun virus conocido, algunos usan
metodos heruristicos para la busqueda de puntos que contengan codigo
viral, este ultimo metodo no es del todo confiable. Seria muy sabio de
tu parte el armarte con las ultimas versiones del software anti-virus
ademas de poner mucha atencion a tu sistema; busca especialmente en
los mapeos de memoria, cambios en el arranque.
     Para los usuarios de DOS 5.0 o mayor, es muy util el comando MEM
con la     bandera /C. Si eres usuario de DR DOS, el comando MEM con
la bandera /A es     igualmente util, si tienes una version mas
reciente, usa las herramientas CHKDSK,     PMAP o MAPMEM. No tienes
que saber que significan los numeros, solo tienes     que revisar si
estos cambian. Usuarios de Mac tiene la opcion �Info�, aunque tal
vez necesiten ResEdit para obtener mas detalles.

2) Que pasos hay que tomar para identificar y diagnosticar virus ?

     En una gran mayoria de los casos, un programa rastreador de virus
se hara cargo de eso (solo recuerda que los programas anti-virus
cambian constantemente, recuerda  tambien que los diferentes autores
pueden llamar a un mismo virus de maneras diferentes, es por eso que
conviene correr dos programas diferentes para la identificacion de un
virus, cuando busques ayuda menciona los nombres de los programas que
usaste, las versiones y los nombres que estos programas le dieron al
virus) Para una mejor identificacion de problemas, corre las
herramientas en discos nuevos y de fuentes originales, ya sea cuando
un checador de integridad marque una diferencia, cuando un programa de
monitoreo active alarma o cuando recibas una version nueva de algun
anti-virus (o bien un antivirus diferente al que estas utilizando).
Sin embargo, no es recomendable el insertar una linea en el
AUTOEXEC.BAT que revise todo el disco cada vez que arranques tu
computadora.
     Si caes en algun estado de alarma que tu programa anti-virus no
identifique     claramente o que no pueda solucionar bien, primero
revisa que tengas la ultima     version del software, despues ponte en
contacto con algun investigador anti-virus     respetable que
seguramente te pedira que le mandes una copia del programa
infectado. Leease tambien C10.

3) Cual es la mejor manera de remover un virus ?

     Para que el tiempo perdido y las perdidas en disco sean menores,
haz lo minimo  necesario par restablecer el disco a un estado de
funcionalidad "standard", comienza por arrancar la maquina con un
sistema operativo limpio (no queremos darle formato de bajo nivel a tu
disco duro verdad?).
     Si tienes respaldos de los archivos infectados, y los respaldos
fueron hechos con el cuidado necesario, reestablecer los archivos es
la solucion mas segura, aunque sea muy laborioso en caso de que los
archivos involucrados sean muchos.
     Mas comunmente se hace uso de una herramienta anti-virus. Si el
virus en un     infector de sectores de arranque y arrancas tu maquina
con el sistema operativo de     un sistema limpio, puedes seguir
utilizando tu maquina con relativa seguridad, pero     es muy sabio el
revisar todos tus discos buscando una posible infeccion ya que,
tarde o temprano, puedes olvidar un disco infectado en el drive de tu
maquina en el     momento de arrancarla. Los virus infectores de
sectores de arranque se pueden     quitar en algunos casos con dos
acciones muy sencillas: reemplazando el MBR con un respaldo o con el
comando FDISK /MBR (para DOS 5.0 y mayores) y despu�s utilizando el
comando SYS para transferirle sistema operativo al disco.

4) Que son falsas positivas y falsas negativas ?

     Una FALSA POSITIVA (o tipo I) es cuando la herramienta anti-virus
reporta que     un archivo determinado esta infectado y este en
realidad esta limpio. Una FALSA     NEGATIVA (o tipo II) es cuando la
herramienta anti-virus no reporta la infeccion     presente en un
archivo. Es claro que las falsas negativas son algo mas peligroso que
las falsas positivas, aunque las dos son indeseables.
     Esta comprobado por el Dr. Fred Cohen que todas las herramientas
anti-virus     tienen falsas positivas o falsas negativas o ambas. Sin
embargo este teorema no     implica que un programa no pueda tener
ninguna falsa negativa y *muy pocas* falsas positivas (p.ej: cuando la
unica falsa positiva se da en un archivo que nunca sera ejecutado, asi
que tecnicamente no tenemos virus).
     En el caso de los rastreadores (scanners) las falsas positivas
son raras, pero se     pueden ocasionar si el "string" buscado esta
presente en algun programa benigno     dado a que el "string" no fue
escogido correctamente. Las fasas negativas son mas     frecuentes
cuando se tiene el caso de un virus nuevo o uno conocido muy
modificado.
     Hay otro problema que puede ser muy serio: Una positiva que se
diagnostique     incorrectamente (p.ej. que el programa detecte un
virus "Empire" en el sector de     arranque y que lo reporte como un
"Stoned". En el caso de virus infectores de     sector de arranque, el
uso de una "cura" generica para "Stoned" en la recuperacion     de un
ataque de "Empire" puede resultar un disco ilegible o en la perdida de
alguna     particion extendida. Similarmente, el uso de alguna cura
generica puede ocacionar     archivos ilegibles en caso de que no se
haga una revision (p.ej, revisando el     checksum) de que el archivo
recuperado sea igual al archivo original. Algunos     productos
recientes almacenan informacion sobre los programas originales para
poder realizar la verificacion en procesos de recuperacion.

5) Puede estar infectado un programa anti-virus ?

     Definitivamente SI, de modo que es importante el obtener este
software de fuentes originales y confiar en los resultados solo
despues de haber arrancado la maquina con un sistema operativo limpio.
Sin embargo, hay ocasiones en que el programa anti-virus parece estar
infectado cuando en realidad esta limpio.
     Muchos programas hacen intentos muy duros por encontrar solo
infecciones virales, pero en algunos casos dan falsas alarmas. Si dos
diferentes programas son ratreadores, enotonces contienen los
codigos-firma para identificar un virus. Si estos codigos no estan
encriptados, entonces seran identificados como un virus por otro
programa. Ademas, si el rastreador no remueve los codigos de la
memoria, entonces otro programa detectara "virus en memoria".
      Algunos programas a�aden codigo o datos a un programa con la
intencion de     protegerlo, otro programa que revise por cambios en
tama�o puede reportar estos     archivos como sospechosos.
     Es muy sano utilizar mas de una herramienta anti-virus, tienes
que estar atento ya  que, dada su naturaleza, se pueden confundir unos
con otros.

6) Por que un detector reporta infeccion viral solo en ocasiones ?

     Hay circunstancias en las cuales solo una parte del virus esta en
RAM sin estar     activo: Si tu programa anti-virus reporta virus en
memoria solo ocacionalmente,     puede ser debido a las lecturas de
disco que realiza en buffer del sistema operativo, manteniendo objetos
que pueden contener virus (inactivo) en la memoria, en este caso
tambien se encontrara virus en el disco. O bien despues de correr otro
rastreador, pueden quedar strings (de nuevo inofensivas) en memoria.
Esto es llamado en algunos casos "ghost positive alert".


7) Creo que encontre un virus nuevo, que hago ?

     Siempre que haya duda sobre algun virus, debes obtener la version
mas reciente de las herramientas anti-virus (varias, no una sola),
muchas de ellas utilizan chequeo heuristico (F-PROT,CHECKOUT y
SCANBOOT p. ej) y ademas hay "monittores de actividad" que puden
reportar como virus a algo que no es un virus. Si la revision por
codigos-firma no detecta nada pero el chequeo heuristico si (o bien
hay otras razones para sospechar una infeccion como cambio en el
tama�o del archivo), entonces probablemente hayas detectado un virus
nuevo, sin embargo las posibilidades de estar ante un archivo
modificado, pero benigno son mayores. Comienza por buscar en VIRUS-L
por falsos positivos "detectados" y despues contacta al autor de la
herrmienta que lo reporta como un virus; la documentacion del programa
anti-virus debe de indicar el procedimiento a seguir en caso de
econtrar un virus nuevo. Contempla la opcion de utilizar los programas
BootID o Checkout para calcular el "hashcode" del disco en caso de que
el virus sea infector de sectores de arranque, caso contrario, envia
el disco o el virus "vivo" cuando te  sea pedido.

8) CHKDSK reporta 639K de memoria, o menos, virus en mi computadora?

     Si CHKDSK reporta 639K como memoria total en lugar de 640
(655,360 bytes)     -de modo que te falta 1K- entonces es probable que
se deba a una razon ajena a un virus, ya que hay muy pocos virus que
ocupen 1K de memoria, algunas razones     legitimas para este "K"
perdido son:
     1) Una computadora PS/2. IBM PS/2 reservan 1K de memoria
convencional RAM como area de datos para el BIOS extendido, es decir,
para datos adicionales que requiera BIOS.
     2) Una computadora con American Megatrends Inc. (AMI) BIOS, que
esta     configurado (con el programa incluido de CMOS para
configuracion) de modo que     el BIOS usa 1K de la parte superior de
la memoria para almacenar sus variables.
    3) Un controlador SCSI.
    4) El programa DiskSecure.
    5) Un buffer para raton para maquinas Compaq de a�os pasados.

     Ahora, si te estan faltando 2K de los coonvencionales (512 o
640), entonces es     muy probable que tengas un virus infector de
sectores de arranque (Stoned o Miguel Angel), aun en estos casos hay
razones legitimas para esta falta de memoria.
     1) Programas para prevenir el acceso desde floppys.
     2) Computadoras HP/Vectra

     Sin embargo esta son solo algunas normas, si deseas estar seguro
de que lo que estas consumiendo tu memoria no es un virus, entonces
deberias:
     (1) Correr varios detectores de virus.
     (2) Buscar por cambios en el tama�o de la memoria de vez en
cuando.
     (3) Compara el tama�o total de la memoria con aquel que obtienes
de un disco con sistema operativo limpio, este ultimo debera de
mostrar la memoria total de que ofrece la configuracion de tu sistema.

     Nota: En todos los casos, CHKDSK debe ser ejecutado sin software
como     Windows o Desqview, el CHKDSK ejecutado desde una ventana de
DOS arrojara     valores poco representativos.

     Notese tambien que algunas maquinas tienen memorias diferentes a
640K. 

C12) Tengo un ciclio infinito de subdirectorios en mi disco, hay virus
en el sistema?

     Probablemente no. Eso sucede algunas veces, cuando algo se coloca
en el campo del numero de "cluster" el mismo numero que en un nivel
superior (usualmente el raiz). La bandera /F del CHKDSDK debera de
arreglar esto, igual que otras herramientas. **NO** borres ningun
archivo, ya estaras borrando el original (ya que solo es un segundo
apuntador en el archivo original)


___      __       ___
\    /     \     /      \    /                             Pablo Saavedra.
 |   |       |   |        |   |                        psico@webhost.cl
 |   |       |   |        |   |        Si te interesa la psicologia, visita mi p�gina
 |    \__ |   | __ /    |    http://www.geocities.com/athens/3874/index.html
 \_____    _____/
             |   |
             |   |
             |   |
           /_ _\