Virus Informáticos: Definición, Propagación y Estrategias de Defensa Digital

Virus Informáticos: Definición y Funcionamiento

Un virus informático es un programa de ordenador que se reproduce a sí mismo e interfiere con el hardware de una computadora o con su sistema operativo (el software básico que controla la computadora). Los virus están diseñados para reproducirse y evitar su detección. Como cualquier otro programa informático, un virus debe ser ejecutado para que funcione; es decir, el ordenador debe cargar el virus desde la memoria y seguir sus instrucciones. Estas instrucciones se conocen como carga activa del virus. La carga activa puede trastornar o modificar archivos de datos, presentar un determinado mensaje o provocar fallos en el sistema operativo.

Características Esenciales de un Virus Informático

Es un programa.
Es maligno.
Es pequeño.
Busca reproducirse y, en general, producir algún daño.

Mecanismos de Propagación de Virus Informáticos

Los virus informáticos se difunden cuando las instrucciones o código ejecutable que hacen funcionar los programas pasan de un ordenador a otro. Una vez que un virus está activado, puede reproducirse copiándose en discos flexibles, en el disco duro, en programas informáticos legítimos o a través de redes informáticas. Estas infecciones son mucho más frecuentes en ordenadores personales (PC) que en sistemas profesionales de grandes computadoras, debido a que los programas de los PC se intercambian fundamentalmente a través de discos flexibles o de redes informáticas no reguladas.

Los virus funcionan, se reproducen y liberan sus cargas activas solo cuando se ejecutan. Por ello, si un ordenador está simplemente conectado a una red informática infectada o se limita a cargar un programa infectado, no se infectará necesariamente. Normalmente, un usuario no ejecuta conscientemente un código informático potencialmente nocivo; sin embargo, los virus engañan frecuentemente al sistema operativo de la computadora o al usuario para que ejecute el programa viral.

Medios Comunes de Propagación Viral

Los medios de propagación de los virus son todos aquellos que supongan la introducción de información. Los más habituales pueden ser:

Discos flexibles.
CD-ROM, DVD.
Puertos de comunicaciones (correo electrónico, Internet, etc.). En la actualidad, la vía de Internet, junto con el correo electrónico (y gestores como Outlook), es la más usual.

Zonas del Sistema Más Susceptibles a la Infección

El sector de arranque de los discos flexibles y del disco duro (Master Boot Record – MBR).
La tabla de particiones.
Los archivos ejecutables (.EXE y .COM).
Archivos con macros.

Como caso especial, se menciona el virus CIH, que puede infectar la BIOS, inutilizando la configuración (SETUP).

Tipos de Virus Informáticos

Virus de Programa (o Parásitos)

Estos virus tienen la capacidad de adherirse a programas legítimos. Esta adhesión puede producirse cuando se crea, abre o modifica el programa legítimo. Cuando se ejecuta dicho programa, el virus también se activa. Los virus parásitos infectan archivos ejecutables o programas de la computadora. No modifican el contenido del programa huésped, pero se adhieren a él de tal forma que el código del virus se ejecuta en primer lugar.

Ciclo de Infección de un Virus de Programa:

Se ejecuta el programa legítimo.
El virus se ejecuta como parte del programa anterior y toma el control.
Busca un nuevo sitio (otros programas) para ocultarse y permite que el programa original siga ejecutándose.
Puede instalarse en memoria para infectar otros archivos.

Este tipo de virus suele afectar a archivos con extensiones como .EXE, .COM, .SYS y .DLL.

Subtipos de Virus de Programa:

Virus de acción directa: Selecciona uno o más programas para infectar cada vez que se ejecuta.
Virus residentes: Se oculta en la memoria del ordenador e infecta un programa determinado cuando este se ejecuta.

Virus del Sector de Arranque (BOOT)

Los virus del sector de arranque inicial residen en la primera parte del disco duro o flexible, conocida como sector de arranque inicial (Master Boot Record – MBR). Sustituyen los programas que almacenan información sobre el contenido del disco o los programas que arrancan el ordenador. Estos virus suelen difundirse mediante el intercambio físico de discos flexibles.

Virus Multipartitos

Estos virus combinan las capacidades de los virus de programa y de sector de arranque inicial. Pueden infectar tanto archivos de programa como sectores de arranque, lo que los hace particularmente difíciles de eliminar.

Virus Polimórficos

Los virus polimórficos efectúan variaciones en las copias de sí mismos para evitar su detección por los programas antivirus de rastreo. Cada nueva copia del virus puede tener un código ligeramente diferente, lo que dificulta su identificación por patrones fijos.

Virus de Macros (o de Archivos de Datos)

Estos virus infectan programas que contienen lenguajes de macros potentes (lenguajes de programación que permiten al usuario crear nuevas características y herramientas), como los documentos de Microsoft Word o Excel. Están escritos en lenguajes de macros y se ejecutan automáticamente cuando se abre el programa legítimo que contiene la macro infectada. Son independientes de la máquina y del sistema operativo, y están muy extendidos, especialmente los ligados a las macros de Word.

Virus Acompañantes

Los virus acompañantes no modifican los archivos existentes, sino que crean un nuevo programa con el mismo nombre que un programa legítimo. Engañan al sistema operativo para que ejecute el virus en lugar del programa original.

Virus de Vínculo

Los virus de vínculo modifican la forma en que el sistema operativo encuentra los programas. Engañan al sistema para que ejecute primero el virus y luego el programa deseado, redirigiendo la ejecución.

Ciclo de Vida de un Virus Informático

Diseño y Programación: El virus es creado por su autor.
Distribución: Se propaga públicamente a través de diversos medios.
Activación/Ejecución: El virus es activado o ejecutado en un sistema.
Instalación: Se instala en el sistema para iniciar su propagación.
Reproducción: El virus se replica a sí mismo.
Ejecución de Carga Activa: Realiza las acciones para las que fue diseñado, cuyos resultados son de muy diversa índole (daños, mensajes, etc.).
Detección y Combate: Aparece el antivirus para detectarlo y eliminarlo.

Estrategias de Evasión de los Virus Informáticos

Los autores de virus emplean diversas estrategias para escapar de los programas antivirus y propagar sus creaciones con mayor eficacia:

Virus Polimórficos: Realizan variaciones en las copias de sí mismos para evitar su detección por los programas de rastreo, cambiando su código en cada infección.
Virus Sigilosos (Stealth Viruses): Se ocultan del sistema operativo cuando este comprueba el lugar en que reside el virus, simulando los resultados que proporcionaría un sistema no infectado.
Virus Infectores Rápidos: No solo infectan los programas que se ejecutan, sino también aquellos que simplemente se abren. Esto implica que la ejecución de programas de rastreo antivírico en un ordenador infectado por este tipo de virus puede llevar a la infección de todos los programas del sistema.
Virus Infectores Lentos: Infectan los archivos solo cuando estos se modifican. De esta forma, los programas de comprobación de suma interpretan que el cambio de suma es legítimo, dificultando su detección.
Virus Infectores Escasos: Solo infectan en algunas ocasiones; por ejemplo, pueden infectar un programa de cada diez que se ejecutan. Esta estrategia hace más difícil detectar el virus debido a su comportamiento intermitente.

Tácticas Antivíricas y Protección

Preparación y Prevención

Los usuarios pueden prepararse frente a una infección viral creando regularmente copias de seguridad del software original legítimo y de los archivos de datos, para poder recuperar el sistema informático en caso necesario. Es recomendable copiar el software del sistema operativo en un disco flexible y protegerlo contra escritura, para que ningún virus pueda sobreescribir el disco. Las infecciones virales pueden prevenirse obteniendo los programas de fuentes legítimas, empleando un entorno de cuarentena para probar los nuevos programas y protegiendo contra escritura los discos flexibles siempre que sea posible.

Detección de Virus

Para detectar la presencia de un virus, pueden emplearse varios tipos de programas antivíricos:

Programas de Rastreo (Escáneres): Reconocen las características del código informático de un virus (firmas) y buscan estas características en los archivos del ordenador. Dado que los nuevos virus deben ser analizados al aparecer, estos programas deben ser actualizados periódicamente para ser eficaces. Algunos programas de rastreo buscan características habituales de los programas virales, aunque suelen ser menos fiables.
Programas de Comprobación de Suma (Checksummers): Emplean cálculos matemáticos para comparar el estado de los programas ejecutables antes y después de ejecutarse. Si la suma de comprobación no cambia, el sistema no está infectado. Sin embargo, estos programas solo pueden detectar una infección después de que se produzca.
Programas de Vigilancia (Monitores de Comportamiento): Detectan actividades potencialmente nocivas, como la sobreescritura de archivos informáticos o el formateo del disco duro de la computadora.
Programas Caparazones de Integridad (Integrity Shells): Establecen capas por las que debe pasar cualquier orden de ejecución de un programa. Dentro del caparazón de integridad se efectúa automáticamente una comprobación de suma, y si se detectan programas infectados, no se permite que se ejecuten.

Contención y Recuperación

Una vez detectada una infección viral, esta puede contenerse aislando inmediatamente los ordenadores de la red, deteniendo el intercambio de archivos y empleando solo discos protegidos contra escritura. Para que un sistema informático se recupere de una infección viral, primero es fundamental eliminar el virus. Algunos programas antivirus intentan eliminar los virus detectados, pero a veces los resultados no son completamente satisfactorios.

Se obtienen resultados más fiables siguiendo estos pasos:

Desconectar la computadora infectada de la red.
Arrancarla de nuevo desde un disco flexible o USB protegido contra escritura.
Borrar los archivos infectados y sustituirlos por copias de seguridad de archivos legítimos.
Eliminar cualquier virus que pueda haber en el sector de arranque inicial.