Control De Virus Informatico

CONTROLA LOS VIRUS INFORMATICOS

a. Test de la longitud de los archivos

Cuando un virus se instala en un programa, por lo general aumenta su tamaño, delatando su presencia. Efectivamente, si el tamaño de un archivo aumenta sin que usted lo modifique, puede sospechar que está en presencia de un virus. Algunos nombres de virus son simplemente la longitud del código complementario en bytes que introducen en los programas. Por consiguiente, se puede registrar en un archivo especial la longitud de todos los archivos sensibles. Luego se comparará la nueva longitud de los archivos a la precedente. Si hay una divergencia, hay que tenerla en cuenta: ¿usted es el autor de esa modificación? Si no, puede pensar en la existencia de un virus.

Esta fórmula no funciona si el virus se conforma con reemplazar el código del vector por su propio código, de manera tal que no modifica la longitud del archivo. En ese caso, hay que aplicar un método más poderoso que implique un cálculo matemático.

El proceso de verificación del tamaño de un archivo en este caso se basa en el cálculo de un valor de control aplicando los códigos de redundancia cíclica, o CRC:

Se calcula un polinomio binario característico del archivo y se lo divide por otro polinomio de valor convenido. El resto constituye el valor de control.

La menor modificación del archivo, aunque sólo se trate de una inversión de dos caracteres, da un valor de control diferente.

En la práctica, se calculan valores de control para todos los archivos, y se los registra.

Luego se vuelve a realizar el cálculo y se comparan los resultados nuevos a los precedentes.

Cualquier divergencia puede indicar la presencia de un virus, pero corre por su cuenta averiguar en qué punto se encuentra.

Observe que el simple cambio de una clave de acceso, o una modificación del archivo Autoexec.bat, modificará el valor de control.

Este principio permite que un detector descubra la presencia de algunos virus, inclusive de virus desconocidos.

Los programas de detección de virus proceden de este modo; algunos detectores más poderosos crean su propio algoritmo de cálculo de valor de control, denominado "marca o firma del programa". Y mejor aún, para poner en jaque a virus particularmente perversos, el programa antivirus puede recurrir a un generador de divisor polinómico (es el caso del V~Analyst, por ejemplo).

b. La fecha de los archivos

Muchos virus modifican la longitud de los archivos contaminados pero sin cambiar la fecha.

En cambio el DOS modifica siempre la fecha de un archivo en el que se acaba de trabajar para actualizarlo. Esto sugiere un segundo método de detección.

Si comprobamos que la longitud o el valor de control de un archivo cambió mientras que la fecha sigue siendo la misma, es probable que un virus lo haya atacado. Por lo general, los detectores de virus aplican este método.

Obsérvese que existen virus que modifican también la fecha o la hora, algunos las llevan premeditadamente a valores incorrectos, por ejemplo 62 segundos, o un siglo más.

c. La marca de los virus

Un virus no es más que un código informática. Puede contener una secuencia típica de código que indica su presencia y que se puede detectar. Es lo que denominamos su marca.

Puede tratarse de varios bytes representativos, de una cadena de caracteres, del texto del mensaje que el virus presenta en pantalla, etc.

Para la identificación de los virus se puede proceder realizando un listado de las "marcas" de todos los virus conocidos, y luego buscando en el disco la presencia de estas marcas, comparando los códigos registrados en el disco. Si se encuentran dos cadenas idénticas significa

...