azul nº1:(ARGEN.DOC):12/09/1995 << Back To azul nº 1
Archivo Azul; Desensamble/Análisis De Virus ─────────────────────────────────────────────────────────────────────────── Número 001; 15 De Agosto De 1995. Virus Argentina: Comentarios Generales. El virus Argentina, se estima, hizo su aparición en 1991. Su origen es fácil de determinar no sólo por su nombre, sino por los mensajes que muestra en varias fechas patrias argentinas. Como ya les dije en la introducción de esta Archivo Azul, se le adjudica al virus Argentina el mérito de ser el primer virus argentino original... Los otros virus nacionales antes aparecidos eran variantes menores de virus conocidos ya. Por ejemplo, tenemos el Jerusalem.Mendoza, y algún otro que no me acuerdo en este momento, y que de todas formas, no viene demasiado al caso mencionar. ;) Sin embargo, el virus argentina no es 'tan original' como cabría esperar. De hecho, sería una variante del Suriv, bastante modificada, pero variante al fin! ;) Es un virus infectador de archivos .COM bastante sencillo, lo cual no indica que no sea aceptablemente infeccioso. Por otro lado, tiene algunas desventajas en la forma de infectar que ya veremos más adelante. Nuestro virus es del tipo residente, y 'captura' la función EXEC de la Interrupción 21h (Función 4Bh, Subfunción 00h), para realizar las infecciones. Como es de esperar, una vez residente, el virus infectará todo archivo que se ejecute. El virus queda residente mediante la llamada a la función del DOS correspondiente, y aquí vemos una particularidad presente en muchos virus que utilizan esta forma de quedarse en memoria: al infectar un archivo, en vez de agregarse al final del huésped, se agrega al principio del archivo, con todo el programa original detrás. Esto de por sí es una gran desventaja, ya que cada vez que se va a infectar un archivo, el virus se copia a si mismo a un archivo auxiliar (que el mismo genera), copia todo el huésped atrás, y luego reemplaza el archivo original con este nuevo (nótese que se guarda la fecha del original y se la asigna al archivo ya infectado, para que no se note tanto la infección). ¿Por qué esta forma de infectar?; bueno, debido a que las funciones TSR del DOS permiten dejar N Párrafos (o sea, 16*N Bytes) residentes desde el comienzo del bloque de memoria, el código a dejar residente tendrá que estar precisamente ahí (ya que si estuviera al final del archivo, deberíamos dejar residente al virus junto con el huésped, lo cual sería algo costoso en memoria en muchos casos! ;)). Existen formas más prácticas y convenientes de solucionar este problema de la residencia vía DOS en los virus; en el próximo número de Archivo Azul haré una breve referencia a esto cuando comente mi virus 'Hijitus'. Otro detalle que podemos destacar es que el virus instala su propia rutina de la Int24h, para evitar que 'salte' ante un 'error crítico' (protección contra escritura, etc). Además, el autor tuvo especial cuidado en preveer cualquier posible error, y prácticamente todas las operaciones del programa sobre el disco y la memoria tienen a continuación una confirmación de si hubo o no error, caso en el cual el virus termina su ejecución. Notemos que el manejador de la Int24h se instala al comenzar la infección, y al terminar la misma, el vector original de la Int24h es restaurado. El detalle más característico del Argentina no se encuentra dentro de las cualidades técnicas del virus, sino más bien en los mensajes que muestra los días de activación; nuestro nacionalísimo amigo se activa en fechas patrias recordándonos que festeja nuestro país el día de la fecha... ¡Después de todo es un virus educativo! ;) En fin, un virus no demasiado complicado. Como ya vimos, tiene algunas falencias, pero yo las perdonaría, teniendo en cuenta que es el primer virus nacional más o menos 'original'. ;) Walt DiZnEy. PD: ¡Ya me olvidaba nombrar al autor!...Según el mensaje que muestra el virus, el autor sería un tal 'AfA', que por el momento que escribió el programa, estudiaría en un colegio secundario técnico: ENET Nro. 5. Esperemos que 'AfA' no haya abandonado su actividad vírica... Desde acá le mandamos saludos, y felicitaciones por ser uno de los pioneros coterráneos.