Tras
la aparición del virus VBS/LoveLetter, más conocido como ILOVEYOU, desde el pasado 4 de
Mayo, han sido reportados gran cantidad de gusanos programados en VBScript. ¿Cuál es la
razón de esto?
En primer lugar, vale la pena aclarar, que el VBS/LoveLetter no fue el
primer virus desarrollado en VBScript ni mucho menos. Ya existían, desde 1999, virus
gusanos como el VBS/FreeLink, VBS/Monopoly o VBS/Bubbleboy, entre otros, que aprovechaban
este simple lenguaje de programación para crear programas capaces de infectar sistemas,
instalar troyanos y autoenviarse por correo electrónico. Lo diferente entre el ILOVEYOU y
el resto de sus antepasados fue la masividad que alcanzó éste.
Para aquellos que no sepan lo que es VBScript, es un lenguaje de scripting utilizado
para agregar funcionalidad a las páginas webs, el cual fue adaptado para poder generar
archivos ejecutables que faciliten ciertas funciones del sistema operativo, si el usuario
lo desea. El mismo está basado en el lenguaje de programación Visual Basic, y es
desarrollado por Microsoft.
Volviendo al tema que nos convoca aquí, el virus ILOVEYOU infectó millones de
ordenadores en todo el mundo, siendo, por lejos, el virus más prolífero de la era
internet, superando por varias cabezas al Melissa y muchos otros gusanos de internet
anteriores.
Pero, ¿qué tiene que ver esto con que cada día aparecen más y más virus
desarrollados en VBScript? La respuesta es simple. Antes de que existiera el Melissa,
ningún macrovirus era capaz de autoenviarse por correo electrónico por sí sólo. Dada
la gran cantidad de reportes de este virus, el código fuente del mismo fue difundido a
cientos de programadores que supieron cómo podía hacerse un virus de esta
característica. Por ello, luego de la aparición del Melissa, han sido descubiertos
cientos, sino miles, de nuevos virus basados en él, aunque no todos hayan tenido una gran
proliferación ni difusión.
De esta misma manera, decenas de variantes y nuevos gusanos han sido desarrollados
basándose en el código fuente del ILOVEYOU, dado que al ser sufrido por millones de
usuarios, el mismo ha llegado a cientos de programadores en todo el mundo que aprovecharon
sus rutinas de reproducción para crear nuevos especimenes. Esto hace que cada vez hayan
más y más de este tipo de virus, entre los que podemos nombrar el VBS/NewLove, el
VBS/FireBurn, el VBS/CoolNote y el VBS/Scrambler, entre muchos otros que siguen
apareciendo semana a semana.
Ahora, también ha sido reportado el virus Timofonica, también desarrollado en
VBScript, basado en parte en el ILOVEYOU, y con una rutina especial que le permite enviar
spam a telefonos celulares. Esto demuestra nuestra opinión acerca de la creciente
aparición de este tipo de virus, debido a que se basan en el ILOVEYOU.
También vale destacar que los archivos .vbs son ejecutados por el sistema sin enviar
ninguna alerta al usuario, como si lo hacen los archivos del Office, portadores de los
macrovirus. Esto hace que el usuario no sepa que lo que está ejecutando es un programa
que puede dañar su equipo.
Además se ha podido observar un gran trabajo de ingeniería social por parte de los
programadores de alguno de estos nuevos gusanos, dado que para confundir a los usuarios
menos expertos, han modificado la extensión de los archivos que contienen los virus. De
esta manera, el usuario no ve la verdadera extensión del mismo, y lo abre sin saber que
posiblemente se trate de un virus.
Pero el usuario de correo electrónico no debe preocuparse. Existen formas simples de
parar el accionar de estos virus antes que los mismos causen algún daño:
- Modificar la configuración de su sistema para que muestre las extensiones de los
archivos correctamente. Para ello se debe abrir el Explorador de Windows, elegir
"Opciones..." del menú "Ver", y desmarcar la opción que dice Ocultar
extensiones de archivos MS-DOS para tipos de archivos registrados.
- No abrir jamás un archivo cuya finalización sea .vbs si es recibido por correo
electrónico. En caso de recibir uno, remitirlo a ejemplos@virusattack.com.ar para su
analisis.
- Desactivar los archivos de VBScript para que no se ejecuten. Para ello, hemos preparado
un documento que puede ser bajado desde aquí,
donde se explican los pasos para deshabilitar la ejecución de este tipo de archivos,
evitando así el accionar de un supuesto virus.
Si los usuarios de internet siguen estas directivas, y mantienen una conducta
responsable, este tipo de amenazas, muchas veces infladas por los medios (incluyendonos en
algunas ocasiones, muy a nuestro pesar), podrán ser neutralizadas.
Más información en:
Virus
Attack!
VSAntivirus
Ignacio M. Sbampato
