|
Magistr, es quizás uno de los más ingeniosos y peligrosos, desarrollados a través de la historia de los virus informáticos, superando al tristemente célebre Chernobyl-CIH.
Emplea muy ingeniosas y complicadas técnicas de programación, totalmente desarrolladas en Assembler y debido a ellas es muy difícil de detectar y eliminar. De acuerdo a los comentarios contenidos en su código fuente, fue escrito en la ciudad de Malmo, Suecia, por un "hacker" que usa el pseudónimo de "The Judges Disemboweler" (Los Jueces de Disemboweler).
El virus-gusano
Magistr puede ingresar a un sistema de 3 diferentes maneras: a) via correo electrónico, b) usando redes locales (LAN) infectadas y c) cuando un archivo infectado es enviado a un sistema por cualquier medio de almacenamiento o descargado de Internet o Extranets.Inmediatamente después que un archivo infectado es ejecutado, el virus inicia su proceso de infección al sistema, incluyendo la distribución masiva de correo y después de un mes activa sus efectos destructivos.
Para ejecutar la distribución masiva de correo, el virus rastrea la base de datos de correo la libreta de direcciones de MS-Outlook Express, Internet Mail y Netscape Messenger y lee todos los mensajes de correo. Los detalles de la ubicación de las bases de datos de direcciones de correo y sus nombres son almacenados en un archivo especial con la extensión DAT. Dependiendo del primer caracter del nombre de este archivo, el virus lo copia al directorio raíz C:\ o a los directorios de "Windows" o el de "Program Files".
Luego, en forma imperceptible, Magistr hace uso del servidor SMTP (Simple Mail Transfer Protocol) que esté conectado a la computadora infectada y suplantando al usuario, envía mensajes de correo a través de ese servidor, conteniendo en forma aleatoria archivos EXE o SCR, ya infectados, que tienen una extensión no mayor a 132Kb.
Los Asuntos de los mensajes son seleccionados, en forma aleatoria, de los archivos DOC o TXT encontrados en la computadora infectada o desde una lista de frases en Inglés, Español o Francés, contenidas en el cuerpo del virus. El Cuerpo de los mensajes contienen, también aleatoriamente, textos tomados al azar de archivos encontrados en el disco. Tal inconstancia de la apariencia exterior de los mensajes de correo distribuidos, complican en forma significativa la identificación de los mensajes y/o sus archivos anexados infectados.
Es importante señalar al enviar los mensajes, este virus cambia al azar la dirección de retorno del remitente, con el simple hecho de borrar o cambiar algún caracter. Este accionar ayuda al virus a ocultar su actividad, debido a que el receptor del mensaje no podrá responder al supuesto remitente.
Una vez que el código del virus es ejecutado, Magistr infecta todos los archivos PE (Portable Executable) EXE y SCR, encontrados en los catálogos de W95/98/NT/2000 de todos las unidades locales y de Red (LAN) que estén conectados a la computadora infectada. Después de esto, el virus rastrea todos los recursos de Red, busca los catálogos e infecta los archivos PE (Portable Executable) EXE y SCR en ellos encontrados.
Al momento de la infección, este virus emplea varias sofisticadas técnicas de programación, que significativamente complican su detección y eliminación. El virus está dividido en 3 partes, 2 de ellas encriptadas con un poderoso algoritmo polimórfico:
Por consiguiente, después que el archivo infectado es ejecutado, el virus intercepta inmediatamente su ejecución en el "Puntero de Entrada" del programa y redirecciona el procesamiento de este programa hacia el código principal del virus. Sólo después que éste es completado, el virus devuelve el control al programa original, que obviamente ya se encuentra infectado.
Con el propósito de asegurar su constante presencia en los sistemas infectados, Magistr, modifica la configuración del archivo WIN.INI y el Windows System Registry (Registro del Sistema de Windows), de tal modo que el virus es activado cada vez que se inicie el sistema. Cuando infecta a los recursos de la Red, el virus inicialmente modifica el archivo WIN.INI.
Un mes después del primer día de la infección, el virus destruye todos los archivos de las unidades locales y de la Red, que ejecuten Windows NT/2000, reemplazando su contenido original por la frase "YOUARESHIT" (ERESUNAMIERDA). Bajo Windows 95/98, el virus adicionalmente borra la configuración del CMOS, que contiene las configuraciones de inicio del sistema y de su hardware y al igual que el virus Chernobyl (CIH), destruye la memoria del Flash BIOS. Finalmente muestra estos mensajes:
Another haughty bloodsucker....... Otra orgullosa sanguijuela......
YOU THINK YOU ARE GOD , TU PIENSAS QUE ERES DIOS,
BUT YOU ARE ONLY A CHUNK OF SHIT PERO TAN SOLO ERES UN PEDAZO DE MIERDA
Dependiendo de un disparador interno, el virus también ejecuta un efecto de sub-rutina que provoca una "estampida de íconos" de tal forma que cuando el usuario apunta a uno de ellos, el ícono inmediatamente cambia de ubicación y ya no es posible ejecutar la correspondiente aplicación.
PER ANTIVIRUS® versión 6.8, registro de virus del 22 de Marzo del 2001 detecta y elimina eficientemente este virus.
