Un virus infecta en dos días más de 200.000 ordenadores en España

Semana negra en la Red. Tras la aparición de los virus Blaster y Nachi, ahora le ha llegado el turno a Sobig.F, un virus que en menos de 48 horas ha superado todos los récords de propagación en Internet. En España, por ejemplo, sólo entre el martes y el miércoles infectó unos 200.000 ordenadores, según el Centro de Alerta Temprana (CAT), del Ministerio de Ciencia. El Sobig.F, que ha sembrado la alarma en otros 29 países, se transmite por correo electrónico (con texto en inglés) y las carpetas compartidas en redes de Microsoft. Aunque no destruye el sistema operativo, sí que puede abrir una puerta trasera en el ordenador que permite, desde el exterior, el robo de sus contraseñas e información.

La semana pasada, el virus Blaster desataba las alarmas en el campo informático. Esta semana le ha tocado el turno a Sobig.F, la última mutación de un virus aparecido a finales de mayo. El resultado, con millones de ordenadores afectados en el mundo, representa una de las mayores epidemias conocidas en Internet y pulveriza los efectos del Blaster (que infectó en todo el mundo a la mitad de ordenadores que el Sobig.F en España).

Por fortuna, el virus no es destructivo y sólo se reproduce, enviando copias a otros internautas. Desafortunadamente, esta aseveración puede cambiar en cualquier momento a voluntad del creador del virus, gracias a un sistema de actualizaciones similar al que emplea Windows para instalar nuevos componentes del sistema.

El virus, de hecho, sólo afecta a los sistemas operativos de la familia Windows (95, 98, ME y XP), así como al NT y 2000, que también pertenecen a Microsoft. Sus vías de propagación son el correo electrónico y también los recursos compartidos en redes de Microsoft (por lo que puede afectar a las redes internas de las empresas).

Sobig.F afecta a estos sistemas operativos pero no los daña. Por ello el CAT y varias empresas antivirus califican el daño que ocasiona este virus de mediano. En cambio, la difusión y la dispersabilidad del virus es considerada alta por el CAT.

El correo electrónico en el que se oculta el virus viene con el asunto escrito en inglés (ver el gráfico) y generalmente el remitente es una persona de confianza, que previamente ha sido infectada. Si el mensaje se abre, se instala en el sistema de recepción. Entonces utiliza las direcciones del correo del usuario recién infectado para reenviarse y extenderse.

A parte de este comportamiento, el Sobig.F es capaz de abrir una puerta trasera en el ordenador infectado que permite el robo de contraseñas y la destrucción de datos. Esta última técnica no es nueva. Ya hace tres años el virus Hybris la desarrolló por primera vez. Unos pequeños módulos de código, bautizados como muecines, se encargaban de llamar a todas las copias del virus en cada luna llena, con el fin de suministrarles nuevas características víricas. Sobig.F efectúa la misma tarea, abriendo cinco puertos (del 995 al 999) en las máquinas que infecta; a través de estos canales de comunicación, el virus es capaz de recibir comandos enviados ex profeso por su autor, generalmente en forma de direcciones web desde las que puede descargar archivos de actualización para mejorar su código, dificultar su desinfección, o añadir funciones inéditas. Entre estas funciones podría incluirse el robo o la eliminación de información.

Desinfección

Es por ello que el CAT recomienda extremar las medidas de precaución y desconfiar sistemáticamente de cualquier archivo adjunto no solicitado. Los usuarios infectados pueden acudir a la página web del CAT (www.alerta-antivirus.es) donde se proporciona información sobre los métodos a seguir para eliminar el virus y donde diariamente se actualizan los datos sobre los diferentes virus existentes y sus métodos para combatirlos. Los informáticos recuerdan la necesidad de actualizar los antivirus y de instalar los parches de seguridad necesarios para tapar las vulnerabilidades por las que se introducen los virus. Sobig.F, como otros virus, tiene fecha de caducidad. El 10 de setiembre se autodesactivirá.

El presidente de la Asociación de Internautas, Víctor Domingo, señaló ayer que con las últimas alertas de virus lo que se está consiguiendo es que los usuarios protejan mejor sus equipos.