Una guerra entre creadores de virus triplica el volumen de correo infectado

En el primer trimestre de 2004 ha habido más gusanos (virus que se difunden solos) en los mensajes de correo electrónico que en todo el año pasado. La razón es una guerra entre los creadores de Netsky, Bagle y Mydoom, por quién infecta el mayor número de ordenadores. Desde febrero hasta hoy, han aparecido decenas de nuevas versiones de estos virus, que colapsan buzones y redes. Sus creadores se insultan entre ellos, mediante mensajes camuflados en el código fuente de los gusanos.

Entre febrero y marzo, los buzones de correo de todo el mundo han visto como aumentaba vertiginosamente el volumen de mensajes con gusanos, hasta sobrepasar al correo comercial no deseado. Según el Centro de Alerta Temprana Antivirus, la media en España en el 2003 fue del 5% de mensajes infectados por virus. La semana pasada, era del 15,2%. Casi diariamente sale una nueva versión de los gusanos en liza, Bagle, Netsky y, siguiéndoles de lejos, Mydoom. Los dos primeros van ya por la versión W, a punto de llegar al final del alfabeto, que las casas antivirus usan tradicionalmente para designar las nuevas variantes de un mismo virus, lo que las obligará a redefinir sus sistemas de nomenclatura.

Los norteamericanos lo califican de avalancha, provocada por una competición en pos de la atención mediática. Netsky fue el responsable del 60% de ataques de virus durante el mes de marzo, según la empresa Sophos. De este gusano, que empezó la guerra y la está ganando, se dice que es responsable de más de diez millones de mensajes infectados. El objetivo de los tres gusanos es crear grandes redes descentralizadas de máquinas infectadas a sus órdenes, para bombardear ordenadores o mandar correo basura.

Bagle fue el primero en aparecer, el 18 de enero de 2004. Lo siguió Mydoom el 27 de enero. Probablemente de origen ruso, Mydoom es famoso por su vertiginosa propagación y por hacer que sus víctimas bombardeasen a la empresa estadounidense SCO, cuyos servidores quedaron fuera de combate. El 16 de febrero, nacía Nestky y, con él, la guerra. Estaba programado para borrar a Mydoom y otro famoso gusano, Mimail, de los ordenadores. Actualmente, borra también a Bagle. En su código fuente se escondía el mensaje: "Queremos matar a los escritores de código malicioso!". Bagle respondió, en una nueva versión: "No me arruines el negocio, quieres empezar una guerra?". Otra versión de Netsky llamaba "perdedor" a Bagle y le retaba a citarse en una ciudad de Estados Unidos. En ambos casos, los mensajes acaban con todo tipo de conjugaciones del inglés "fuck".

Mientras, Bagle replicaba a las órdenes de borrado de Netsky añadiendo en sus funciones el borrado de Netsky. En dos meses, han aparecido versiones de Bagle o de Netsky casi diariamente, a veces ambos el mismo día, siguiendo ciclos en los que ha tenido más actividad uno u otro grupo.

Junto a los mensajes insultantes, destaca el uso de ingeniería social para hacer que sus víctimas abran un adjunto o pinchen un enlace que supuestamente lleva a un sitio inocuo cuando, en realidad, descarga el gusano. Algunos mensajes de Netsky aseguran que una conocida marca antivirus certifica que están libres de virus. Bagle se disfraza como un mensaje legítimo que no ha podido ser entregado. Otros usan la confusión de iconos: mandan virus bajo iconos inocentes, como el de archivo de texto.

Aunque la mayoría de estas técnicas ya eran conocidas, nunca como ahora se habían desplegado tanto. Pero Bernardo Quintero, de Hispasec, no le ve mérito: "La ingeniería social es muy efectiva para engañar a los usuarios, pero técnicamente es lo más simple que hay. No se requiere un gran nivel de programación para los gusanos actuales, copian las mismas técnicas una y otra vez. Puedes programar un gusano en pocas horas sin ser un experto y causar una epidemia global a través del correo. El nivel de los creadores de virus ha bajado mucho, sin embargo su capacidad de propagación y efectos colaterales se han multiplicado".

Una plaga

La malignidad de estos gusanos no reside en el daño que hacen al ordenador, sinó a Internet. Mydoom y Netsky convierten a sus víctimas en armas para lanzar ataques distribuidos de Denegación de Servicio. También, dice Quintero, "están causando bastante daño por el volumen de envíos de mensajes, son casi un problema de spam". Miguel Pérez, del Centro de Alerta Antivirus, explica otra tendencia: "Se están enviando en un primer momento mediante listas de direcciones para hacer spam. Por eso los sectores más infectados son la administración autonómica (20,7%) y la central (18,4%), cuando en infecciones normales no pasan del 1%, ya que tienen muchas direcciones en la web, que aparecen en estas listas".

Fernando de la Cuadra, de Panda Software, resalta que los nuevos virus no tienen fecha de activación, como los antiguos, sinó de caducidad, con el objetivo, dice, de "dejar el ciberespacio libre para los demás hackers, para que así puedan infectar Internet con otro código distinto. Aunque dentro de los códigos de los virus se insulten y se amenacen, la confabulación que entre ellos existe no hace sino unirlos más para que sus programas puedan infectar por turnos, en una inmoral competición".

Algunos ven en esta guerra un intento de dejar los antivirus obsoletos constantemente. Según Bernardo Quintero, "ponen el dedo en la llaga: con una pequeña modificación en el código de un virus conocido puede obtenerse otro que no reconocen los antivirus, necesitando una nueva actualización. Sin embargo, pese a que pueda parecer que esta plaga es perjudicial porque deja en entredicho a los antivirus, está más que demostrado que sus ventas suben cuando hay una infección significativa".

La comunidad vírica ha optado por ignorarlos. El 3 de marzo, el weblog de F-Secure anunciaba: "Hemos decidido que describir los detalles de esta pelea sólo hará que todo vaya a peor". Bruce Schneier, en la última edición de Crypto-Gram, asegura: "Esta guerra no tiene signos de acabarse, seguramente hasta que sus participantes crezcan o se cansen. Mientras, tendremos que soportarlo". El boletín de VSAntivirus pide "que no nos distraiga una simple pelea callejera. Hemos decidido no dar mayor relevancia a este hecho porque sería dar a estas personas lo que pretenden".

Guerra de núcleos

Nadie tiene una respuesta cierta al por qué de esta guerra de virus. La hipótesis mayoritaria, explica Bernardo Quintero, es que estamos ante "una competición, una lucha entre creadores de gusanos para lograr el mayor número de sistemas infectados, un simple juego, al que personalmente veo una analogía clara en la prehistoria de los gusanos informáticos, con las llamadas core wars".

Las guerras de núcleos se inventaron en los laboratorios de AT&T Bell en los años 60, explica Quintero: "La memoria de núcleo de ferrita contenía instrucciones y datos. El juego consistía en crear un programa que al reproducirse fuera ocupando toda la memoria, al tiempo que borraba de ella el programa del contrincante. Ganaba el jugador que se hacía con toda la memoria o tenía el mayor número de reproducciones". Uno de los tres estudiantes que crearon el juego era Robert Morris, padre del programador del primer gusano que colapsó Internet, llamado Gusano de Morris.

Según Quintero, "estamos ante una versión moderna de las core wars, con la diferencia de que en vez de disputarse la memoria de un ordenador, el campo de batalla es Internet. Hoy, programar un gusano es mucho más fácil que entonces y está al alcance de cualquier programador medio. Si además se trata de una competición pública que ocupa los medios de comunicación, tenemos todos los ingredientes".