Ocultación de virus: La doble extensión.

Extensiones de archivos o Número Mágico

Desde las primeras versiones del MS-DOS, los archivos tienen un nombre, seguido de un punto y una extensión. Dicha extensión en los sistemas basados en MS-DOS, identifica el tipo de archivo que tiene infinidad de variantes. Los .exe son aplicaciones ejecutables, los .pps son presentaciones de Microsoft PowerPoint, los .xls son archivos de Microsoft Excel, los .jpg, .bmp, .gif, .tif, etc... son diferentes formatos de archivos de imágenes, los .avi, .mpg (o .mpeg), etc... son formatos de vídeos, y un largo etcétera.

En los sistemas basados en Unix/Linux, se utiliza el llamado Número Mágico, que mediante los primeros 2 bytes del contenido del archivo, identifica el tipo de archivo. Aunque en los archivos de los sistemas operativos de Microsoft también existe dicho Número Mágico, no se utiliza ni siquiera para confirmar que la extensión es correcta.

Posteriormente, la evolución de los sistemas operativos de Microsoft, han ocultado las extensiones de los archivos conocidos. Esta opción suele ser la primera que desactivo cuando instalo cualquier sistema operativo de Microsoft, ya que puede traer muchos problemas, como el que se detalla en este artículo.

La opción para desactivar esta característica, se encuentra en las opciones o propiedades de las carpetas del Explorador de Archivos de cualquier versión de Windows y, se denomina "Ocultar las extensiones de archivo para tipos de archivos conocidos", de modo que los archivos que tengan extensiones que no estén asociadas con ninguna aplicación seguirán mostrándose.

Todo esto nos lleva a que en cualquier carpeta podemos encontrar archivos con extensiones y sin extensiones (los que Windows ya conoce), de modo que, a la mayoría no le extraña si encuentra un archivo con extensión .pps, si tiene instalado el Microsoft PowerPoint, pero precisamente, por tener instalada dicha aplicación debería extrañarnos. ¿Si me está mostrando una extensión que es lo que hay detrás? Pues muy sencillo, otra extensión que es la que Windows ha ocultado.

Todo esto, unido a que las aplicaciones pueden personalizarse añadiéndole un icono concreto nos lleva al asunto de ...

Los virus y la doble extensión.

Con la ampliación de los nombres de archivo, se permite poner puntos dentro del nombre, permitiendo por tanto la existencia de archivo que parecen tener varias extensiones, de modo que si creamos una aplicación, le ponemos el icono de alguna de las versiones de Microsoft PowerPoint y hacemos que el nombre termine en ".pps.exe", Windows ocultará el ".exe" y cualquier usuario creerá que está ante un archivo de Microsoft PowerPoint normal y corriente.

Esta técnica se puede utilizar con todo tipo de archivos, aunque los más usuales son los archivos de imágenes, vídeos y presentaciones.

El ejemplo: Real kamasutra.pps.exe

La presentación Kamasutra contiene un troyano que realiza una infección por puerta trasera (y no es una metáfora). Se conoce por puerta trasera o Backdoor, un mecanismo consistente en instalar una aplicación en un equipo que posteriormente no deje entrar en el mismo sin problemas, o realizar cualquier otro tipo de actuación.

Este malware en concreto espera que estés interesado en una presentación de Microsoft PowerPoint mostrando diferentes posturas sexuales, y se verían tentados de pinchar en la misma. Mientras ves la presentación (ya que la presentación si que se muestra, para evitar levantar sospechas), el troyano (llamado Troj/Bckdr-RFM) se instala en el ordenador en un archivo con el nombre de AdobeUpdater.exe, permitiendo a los crackers el acceso remoto al ordenador.

Una vez que ha conseguido el acceso al equipo, se puede utilizar para:

• Enviar spam en tu nombre a cualquiera (tus amigos, conocidos, etc... probablemente lo abran si procede de tu cuenta).
• Robar la identidad de los usuarios del equipo.
• Espiar sus actividades.
• Instalar software publicitario de generación de ingresos.
• Lanzar ataques de denegación de servicio.
• Reenviarse a todos tus contactos.
• Y un larguísimo etcétera

Compartir la página en Facebook

Referencias:

• Fuente: Death by PowerPoint? Kamasutra presentation leads to backdoor infection
• Te puede interesar: "Virus Koobface: un viejo conocido de Facebook" o "GUSANO-ZOMBIE: Koobface ataca de nuevo." muestran otras técnicas utilizadas para hacer que permitas la ejecución del troyano.
• Aunque el caso aquí detallado está algo más elaborado, hay muchos otros que utilizan la técnica del viruh Andalú para la que no existe antivirus posible.
• Recuerda que hay una ingente cantidad de puertas traseras, fallos de seguridad, etc... que aún no han sido protegidas, así como infinidad de virus que se van creando a diario que aún no son detectados por algunos antivirus, como se indica en VirusTotal: Un mega-antivirus on-line.