VR18: IBM y los virus
Por Fernando Bonsembiante
Entrevistamos a uno de los investigadores del Watson Research Center de IBM, David Chess, en el High Integrity Computing Lab, en el estado de Nueva York.
VR: ¿Que tipo de trabajo están haciendo en el laboratorio antivirus de IBM?
DC: El grupo de aquí es el High Integrity Computing Lab. Trabajamos con virus y cosas similares, fenómenos similares en sistemas distribuidos complejos, no solamente con los virus de DOS de hoy, sino con cosas similares que pueden suceder en el futuro, cuando las máquinas estén en redes más densas y sean más potentes. Como los proyectos de IBM 'In touch', servicios de comunicaciones personales, y el proyecto 'Magic Cap', y cosas como Compuserve y Prodigy, todas esas cosas que involucran darle a la gente acceso a sistemas y le dan la posibilidad de enviar mensajes y programas. Pensamos en las cosas que pueden pasar en estos sistemas. Nuestro producto es para PC DOS, que es donde están los virus, por eso hicimos el IBM antivirus, IBM antivirus/2 (para OS/2), IBM anti virus para Netware (para redes Novell), es un conjunto de programas que le sirven a la gente para protegerse contra los virus existentes. En el laboratorio estamos trabajando en la tecnología para proteger a la gente ahora, y estamos preparando la tecnología para proteger a las redes del futuro contra cosas similares que puedan aparecer. Eso es básicamente el tipo de trabajo que hacemos acá.
VR: Entonces, el producto de ustedes es el IBM antivirus.
DC: Si. Tenemos el IBM antivirus para DOS, para OS/2, para Novell, es un NLM, y ofrecemos servicios relacionados con el IBM antivirus, le ofrecemos a las compañías licencias y soporte telefónico. IBM antivirus es el nombre global de todo eso.
VR: ¿El IBM antivirus es un producto que está a la venta?
DC: Es un producto que está a la venta en muchos países, no se si en Argentina, se vende en Estados Unidos, en Canadá, en Inglaterra, en Francia, 20 o 25 países.
VR: ¿Están planeando incorporar capacidades antivirus en un sistema operativo, quizá una nueva versión de OS/2 con capacidades antivirus o algo así?
DC: En general, la gente habla de integrar antivirus con sistemas operativos, nunca se preocuparon en pensar en lo que significa realmente. Hay buenas pruebas matemáticas sobre que se pueden hacer virus para cualquier sistema operativo de propósito general, mientras sea una máquina de Von Newmann, siempre que hayan programas a los que se les permita escribir otros programas pueden haber virus. No es tan simple como cambiar el sistema operativo para librarse de los virus, es un problema difícil, y no hay un 'poder mágico' por ser parte del sistema operativo. En realidad es posible hacer programas que se carguen en el config.sys en OS/2, y que se ejecuten con privilegios de sistema operativo, o sea que si es posible hacer algo modificando el sistema operativo, también se puede hacer de esa forma. Pero formar parte del sistema operativo no te da poderes extra para luchar contra los virus, así que no se puede hacer nada.
VR: ¿Cuál piensa que es la mejor táctica contra los virus? Scanning, chequeo de integridad, monitoreo de actividad...
DC: La mejor es una combinación. No hay una táctica que sea mejor por si sola. La gran mayoría de los incidentes con virus son con virus viejos y conocidos. Entonces, los scaneadores tienen una gran ventaja, porque permiten detectar al virus antes de ejecutar el programa. Por otro lado, hay virus nuevos. Si uno quiere tener la habilidad de detectar si hay algo raro aunque no sea un virus conocido, el IBM antivirus incluye un detector heurístico de cambios. Si nota un patrón de cambios a los archivos que parece sospechoso, le avisa al usuario. Y opcionalmente tiene un monitor de comportamiento, que controla el sistema buscando actividad que parezca de virus y le avisa al usuario si encuentra algo. Y tiene un analizador heurístico del boot sector, que intenta detectar virus de boot sector nuevos. Pienso que el scanner tiene que ser la primera línea de defensa, porque la gran mayoría de las infecciones son con virus viejos, y el scanner es ideal porque uno puede encontrar al virus antes de ejecutar o hacer cualquier cosa con el archivo. Pero hay que tener todas las defensas lo posible, no solo eso, especialmente en entornos de alto riesgo. La infecciones con virus nuevos son muy raras, comparadas con los virus viejos. Para los usuarios, si hay mil usuarios en tu compañía, pienso que menos del diez por ciento necesitan utilizar el software mas paranoico.
VR: En Argentina tuvimos muchas infecciones con virus nuevos, como Predator, PHX, etcétera, y a veces los scanners no los detectaban.
DC: La desventaja de los scanners es que necesitan ser actualizados muy frecuentemente. Cuando el mundo esté más metido en las redes, eso va a mejorar, porque uno va a poder conseguir con mucha más facilidad las actualizaciones, si querés podés tener el archivo de signatures de virus que salió esta mañana.
VR: ¿Qué piensa de los autores de virus? ¿Conoce alguno?
DC: No conozco personalmente a nadie que haya escrito un virus. Por cierto, he visto en la red mensajes de gente que dice haber escrito un virus. Nunca vi pruebas de que una persona dada haya escrito un virus. Es fácil decir 'si, yo escribí tal virus', pero es difícil de probar. El virus Brain fue uno de los primeros virus que todo el mundo pensó que sabía quien lo había escrito, porque había un nombre y una dirección en el virus. Pero Alan Solomon dice que hay bastante evidencia de que esa gente no escribió el virus, hay otro virus llamado Ashar, y ellos simplemente lo modificaron y le pusieron su nombre y dirección para hacerse publicidad. Es difícil decir quien escribió un virus. No me preocupa mucho, no me importa quien los haya escrito. No me importa quién fue el autor de virus Stoned. Si esa persona fuera atomizada hoy, el virus seguiría allí, haciendo cosas. Para mi no es importante saber exactamente quién escribió un virus.
VR: Aunque no le preocupe, los autores de virus están causando problemas...
DC: Ciertamente desearía que pararan. Pienso que deberían parar. Es claramente un comportamiento antisocial. No es algo que haría gente racional. No es algo bueno, es como ir por ahí rompiendo vidrios de autos. Pero yo no soy un policía.
VR: ¿Alguna vez escribió un virus?
DC: En cierta forma si. Nosotros diseñamos virus. Nos sentamos en una sala y decimos 'bueno, ¿que es lo próximo que van a hacer?'. '¿Qué es lo próximo que harán los autores de virus para meternos en problemas?' Entonces nos ponemos a ver en el pizarrón y a diseñar lo que puede hacer un virus, y a asegurarnos de que vamos a saber que hacer si aparece un virus que hace eso. Nunca escribimos el código, porque no hay razón para hacerlo. Escribimos algunos virus en lenguajes falsos analizando un lenguaje, un environment, o un modelo de computadora, un lenguaje falso para el cual no hay ningún intérprete o compilador. Lo hacemos para ver si es en efecto posible hacer un virus para ese lenguaje. Por cierto, nunca escribimos un virus para PC DOS. En el laboratorio a veces modifico algún virus, por ejemplo si quiero ver cómo es el efecto de un virus, así que lo modifico para que se dispara más frecuentemente. No hace falta escribir virus para trabajar con ellos.
VR: ¿Cuál piensa que será el próximo paso en virus?
DC: Es difícil de predecir. Vimos un par de virus para OS/2, el método de contagio que usan no es lo suficientemente rápido como para que se conviertan en un problema real, pero ciertamente cuando los nuevos sistemas operativos se hagan más populares, van a ir apareciendo virus escritos para ellos. Es difícil de decir porque hay pocas cosas nuevas en el campo. Han habido virus polimórficos desde hace mucho tiempo, han habido virus stealth desde que hay virus. No ha habido mucho realmente nuevo en la tecnología de los virus desde que empezó todo. Pienso que tenemos que preocuparnos por fenómenos que exploten en sistemas complejos distribuidos. No espero que hayan desarrollos interesantes en virus para PC DOS. Pero, mientras otros sistemas se van haciendo más poderosos, más complejos, y más usados, pienso que vamos a empezar a ver cosas que son como virus. Puede ser que ni siquiera hechas a propósito. Como cosas que estamos estudiando, otras formas de problemas que se distribuyen, como tormentas de mensajes. Es cuando uno manda un mensaje a una lista y se distribuye a otras listas, y la red empieza a llenarse de mensajes. Es como un virus porque se multiplica, pero no es como un virus porque no es maligno. Tenemos que empezar a preocuparnos por ese tipo de cosas. Tenemos que preocuparnos si alguien empieza a hacer malignamente ese tipo de cosas. Incluso en el mundo del DOS la gente no ha estudiado cómo se distribuyen los virus. Porque si alguien descubre un virus lo limpia, raramente se fijan de dónde salió, porque es difícil hacerlo. Sería muy interesante saber cuan a menudo los virus se contagian en las máquinas de distinto tipo de gente, que tipo de actividades favorecen a los virus, si son terminales públicas en los colegios, si es cuando se copian programas... Conocemos muy poco sobre la topología del intercambio del software, la manera en que la gente comparte software, comparte diskettes... Y eso es muy importante para entender cómo se esparcen los virus. Es algo sobre lo que no sabemos mucho.
VR: No se si sabe que en Cuba hay una agencia oficial a la que hay que reportar cada caso de virus que haya. Sería interesante estudiar sus datos para ver si se llega a algún resultado.
DC: Es una buena idea. Conseguir datos nunca es fácil. Hubieron propuestas en Inglaterra para crear un formulario oficial policíaco de reporte de virus. Nunca vi resultados de eso, pero no es una mala idea.
VR: Hay productos anti virus que dicen que nunca necesitan actualizaciones, y que dejan al sistema libre de virus para siempre. ¿Qué piensa de ellos?
DC: Cualquier producto que diga que puede detener todos los virus y dejar al sistema usable es una mentira. Si la computadora puede ser usada para trabajar, entonces puede ser infectada por virus. Ciertamente se pueden evitar todos los virus en una computadora, simplemente hay que desenchufarla. No puede tener más virus. Tampoco se puede usar para trabajar. Los productos que dicen que pueden detener todos los virus mienten. Pienso que algunos creen honestamente que pueden, pero están equivocados. Por otro lado, es cierto que distintos tipos de productos requieren distintas frecuencias de actualizaciones. Una de las desventajas de los scanners es que requieren muchas actualizaciones. Por otro lado, los productos que no detectan virus y detectan sólo actividad extraña, tienen el problema de que necesitan que el programa se ejecute antes de detectarlo, y eso significa que uno está ejecutando un posible código maligno.
VR: Además del de IBM, ¿cuál piensa que es el mejor producto anti virus?
DC: No sabría decirlo. Nosotros generalmente no recomendamos o desaconsejamos productos de otra gente. Todos los grandes productores de anti virus tienen copias de los productos de los demás, aunque sea para asegurarse de llamar a los virus comunes con el mismo nombre.
VR: Usted es miembro de CARO. Cuénteme algo sobre lo que hacen en CARO.
DC: CARO es básicamente un conjunto de listas de mensajes. Cuatro o cinco listas. Es un conjunto de gente en el mundo anti virus. Algunos hacen productos, otros están en universidades, básicamente lo usamos para mantenernos en contacto, intercambiar ideas, virus nuevos. No es exactamente una organización, no tiene presidente, no tiene nada, es un conjunto de listas de mensajes privadas. Es para que los 'buenos' intercambien información, o más bien, un conjunto de los 'buenos' intercambien información.
VR: ¿Cómo analiza un virus? ¿Lo desensambla?
DC: Cuando tengo un virus nuevo, depende, si es un buen ejemplar, o sea, está en un archivo pequeño y bien definido, o si es uno malo y está en un archivo enorme, trato de que se reproduzca a un archivo pequeño y compacto. Cuando tengo un ejemplar bueno, usualmente lo paso por debug y saco un desensamble de esa forma y lo analizo. Tenemos algunas otras herramientas. La mayor parte del desensamblado y análisis es automático. Lo ponemos en una máquina e intentamos que se reproduzca, y tratamos de ver si es stealth, si infecta cuando se copian archivos, y ese tipo de cosas. Intentamos sacarle el string de identificación más o menos automáticamente. Tenemos un modelo estadístico del código que usamos para tratar de extraer strings automáticamente que no tengan falsos positivos. Si para algunos virus el método automático falla porque el virus no puede reproducirse en ese entorno, o porque el virus es demasiado polimórfico como para ser analizado automáticamente, lo analizamos. Si le virus se encuentra disperso en realidad, lo que generalmente no ocurre, lo analizamos para saber qué es exactamente lo que hace. Generalmente lo pasamos por debug y simplemente leemos el código.
VR: ¿Solamente por debug?
DC: De vez en cuando usamos algún producto más poderoso, pero generalmente alcanza con debug.
VR: ¿Qué hacen con los virus polimórficos?
DC: La mayoría de los virus polimórficos no son polimórficos en realidad. Tienen un string constante, quizá con variables. la mayoría de los virus polimórficos no son difíciles de detectar. Para algunos virus tenemos scanners algorítimicos. Lo que hacen normalmente es desensamblar el encabezado del virus y decidir si es o no el virus que intentan identificar. Hacemos eso para los engines polimórficos MTE, TPE, y algunos otros. Para la gran mayoría buscamos strings, y para unos pocos tuvimos que escribir código especial. Es un código que conoce el conjunto de instrucciones de la CPU y puede descubrir, hasta cierto punto, lo que el código que está analizando está haciendo, y ver si es una de las categorías conocidas de virus.
VR: Mucha gente me pregunta qué es lo que hay que estudiar para ser un investigador anti virus.
DC: Para los virus de DOS yo sugeriría definitivamente los manuales de los procesadores 80XXX, los manuales técnicos del DOS, porque los virus usan llamadas al DOS, los manuales técnicos del BIOS porque los virus usan llamadas al BIOS, libros sobre DOS indocumentado, y la lista de interrupciones de Ralf Brown. Analizar algunos virus es una buena idea también. Pienso que poca gente realmente quiere estudiar a los virus. Todos necesitan saber un poco sobre ellos, pero para el usuario genérico no hay razón real para mirar al código de los virus. Sólo tenés que tener una idea se cómo funcionan y tener algún software anti virus.
VR: Ahora la mayoría de los virus son para DOS. Cuando cambiemos de sistema operativo, y se use OS/2 o Windows, o lo que sea, ¿Tendremos más o menos problemas con virus?
DC: Es difícil de predecir. Pienso que mucho de lo que causa que existan virus para un sistema en particular es cultural. Hay comparativamente muy pocos virus para Macintosh, comparado a la cantidad de virus distintos para DOS. Por otro lado, cualquier virus en particular para Macintosh está más difundido que cualquier virus en particular de DOS. No parecen haber razones técnicas, es igualmente fácil escribir un virus para cada una de ellas. Pienso que tiene que ver con la cultura, con cuanto software se comparte, cuanta gente antisocial usa esa máquina. Hay una especie de cultura alrededor de ser un 'macho' que escribe virus. Pienso que depende de qué pase culturalmente. Por ahora los usuarios de OS/2 parecen ser más responsables que los de DOS, no hemos visto muchos virus para OS/2. No es tan simple como que es más difícil escribir un virus para ciertos sistemas operativos, pienso que deben haber factores culturales que determinan si vemos virus para determinados sistemas operativos. Espero que no, espero que el mensaje de que es una cosa estúpida llegue a todos.
VR: ¿Tiene algún virus favorito?
DC: No me gusta ninguno. No me preocuparía si todos desaparecen para mañana, eso estaría bien para mí. No es software de calidad, en general.
VR: Si no hubieran virus, ¿en que trabajaría?
DC: Estaría trabajando en comunicaciones, en proyectos como clientes de sistemas de World Wide Web, y servers, y servers de Gopher... Si no hubieran virus estaría en el campo de comunicaciones por Internet.
VR: ¿Están haciendo investigación en seguridad en general, o sólo en virus?
DC: No estamos trabajando en seguridad general, como en criptografía, o en passwords, o en software de control de acceso. Estamos pensando en problemas de seguridad que pueden aparecer en sistemas complejos distribuidos, que no involucran directamente a los virus. Cosas como tormentas de mensajes, cosas como si un programa se puede ejecutar o no a través de una red, y con qué tipo de privilegios. Son problemas nuevos de seguridad, en grandes redes de cientos de miles de usuarios, pero no problemas de seguridad tradicional.
VR: Mucha gente relaciona a la seguridad tradicional con los virus.
DC: Ciertamente se superponen, la seguridad tradicional se preocupa de los caballos de troya, y los virus tienen mucho que ver. Pero hay un nuevo conjunto de preocupaciones que están apareciendo cuando se habla de este tipo de cosas. Porque con la seguridad tradicional podemos decir quien está logeado en el sistema, pero los problemas nuevos son que sabemos quien está logeado, y sabemos que un programa se está ejecutando, pero no sabemos quien escribió ese programa. El programa hace cosas que el usuario está autorizado a hacer, pero no sabemos si son cosas que el usuario intenta hacer. Entonces, tenemos un distinto conjunto de preocupaciones. Ciertamente, hay gente que trabaja en la seguridad tradicional que también se preocupa por estas cosas nuevas. Pero esto va más allá de saber quién está logeado en la máquina, y de asegurarse de que no puedan hacer nada más que lo que están autorizados a hacer. Es saber si se puede confiar en los programas que están ejecutando, y de saber si se comportan como intentamos que lo hagan.
VR: ¿Cuál es su definición de 'virus'?
DC: La definición de Fred Cohen, la definición matemática, es muy amplia. Cualquier objeto en la computadora cuya presencia hace más probable que otro objeto similar esté presente en la computadora más tarde. Cualquier cosa que haga eso es un virus. Cuando gente como nosotros habla de virus generalmente se refiere a un programa diseñado para reproducirse en otros sistemas sin el consentimiento del dueño del sistema. Ciertamente es posible escribir cosas que se repliquen sólo dentro de un sistema cerrado. Eso es lo que Fred Cohen llama 'virus benéficos', y los otros, según su definición, no lo son. Hay gente que gasta enormes cantidades de energía discutiendo en el significado de la palabra 'virus', a mi no me importa, la gente generalmente sabe de lo que está hablando. Cuando hablamos de virus hablamos de cosas diseñadas para reproducirse de sistema en sistema sin permiso. La definición de Fred Cohen abarca cualquier cosa que se auto reproduzca, en cualquier sentido.
