El Virus de las USB: Autorun y AMVO.

Aclaro que no soy programador (experto), ni soy ingeniero o licenciado en alguna carrera que tenga que ver con la computación (estudié ingeniería en sistemas de cómputo, pero lo dejé por el arte y el diseño, ¡viva!) Sin embargo mis conocimientos me han sido útiles para hacer algunas críticas (que pueden contraargumentarme los que saben realmente de esto mediante los comentarios del blog) y para incluso, eliminar esos molestos programas hechos por algún falto de razón, de estima, y acomplejado de superioridad o inferioridad, cuya intensión es causar algún malestar a cualquiera que sea víctima de su creación "maestra" que en este caso es un virus.

Resulta que Windows (ya veremos por qué todo mundo está tan interesado en hacer virus para ese sistema y no para MacOS o Linux) ofrece posibilidades infinitas para causar dolores de cabeza. Una posibilidad es la de la función "autorun" que lee un archivo nombrado AUTORUN.INF que contiene datos en un documento de texto plano, que informan al sistema (Windows) qué archivo ejecutable (programa) arrancar automáticamente (de ahí su nombre, auto-run). Esta opción fue pensada para los CD's que uno compra en un kiosko o puesto de revistas que contienen mucho software inútil a la larga. Difícilmente una compañía ofrecería un CD con la función AUTORUN que trajera algún virus, pues podría ser fácilmente demandada.

Pero resulta que esta opción funciona con cualquier unidad, y que las memorias FLASH USB funcionan como eso, como una unidad virtual. De modo que son un medio ideal para propagar virus tan molestos y nefastos como el AMVO por ejemplo. Y eso no es lo peor, lo peor es que este virus no puede ser eliminado tan fácilmente por los antivirus actuales. La razón de ello es que siendo lo que son, pueden autoreproducirse y copiarse un área de la memoria, y luego verificar que su copia en el disco, al no existir, sea creada nuevamente.

Un antivirus puede borrar un archivo como el AUTORUN.EXE y al poco rato puede volverse a encontrar ese archivo ahí mismo en la raíz del disco duro principal (o de los secundarios o esclavos). ¿Cómo se borra tal cosa? Yo lo he hecho usando el Norton Commander para sistemas MS-DOS 6 (e "inferiores"). Dado que el virus no permite al explorador de Windows ver archivos ocultos o de sistema (en caso de que un abusado determine que es el virus y lo quiera borrar), el Norton Commander si lo permite e incluso es capaz de borrarlos incluso en ambientes Windows XP. Para que no se vuelva a copiar en la memoria, es necesario arrancar el Windows bajo el "modo seguro a prueba de fallos y con símbolo del sistema" (vaya nombrecito). Para ello necesitaremos tener instalado el Norton Commander en algún directorio o carpeta de la raíz en C: y llamarlo desde la linea de comando C:\>NC o C:\CN (su versión en español). Usarlo es muy fácil y es una herramienta para mí imprescindible.

Pues bien, los archivos a borrar con Norton Commander son los siguientes:

En la raíz (C:\, D:\ F:\ -puede ser la memoria USB-; disco reescribible E:\, y cualquier medio de almacenamiento que incluye discos flexibles como A:\) son:

1. autorun.exe
2. autorun.inf
3. v.com (o puede ser .exe)
   
4. venom.exe
5. autoexec.bat (cuando contiene 0 bytes de longitud)
6. "archivos de extensión BAT que contengan un tamaño mas o menos grande y que por dentro contengan cosas como "MZ 89u8r2j·%% . Copyright $ $%$%·$%oi Este programa no puede ejecutarse bajo MSDOS" y demás caracteres del código ASCII en lugar de instrucciones de texto plano simples como "CLS, ECHO OFF, etc."
7. "Archivos con extensión CMD que usualmente guardan una copia del propio virus de memoria que se asegura su supervivencia cambiando su extensión de ejecutable (com, exe, bat a una no identificable por los antivirus como CMD o INF)."
8. Archivos DLL (Dinamic Link Libraries) con el nombre AMVO0.DLL, AMVO.DLL o AMVO1.DLL en las carpetas System y System32 del directorio de sistema "Windows".
9. El archivo mexica.exe ubicado generalmente en las carpetas TEMP o TMP (esas hay que buscarlas por todos lados).
10. También hay que borrar entradas sospechosas del archivo de registro de Windows (aunque algunos logran vulnerar el que sean borrados con el REGEDIT.EXE que viene incluido en Windows) con el uso del programa QuickStartup que es gratuito. Ahí se muestran todas las entradas de arranque incluyendo las ocultas y hasta su grado de confianza y ahí podemos identificar las que NO son instaladas por nosotros o las que son virus (que contienen el nombre de los archivos anteriormente listados) ubicados en las carpetas.
    

Yo he logrado quitar virus molestos que ni los antivirus pueden, como los anteriores mediante este procedimiento. Evito que se vuelvan a propagar y a autoreproducirse. Uso también el F-PROT para MS-DOS con la base de datos de virus actualizada (que se descarga de la Internet) al finalizar el borrado de archivos indeseables y con el uso del antivirus éste, tienen suficiente. Otra cosa que se puede hacer para evitar que uno de estos cabrones se pase a nuestra computadora es el de desactivar esta infame opción de "autorun".

¿Mi crítica? Pues es simple. A veces mis conocidos (que tienen peripecias con tales virus) me dicen que sospechan de los desarrolladores de antivirus como los mismos autores de los virus. Su lógica es que ganan dinero mediante la creación de tales amenazas. O sea que puedo hacer un virus y luego venderle a la gente el antivirus. Y pueden tener razón, al menos puede ser el caso de algún desarrollador de software antivirus. Pero no creo que sean todos. Ya que muchos son gratuitos (y a veces funcionan mejor que los comerciales), y muchas veces, ninguno puede quitar virus tan molestos como estos que se describen en esta entrada. Bueno, ahora sí, mi crítica: Que el que un antivirus no pueda quitar un virus, que no lo pueda erradicar, que su desarrollador no sepa cómo funciona, hace desconfiar a la gente.