Viernes, 5 de Septiembre de 2008
Win32.Girigat: Conclusión
· Generalidades
· Inicialización
· Automutación
· Activaciones gráficas
· Residencia por proceso
· Búsqueda por acción directa
· Infección del formato PE
· Nombre del virus
· Conclusión
· Girigat1.jpg
· Girigat3.jpg
· Presentación

Volver al indice de articulos
El hecho de que Girigat se encuentre in the wild desde hace unos meses y que el "boom" haya estallado tan solo tras haberse manifestado mediante sus activaciones gráficas no se debe, como en otros casos, al capricho de la casualidad. Estamos ante un virus que, sin mecanismos de defensa (polimorfismo, o encriptación siquiera, rutinas retroantivirus...) pero programado con mucha cabeza en cuanto a técnicas de ofensa se refiere, está alcanzando expansión internacional, subiéndose al carro liderado por Marburg, Happy99 y CIH como el cuarto virus de 32 bits capaz de alcanzar el estatus in the wild, el primero de los cuales es completamente compatible con NT, y, por lo tanto, digno del prefijo "Win32", como ha sido bautizado por el organismo CARO (Win32.Giri).

En cuanto al aspecto técnico del virus quizás lo más resaltable es precisamente el hecho que acabamos de comentar, su total compatibilidad con WindowsNT. Muchos de los virus catalogados como "Win32" descuidan ciertos aspectos, que causan errores de protección bajo NT, y, por tanto, no llegan a ser 100% compatibles. En el caso de Girigat se puede suponer que ha sido programado bajo WindowsNT y, posteriormente, depurado en máquinas con Windows95 o Windows98, ya que no hay ningún aspecto en el que se pueda apreciar un descuido por parte de su autor en lo que respecta a la compatibilidad Win32, cubriendo incluso el hooking de la versión Unicode de las APIs, un punto en el que recuerda al virus Cabanas de Jacky Qwerty, probablemente el más compatible con NT después de Girigat.

Con respecto al estilo, sin grandes florituras en los aspectos de optimización y modularización, a uno le queda sin embargo, tras haber estudiado el código del virus en profundidad, esa esencia que dejan como firma en sus creaciones los grandes autores. Son los pequeños trucos empleados de forma aislada en el sitio y en el momento adecuado, los "vicios" buenos de programación que se pueden observar en ciertas partes del código, y, a grandes rasgos, la tónica general tan marcada, a veces por la picardía, a veces por la pericia, y, sobre todo, por la elegancia, los elementos que dejan esa esencia inconfundible y tan difícil de transmitir, a pesar del anterior intento.

Tras el sonado "boom" del Esperanto, el primer virus multiprocesador del mundo, y una discreta incursión en los virus de Win32 con Hong Kong (escrito de manera específica para un concurso de virus pequeños), el más reducido en tamaño hasta el momento, de 58 bytes, se produjo la marcha de Mister Sandman, el autor de Girigat, del grupo que él mismo había fundado en 1995, 29A, líderes del sector vírico desde hace años. El virus que acabamos de analizar constituye su primer trabajo para la scene desde su retirada del grupo y su marcha a Malta, y supone un primer paso serio dentro de la plataforma del Win32, así como un giro radical a la línea funcional del autor, que en el caso de Girigat se ve que ha apostado por un virus altamente depurado y perfectamente capaz de extenderse con rapidez (como, de hecho, ha sucedido), algo que contrasta cons sus anteriores creaciones, más en la línea de VLAD, que buscaban como primer objetivo originalidad, diversión o, en el caso de los dos últimos virus, innovación. Veremos qué ocurre en los próximos meses, ya que el propio Mister Sandman advierte en el e-mail en el que enviaba Girigat a ciertas casas antivirus la futura distribución de un nuevo ejemplar.