|
El hecho de que Girigat se encuentre in the wild desde
hace unos meses y que el "boom" haya estallado tan solo
tras haberse manifestado mediante sus activaciones
gráficas no se debe, como en otros casos, al capricho de
la casualidad. Estamos ante un virus que, sin mecanismos
de defensa (polimorfismo, o encriptación siquiera,
rutinas retroantivirus...) pero programado con mucha
cabeza en cuanto a técnicas de ofensa se refiere, está
alcanzando expansión internacional, subiéndose al carro
liderado por Marburg, Happy99 y CIH como el cuarto virus
de 32 bits capaz de alcanzar el estatus in the wild,
el primero de los cuales es completamente compatible con
NT, y, por lo tanto, digno del prefijo "Win32", como ha
sido bautizado por el organismo CARO (Win32.Giri).
En cuanto al aspecto técnico del virus quizás lo más
resaltable es precisamente el hecho que acabamos de
comentar, su total compatibilidad con WindowsNT. Muchos
de los virus catalogados como "Win32" descuidan ciertos
aspectos, que causan errores de protección bajo NT, y,
por tanto, no llegan a ser 100% compatibles. En el caso
de Girigat se puede suponer que ha sido programado bajo
WindowsNT y, posteriormente, depurado en máquinas con
Windows95 o Windows98, ya que no hay ningún aspecto en
el que se pueda apreciar un descuido por parte de su
autor en lo que respecta a la compatibilidad Win32,
cubriendo incluso el hooking de la versión Unicode de
las APIs, un punto en el que recuerda al virus Cabanas
de Jacky Qwerty, probablemente el más compatible con
NT después de Girigat.
Con respecto al estilo, sin grandes florituras en los
aspectos de optimización y modularización, a uno le
queda sin embargo, tras haber estudiado el código del
virus en profundidad, esa esencia que dejan como firma
en sus creaciones los grandes autores. Son los pequeños
trucos empleados de forma aislada en el sitio y en el
momento adecuado, los "vicios" buenos de programación
que se pueden observar en ciertas partes del código, y,
a grandes rasgos, la tónica general tan marcada, a
veces por la picardía, a veces por la pericia, y, sobre
todo, por la elegancia, los elementos que dejan esa
esencia inconfundible y tan difícil de transmitir, a
pesar del anterior intento.
Tras el sonado "boom" del Esperanto, el primer virus
multiprocesador del mundo, y una discreta incursión en
los virus de Win32 con Hong Kong (escrito de manera
específica para un concurso de virus pequeños), el más
reducido en tamaño hasta el momento, de 58 bytes, se
produjo la marcha de Mister Sandman, el autor de
Girigat, del grupo que él mismo había fundado en 1995,
29A, líderes del sector vírico desde hace años. El
virus que acabamos de analizar constituye su primer
trabajo para la scene desde su retirada del grupo y
su marcha a Malta, y supone un primer paso serio dentro
de la plataforma del Win32, así como un giro radical a
la línea funcional del autor, que en el caso de Girigat
se ve que ha apostado por un virus altamente depurado y
perfectamente capaz de extenderse con rapidez (como,
de hecho, ha sucedido), algo que contrasta cons sus
anteriores creaciones, más en la línea de VLAD, que
buscaban como primer objetivo originalidad, diversión
o, en el caso de los dos últimos virus, innovación.
Veremos qué ocurre en los próximos meses, ya que el
propio Mister Sandman advierte en el e-mail en el que
enviaba Girigat a ciertas casas antivirus la futura
distribución de un nuevo ejemplar.
|