{"id":5439,"date":"2025-09-14T16:34:41","date_gmt":"2025-09-14T15:34:41","guid":{"rendered":"https:\/\/www.ccapitalia.net\/?p=5439"},"modified":"2026-02-21T11:01:56","modified_gmt":"2026-02-21T10:01:56","slug":"origen-y-evolucion-del-malware-1971-1995-2","status":"publish","type":"post","link":"https:\/\/ccapitalia.net\/?p=5439","title":{"rendered":"Origen y evoluci\u00f3n\u00a0del Malware, 1971-1995 (2)"},"content":{"rendered":"

Adolfo Garc\u00eda Yag\u00fce<\/a> | <\/strong>En este texto continuamos con el repaso de los primeros a\u00f1os del fen\u00f3meno malware<\/a>. Como en otras ocasiones, os ruego que se\u00e1is indulgentes si detect\u00e1is alguna omisi\u00f3n o imprecisi\u00f3n. Gracias.<\/p>\n

<\/a><\/p>\n

Virus en ficheros .COM y .EXE<\/strong>
\nSeguimos en 1987, a\u00f1o en el que llegaron las primeras noticias de Vienna<\/strong> y su capacidad para infectar los conocidos ficheros .COM de MS-DOS. Este formato de archivos, que carec\u00edan de cualquier encabezado, era una imagen exacta del programa binario que ejecutaba el microprocesador y, al cargarlo en memoria, siempre se ubicaban en la direcci\u00f3n 0x100h ocupando, como m\u00e1ximo, un segmento de 64KB.<\/p>\n

Cuando el virus Vienna se encontraba en la memoria de la v\u00edctima, buscaba archivos no infectados con la extensi\u00f3n .COM. Para identificar si un archivo ya hab\u00eda sido infectado, el virus realizaba una comprobaci\u00f3n de la hora de creaci\u00f3n: si los segundos de la marca de tiempo indicaban un valor de 62 segundos<\/strong>, consideraba que el archivo ya estaba infectado y lo ignoraba. Este timestamp<\/em> de 62 segundos result\u00f3 ser una caracter\u00edstica ingeniosa ya que, como todos sabemos, no es un valor v\u00e1lido en un reloj real cuyo m\u00e1ximo es de 59 seg.<\/p>\n

\"\"<\/a><\/p>\n

En cambio, cuando el malware encontraba un archivo limpio, lo abr\u00eda y sobrescrib\u00eda sus primeros bytes con una instrucci\u00f3n de salto JMP<\/strong>. Este salto ten\u00eda como fin redirigir la ejecuci\u00f3n del programa hacia el c\u00f3digo malicioso. Despu\u00e9s de ejecutar su propio c\u00f3digo, el virus devolv\u00eda el control al programa original saltando a la direcci\u00f3n donde se encontraba el c\u00f3digo sobrescrito. Finalmente, el virus cerraba el archivo .COM y actualiza su hora de creaci\u00f3n estableciendo los segundos a 62 para marcarlo como infectado y evitar futuras reinfecciones.<\/p>\n

Se especula que este virus fue originario de la ciudad de Viena, pero su autor siempre ha permanecido en el anonimato y lo \u00fanico que sabemos es que fue descubierto por el austriaco Franz Swoboda<\/strong>, quien indic\u00f3 que el virus le lleg\u00f3 a trav\u00e9s de Ralf Burger<\/strong>, que afirmaba lo contrario\u2026 Lo \u00fanico claro es que fue Bernad Fix<\/strong> quien program\u00f3 un ant\u00eddoto para eliminar Vienna y que el propio Burger aprovech\u00f3 aquel suceso para publicar el pol\u00e9mico \u201cComputer Viruses a high-tech disease\u201d<\/strong><\/a> detallando el funcionamiento de Vienna<\/a> y convirti\u00e9ndolo en un virus de referencia para desarrollar nuevas especies… En mi opini\u00f3n, no es descabellado especular que tras la creaci\u00f3n de Vienna se encontraba alguien del entorno del Chaos Computer Club<\/strong> de Alemania. Recordemos que all\u00ed, en 1986, Ralf Burger present\u00f3 el virus Virden<\/strong><\/a> y Bernad Fix a Rush Hour<\/strong><\/a> y que ambos virus fueron descritos, junto a otros espec\u00edmenes, en el libro de Burger.<\/p>\n

<\/a><\/p>\n

Estas l\u00edneas estar\u00edan incompletas si no recordara al famoso virus Jerusalem<\/strong>. Adem\u00e1s de por su elaborada y efectiva t\u00e9cnica para infectar ficheros .COM y .EXE, este malware alcanz\u00f3 los primeros puestos de popularidad debido a sus efectos -da\u00f1inos- que se materializaban cada d\u00eda Viernes 13<\/strong><\/a>. Independientemente de la bomba de tiempo que alojaba, la mayor parte de los da\u00f1os provocados por este virus eran consecuencia la inutilizaci\u00f3n de los ficheros .EXE que reinfectaba repetidamente. Con cada infecci\u00f3n el tama\u00f1o de los ficheros se incrementaba 2KB, siendo lo que llam\u00f3 la atenci\u00f3n de sus descubridores de la Universidad Hebrea de Jerusal\u00e9n<\/strong>.<\/p>\n

A diferencia de Vienna, el virus Viernes 13 o Jerusalem ten\u00eda la capacidad de permanecer residente en memoria y monitorizaba constantemente las llamadas que hac\u00eda cualquier programa a la interrupci\u00f3n 21h<\/strong>, que era el punto de entrada para que MS-DOS realizara funciones b\u00e1sicas, como abrir o cerrar ficheros. Esto le permit\u00eda interferir en el acceso a cualquier fichero sin llamar la atenci\u00f3n. En aquel instante, insertaba su c\u00f3digo de manera similar a lo comentado antes, con la particularidad de que en los ficheros .EXE el virus ten\u00eda, adem\u00e1s, que saber moverse en el encabezado de estos archivos para identificar el punto de entrada.<\/p>\n

Primera generaci\u00f3n de antivirus<\/strong>
\nA esas alturas los sufridos usuarios nos defend\u00edamos como pod\u00edamos y la mayor parte de las ocasiones opt\u00e1bamos por el \u201cfuego purificador\u201d de un buen formateo. Este borr\u00f3n y cuenta nueva era una pr\u00e1ctica habitual hasta que llegaron las primeras copias -piratas, eso si- de programas antivirus.<\/p>\n

Hasta el a\u00f1o 1988 no conoc\u00ed un antivirus \u201cde amplio espectro\u201d con capacidad de detectar varios virus. En cambio, si lleg\u00f3 hasta m\u00ed alg\u00fan programa que serv\u00eda de vacuna frente a un tipo de virus particular e, incluso, algunos eran capaces de identificar ese malware y extirparlo. Como digo, eran remedios muy espec\u00edficos y solo eran efectivos frente a un determinado c\u00f3digo y cualquier variaci\u00f3n, por peque\u00f1a que fuera, los hacia in\u00fatiles cuando no catastr\u00f3ficos inutilizando totalmente el archivo que se intentaba sanar.<\/p>\n

\"\"<\/a><\/p>\n

El producto m\u00e1s popular de esta primera generaci\u00f3n de antivirus fue ViruScan<\/strong><\/a> de McAfee Associates<\/strong>. Tras esta compa\u00f1\u00eda estaba el exc\u00e9ntrico, pero visionario, John David McAfee (1945-2021)<\/strong><\/a> cuyo curr\u00edculo inclu\u00eda experiencia previa en compa\u00f1\u00edas como la NASA, Univac, Xerox y Lockheed\u2026 Precisamente, en 1987 y durante su paso por esta \u00faltima empresa conoci\u00f3 la existencia de Brain<\/strong><\/a>. Como hobby program\u00f3 un antivirus para, posteriormente, distribuirlo a trav\u00e9s de BBS<\/strong> en modalidad shareware<\/strong>. Ante el \u00e9xito de ViruScan, John McAfee dejar\u00eda su empleo en 1989 para profesionalizar los servicios que se ofrecer\u00edan a trav\u00e9s de McAfee Associates, como la prestaci\u00f3n de soporte telef\u00f3nico, acceso a actualizaciones del producto a trav\u00e9s de Compuserve<\/strong><\/a>, un modelo de registro y suscripci\u00f3n, y el desarrollo de un canal de ventas<\/a>.<\/p>\n

En esencia, aquellos antivirus se basaban en la identificaci\u00f3n de firmas o una secuencia de c\u00f3digos que permit\u00edan reconocer cada tipo de malware. Para ello, el fabricante de la soluci\u00f3n deb\u00eda dotar al producto de tantas firmas como virus fuera capaz de detectar, lo que exig\u00eda una actualizaci\u00f3n constante. Esta actualizaci\u00f3n, en la mayor\u00eda de los casos, no resultaba ni sencilla ni econ\u00f3mica para, por ejemplo, un usuario espa\u00f1ol. La citada base de datos de firmas constitu\u00eda el n\u00facleo central del sistema del cual se alimentaban tres motores independientes: uno para el an\u00e1lisis de la memoria RAM; otro para los discos flexibles y el disco duro a bajo nivel; y un tercero para analizar el sistema de ficheros para ser capaz de examinar directorios completos o archivos espec\u00edficos.<\/p>\n

\"\"<\/a><\/p>\n

Normalmente, los primeros productos lanzados al mercado no eran capaces de limpiar un fichero colonizado y se limitaban marcarlo como infectado, borrarlo o ponerlo en cuarentena. En este sentido, todos los fabricantes insist\u00edan en la necesidad de tener y mantener copias de respaldo actualizadas.<\/p>\n

De aquellos a\u00f1os, adem\u00e1s del citado McAfee, me viene a la cabeza el sofisticado The Norton Antivirus (1990)<\/strong><\/a> de Symantec <\/strong>y su intuitiva interfaz de usuario (recordar, estamos en MS-DOS) junto con la posibilidad de actualizar manualmente las firmas<\/a> conforme van apareciendo nuevos virus y su capacidad -m\u00e1s o menos eficiente- para extirpar el c\u00f3digo malicioso de un fichero infectado. Pero, en mi opini\u00f3n y dej\u00e1ndome llevar por el orgullo patrio, las dos soluciones antivirus con mayor repercusi\u00f3n en Espa\u00f1a fueron Anyware (1989)<\/strong><\/a> de Carlos Jim\u00e9nez,<\/strong> y Artemis (1990)<\/strong><\/a> de Mikel Urizarbarrena<\/strong><\/a>, fundador de Panda Security<\/strong>.<\/p>\n

Polimorfismo y virus Cascade<\/strong>
\nLa ciberseguridad, salvando las distancias, es una carrera armament\u00edstica y la lucha contra el malware es un buen ejemplo de ello. Como era de suponer, era cuesti\u00f3n de tiempo que los m\u00e9todos de detecci\u00f3n basados en firmas quedaran obsoletos porque a alguien se le ocurrir\u00eda la forma de alterar el c\u00f3digo de un virus con cada copia y as\u00ed, la apariencia de toda su descendencia, ser\u00eda distinta e imposible de detectar mediante firmas conocidas.<\/p>\n

Esta capacidad, llamada polimorfismo<\/strong>, est\u00e1 en la base de aquellos virus que, empleando alguna t\u00e9cnica de cifrado, consiguen alterar su apariencia para convertirlos en \u00fanicos. No es menos importante la ofuscaci\u00f3n que consiguen de su c\u00f3digo, complicando de esta forma el an\u00e1lisis de su funcionamiento.\u00a0 Aunque pueda parecer que hay similitudes con el actual malware Ransomware<\/strong> -por aquello del cifrado- no hay que confundirlo. Estamos hablando de t\u00e9cnicas de cifrado muy elementales, de finales de los \u00b480, cuyo objetivo no era el cifrado masivo de ficheros y directorios<\/strong>, simplemente alterar el propio c\u00f3digo para pasar desapercibido<\/strong>.<\/p>\n

De nuevo volvemos a Centroeuropa, concretamente a Alemania, y all\u00ed encontramos las primeras se\u00f1ales del virus Casacade (1987)<\/strong>, tambi\u00e9n conocido como 1701<\/strong> y 1704<\/strong> por el tama\u00f1o que a\u00f1ad\u00eda a los ficheros infectados, y otros tantos nombres con los que se identific\u00f3 a sus mutaciones. Haciendo uso de una comparaci\u00f3n biol\u00f3gica, podemos afirmar que el virus Cascade fue un salto evolutivo al incorporar un sencillo mecanismo que le permit\u00eda ser polim\u00f3rfico. Afortunadamente, este virus no fue infalible frente a la mayor\u00eda de antivirus de primera generaci\u00f3n, pues su algoritmo de cifrado pod\u00eda ser identificado mediante firma, pero el resto del c\u00f3digo del virus se encriptaba y \u00e9ste era diferente en cada copia. Sin duda, aquello fue un comienzo y se\u00f1al\u00f3 el camino por donde evolucionar\u00eda el malware y las herramientas de detecci\u00f3n.<\/p>\n

\"\"<\/p>\n

Cascade infectaba ficheros .COM y aunque inicialmente estaba programado para atacar solo a equipos cl\u00f3nicos PC y excluir a m\u00e1quinas IBM, su rutina para identificar al fabricante de dicho PC mediante el copyright de la BIOS no consider\u00f3 las posibles variantes que hac\u00eda IBM en cada versi\u00f3n, por lo que afect\u00f3 a casi a cualquier PC. Parad\u00f3jicamente, ser\u00eda la propia IBM de B\u00e9lgica uno de los mayores damnificados de esta plaga, teniendo que desarrollar un ant\u00eddoto para frenar sus \u201csimp\u00e1ticos\u201d efectos tras comprobar como a sus empleados se les ca\u00edan -literalmente- los caracteres de sus monitores.<\/p>\n

Como he comentado, en el c\u00f3digo de Cascade exist\u00eda una rutina de encriptaci\u00f3n basada en la operaci\u00f3n l\u00f3gica XOR<\/strong>, f\u00e1cilmente implementable a nivel ensamblador. En los primeros espec\u00edmenes de 1701, la clave para el cifrado y posterior descifrado se correspond\u00eda con la longitud original del archivo infectado. Recordar que este mecanismo encriptaci\u00f3n solo se aplicaba al payload del malware para ocultar su c\u00f3digo frente miradas indiscretas y la descrita identificaci\u00f3n a partir de firmas.<\/p>\n

Este cambio de tendencia en el desarrollo de malware, unido a un incremento exponencial de virus y variantes, hizo insostenible seguir basando \u00fanicamente las capacidades de detecci\u00f3n en una base de datos de firmas conocidas. Pensemos en la dificultad para mantener actualizado ese gigantesco repositorio de firmas y lo m\u00e1s complicado, desarrollar un motor lo suficientemente r\u00e1pido para analizar decenas o cientos de ficheros contra esta base de datos de firmas.<\/p>\n

Vacunaci\u00f3n y primeros antivirus heur\u00edsticos<\/strong>
\nBajo las t\u00e9cnicas de vacunaci\u00f3n los antivirus fueron incorporando capacidades para identificar cambios inesperados en un fichero, como aquella basada en guardar el checksum<\/strong><\/em> o suma de verificaci\u00f3n de cada archivo en una base de datos, para, si un malware alteraba ese fichero poder detectarlo, aunque no se conociese la identidad del artefacto responsable del cambio. Otra capacidad de detecci\u00f3n muy b\u00e1sica consist\u00eda en conocer la fecha de creaci\u00f3n original y la longitud del fichero v\u00edctima y, una vez m\u00e1s, ante un cambio no esperado se generaba una alerta.<\/p>\n

\"\"<\/a><\/p>\n

Un paso m\u00e1s all\u00e1 en la detecci\u00f3n de agentes malignos desconocidos, y aproxim\u00e1ndonos m\u00e1s al t\u00e9rmino heur\u00edstico<\/strong>, consist\u00eda en analizar -en tiempo real- el comportamiento de un posible malware e identificar ciertas acciones sospechosas, como las llamadas a la interrupci\u00f3n 13h<\/strong> para hacer accesos al sistema de almacenamiento a trav\u00e9s de la BIOS. Recordar que por heur\u00edstico entendemos una forma de encontrar una soluci\u00f3n de una manera r\u00e1pida y, a veces, no del todo perfecta y \u00f3ptima.<\/p>\n

Como digo, estas t\u00e9cnicas, aunque efectivas, no eran perfectas y pod\u00edan generar falsos positivos porque, por ejemplo, el funcionamiento de algunas aplicaciones precisaba hacer cambios en sus respectivos archivos e, incluso, algunos sistemas anticopia hac\u00edan un uso leg\u00edtimo de la interrupci\u00f3n 13h, como aquella consistente en la detecci\u00f3n de una marca l\u00e1ser en la superficie del disco. Tambi\u00e9n, para sacar el m\u00e1ximo partido a estos mecanismos de vacunaci\u00f3n, era necesario trabajar con ordenadores que tuvieran disco duro y que fuesen r\u00e1pidos porque, de lo contrario, era inviable en un sistema con solo diskettes. [Continuar\u00e1]<\/strong><\/a><\/p>\n

Introducci\u00f3n a la Ciberseguridad<\/a> | Origen y evoluci\u00f3n del Malware, 1971-1995 (1)<\/a> | Origen y evoluci\u00f3n del Malware, 1971-1995 (y 3)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Adolfo Garc\u00eda Yag\u00fce | En este texto continuamos con el repaso de los primeros a\u00f1os del fen\u00f3meno malware. Como en otras ocasiones, os ruego que se\u00e1is indulgentes si detect\u00e1is alguna omisi\u00f3n o imprecisi\u00f3n. Gracias. Virus en ficheros .COM y .EXE Seguimos en 1987, a\u00f1o en el que llegaron las primeras noticias de Vienna y su […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[814,639,297],"tags":[894,895,885,896,886,890,891,893,884,888,883,889,887,892],"class_list":["post-5439","post","type-post","status-publish","format-standard","hentry","category-ciberseguridad","category-coleccion","category-hotoria-informatica","tag-anyware","tag-artemis","tag-bernand-fix","tag-cascade","tag-chaos-computer-club","tag-jerusalem","tag-mcfee","tag-norton","tag-ralf-burger","tag-rush-hour","tag-vienna","tag-viernes-13","tag-virden","tag-viruscan"],"_links":{"self":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5439","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=5439"}],"version-history":[{"count":12,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5439\/revisions"}],"predecessor-version":[{"id":5571,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=\/wp\/v2\/posts\/5439\/revisions\/5571"}],"wp:attachment":[{"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=5439"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=5439"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ccapitalia.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=5439"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}