Virus OneHalf.3544

Efectos:

Los efectos de OneHalf.3544 son:

• Infecta el sector de arranque de los disquetes (Boot) y el de los discos duros (Master Boot Record o MBR).
• Infecta todos los disquetes que se utilicen en el ordenador afectado, siempre que no estén protegidos contra escritura.
• Impide el correcto arranque del ordenador infectado.
• Infecta los ficheros que tengan las siguientes extensiones: COM (incluido el COMMAND.COM), EXE y SYS.
• Se copia al final de los ficheros que infecta, aumentando su tamaño en 3544 Bytes (el tamaño del virus).

Tras infectar el ordenador, OneHalf.3544 se encarga de cifrar los dos últimos cilindros del disco duro que no se encuentren ya cifrados (empleando para ello operaciones XOR y una clave aleatoria), cada vez que éste se arranca.

De esta forma el virus va codificando poco a poco la información contenida en el disco, de tal forma que su lectura sea imposible.

No obstante, y mientras se encuentra residente en memoria, OneHalf.3544 oculta este proceso descifrando los ficheros a los que accede el usuario de tal forma que éste no note nada raro.

Metodo de infección:

OneHalf.3544 puede entrar en acción de dos maneras distintas:

• Cuando se arranca el ordenador con un disquete contaminado por el virus.
• Cuando se manipula (copia, ejecuta o mueve) un fichero infectado.

En cualquiera de los casos, sustituye el sector de arranque original del disco duro por otro infectado. Esto lo consigue moviendo el sector de arranque original a otra sección del disco duro. Esta técnica se conoce como Stealth.

Una vez se reinicia el sistema infectado,  OneHalf.3544 se coloca automáticamente como residente en la memoria del ordenador. Concretamente se sitúa por debajo de los primeros 640 Kbytes de memoria, haciendo que el espacio libre en ella disminuya en varios Bytes.

Desde la memoria, OneHalf.3544 infecta todos los disquetes y ficheros ejecutables con extensión COM, EXE y SYS que se utilicen en el sistema. Para ello intercepta las interrupciones INT 21, INT 13 e INT 1C.

Metodo de propagación:

OneHalf.3544 puede llegar al ordenador en el interior de un fichero infectado, a través de cualquiera de los siguientes métodos: disquetes, CD-ROM, otras unidades de almacenamiento, ordenadores conectados en red, Internet, download, FTP, como documentos adjuntos o incluidos en mensajes de correo electrónico, etc.

Sin embargo, al  tratarse de un virus de Boot el medio más común de infección es el arranque del ordenador con un disquete infectado. En este caso, OneHalf se propaga del siguiente modo:

• Infecta el disco duro del ordenador, cuando éste se arranca con un disquete contaminado por el virus.
• Contagia a todos los disquetes que se utilicen en el ordenador afectado. Éstos, a su vez, infectarán a otros ordenadores.

Otros detalles:

Para que conozca un poco más a OneHalf.3544, aquí le reseñamos sus principales curiosidades:

• El hecho de ser capaz de infectar al mismo tiempo ficheros ejecutables y sectores de arranque convierte a OneHalf .3544 en un virus de tipo multipartite.
• El virus apareció por primera vez en mayo de 1994 en Estados Unidos y en Europa.
• Su tamaño es de 3544 Bytes.