Virus.Win32.Induc.a. utiliza una nueva rutina de infección para propagarse
Kaspersky Lab ha detectado un nuevo virus: Virus.Win32.Induc.a. Este virus se propaga a través de CodeGear Delphi, una herramienta de desarrollo de software que se utiliza para crear aplicaciones de bases de datos empresariales y de escritorio así como aplicaciones web. La protección frente a esta última amenaza ya está disponible en los productos de Kaspersky Lab.
Todas las aplicaciones que hayan sido creadas con el entorno de desarrollo de software Delphi, estarán infectadas y repetirán el virus.Win32.Induc.a. de forma continua. Aún así, este virus no es una amenaza en la actualidad, sino un nuevo método de infección, ya que, aparte de la infección, no hay ninguna otra carga oculta. De hecho, es más probable que se haya creado con el fin de demostrar y probar una nueva rutina de infección. También es factible que en el futuro los cibercriminales lo utilicen para hacerlo más destructivo.
“Hay muchas posibilidades en términos de evolución para Virus.Win32.Induc.a. pero es difícil predecir si alguno de los escritores “serios” de malware seguirá este camino. Después de todo hay métodos de ataque más sencillos”, dice Ricardo Hernández, director técnico de Kaspersky Lab Iberia.
Virus.Win32.Induc.a aprovecha el mecanismo de dos pasos utilizado en el entorno Delphi para crear archivos ejecutables. El código fuente se recopila en una primera fase para producir inmediatamente archivos .dcu, que son enlazados para crear ejecutables de Windows. El nuevo virus se activa cuando se abre una aplicación infectada. En ese momento comprueba si las versiones 4.0, 5.0, 6.0 o 7.0 del entorno Delphi están instaladas en el ordenador. Si el software es detectado, Virus.Win32.Induc.a recoge el archivo fuente Sysconst.pas de Delphi, produciendo una versión modificada del archivo Sysconst.dcu.
Prácticamente todos los proyectos Delphi incluyen la línea “use SysConst”, lo que significa que la infección de un solo módulo de sistema resulta en la infección de todas las aplicaciones bajo desarrollo. En otras palabras, el archivo SysConst.dcu provoca que todos los programas creados en el entorno infectado contengan el código del nuevo virus.
Los productos de Kaspersky Lab detectan con éxito este nuevo virus y tratan tanto los archivos recopilados Delphi como los ejecutables de Windows.
