Los virus se fijan en la pantalla para saber si están siendo analizados
Cuando un nuevo virus aparece, los expertos en seguridad tratan de averiguar con celeridad cómo funciona para crear programas antivirus -o actualizaciones de los mismos- que los detengan y, de esta forma, garantizar la seguridad de los equipos.
Los expertos en seguridad informática suelen analizar los virus y malware en máquinas virtuales
Durante el proceso de estudio, los expertos recurren a recrear un escenario de pruebas, mediante máquinas virtuales, generando espejos del sistema operativo que funciona dentro del mismo ordenador. Es decir, sería una especie de PC dentro de otro PC, donde se pueden usar dos sistemas operativos iguales (Windows y Windows) o diferentes (Windows – Linux) y usar ambos sin que interfieran entre sí, porque son completamente independientes. Así pueden probar estos virus sin poner en peligro el sistema operativo principal.
Pues bien, los desarrolladores de estos virus, malware y softwares maliciosos han detectado que los expertos en seguridad utilizan máquinas virtuales como sistemas de prueba, por eso han ideado una fórmula para detectar cuándo se emplea uno de estos sistemas secundarios y que el virus se comporte de manera distinta.
Para ello, se valen de la «resolución de pantalla». Generalmente, los expertos en seguridad no instalan un software de gestión de pantalla para la máquina virtual (no es necesario) en el que se pueda editar la resolución. Suelen dejar las que el sistema trae por defecto, que generalmente son de 800 x 600 píxeles o 1024 x 768 píxeles.
Estas son resoluciones antiguas, que no son soportadas por la mayor parte de los equipos nuevos. Por eso, ahora los hackers programan los virus para detectar la configuración de la pantalla, y si corresponde con 800 x 600 píxeles o 1024 x 168 píxeles, el virus reconoce que no está en una máquina real sino en una virtual. Así se comporta de otra manera.
De hecho, el virus, al detectar que se encuentra en un entorno virtual, lo que hace es autodestruirse, quedando sin efecto el ataque y haciéndolo indetectable para el experto en seguridad, quien al no poder identificarlo o verlo lo califica como benigno o inofensivo. Esto sería un «falso negativo» que le permitiría pasar los filtros de seguridad de los antivirus y programas antimalware. Cuando el virus llega a un equipo que no es una máquina virtual, ahí sí detecta una mejor resolución de pantalla y actúa con total letalidad.
