Diario Tecnologico - Informe semanal de virus e intrusos

Un virus denominado Lovgate.AO y tres gusanos -Korgo.X, Evaman. A y Bagle.AD-, protagonizan el informe sobre virus e intrusos de esta semana.

Lovgate.AO es un virus con características de gusano que se propaga a través del correo electrónico, de unidades y de recursos compartidos de red, y aprovechándose de la vulnerabilidad Saturación de buffer en interfaz RPC afecta a computadores con Windows 2003/XP/2000/NT e infecta archivos con extensión EXE, insertando su código al inicio y al final de los mismos.

En el equipo al que afecta, Lovgate.AO instala un backdoor que permanece a la escucha de un puerto, que escoge aleatoriamente. Su objetivo es permitir acceder, de forma remota, al computador y realizar en él acciones que comprometen la confidencialidad de sus datos (ya que recoge información que posteriormente envía a quien ha creado su código), o dificultan el trabajo del usuario. Adicionalmente, si Lovgate.AO encuentra activos en memoria determinados procesos -relacionados con programas antivirus y con otros gusanos-, los termina.

El primer gusano al que nos referimos hoy es Korgo.X, que utiliza la vulnerabilidad de Windows LSASS para propagarse a través de Internet e introducirse automáticamente en los computadores. También afecta a todas las plataformas Windows, si bien sólo se introduce de forma automática en aquellos equipos que funcionen bajo Windows XP y 2000 y no han sido convenientemente actualizados.

La variante X de Korgo se coloca residente en memoria y se conecta a una serie de servidores IRC, de los que puede descargarse archivos para posteriormente ejecutarlos en el PC al que afecta.

El siguiente gusano que analizamos hoy es Evaman.A. Se difunde, a través del correo electrónico y en un e-mail escrito en inglés (que simula ser un mensaje devuelto a causa de un supuesto error), a todas las direcciones que encuentra en un determinado sitio web. En algunas ocasiones, cuando Evaman.A es ejecutado por primera vez se abre el programa Notepad.

Finalizamos el presente informe con Bagle.AD, gusano que se propaga a través del correo electrónico, en mensajes escritos en inglés y mediante programas de intercambio de ficheros punto a punto (P2P).

Bagle.AD abre el puerto TCP 1234 y permanece a la escucha, a la espera de que se realice una conexión remota. A través de ella, y hasta el 24 de enero de 2005, permite acceder de forma remota al computador al que afecta, para realizar en él acciones que comprometen la confidencialidad de los datos del usuario o dificultan su trabajo. Para notificar a su creador que el PC es accesible a través del puerto abierto, este código malicioso se conecta a un sitio web que alberga un script PHP.

Bagle.AD elimina del Registro de Windows las entradas correspondientes a algunas variantes del gusano Netsky, impidiendo así que se activen cuando se inicia Windows. Asimismo, cuando es ejecutado, muestra en pantalla un falso mensaje de error.

Sobre PandaLabs

Cuando se recibe un fichero sospechoso de contener un virus, el equipo técnico de Panda Software lo analiza inmediatamente y, dependiendo del tipo de virus, las acciones que se realizan pueden incluir: desensamblaje, chequeo integral, análisis del código, etc. Si realmente el fichero contiene un nuevo virus, se desarrollan las rutinas de detección y desinfección que son distribuidas rápidamente a los usuarios de sus soluciones antivirus.

Mayores informaciones:
Lucía Escobar Meza
Comunicaciones Panda Software Chile
6333268 – 6643012 - 6386018

Enlaces relacionados
www.pandasoftware.cl