Diario Tecnologico - Panda enseña a eliminar a Mabutu.A worm

Los tres virus de mayor incidencia en Chile la semana que recién termina fueron Downloader.GK (23,53%), Mabutu.A worm (10,77%) y Exploit/Mhtredir.gen (4,76%).

De los registros de Panda ActiveScan de las últimas tres semanas, se desprende que el gusano Mabutu.A vuelve a recobrar fuerzas. Mientras en septiembre promedió 6,45% de incidencias, en lo que va de octubre ha mostrado un aumento sostenido, para llegar esta semana a los dos dígitos.

Es un gusano de peligrosidad media que se propaga a través del correo electrónico y es difícil de reconocer porque no muestra mensajes o avisos que alerten su presencia. Se conecta a diferentes servidores IRC, con objeto de notificar a su autor que el computador ha sido afectado. Esto, además, le permitiría recibir instrucciones de un usuario remoto. También actúa como backdoor, permitiendo a un usuario atacante descargar una DLL (Librería de Enlace Dinámico) en el computador afectado y ejecutar su código.

Este gusano llegó a su punto máximo en Chile la segunda semana de agosto, cuando encabezó los top ten, con 16,6% de las incidencias. Para evitar que repita este grado de infecciones es importante conocer más sus características y método de eliminación:

*Asunto:
.jpg
Britney
creme_de_gruyere
Fetishes
gutted
Hello
Hi
I'm in love
I'm nude
Important
Ok cunt
Photo
Sex
Wet girls

*Contenido: está en blanco.
*Archivo adjunto: variable. Detalles en: www.pandasoftware.es/virus_info/enciclopedia/ verficha.aspx?lst=det&idvirus=50121 - 32k -
*Otros: Mabutu.A tiene un tamaño de 32768 Bytes, y está comprimido mediante UPX.

Si ha recibido un mensaje que coincida con algunas de las características descritas no ejecute el archivo adjunto y borre el mensaje, incluso de la carpeta de Elementos Eliminados.

Después, si durante el proceso de análisis, Panda Antivirus o Panda ActiveScan detecta a Mabutu.A, el antivirus le dará automáticamente la opción de eliminarlo. Hágalo, siguiendo las instrucciones del programa.

Para restaurar la configuración original del computador, siga estas instrucciones:

Borre la entrada que Mabutu.A ha creado en el Registro de Windows:
HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion Run
winupdt = RUNDLL32.EXE %windir% %nombre_DLL%, _mainRD
donde%windir% es el directorio de Windows, y %nombre_DLL% es el nombre aleatorio de la DLL creada en dicho directorio.
Reinicie el computador.

Finalmente, para eliminar cualquier rastro de Mabutu.A, vuelva a realizar un análisis completo de su computador con Panda Antivirus o Panda ActiveScan.

Incidencias en Chile, 15 al 22 de octubre

NombreTecnicoVirus % de Infecciones
Trj/Downloader.GK 23,53
W32/Mabutu.A.worm 10,77
Exploit/Mhtredir.gen 4,76
W32/Netsky.P.worm 4,37
W32/Darby.H.worm 4,18
Trj/StartPage.FH 4,08
W32/Bagle.AB.worm 3,28
Trj/Krepper.E 3,02
W32/Gaobot.gen.worm 2,7
W32/Bagle.pwdzip 2,54

Informe Mundial
El informe mundial de esta semana centra su atención en Constructor/EMFTrojan.C, Netsky.AH, Netsky.AI, Bagz.E, Mydoom.AD y Scranor.A.

Constructor/EMFTrojan.C es un programa que crea imágenes mal construidas, que intentan aprovechar la vulnerabilidad de ejecución remota de código en la interpretación de formatos de imagen Enhanced Metafile (EMF), descrita en el boletín MS04-032 de Microsoft.

Para configurar el código que se genera, Constructor/EMFTrojan ofrece varias opciones, permitiendo elegir si, cuando se abre la imagen, se lleva a cabo una de las siguientes acciones:

- Apertura de un puerto, a través del cual pueden enviarse comandos al equipo afectado.
- Descarga, desde una URL especificada, de un archivo y posterior ejecución del mismo.

Para proteger los equipos de la citada amenaza, y de otras similares, Panda Software ha desarrollado Exploit/MS04-032.gen, que es una detección genérica para las imágenes EMF construidas para aprovechar la citada vulnerabilidad.

Los gusanos AH y AI de Nestky , se envían por correo electrónico, utilizando su propio motor SMTP, a las direcciones que obtienen en los ficheros que ocupen menos de 10.000.000 bytes y cuya extensión sea una de las siguientes: DBX, WAB, MBX, EML, MDB, TBB y DAT. Se mandan 10 minutos después de haber sido ejecutados y su difusión está condicionada a la fecha, ya que sólo se envían del 20 al 25 de octubre de 2.004. Además, para evitar varias ejecuciones simultáneas, Nestky.AH y Netsky.AI crean el mutex "0x452A561C".

El gusano Bagz.E , se propaga a través del correo electrónico, en un mensaje de correo electrónico escrito en inglés y de características variables. Finaliza procesos pertenecientes a programas de seguridad -como antivirus-, lo que deja al computador al que ha afectado indefenso frente al ataque de otros ejemplares de malware.

En el directorio de Windows del equipo al que afecta, Bagz.E crea varios archivos. Asimismo, este gusano modifica el archivo HOSTS, impidiendo así el acceso a páginas web pertenecientes a varias compañías antivirus y de seguridad informática.

Mydoom.AD , por su parte, se difunde a través del correo electrónico en un mensaje de características variables y escrito en inglés. En la práctica, falsifica la dirección del remitente del mensaje en el que se manda, combinando una lista de nombres y dominios.

Empleando su propio motor SMTP, Mydoom.AD envía una copia de sí mismo a todas las direcciones que ha recogido en archivos con las siguientes extensiones (que no contengan determinadas cadenas de texto): ADB, ASP, CFG, CGI, DBX, EML, HTM, HTML, JSP, MBX, MDX, MSG, PHP, PL, SHT, TBB, TXT, UIN, VBS, WAB, WSH, XLS y XML.

Para asegurarse de que de forma simultánea no se ejecutará más de una copia suya, Mydoom.AD crea un mutex llamado My-Game. Como el anterior gusano mencionado en este informe, Mydoom.AD también modifica el archivo HOSTS, impidiendo al equipo al que afecta acceder a las páginas web de determinadas compañías antivirus.

La variante AD de Mydoom intenta descargar, desde una página web, un archivo correspondiente a otro gusano denominado Scranor.A. En concreto, guarda el archivo que lo contiene en el directorio raíz, lo renombra y lo ejecuta.

Este informe mundial concluye con Scranor.A , gusano que se reproduce creando copias de sí mismo, sin infectar otros ficheros. Su objetivo fundamental es colapsar los computadores y las redes, impidiendo así que puedan utilizarse.

Más información sobre éstas u otras amenazas informáticas en la Enciclopedia de Panda Software, disponible en la dirección: http://www.pandasoftware.es/virus_info/enciclopedia/

Sobre PandaLabs

Cuando se recibe un fichero sospechoso de contener un virus, el equipo técnico de Panda Software lo analiza inmediatamente y, dependiendo del tipo de virus, las acciones que se realizan pueden incluir: desensamblaje, chequeo integral, análisis del código, etc. Si realmente el fichero contiene un nuevo virus, se desarrollan las rutinas de detección y desinfección que son distribuidas rápidamente a los usuarios de sus soluciones antivirus.

Para más información: http://www.pandasoftware.es/virus_info/

Acerca de Panda Software-Chile

Panda Software-Chile es filial de la multinacional europea Panda Software, una de las principales compañías mundiales de soluciones de seguridad informática. También es líder reconocido en innovación, crecimiento y en satisfacer las necesidades de los clientes, gracias a tecnologías, productos y servicios que mantienen las instalaciones informáticas libres de virus y otras amenazas, al menor Costo Total de Propiedad. Panda Software-Chile entrega soluciones proactivas para entornos corporativos de pequeñas a grandes empresas, y para usuarios domésticos. Junto a sus productos antivirus, ofrece las exclusivas Tecnologías TruPrevent, que entregan la mejor seguridad preventiva.

Mayores informaciones:
Lucía Escobar Meza
Comunicaciones
Panda Software Chile
6333268 – 6643012 – 6386018
09-0512522
rrpp@pandasoftware.cl

Enlaces relacionados
www.pandasoftware.cl