Diario Tecnologico - Informe de virus semanal

El gusano Netsky.P encabezó los ataques de códigos maliciosos en Chile durante la semana del 25 de febrero al 4 de marzo, según el informe semanal de virus entregado por Panda Software. En el registro de Panda ActiveScan, se observa un nuevo descenso en las incidencias de todos los virus, a excepción de Netsky.P que, con un aumento de 1,69% a 2,03% respecto a la semana pasada, logra alcanzar el liderazgo que había perdido desde abril de 2004.

Netsky.P, se propaga eficazmente a través del correo electrónico pero, a diferencia de otras variantes de Netsky, también lo hace mediante aplicaciones para intercambio de ficheros punto a punto (P2P). A su vez, es capaz de aprovechar una vulnerabilidad de Microsoft Internet Explorer llamada Iframe para ejecutarse de forma automática. Para reparar gratuitamente posibles desperfectos causados por este gusano se puede acceder a la utilidad Panda QuickRemover

En segundo y tercer lugar de la tabla, se ubicaron Mhtredir.gen (1,88%) y Downloader.GK, (1,83%). De los diez códigos maliciosos de esta semana, ocho fueron del tipo troyano, y cuatro de ellos de la familia Downloader.

Top Ten de Virus en Chile, 25 de febrero al 4 de marzo

NombreTecnicoVirus % de Infecciones
W32/Netsky.P.worm 2,03
Exploit/Mhtredir.gen 1,88
Trj/Downloader.GK 1,83
Trj/Downloader.LP 1,61
W32/Tasin.A.worm 1,48
Trj/Downloader.ALQ 1,31
Trj/Shinwow.E 1,21
Trj/Startpage.SJ 1,11
Trj/WmvDownloader.A 1,09
Trj/Citifraud.A 1,06

Informe Mundial

Dos gusanos -Bagle.BN y Mytob.A- y dos troyanos -Mitglieder.BO, y Tofger.AT- protagonizan el presente informe. Para propagarse al mayor número de equipos posible, Bagle.BN y Mitglieder.BO colaboran estrechamente. Así, Mitglieder.BO llega a los equipos en un mensaje de correo electrónico, en forma de un fichero adjunto que puede tener nombres como price.zip o price2.zip, entre otros. Si el usuario ejecuta el archivo, el troyano se activará y tratará de conectarse a una dirección de Internet, desde la que descargar al gusano Bagle.BN en el sistema. Una vez que Bagle.BN se instala en el computador, se encarga de enviar a Mitglieder.BO a las direcciones que se encuentran en un fichero llamado EML.EXE, que también es descargado desde Internet. Para ello, el gusano utiliza su propio motor SMTP.

Mitglieder.BO finaliza los procesos pertenecientes a diversos programas antivirus y de seguridad, y sobrescribe el fichero de "hosts" de Windows, para impedir que los usuarios puedan conectarse a determinadas páginas web.

Bagle.BN, por su parte, abre el puerto TCP 80 y permanece a la escucha, a la espera de que se realice una conexión remota. A través de ella, permite el acceso remoto al computador afectado, para realizar en él acciones que comprometen la confidencialidad de los datos del usuario, o dificultan su trabajo.

El segundo gusano que mencionamos es Mytob.A, que se propaga a través del correo electrónico, en un mensaje de características variables y escrito en inglés, así como a través de Internet. En este caso, atacará direcciones IP aleatorias, en las que tratará de explotar la vulnerabilidad LSASS.

Mytob se conecta a un servidor IRC y espera órdenes de control remoto, que llevar a cabo en el computador afectado. Además, elimina algunas de las variantes de otros gusanos como, por ejemplo, Netsky, Sobig, Bagle y Blaster.

El siguiente código malicioso que analizamos es el troyano Tofger.AT, que es descargado en el PC al acceder a determinadas páginas web, que utilizan diversos exploits -como LoadImage, ByteVerify y MhtRedir.gen-, para descargar malware en los equipos. Este troyano se instala como Browser Helper Object (BHO), de forma que es ejecutado cada vez que se abre el navegador Internet Explorer.

Tofger.AT hace un seguimiento de las acciones que llevan a cabo los usuarios y de las contraseñas utilizadas en las páginas con conexiones seguras https, que suelen ser las que se emplean para validarse en sistemas seguros como entidades bancarias. Además, siempre que detecte determinados nombres en la url también intentará capturar las passwords de los siguientes bancos: cajamadrid, bpinet, millenniumbcp, hsbc, barclays, lloydstsb, halifax, autorize, bankofamerica; bancodevalencia, cajamar, portal.ccm, bancaja, caixagalicia, caixapenedes, ebankinter, caixasabadell, bes, banif, millenniumbcp, totta, bancomais, montepiogeral, bpinet, patagon, lacaixa, citibank, bbvanet, banesto, e-trade y unicaja. Tras recoger la información, Tofger.AT la envía a un servidor.

Más información sobre los códigos maliciosos mencionados u otros en la Enciclopedia de Virus de Panda Software, disponible en la dirección: http://www.pandasoftware.cl/virus_info/?i=2

Acerca de PandaLabs

Cuando se recibe un fichero sospechoso de contener un virus, el equipo técnico de Panda Software lo analiza inmediatamente y, dependiendo del tipo de virus, las acciones que se realizan pueden incluir: desensamblaje, chequeo integral, análisis del código, etc. Si realmente el fichero contiene un nuevo virus, se desarrollan las rutinas de detección y desinfección que son distribuidas rápidamente a los usuarios de sus soluciones antivirus.

Acerca de Panda Software-Chile

Panda Software-Chile es filial de la multinacional europea Panda Software, una de las principales compañías mundiales de soluciones de seguridad informática. También es líder reconocido en innovación, crecimiento y en satisfacer las necesidades de los clientes, gracias a tecnologías, productos y servicios que mantienen las instalaciones informáticas libres de virus y otras amenazas, al menor Costo Total de Propiedad. Panda Software-Chile entrega soluciones proactivas para entornos corporativos de pequeñas a grandes empresas, y para usuarios domésticos. Junto a sus productos antivirus, ofrece las exclusivas Tecnologías TruPrevent, que entregan la mejor seguridad preventiva. Además cuenta con servicio de soporte técnico especializado. En el 2003 Panda Software-Chile obtuvo el cuarto lugar en ventas en América, luego de Estados Unidos, Canadá y México.

Mayores informaciones:
Lucía Escobar M.
Comunicaciones
Panda Software Chile
02-442 7740
rrpp@pandasoftware.cl

Enlaces relacionados
www.pandasoftware.cl