Diario Tecnologico - Informe Semanal de Virus e Intrusos

Los virus más frecuentes en Chile la semana del 30 de Septiembre al 7 de octubre, fueron los conocidos gusanos Sdbot.ftp y Netsky.P, según el registro de la solución on line y gratuita, Panda ActiveScan. En tercer lugar se ubica el exploit Mhtredir.gen, que regresa a los primeros puestos tras varias semanas de repliegue.

En el cuarto lugar de incidencias está Gaobot.KEA, gusano que figura por segunda semana consecutiva entre los virus Top Ten nacionales. Este código malicioso fue detectado el 15 de septiembre pasado, es de peligrosidad media y su objetivo fundamental es colapsar los computadores y las redes, impidiendo el trabajo a los usuarios. Chile es el cuarto país con más ataques de Gaobot.KEA, después de Uruguay Dinamarca y Francia.

Le siguen dos ejemplares de Bagle: Bagle.pwdzip, de peligrosidad baja pero de alta frecuencia y permanencia en los registros nacionales y Bagle.AH, de peligrosidad alta, cuyo objetivo es finalizar procesos pertenecientes a programas antivirus y firewalls, y conectarse a sitios web que contienen scripts PHP. Bagle.AH sólo afecta a equipos con Windows XP/2000/NT.

En la séptima posición se encuentra el troyano Clicker.JS, que permite llevar a cabo intrusiones y ataques contra el equipo afectado, como pueden ser captura de pantallas, recogida de datos personales, etc. Infecta plataformas Windows XP/2000/NT/ME/98/95.

Otro troyano de aparición reciente es Fantibag.A – octavo puesto - que impide el acceso a varios sitios web, pertenecientes en su mayoría a compañías antivirus. Es descargado por el troyano Mitglieder.EV. Su objetivo son sistemas Windows 2003/XP/2000/NT/ME/98/95

Virus Top Ten en Chile, semana del 30 de Septiembre al 7 de Octubre

Nombre Técnico Virus % infecciones
W32/Sdbot.ftp 3.18
W32/Netsky.P.worm 2.40
Exploit/Mhtredir.gen 1.37
W32/Gaobot.KEA.worm 1.33
W32/Bagle.pwdzip 1.24
W32/Bagle.AH.worm 1.07
JS/Clicker.JS 1.03
Trj/FantiBag.A 0.99
VBS/Redlof.A 0.99
W32/Netsky.AG.worm 0.90

Informe Mundial

El informe mundial de Panda Software de esta semana se ocupa de tres amenazas informáticas: los troyanos Banker.AXW y Format.A, y el gusano de correo electrónico Sober.Y.

Format.A es un troyano que se hace pasar por una herramienta desarrollada para poder ejecutar código no firmado en las consolas PSP (PlayStation Portable). En realidad, una vez ejecutado borra archivos fundamentales para su buen funcionamiento. Como consecuencia de esta acción, la consola no arrancará, quedando inutilizada. Para propagarse, Format.A se anuncia como una aplicación que sirve para cambiar -haciendo uso de un exploit- la versión de la BIOS de las consolas PSP a una más antigua que permite la ejecución de juegos no originales.

Por su parte, Banker.AXW es un troyano que controla las ventanas cuya barra de título contiene ciertas cadenas de texto que están relacionadas principalmente con entidades bancarias. Cuando detecta alguna de ellas, registra las pulsaciones de teclado realizadas por el usuario, con el objetivo de robar información confidencial, como contraseñas o nombres de usuario. Finalmente, envía la información robada utilizando varios scripts PHP. Al igual que la mayoría de los troyanos, Banker.AXW no tiene capacidad para propagarse por sí mismo, sino que precisa de la intervención de un usuario malicioso. Los medios que pueden emplearse son variados, e incluyen, entre otros, disquetes, CD-ROMs, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, etc.

Finalmente, Sober.Y es una nueva variante de la familia de gusanos del mismo nombre que, como sus predecesores, tiene una gran capacidad de propagación a través de correo electrónico. De hecho, tan sólo unas horas después de su aparición, PandaLabs comenzó a detectar incidencias en equipos de usuarios de todo el mundo. Para evitar que Sober.Y pueda seguir propagándose, sobre todo debido a equipos que carecen de una adecuada protección antimalware, Panda Software ha puesto a disposición de los usuarios una aplicación gratuita PQRemove que detecta y elimina eficazmente a este gusano de cualquier computador que haya podido resultar afectado. La misma puede ser descargada desde la dirección http://www.pandasoftware.es/descargas/utilidades/

Sober.Y utiliza para propagarse dos tipos de correos: en el primer caso, el correo, escrito en inglés, y de asunto “Your new password”, simula ser una confirmación de cambio de password, e invita al usuario a comprobar los datos en un fichero adjunto, pword_change.zip. En el segundo caso, el correo está escrito en alemán, y simula ser una foto de compañeros de colegio que se adjunta, en un fichero KlassenFoto.zip. Ambos ficheros comprimidos, contienen al abrirlos el ejecutable PW_Klass.Pic.packed-bitmap.exe, que no es más que una copia del propio gusano.

Si se ejecuta dicho fichero, se muestra un falso error de CRC, pese a que su acción ya ha comenzado. En ella, el gusano recopila todas las direcciones de un conjunto de extensiones del computador afectado, y se envía a todas ellas, usando los dos correos previamente mencionados utilizando su propio motor SMTP. Sólo utilizará el correo escrito en alemán en el caso de que las direcciones enviadas tengan extensión .de (Alemania), .ch (Suiza), .at (Austria), o bien .li (Liechtenstein).

Enlaces relacionados
www.pandasoftware.cl