Diario Tecnologico - Informe de virus semanal

Dos troyanos desordenan la carta de virus e intrusos nacional, durante la semana del 7 al 14 de octubre, según el registro de la solución on line y gratuita Panda ActiveScan. Se trata de los códigos maliciosos Zlob.S y Downloader.BOP cuya aparición en el tercer y cuarto lugar de incidencias en el ranking nacional, cobra como víctima a Mhtredir.gen que había logrado restituirse en los primeros lugares la semana pasada, y que ahora cae a la séptima posición.

En la segunda semana de octubre, el peligroso gusano Netsky.P sube a la primera posición de incidencias en los computadores nacionales, seguido por la detección del script creado por algunos gusanos Sdbot, Sdbot.ftp.

Los troyanos Zlob.S y Downloader.BOP, que se ubican inmediatamente después en el ranking vírico, comparten varias características. Ambos permiten llevar a cabo intrusiones y ataques contra el computador afectado, como pueden ser captura de pantallas y recogida de datos personales.

Pueden usar cualquiera de los métodos de propagación comunes para los virus: disquetes, CD-Rom, mensajes de correo electrónico con ficheros adjuntos infectados, descargas de Internet, transferencia de ficheros a través del FTP, etc

Si después del análisis con Panda ActiveScan o de su antivirus, el usuario descubre que está infectado por alguno de estos troyanos, además de seguir las instrucciones de eliminación es especialmente importante que analice todas las carpetas de correo electrónico y los ficheros que haya recibido.

Zlob.S aparece el 3 de Octubre de 2005 e infecta plataformas Windows 2003/XP/2000/NT/ME/98/95. Downloader.BOP es más antiguo y su detección fue actualizada el 4 de abril de este año. Infecta Windows 2003/XP/2000/NT/ME/98/95

Virus Top Ten en Chile, semana del 7 al 14 de octubre

Nombre Técnico Virus        % de infecciones
W32/Netsky.P.worm             2.32
W32/Sdbot.ftp                      2.14
Trj/Zlob.S                             1.14
Trj/Downloader.BOP              1.06
W32/Bagle.pwdzip                1.06
W32/Bagle.AH.worm             1.00
Exploit/Mht redir.gen             0.94
W32/Gaobot.gen.worm          0.82
VBS/Redlof.A                       0.67
W32/Netsky.AG.worm           0.59

Informe Mundial

El Informe Mundial de virus de Panda Software abarca esta semana información sobre un gusano, Sdbot.FHG, tres troyanos, Multidropper.AYC, Tahen.A y Tahen.B, y las vulnerabilidades, correspondientes a los boletines MS05-044 a MS05-052 publicados por Microsoft.

Sdbot.FHG es un gusano de la conocida y prolífica familia de gusanos Sdbot, que tiene como principal característica su funcionamiento como un backdoor a través de servidores de IRC, por medio de los cuales recibe órdenes de control remoto, lo que le da una gran polivalencia. Esto puede llevar a que sea usado para la descarga y ejecución de archivos, detener servicios de Windows, etc. Para propagarse utiliza las conocidas vulnerabilidades, LSASS, RPC-DCOM, Workstation Service y Plug and Play, por lo que una vez más es preciso destacar la importancia de mantener su sistema actualizado, además de poseer una adecuada solución antivirus, para permanecer libre de este tipo de amenazas.

Multidropper.AYC es un troyano que supone un punto de entrada para otro malware en el equipo, del mismo modo que hacen otros miembros de esta misma familia. Concretamente, esta variante instala en el equipo el troyano downloader Siboco.A y el spyware Omi, que llevan a cabo una serie de acciones sobre el equipo, entre las que se incluyen la aparición de numerosos pop-ups de publicidad, la creación de un fichero de descargas y la posterior ejecución de ficheros, conexiones a una web remota, e incluso llega a parar el proceso EXPLORER.EXE.

Tahen.A y Tahen.B vienen a sumarse al recientemente publicado PSP.Format.A dentro de las amenazas que afectan a consolas de videojuegos. A diferencia de aquel, que afectaba a la consola PlayStation Portable (PSP), éstos afectan al dispositivo NintendoDS. Para ello, simulan ser aplicaciones no oficiales para la consola Nintendo DS, pero cuando el usuario lo instala, sobrescribe determinadas áreas del firmware (software embebido en un determinado hardware), lo que hace que la consola no pueda volver a arrancarse una vez ha sido apagada. Tahen, que suele llegar a estos dispositivos en un archivo llamado R0MLOADER.NDS (en el caso de Tahen.A), TAIHEN.ZIP o TAIHEN.NDS (caso de Tahen.B), afecta a los dispositivos Nintendo DS, G6, XGFlash, SuperFlash y GBAMP. Tahen.B es fácilmente reconocible, ya que muestra un mensaje en la pantalla y una presentación de diapositivas de hentai. Al contrario, Tahen.A no revela síntomas claros de su infección.

Finalmente, nos ocuparemos de las vulnerabilidades contenidas en los boletines de Microsoft, sobre las vulnerabilidades en sus productos. De ellas, las vulnerabilidades consideradas como críticas tienen las siguientes características:

- MS05-050 es una vulnerabilidad crítica en las versiones 7.0, 8.0, 8.1, 8.2 y 9.0 de DirectX, que permite ejecutar remotamente código arbitrario en el sistema vulnerable
- MS05-051 comprende un conjunto de vulnerabilidades en tres servicios de Windows, MSDTC (Microsoft Distributed Transaction Coordinator), COM+, y TIP (Transaction Internet Protocol)
- MS05-052 es una actualización de seguridad acumulativa para Internet Explorer, en sus versiones 5.0, 5.5 y 6, para prevenir que objetos COM, al ser instanciados como controles ActiveX, puedan alterar la memoria del sistema, permitiendo ejecutar código arbitrario

Además, existen otras cuatro vulnerabilidades de ejecución remota de código, consideradas importantes, y que afecta a los servicios Microsoft Collaboration Objects, Windows Shell, Client Services para Netware, y Plug and Play, incluyendo esta última la posibilidad de una escalada local de privilegios. Estas últimas amenazas están recogidas en los boletines MS05-48, MS05-49, MS05-46 y MS05-47, respectivamente. Y finalmente, se ha informado de dos vulnerabilidades consideradas moderadas, correspondientes a los boletines MS05-044 y MS05-045, y que afectan, respectivamente, al cliente FTP, pudiendo causar alteraciones en el servicio del mismo, y al programa Network Connection Manager, que podría causar ataques de denegación de servicio. Las características de todas ellas pueden ser consultadas en la web de Panda Software.

Para evitar la entrada de este malware o de cualquier otro código malicioso, Panda Software recomienda mantener actualizado el software antivirus. Los clientes de Panda Software ya tienen a su disposición las correspondientes actualizaciones para la detección y desinfección de estas especies de malware.

Enlaces relacionados
www.pandasoftware.cl