Diario Tecnologico - Informe de virus semanal

Cuatro especímenes de la familia Mitglieder dominan el ranking de virus Top Ten en Chile la semana del 4 al 11 de noviembre, según el registro de la solución on line y gratuita Panda ActiveScan.

Aunque Sdbot.ftp continúa liderando la tabla de infecciones víricas, el segundo y tercer puesto fue para los troyanos Mitglieder.FP y Mitglieder.FO . No muy lejos, en el quinto lugar, se ubicó la variante FK (que aumenta sus incidencias en Chile respecto a la semana anterior), mientras que la variante FL , también presente en el informe de la semana pasada, cierra la tabla, en la décima posición.

Mitglieder.FO y Mitglieder.FP son troyanos de peligrosidad media que infectan plataformas Windows 2003/XP/2000/NT/ME/98/95. Fueron creados el 3 de noviembre pasado como parte de una oleada de códigos de esta familia y se comportan en forma similar a otros miembros surgidos en esta misma horneada.

Mitglieder.FO intenta descargar un archivo desde distintas páginas web. Posteriormente, lo ejecuta. El troyano inyecta el archivo ejecutable HLEADER_DLL.DLL en el proceso de sistema EXPLORER.EXE para poder llevar a cabo sus acciones. Al igual que como ha ocurrido con otras variantes, Chile integra la lista de los países más infectados por Mitglieder.FO: tercer puesto, después de Portugal y Bélgica.

Mitglieder.FP es un troyano que impide el acceso a determinadas páginas web, la mayoría pertenecientes a compañías antivirus, desactiva ciertos servicios del sistema y elimina varios archivos y herramientas de edición del Registro de Windows. Este troyano inyecta el archivo ejecutable ANTIAV_DLL.DLL en el proceso de sistema EXPLORER.EXE para poder llevar a cabo sus acciones.

Mitglieder.FO y Mitglieder.FP no se propagan automáticamente por sus propios medios, sino que precisan de la intervención de un usuario atacante para su propagación. Los medios empleados son variados, e incluyen, entre otros, disquetes, CD-ROMs, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, transferencia de archivos a través de FTP, canales IRC, redes de intercambio de archivos punto a punto (P2P), etc.

Respecto a Mitglieder FK - la primera variante que apareció en el ataque masivo de principios de noviembre – cabe destacar que varió su clasificación, a código malicioso de peligrosidad baja. La mala noticia es que esta semana nuestro país sí integra la lista de naciones más infectadas por esta variante, ocupando el cuarto lugar en incidencias, después de Alemania, Portugal y Argentina.

Informe Mundial

El informe de esta semana centra su atención en un backdoor - Ryknos.A -, tres vulnerabilidades en el motor de tratamiento de gráficos de Windows , un gusano - Lupper.A -, y un troyano - Zagaban.H -.

Ryknos.A es un backdoor que abre el puerto 8080 y se conecta a varias direcciones IP para recibir órdenes de control -como borrar, descargar o ejecutar archivos- que llevar a cabo en el computador afectado.

Ryknos.A se instala en el directorio de sistema de Windows con el nombre "$SYS$DRV.EXE". De este modo, se aprovecha en computadores que tengan instalado el software de Sony llamado Digital Rights Management (Gestión de Derechos Digitales) del rootkit incluido en dicho software, que se encarga de ocultar del Explorador de Windows cualquier fichero cuyo nombre empiece por los caracteres "$SYS$".

Los tres problemas de seguridad a los que nos referimos hoy son: Graphics Rendering Engine, Windows Metafile (WMF) y Enhanced Metafile (EMF). Permiten controlar de forma remota el computador afectado con los mismos privilegios que el usuario que haya iniciado la sesión, o lanzar ataques de Denegación de Servicio contra el computador afectado.

Las mencionadas vulnerabilidades, que están calificadas como "críticas", se deben a problemas en el tratamiento de los formatos de imagen de metarchivos de Windows (WMF) y metarchivos mejorados (EMF). En la práctica, afectan a cualquier aplicación que presente imágenes WMF o EMF en Windows 2000, Windows XP y Windows Server 2003.

Los citados problemas de seguridad pueden ser aprovechados por un atacante, mediante una imagen especialmente creada que puede ser enviada por correo electrónico, alojada en una página web, embebida en un documento Office, o almacenada en una unidad compartida de red. Además, un agresor podría aprovecharse de estas vulnerabilidades si en el computador afectado consigue iniciar sesión localmente y ejecutar un programa creado para tal fin.

Para evitar dichos problemas de seguridad, Microsoft ha publicado actualizaciones de Windows 2003, Windows XP y Windows 2000, que son los sistemas operativos afectados. Se recomienda consultar el boletín MS05-053 publicado por Microsoft -en http://www.microsoft.com/technet/security/bulletin/MS05-053.mspx - para conocer las direcciones de descarga de las diferentes actualizaciones, o emplear Windows Update para actualizar los sistemas.

Lupper.A , por su parte, es un gusano que afecta a plataformas Linux, aprovechándose para ello de dos problemas de seguridad, concretamente de los denominados AWStats Rawlog Plugin Input Vulnerability y XML-RPC for PHP Remote Code Execution Exploit. Lupper.A descarga -de una dirección IP- una copia suya, que posteriormente guarda (en /tmp/lupii) y ejecuta. Además, este gusano abre -en el puerto 7111- un backdoor, que permite controlar el PC de forma remota.

Terminamos el presente informe con Zagaban.H que, como todos los troyanos, no posee medios propios de propagación, por lo que depende de la distribución manual de terceros (por correo, descargas de Internet, transferencia de ficheros a través del FTP, u otros medios).

En el equipo al que afecta, Zagaban.H lleva a cabo varias acciones, entre las que destacan las siguientes:

- Monitoriza las direcciones web (a las que accede el usuario mediante el navegador Internet Explorer), en las que busca cadenas de texto relacionadas con entidades bancarias. Si encuentra alguna de las referidas cadenas, registra la dirección web donde la ha hallado y las pulsaciones de teclado realizadas en ella, por lo que puede conseguir información confidencial (contraseñas de acceso, números de cuenta, números secretos, etc.), con el riesgo que conlleva. Posteriormente envía los datos que ha obtenido a un determinado servidor web.

- Crea, en el directorio de sistema de Windows, dos archivos: IPREG.EXE, que es una copia suya, y SPDR.DLL, que es una Librería de Enlace Dinámico que inyecta en todos los procesos que se lancen.

Enlaces relacionados
www.pandasoftware.cl