Diario Tecnologico - Informe semanal de virus

Los informes de virus mundial y nacional se centran en los dos códigos malignos que han cobrado más víctimas esta semana: el gusano Sober.AH y el troyano Mitglieder.GB.

En los últimos días millones de mensajes de correo electrónico infectados con Sober.AH se encontraban en circulación, siendo una de las amenazas más frecuentemente detectadas por Panda ActiveScan, solución antivirus online y gratuita de Panda Software. En Chile, Sober.AH alcanzó la segunda posición de la tabla vírica, muy cerca del porcentaje de infecciones del líder, Sdbot.ftp.

Entre las razones que explican su amplia difusión destaca la utilización, por parte de su autor, de técnicas de ingeniería social para atraer la atención del usuario y conseguir que éste abra el archivo que contiene al gusano. Entre los "ganchos" que utiliza la variante AH de Sober -en los e-mails en los que se envía- se encuentran textos alusivos a fotografías y vídeos de las actrices Paris Hilton y Nicole Richie, y otros que simulan ser comunicaciones del FBI o de la CIA que advierten de que se ha accedido a direcciones ilegales de Internet.

Sober.AH se propaga a través del correo electrónico, en mensajes de características variables que contienen un archivo comprimido en formato ZIP. Cuando el usuario ejecuta el citado fichero, este gusano afecta al PC, en el que muestra una ventana con un falso mensaje de error. Los textos que aparecen en los e-mails en los que se manda están escritos en alemán si la extensión del dominio de la dirección a la que se envían es: de (Alemania), ch (Suiza), at (Austria) o li (Liechtenstein). Si la dirección no contiene ninguna de las referidas extensiones, los textos estarán en inglés.

Sober.AH finaliza varios procesos, de los cuales algunos pertenecen a diversas herramientas de seguridad, en cuyo caso muestra el mensaje: "No viruses, Trojans or Spyware found! Status OK" ("No se han encontrado virus, troyanos o spyware. Estado OK"). Además, en el equipo al que afecta este gusano crea varios archivos, entre los que se encuentran SERVICES.EXE, CSRSS.EXE y SMSS.EXE, que son copias suyas. Cuando los dos últimos están ejecutándose, los procesos asociados a ellos aparecen como hijos del proceso perteneciente a SERVICES.EXE. De esta manera, éste se hace pasar por un proceso legítimo de Windows, con el objetivo de no levantar sospechas en los usuarios avanzados que consulten el listado de procesos.

La siguiente amenaza a la que nos referimos es Mitglieder.GB , troyano que el jueves empezó a propagarse rápidamente, especialmente en Europa, y superó a Sober.AH en el ranking de las amenazas más frecuentemente detectadas por Panda ActiveScan.

Cuarto lugar entre los códigos maliciosos con más incidencias en los computadores nacionales, Mitglieder.GB no posee medios propios de propagación, por lo que debe ser distribuido de forma manual. Las muestras recibidas provienen de correos electrónicos con un asunto y cuerpo variables que incluyen un fichero -en formato ZIP-, que contiene una copia suya. Cuando este troyano es ejecutado, abre el visor de imágenes predeterminado de Windows y muestra una imagen con el logotipo del citado sistema operativo. Tras su instalación en un equipo, cada cuatro horas Mitglieder.GB intenta descargar, a través de un script PHP y desde distintas páginas web, un archivo.

Cabe destacar que coincidentemente, al momento de este informe, nuestro país se encontraba en el quinto lugar entre los países con más ataques de Sober.AH y Mitglieder.GB

Pero no todas las novedades son responsabilidad de virus con fama mundial. No queremos dejar de mencionar la aparición en el ranking nacional del troyano Spabot.W , que permite llevar a cabo intrusiones y ataques contra el computador afectado, como pueden ser captura de pantallas, recogida de datos personales, etc. Fue detectado el 5 de noviembre pasado y se considera de peligrosidad baja.

A nivel mundial, Panda Software destaca también al gusano Mops.A y a un programa potencialmente no deseado, SpyMon .

Mops.A , se propaga a través de los programas de mensajería instantánea Yahoo Messenger y AOL Instant Messenger. Para ello, se envía en mensajes que contienen un enlace. Si el usuario pincha sobre él, se descarga un archivo RAR auto-extraíble, que contiene varios ficheros que pertenecen a Mops.A, al gusano Sdbot.FAR y a una barra de herramientas para Internet Explorer.

Finalizamos el presente informe con SpyMon , que pertenece a la categoría de programa potencialmente no deseado y permite controlar -de forma remota- otros computadores. En la práctica, permite realizar varias acciones en los equipos que quedan bajo su control, como registrar las pulsaciones de teclado introducidas por el usuario, visualizar los procesos que están en ejecución y realizar capturas de pantalla.

Enlaces relacionados
www.pandasoftware.cl