Diario Tecnologico - Informe Semanal de Virus e Intrusos

Sdbot.ftp y Sober.AH lideraron la tabla de infecciones víricas en Chile la semana del 2 al 9 de diciembre, anotando respectivamente 3,61% y 3,01% de los ataques a computadores nacionales, según el registro de la solución online y gratuita, Panda ActiveScan.

En tercer lugar se ubicó el gusano Netsky.P seguido por el backdoor Galapoper.HP, que sube un puesto respecto a la semana pasada. Este código malicioso permite acceder en forma remota los equipos infectados, los cuales pueden ser de plataformas Windows 2003/XP/2000/NT/ME/98/95

Estas mismas características describen a Bck/Agent.AXG , código malicioso que fue detectado por primera vez el 29 de noviembre pasado. El backdoor, que ingresa por primera vez al ranking nacional, cuenta a nuestro país entre sus favoritos, tras Argentina y Polonia.

Virus Top Ten en Chile, 2 al 9 de diciembre de 2005

Virus % de infecciones
W32/Sdbot.ftp 3.61
W32/Sober.AH.worm 3.01
W32/Netsky.P.worm 1.99
Bck/Galapoper.HP 1.81
Trj/Mitglieder.GB 1.70
W32/IRCBot.NI.worm 1.07
Rootkit/FU.A 1.02
Bck/Agent.AXG 0.92
W32/Gaobot.gen.worm 0.81
W32/Bagle.pwdzip 0.65

Informe Mundial

El informe mundial de esta semana centra su atención en un gusano - Mytob.LX -, en un backdoor - Ryknos.G - y en un troyano - Downloader.GPH- .

El gusano Mytob.LX se propaga por e-mail, enviando masivamente un mensaje que informa de que para poder seguir disfrutando de los servicios de una determinada compañía de seguridad es necesario que el usuario visite una página (para confirmar su dirección de correo electrónico). Sin embargo, en la práctica, cuando se accede al referido sitio se descarga el fichero Confirmation_Sheet.pif, que es una copia de Mytob.LX.

Tras instalarse en un equipo, este gusano busca (en los archivos temporales de Internet, en la libreta de direcciones del usuario y en los ficheros con determinadas extensiones) direcciones de correo -que contengan cadenas de texto específicas- a las que se envía, utilizando para ello su propio motor SMTP. Para contactar con servidores SMTP remotos, Mytob.LX añade uno de los siguientes prefijos al dominio de correo: gate, mail1, mail, mx, mx1, mxs, ns, relay y smtp.

Mytob.LX tiene comportamiento de backdoor, ya que se conecta a un servidor IRC para recibir órdenes de control. Este gusano también finaliza -si están activos- varios procesos, algunos los cuales corresponden a soluciones antivirus. Además modifica el fichero host, impidiendo así que el usuario pueda acceder a varias páginas web, que pertenecen a compañías de seguridad.

El backdoor al que nos referimos hoy es Ryknos.G , que no posee medios propios de propagación, por lo que depende de la distribución manual de terceros (por correo, descargas de Internet, transferencia de ficheros a través del FTP, u otros medios). Para evitar ser detectado y examinado, no se ejecuta en aquellos computadores que se llaman "sandbox" y tienen como usuario a "CurrentUser" (ya que ambos datos se encuentran en sistemas habitualmente empleados para capturar y analizar malware).

En el equipo al que afecta, lleva a cabo varias acciones, entre las que destacan las siguientes:

- Finaliza varios procesos pertenecientes a varios cortafuegos y programas antivirus, dejando así al PC sin protección.
- Se conecta al canal #ran2 -de un servidor IRC-, para recibir órdenes de control remoto que llevar a cabo.
- Genera, en el Registro de Windows, varias entradas con el objetivo de ejecutarse cada vez que se inicia Windows.

Finalizamos el informe con Downloader.GPH , troyano que cuando es ejecutado en un computador muestra un mensaje de error. En los equipos a los que afecta descarga un archivo ejecutable que, a su vez, descarga y ejecuta varios archivos correspondientes a un gusano y a un troyano.

Enlaces relacionados
www.pandasoftware.cl