Diario Tecnologico - Informe Semanal de Virus e Intrusos

Con seis de los 10 ejemplares más frecuentes en los computadores nacionales, los gusanos dominaron ampliamente el escenario vírico de la semana del 6 al 13 de enero de 2006, según el registro de la solución on line y gratuita Panda ActiveScan.

De estos seis gusanos, tres son de la familia Sdbot. El más importante – Sdbot.ftp – conserva el primer lugar de la tabla y además aumenta su porcentaje de ataques respecto a la semana anterior, de 3,95% a 4,48%

Un segundo miembro de la familia es Sdbot.FSL , presente desde hace tres semanas en los computadores nacionales, ocupa el séptimo lugar de la tabla. En el octavo puesto aparece Sdbot.DOR . En ambos casos se trata de gusanos de peligrosidad baja que se reproducen creando copias de sí mismos, sin infectar otros ficheros. Principalmente, intentan colapsar computadores y redes, impidiendo el trabajo a los usuarios.

Además de la notoria participación de ejemplares Sdbot, llama la atención otro gusano que se incorpora esta semana a los Top Ten nacionales: Parite.B (sexto lugar). Este gusano ha sido persistente en sus apariciones en las estadísticas mundiales de virus más frecuentes, pero no había penetrado el ranking nacional. Se trata de una antigua amenaza – data de noviembre de 2001 - que al igual que Netsky.P , se mantiene vigente gracias a la persistencia de vulnerabilidades igualmente antiguas.

Parite.B infecta ficheros de tipo Portable Ejecutable (PE) con extensión EXE y SRC. En los ficheros infectados añade una sección con tres caracteres aleatorios y al final un símbolo ASCII: • (Alt+7).

Crea un fichero de tipo dropper en el directorio de temporales de Windows. Este fichero tendrá un nombre aleatorio de siete caracteres y extensión TMP y queda en uso por Windows, por lo que resulta muy complicado de eliminar.

Virus Top Ten en Chile, semana del 6 al 13 de enero de 2006

Virus % de infecciones
W32/Sdbot.ftp 4.48
W32/Sober.AH.worm 1.64
W32/Netsky.P.worm 1.52
Trj/Banker.BSX 1.29
Rootkit/FU.A 0.89
W32/Parite.B 0.73
W32/Sdbot.FSL.wor m 0.73
W32/Sdbot.DOR.worm 0.71
Exploit/Metafile 0.68
Trj/Torpig.A 0.68

Informe Mundial

El informe de esta semana va a referirse a tres problemas de seguridad que afectan a varios productos de Microsoft y pueden permitir a un atacante controlar los sistemas vulnerables, a dos troyanos - Mitglieder.HE y Spymaster.A -, y a un gusano - Mytob.ML -.

El primer problema de seguridad que mencionamos afecta a Office 2000 SP3, Office XP SP3, Office 2003 SP1 y SP2, y Exchange Server. Tiene su origen en la forma en la que Outlook y el servidor Exchange codifican mensajes de correo electrónico , que utilizan el protocolo TNEF (Transport Neutral Encapsulation Format).

La segunda vulnerabilidad de la que informamos afecta a Windows 2003/XP/2000/Me/98, y se debe a la forma en la que Windows maneja las fuentes web embebidas que estén malformadas. Puede ser aprovechada por un atacante alojando una fuente web maliciosa en una página especialmente creada, y convenciendo a usuarios para que la visiten, o enviando por correo electrónico un mensaje especialmente creado que contenga una fuente web maliciosa.

El tercer y último problema de seguridad al que nos referimos reside en Graphics Rendering Engine , en computadores con Windows 2003/XP/2000, y permite ejecutar código arbitrario en el sistema vulnerable. Puede ser aprovechado por un atacante alojando una imagen WMF (Windows MetaFile) en una página web especialmente creada, y convenciendo a usuarios de que la visiten, o enviando por correo electrónico un mensaje especialmente creado que contenga una imagen WMF.

Microsoft ha publicado tres boletines de seguridad -el MS06-003, el MS06-002 y el MS06-001-, en los que anuncia la disponibilidad de actualizaciones que resuelven las tres vulnerabilidades mencionadas, y cuya instalación se recomienda a los usuarios de los equipos afectados.

El primer troyano que analizamos es Mitglieder.HE , que para propagarse precisa de la intervención de un atacante, aunque también puede iniciar un servidor SMTP y enviar una copia suya a través del correo electrónico.

En el equipo al que afecta, Mitglieder.HE abre el puerto 9031 y actúa como servidor proxy. Además, espera órdenes de control remoto que llevar a cabo, como descargar y ejecutar archivos, iniciar un servidor SMTP, modificar el puerto de acceso o actualizarse a sí mismo.

El segundo troyano del presente informe es Spymaster.A que, como sucedía con la amenaza anteriormente citada, no se propaga automáticamente por sus propios medios y precisa de la intervención de un atacante para su propagación. Normalmente es distribuido a través del correo electrónico, en un mensaje que contiene un archivo adjunto denominado SERVER.EXE.

Spymaster.A registra las pulsaciones de teclado introducidas por el usuario, para obtener contraseñas u otro tipo de información confidencial, al tiempo que monitoriza las páginas web a las que se ha accedido. Asimismo, puede visualizar los programas que están en ejecución y los archivos que el usuario crea, modifica o borra. La información que recopila la guarda en un fichero, que envía a un servidor FTP. Otro dato significativo de Spymaster.A es que emplea un curioso sistema de ocultación, para hacerse pasar por la aplicación MSN Messenger, para que los usuarios no sospechen de su presencia en el sistema.

Terminamos el informe de hoy con Mytob.ML , gusano que se propaga a través del correo electrónico, en un mensaje que contiene un enlace. Tras afectar un equipo, se conecta a un servidor IRC para recibir órdenes de control remoto que llevar a cabo. Además, finaliza procesos pertenecientes a otros ejemplares de malware y a diversas herramientas de seguridad -como, por ejemplo, cortafuegos-, e impide el acceso a determinadas páginas, pertenecientes -en su mayoría- a empresas antivirus.

Enlaces relacionados
www.pandasoftware.cl