Diario Tecnologico - Informe semanal de virus e intrusos

Esta semana los troyanos Ppdropper.A y Sinowal.BS, y los gusanos Spybot.ADW y Netsky.BR, acaparan la atención del presente informe semanal de PandaLabs.

Ppdropper.A es un troyano que aprovecha una vulnerabilidad detectada en varias versiones de Microsoft PowerPoint para la que no existe un parche disponible, que permite a un atacante remoto acceder de forma remota al equipo con los mismos privilegios de la cuenta activa de usuario. Se distribuye mediante un documento de PowerPoint especialmente creado, que puede llegar al usuario por diversos canales, como e-mail, Internet o redes P2P. Una vez en el sistema, Ppdropper.A facilita la entrada en el equipo vulnerable de otras amenazas, como Bifrose.QN, un backdoor que permite controlar de forma remota el equipo infectado. Dada la carencia de un parche disponible que solvente la vulnerabilidad aprovechada por este troyano, se recomienda extremar la precaución a la hora de abrir documentos de PowerPoint, independientemente de la fuente de la que provengan.

Sinowal.BS es un troyano que crea una serie de ficheros en el sistema y se inyecta en el proceso explorer.exe para recopilar información del usuario, como contraseñas de correo electrónico de los programas Ak-Mail, Eudora y The Bat, así como aquellas almacenadas en Protected Storage . También obtiene información sobre servidores FTP configurados en FlashFXP y sobre los favoritos de Internet Explorer y Firefox, entre otros. La información recopilada es enviada a un sitio web, junto con otros datos como direccion IP del equipo y puertos abiertos. Además, monitoriza los datos que el usuario envía durante la navegación. Sinowal.BS no se propaga por sus propios medios, por lo que requiere de la intervención del usuario para infectar el equipo.

Spybot.ADW es un gusano que dispone de funcionalidades backdoor a través de canales IRC, lo que permite a un atacante obtener información del sistema infectado, como su dirección IP. Además, es capaz de instalar su propio servidor FTP. El gusano no se propaga por sí mismo, sino que requiere de una acción del usuario para infectar el equipo. Sin embargo, a petición del atacante puede distribuirse a través de correo electrónico a la direcciones recopiladas en la libreta de direcciones de Outlook. En dichos correos muestra el asunto “Critical Update”, intentando convencer al destinatario de que ejecute el fichero adjunto, haciéndole creer que se trata de un parche de Microsoft que resuelve un supuesto problema de seguridad.

Netsky.BR es un nuevo gusano de esta conocida familia cuyo objetivo es propagarse por correo electrónico utilizando las direcciones recopiladas en el equipo infectado. A pesar de ello no causa ningún perjuicio adicional. En los correos que envía incluye un fichero adjunto que simula ser un inofensivo documento de texto, mostrando el icono correspondiente, pero que en realidad es un fichero ejecutable con doble extensión. Si se abre el documento, Netsky.BR , procede a crear copias de sí mismo bajo el nombre Jammer2nd.exe, junto con otros ficheros en formato MIME.

Enlaces relacionados
www.pandasoftware.cl