Diario Tecnologico - Informe sobre virus e intrusos

El informe de esta semana ofrece datos sobre los troyanos Banker.FLO y TnegA.A, el gusano IrcBot.AIV y sobre la herramienta de hacking WKSSVC.

(DT, AGENCIAS) El código malicioso Banker.FLO es un troyano que controla el tráfico de Internet generado cuando el usuario accede a las páginas web de las siguientes entidades bancarias online: Banco do Brasil, Bradesco, Itau y Santander Banespa. El troyano registra las pulsaciones del teclado introducidas en dichas webs cuando se accede a ellas. Así, logra capturar nombres de usuario y contraseñas de acceso, recopilando la información y enviándola por medio de un correo electrónico a su autor.

Banker.FLO no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación. Estos medios pueden ser desde disquetes hasta redes de intercambio punto a punto (P2P), pasando por mensajes de correo electrónico, descargas de Internet, etc.

Este troyano es difícil de detectar, ya que no muestra ningún tipo de mensaje ni aviso de su presencia en el computador infectado.

El otro troyano analizado es TnegA.A. Es un backdoor cuya función es conectarse a cierto servidor para proporcionar acceso remoto al equipo infectado, posibilitando así realizar acciones que comprometan su confidencialidad o dificulten su trabajo.

Este código malicioso impide el acceso a determinadas páginas web, sobre todo de compañías antivirus, además de impedir la ejecución de diversos programas de control y configuración del computador, como el Editor de Registro de Windows.

TnegA.A necesita la intervención de un usuario atacante para propagarse. Como suele ser común en este tipo de malware, se sirven de multitud de medios, como los CD-ROMs, descargas de Internet o canales IRC.

Por su parte, el gusano IrcBot.AIV tiene características de Backdoor, ya que se conecta a un servidor IRC para recibir órdenes de control remoto y ejecutarlas en el computador en el que se aloja. Para infectar otros sistemas, este gusano instala en el equipo su propio servidor FTP.

IrcBot.AIV tiene dos formas de transmisión. Por un lado, hace copias de sí mismo en los recursos compartidos de red a los que pueda acceder. Por otro lado, para propagarse a través de Internet, se aprovecha de las vulnerabilidades LSASS, RPC DCOM, y UPnP. Por ello, es recomendable descargar e instalar los parches de seguridad para estas vulnerabilidades desde la página de Microsoft.

Para terminar, el código malicioso WKSSVC, que se basa en una vulnerabilidad en el fichero WKSSVC.DLL de computadores equipados con Windows XP/2000. Si el equipo es vulnerable contra dicha herramienta, WKSSVC permite al pirata informático la ejecución de código en el mismo.

Para subsanar esta vulnerabilidad es recomendable descargar e instalar el parche de seguridad referido a la vulnerabilidad en Workstation, que está incluida en el boletín de Microsoft MS06-070. Esta actualización se puede descargar de forma gratuita desde la siguiente dirección: www.microsoft.com/spain/technet/seguridad/boletines/MS06-070.mspx