Boletín Paralax 55

Después de un largo intervalo, volvemos de nuevo con nuestro boletín. Esperamos que les siga siendo útil como siempre.

Aunque realmente no es un virus, las compañías que realizan sus anuncios a través de los correos masivos o SPAM, ya tienen otra arma mas.

Dentro del sistema operativo Windows NT, Windows 2000 y Windows XP, existen varias herramientas administrativas y servicios, uno de ellos se llama Messenger (que no tiene que ver nada con el programa de chat). Este servicio es usado para que el administrador de una red pueda enviar mensajes a los usuarios o para que un equipo reporte automáticamente si existe algún error.

Ahora una compañía llamada Direct Advertising, a lanzado un programa que puede aprovechar ese servicio para enviar comercialesa razom de 5000 por hora. El resultado es que incluso aunque no tenga abierto ningún navegador, o programa de correo, simplemente aparecerá una ventana con el comercial, como si fuera una alerta administrativa.

Este es lo que se llama ahora NetBios SPAM, debido a que se maneja a través de este protocolo de red. Además de ser molesto, probablemente esta técnica pronto será utilizada por los programadores de virus, así que es importante conocer el problema.

Pasando a noticias un poco mas ligeras, entre la comunidad de autores de virus hay expectativas por la unión de Gygabyte, una joven de 18 años, famosa por sus puntos de vista feministas y sus virus (creo los primeros virus capaces de infectar los archivos .NET de Microsoft) a mostrado un interés romántico por Nostal1g, un joven Hacker que paso a la posteridad por haber podido alterar el sitio de Internet de la Casa Blanca. A pesar de que la noticia suena como la unión de Bonny And Clyde del ciberespacio, se espera que ahora tengan algo mas interesante que hacer, en lugar de escribir virus.

Volviendo a los virus. Hasta ahora los virus mas populares siguen siendo Yaha, Klez y aun hay muchas infecciones con Sircam, sin embargo un nuevo virus puede arrebatarles pronto el dudoso honor de ser le mas popular. Es el gusano W32.Bugbear@mm . Este gusano es capaz de distribuirse a través de las unidades compartidas de la red. Como medida de seguridad, deben recordar que nunca debemos compartir la unidad C de su disco duro, y por protección, cuando compartan una carpeta como recurso de la red, siempre debe estar protegida por password. Un poco de paranoia, les puede ahorrar incontables horas de trabajo recuperando datos.

Contenido

Nombre: W32.Bugbear@mm
Tipo : gusano
Características: masivo de correos, se infecta a través de carpetas y unidades compartidas, espía y almacena lo que se escriba en el teclado, funciona como puerta trasera y desactiva los programas antivirus.
Otros nombres: W32/Bugbear-A [Sophos], WORM_BUGBEAR.A [Trend], Win32.Bugbear [CA], W32/Bugbear@MM [McAfee], I-Worm.Tanatos [AVP], W32/Bugbear [Panda], Tanatos [F-Secure]
Sistemas afectados: Windows 95, Windows 98, Windows NT, Windows 2000, Windows XP, Windows Me

Resumen.

W32.Bugbear@mm es un gusano extremadamente sofisticado y complejo y que puede llegar como un archivo adjunto de 50kb a través de alguno de estos correos:

El correo utiliza una falla de Outlook, Incorrect MIME Header Can Cause IE to Execute E-mail Attachment , que resulta en que en muchos sistemas, el gusano se ejecuta automáticamente, sin que el usuario tenga que activarlo.

Una ves que el gusano es activado, se copia al sistema y a la capeta de inicio, para que se ejecute automáticamente. Busca todas las direcciones de correo que se encuentran en la computadora y procede a enviar correos, y falsifica la dirección de envío tomándola de esas mismas direcciones, de manera que la dirección del correo en que llega el gusano, no es la dirección verdadera de la computadora infectada.

Además instala un programa que cada 30 segundos localiza y detienen varios programas, incluyendo a software antivirus, también instala un rutina, que sepia lo que se teclear, en especial trata de detectar passwords y números de tarjetas de crédito.

También instala una puerta trasera, en espera de recibir ordenes del autor del virus, para enviarle la información recolectada, o incluso permite que tome control del la computadora.

Finalmente , localiza las carpetas compartida en la red del usuario y trata de copiarse al folder de inicio. Debido a un error, se copia por accidente a la cola de impresión, esto lo puede delatar, pues aparecen una serie de documentos inválidos o que imprimen basura, en la cola de impresión.

Detalles Técnicos.

1. El gusano utiliza una falla de seguridad de Internet Explorer Microsoft Internet Explorer 5.01 y Microsoft Internet Explorer 5.5 . Cuando Outlook recibe un correo HTML, utiliza a IE para mostrarlo. Aprovechando esta vulnerabilidad, el archivo adjunto se activa en cuanto la pagina es desplegado, y el gusano comienza la infección del sistema. En caso contrario, el gusano solo se activa si el usuario pica en el archivo adjunto par poderlo ver.

La vulnerabilidad esta descrita en:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-020.asp

Y a pesar de lo que dice este documento, la vulnerabilidad si se puede utilizar , como lo demuestra este gusano.

Es muy importante tener todos los parches de seguridad al día, sobre todo si usa IE 5.01 y 5.5. Una alternativa es eliminarlos y usar Netscape.

Si no puede aplicar todos los parches, al menos deben aplicar este:

http://www.microsoft.com/windows/ie/download/critical/Q290108/default.asp

El gusano trata de localizar las unidades y carpetas compartidas. Nunca comparta la unidad de disco C, pues al estar ahí el sistema operativo se vuelve vulnerable, incluso desde Internet. Además debe protege con password sus carpetas compartidas, nunca las abra completamente, especialmente si esta conectado a una conexión de Internet de banda ancha, pues esto aumenta la posibilidad de recibir un ataque externo.
El gusano cada 30 segundos trata de localizar y detener estos procesos, que incluyen a algunos de los principales antivirus:

Boletín Paralax 55

E D I T O R I A L

Contenido

W32.Bugbear@mm, gusano espía.

Resumen.

Detalles Técnicos.

Eliminación