Download virus worm_sasser.b

1

2

3

4

5

6

Document related concepts

no text concepts found

Transcript

OFICINA NACIONAL DE GOBIERNO
ELECTRONICO E INFORMATICA
CONTENIDO
Centro de Consulta e Investigación sobre Seguridad de la Información
www.pcm.gob.pe
Edición Nº 93
26 de mayo de 2004
INFORMACION DE VIRUS INFORMATICOS
VIRUS WORM_SASSER.B
Alias:
VIRUS WORM_SASSER.B
W32/Sasser.worm.b, W32.Sasser.B.Worm, W32/Sasser.B
MÉTODO DE INFECCIÓN
VIRUS WORM_NETSKY.Y
CONSEJOS PARA
PROTEGERSE
LISTA DE ANTIVIRUS
Este virus se propaga buscando direcciones IP aleatoriamente y
aprovechando la vulnerabilidad de Windows “Local Security Authority
Subsystem Service” (LSASS), que es un desbordamiento de buffer que
permite la ejecución remota de código malicioso, con lo que un atacante
podría conseguir pleno control del sistema afectado. Para propagarse
WORM_SASSER.B escanea direcciones IP aleatoriamente en busca de
sistemas vulnerables. Cuando encuentra un sistema vulnerable, el código
malicioso envía un paquete especialmente diseñado para producir un
desbordamiento de buffer en LSASS.EXE, que causa que el programa se
bloquee y requiere que se reinicie Windows.
Los sistemas operativos afectados por esta vulnerabilidad son los
siguientes:
Windows 95, 98, ME, NT, 2000, XP, 2003
•
Fuentes
o
o
o
o
Trend Micro
Panda Software
Hispasec
Per Antivirus
El virus provoca que la computadora se reinicie constantemente, y en
algunos sistemas operativos se muestran las siguientes ventanas:
1
Visite el Portal del Estado Peruano:
http ://www.perugobierno.gob.pe
RECOMENDACIONES
de propagarse a través del correo
electrónico, lo hace por redes P2P,
copiándose en carpetas utilizadas por varios
de esos programas para compartir archivos
con otros usuarios.
Actualizar el parche de Microsoft
http://www.microsoft.com/technet/se
curity/bulletin/ms04-011.mspx
Es
recomendable
que
los
administradores de red y usuarios
bloqueen los puertos TCP 5554 y 9996
para prevenir la transferencia del virus
de las máquinas infectadas hacia las que
todavía no están parchadas.
El ejecutable muestra un icono con tres
cerezas
El virus puede enviarse a todas las
direcciones de correo obtenidas de diferentes
archivos de la máquina infectada. En todos
los casos el remitente que figura en el
mensaje es falso.
VIRUS WORM_NETSKY.Y
Alias:
w32/netsky.y@MM , W32.Netsky.y@mm , Win32.Netsky.y,
NetSky.Y
Posee además un componente de acceso por
puerta trasera (backdoor), y además finaliza
la ejecución de varios antivirus y
cortafuegos.
MÉTODO DE INFECCIÓN
Este virus se propaga a través del correo en
un e-mail con las siguientes características:
Cuando se ejecuta por primera vez, muesta
un mensaje de error falso:
Los archivos adjuntos poseen las siguientes
extensiones:
.COM, .CPL, .EXE, .HTA, .SCR, .VBS o .ZIP,
en éste último caso con contraseñas
generadas al azar, la cuál se muestra al
usuario en una imagen también adjunta.
Esto pretende eludir la detección de los
antivirus.
Error!
Can't find a viewer associated with the file
[ OK ]
Los mensajes que
propagación
tienen
características:
En ocasiones incluye la imagen de una mujer
en el cuerpo del mensaje (son varias
imágenes diferentes):
utiliza
las
para su
siguientes
De: [una dirección falsa]
En ocasiones, puede utilizar alguno de
los siguientes nombres con dominios al
azar:
ann@, annie@, christina@, christy@, jessie@,
lizie@, secretGurl@
Asunto: [uno de los siguientes]
Encrypted document
Fax Message Received
Forum notify
Hello!
Hey!
Hidden message
I just need a friend
I like you
I'm a sad girl...
I'm bored with this life
Incoming message
Let's socialize, my friend!
Let's talk, my friend!
Notify from a known person ;-)
Protected message
Re: Document
2
Visite el Portal del Estado Peruano:
http ://www.perugobierno.gob.pe
Re: Hello
Re: Hi
Re: Incoming Fax
Re: Incoming Message
Re: Msg reply
RE: Protected message
RE: Text message
Re: Thank you!
Re: Thanks :)
Re: Yahoo!
Request response
Site changes

Texto: [1]+[2]+[3]+[4]+[5]+[6]

Componente [1]: puede ser algunos
de los siguientes textos:

Dear [nombre destinatario],
Dear [nombre destinatario], It's me ;-)
Hello [nombre destinatario],
Hello,
Hey [nombre destinatario],
Hey [nombre destinatario], It's me ->
Hey,
Hi [nombre destinatario],
Hi,
Hi, It's me

Top subcategories

Top subcategories

Top subcategories

Top subcategories

Top subcategories

Top subcategories

Top subcategories

Download virus worm_sasser.b