Download VIRUS W32/Nachi.B.worm

Centro de Consulta e Investigación sobre Seguridad de la Información
www.pcm.gob.pe
OFICINA NACIONAL DE GOBIERNO
ELECTRONICO E INFORMATICA
Edición Nº 92
07 de mayo de 2004
CONTENIDO
INFORMACION DE VIRUS INFORMATICOS
VIRUS W32/Nachi.B.worm
Alias:
VIRUS
W32/NACHI.B.WORM
Nachi.B, Nachi, W/Nachi, W32/Nachi.Worm.b, W32.Welchia.B.Worm y WORM_NACHI.B
TROYANO
MP3VIRUS.GEN
Nachi.B es un gusano que afecta a computadores con los siguientes
sistemas operativos Windows 2003/XP/2000/NT.
TROYANO
DOWNLOADER.L
VOCABULARIO
INFORMATICO
CONSEJOS PARA
PROTEGERSE
LISTA DE ANTIVIRUS
MÉTODO DE INFECCIÓN
Nachi.B aprovecha las vulnerabilidades conocidas como Desbordamiento
de buffer en interfaz RPC, WebDAV y Desbordamiento de buffer en
servicio Workstation para propagarse al mayor número de computadores
posibles.
Nachi.B se propaga atacando computadores remotos, en los cuales intenta
aprovechar las vulnerabilidades para descargar en la PC una copia de sí
mismo, para lo cual incorpora su propio servidor web.
RECOMENDACIÓN
•
En
las
computadoras
con
sistema
operativo
Windows
2003/XP/2000/NT, se recomienda descargar los parches de seguridad
desde la Web de Microsoft para las siguientes vulnerabilidades:
1. Desbordamiento de buffer en interfaz RPC,
2. Desbordamiento de buffer en WebDAV y
3. Desbordamiento de buffer en servicio Workstation
TROYANO MP3Virus.Gen
•
Fuentes
o
o
o
Panda Software
Hispasec
Per Antivirus
Alias:
MP3Concept y TRJ/MP3Virus.G
MÉTODO DE INFECCIÓN
El troyano MP3Virus.GEN está diseñado para atacar el sistema operativo
Mac OS X, se distribuye dentro de los archivos de música en formato MP3,
encapsulando su código dentro de la marca ID3, un campo de la cabecera
que habitualmente contiene información como el título, artista, álbum,
entre otros.
El caballo de Troya se distribuye con el aspecto de un archivo MP3 que
tiene asociado los atributos de recursos de aplicación. Adicionalmente, en
el campo ID3 del archivo MP3 se encuentra el código binario del caballo de
Troya.
1
Visite el Portal del Estado Peruano:
http ://www.perugobierno.gob.pe
Cuando el usuario realiza un doble clic sobre
el archivo MP3 que contiene el caballo de
Troya, el sistema operativo identifica la
presencia de los atributos de recursos por lo
que identifica el archivo como una
aplicación y la ejecuta (con los privilegios del
usuario activo en el sistema).
TROYANO DOWNLOADER.L
Alias:
Trj/Downloader.L y Application IPSentry,
TrojanDownloader.Win32.Stubby
MÉTODO DE INFECCIÓN
Downloader.L es un troyano que se conecta
a Internet sin consentimiento por parte del
usuario, para descargarse archivos en los
computadores afectados.
Una parte del atributo de recursos se
encarga de apuntar al código incluido en el
campo ID3, lo que permite su ejecución. A
continuación, mediante AppleEvent se
ejecuta iTunes que empieza la reproducción
del archivo MP3 propiamente dicho.
El troyano infecta las siguientes plataformas
Windows 2003/XP/2000/NT/ME/98.
Como el usuario lo único que nota es que
iTunes se ejecuta inmediatamente después
de que haya realizado doble clic sobre el
archivo
MP3,
le
pasa
totalmente
desapercibida la ejecución propia del caballo
de Troya incluido dentro de ese mismo
archivo.
VOCABULARIO INFORMATICO
(cortesía Panda Software)
•
Actualizar / Actualización:
Los
antivirus
evolucionan
continuamente hacia versiones más
potentes y adaptadas a las nuevas
tecnologías empleadas por los virus.
Para no quedar obsoletos, detectan todos
los nuevos virus que surgen a diario.
Para ello, cuentan con el denominado
Archivo de Identificadores de Virus. Este
fichero incluye todas las características
que identifican a cada uno de los virus,
haciendo posible detectarlos y actuar en
consecuencia. La incorporación de la
última versión de dicho fichero y de
otros al antivirus, es lo que se conoce
como actualización.
La versión actual del caballo de Troya es
realmente benigna y no tiene ningún efecto
pernicioso.
EFECTO DE INFECCIÓN
El efecto es la visualización de un aviso al
usuario de que se trata de una aplicación. Si
bien la versión actual no tiene efectos
destructivos, el mismo concepto puede
utilizarse para realizar acciones más
drásticas.
La situación en el entorno Mac OS X es
mucho mejor que en el entorno Windows,
donde abundan todo tipo de gusanos y virus
con efectos mucho más negativos. Pero la
propia existencia de este caballo de Troya
demuestra que en el entorno Macintosh
también existen problemas de seguridad
potenciales.
•
Alias:
Cada
virus
tiene
asignado
un
determinado nombre y sin embargo,
muchas veces es más fácil reconocerlo
por alguna de sus características más
destacadas. En estos casos, el virus
cuenta además con un segundo nombre
(a modo de nombre de pila) que hace
referencia a dicha característica. Dicho
nombre es lo que se conoce como alias de
un virus. P.e.: el virus CIH se conoce con
alias Chernobyl
Si MP3Virus.Gen no hace nada destructivo,
tal vez más adelante aparezcan otros
troyanos con efectos destructivos.
2
Visite el Portal del Estado Peruano:
http ://www.perugobierno.gob.pe
•
aparentando ser inofensivo, se instala y
realiza determinadas acciones que
afectan a la confidencialidad del usuario
afectado. La historia mitológica El
Caballo de Troya ha inspirado su
nombre.
Backdoor / Puerta trasera:
Se trata de un programa que se introduce
en el ordenador y establece una puerta
trasera a través de la cual es posible
controlar el sistema afectado, sin
conocimiento por parte del usuario.
•
•
Los virus son programas que se pueden
introducir en los ordenadores y sistemas
informáticos de formas muy diversas,
produciendo efectos molestos, nocivos e
incluso destructivos e irreparables.
Bomba lógica:
Es un programa, en principio de
apariencia normal e inofensiva, que
puede actuar provocando acciones
dañinas, al igual que cualquier otro
virus.
•
CONSEJOS PARA PROTEGERSE
Gusano (Worm):
Hay muchos virus que se esparcen a
mediante la red a nivel mundial y nacional,
por lo cual estamos dando unas
recomendaciones para que las instituciones
y usuarios en general puedan proteger sus
equipos informáticos:
Es un programa similar a un virus que, a
diferencia de éste, solamente realiza
copias de sí mismo, o de partes de él.
•
Hoax (Jokes):
No es un virus, sino falsos mensajes de
alarma (bromas o engaños) sobre virus
que no existen.
•
♦ Si dispone de herramientas de filtrado,
configúrelas para que rechacen los
mensajes que cumplan las características
de los virus más conocidos.
♦ No
ejecute
archivos
adjuntos
desconocidos y bórrelos incluso de la
carpeta de Elementos Eliminados.
♦ Los archivos adjuntos deben ser
revisados por un antivirus actualizado.
♦ Tener cuidado con los archivos que
reciba a través de las aplicaciones de
intercambio de archivos punto a punto
(P2P).
♦ Actualice el antivirus del computador.
Parche de seguridad:
Conjunto de ficheros adicionales al
software original de una herramienta o
programa informático, que sirven para
solucionar sus posibles carencias,
vulnerabilidades,
o
defectos
de
funcionamiento.
•
Virus:
Troyano / Caballo de Troya:
En sentido estricto, un troyano no es un
virus, aunque se considere como tal.
Realmente se trata de un programa que
llega al ordenador de manera encubierta,
3
Visite el Portal del Estado Peruano:
http ://www.perugobierno.gob.pe
‰ Se adjunta una lista de páginas webs donde el usuario puede obtener mayor información sobre
virus y actualizar el antivirus:
NOMBRE DEL ANTIVIRUS
Panda Software
Per Antivirus
The Hacker
AVAST Antivirus
Zap Antivirus
Sophos Antivirus
Norton Antivirus (NAV)
Antiviral Toolkit Pro (AVP)
ESafe
Antivirus Enterprise Protection
InoculateIT
McAfee VirusScan
AVG Antivirus
Symantec
TrenMicro
BitDefender
CUALQUIER CONSULTA ENVIAR UN
CORREO AL
CENTRO DE CONSULTA
E INVESTIGACION SOBRE
SEGURIDAD DE LA INFORMACION
ccisi@pcm.gob.pe
PAGINA WEB
http://www.pandasoftware.es/
http://www.persystems.net/
http://www.hacksoft.com.pe/
http://www.antivir.com/support.htm
http://www.zapantivirus.com
http://esp.sophos.com/
http://www.sarc.com/avcenter/download.html
http://www.kaspersky.com/
http://www.esafe.com/download/virusig.html
http://www.commandcom.com/html/files.html
http://support.cai.com/Download/virussig.html
http://download.mcafee.com/updates/updates.asp
http://www.grisoft.com/us/us_index.php
http://www.symantec.com/
http://www.trendmicro.com/download/pattern.asp
http://www.bitdefender-es.com