Download Boletín Semanal #1

Boletín Semanal #1
- Viernes 27 de septiembre de 2002 Seguridad Informática Emprende
http://www.elistas.net/lista/sipe
http://www.emprendedoras.com/colaboradores/arnol
do_moreno.htm
Foro iniciado por http://www.emprendedoras.com
sobre Seguridad
Informática para emprendedores que desconocen estos temas y están
interesados en ellos (también para especialistas que deseen compartir).
Mensajes al foro: sipe@eListas.net
Las noticias y artículos de este tema más inmediatos, sobre todo
en materia de Virus Informáticos y su Tratamiento (según
la apreciación de Arnoldo Moreno Pérez) para la búsqueda de
soluciones oportunas y obtención de criterios básicos. También
se agregarán algunas ligas que lleven a artículos y a sitios que
puedan ser de interés general o de ayuda.
I).- Algunas Noticias y Artículos de Interés:
AYÚDENOS A MANTENER ESTE SITIO
http://www.vsantivirus.com/donaciones.htm
¿El fin de un proyecto?
http://www.vsantivirus.com/26-09-02.htm
Ya está disponible Windows 2000 Service Pack 3
http://www.vsantivirus.com/win2000-sp3.htm
Habría sido detenido el autor del gusano "Slapper"
http://www.vsantivirus.com/24-09-02.htm
2
Nuevas versiones del gusano Slapper
http://www.vsantivirus.com/23-09-02.htm
Hoax: Cámara de video
http://www.vsantivirus.com/hoax-camara-video.htm
Cómo descargar Internet Explorer 6 SP1 en español
http://www.vsantivirus.com/descarga-ie6sp1.htm
Nuevas vulnerabilidades en la máquina virtual de Java
http://www.vsantivirus.com/vulms02-052.htm
Seguridad On-Line
http://www.vsantivirus.com/seguridad-online.htm
Primer Aniversario 11-S. Panorama Actual de la Seguridad
Informática.
http://www.virusprot.com/Opiniones2002.html
II). – Virus (Gusanos, Backdoors o Troyanos) encontrados
recientemente en el Mundo:
Gusano: W32.HLLP.Alpoor, W32.Alpoor.6144
Es un virus escrito en Visual Basic que solamente será operativo en
Windows 2000 y Windows XP con plataforma .NET.
http://www.alerta-antivirus.es/virus/detalle_virus.html?cod=1769
Troyano: Backdoor.DarkFtp, BKDR_DARKFTP [Trend], BackDoorKE.svr [McAfee]
Backdoor.DarkFtp es un troyano que facilita al atacante acceso no
autorizado sobre la maquina infectada. Utiliza por defecto el puerto
6667 para tomar el control sobre los comandos del IRC.
http://www.symantec.com/avcenter/venc/data/backdoor.darkftp.html
Troyano: Troj/PacJoke, W32/PacJoke, PacJoke, Pac2000
Este troyano ha sido visto y descargado de redes P2P tipo KaZaa,
disfrazado como una supuesta versión del clásico juego PacMan
(también el icono del ejecutable es un PacMan, y su nombre suele ser
"Pac2000.exe").
http://www.vsantivirus.com/pacjoke.htm
3
Gusano: W32/Appix, W32.Appix.Worm, PHP.Appix
Se propaga a través de las redes de intercambio de archivos Peer-toPeer (P2P) como KaZaa y eDonkey2000.
También infecta archivos PHP y PHTML, agregándoles el código que
infecta otros archivos como PHP, PHTML, HTM, y HTML. De este modo,
un visitante a un sitio Web infectado puede descargar el gusano a su
computadora.
Además posee su propio cliente SMTP que le permite propagarse vía
correo electrónico.
En este caso, envía a los contactos de la libreta de direcciones, un
mensaje infectado con estas características:
Asunto: test23
Datos adjuntos: Test.scr
El tamaño del adjunto puede ser de 175,112 bytes o 176,128 bytes, y el
mismo se ejecuta con solo abrir el mensaje, o al visualizarlo en el panel
de vista previa del Outlook, valiéndose de una conocida vulnerabilidad.
http://www.vsantivirus.com/appix.htm
Troyano: Backdoor.Armageddon.B
Permite el acceso no autorizado a la maquina infectada. Durante su
ejecución deja fuera de servicio los programas de antivirus y firewall.
http://www.symantec.com/avcenter/venc/data/backdoor.armageddon.b.html
Troyano: Backdoor.Roxrat.10, Backdoor.Roxrat, Backdoor.AIQ
Permite el acceso no autorizado a la maquina infectada. Durante su
ejecución deja fuera de servicio los programas de antivirus y firewall.
http://www.symantec.com/avcenter/venc/data/backdoor.roxrat.10.html
Troyano:
Backdoor.Litmus.2a,
BackDoor-JZ
[McAfee],
Backdoor.Litmus.II
[AVP],
BKDR_LITMUS2.A
[Trend],
Troj/Litmus-II [Sophos]
Permite el acceso no autorizado a la maquina infectada. Se copia a si
mismo como %windir%\VxD\Blah.exe.
http://www.symantec.com/avcenter/venc/data/backdoor.litmus.2a.html
Troyano: Backdoor.RMFDoor.Cli
Backdoor.RMFdoor.Cli es la parte cliente de Trojan_RMFdoor (Servidor).
Este cliente será utilizado por el troyano para controlar remotamente la
máquina infectada.
http://www.symantec.com/avcenter/venc/data/backdoor.rmfdoor.cli.html
4
VBS: VBS_CORICA.A, VBS/Corica@MM
Se propaga a si mismo vía MS Outlook gracias a un adjunto con nombre
Microsoft.vbs en un mensaje cuyo campo asunto es variable.
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=VB
S_CORICA.A
Gusano: W32.Hobble@mm, I-Worm.Alcaul.z [AVP]
W32.Hobble@mm es un gusano que intentará propagarse a través de la
red de compartición de ficheros KaZaA. Tiene capacidades de envío
masivo de correos y puede enviarse a si mismo hacia direcciones de
correo recuperadas de páginas htm y html localizadas en la caché del
MS Internet Explorer.
http://www.alerta-antivirus.es/virus/detalle_virus.html?cod=1778
Gusano:
WORM_P2PBONET.A,
Worm.P2P.Bonet,
W32/PeaTwoPea.worm, Win32.Kazdot worm
Este gusano solo funciona en sistemas que tengan instalada la
plataforma .NET. y se propaga por la red de compartición de ficheros
Kazaa.
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=W
ORM_P2PBONET.A
Troyano: Backdoor.OptixPro.11, Backdoor.Optix.Pro.11 [AVP],
BackDoor-ACH [McAfee]
Proporciona acceso no autorizado al atacante, utilizando por defecto el
puerto de servicio 50021. Está escrito en Delphi y comprimida con la
utilidad
tElock
v0.98.
Se
copia
a
si
mismo
como
%windir%\Win32loader.exe.
http://www.symantec.com/avcenter/venc/data/backdoor.optixpro.11.ht
ml
Gusano: W32.Ameter@m
Gusano que necesita para su funcionamiento que estén instaladas en la
máquina afectada las librerías del runtime de Borland C++ 6.0.
Sobreescribirá todos los ficheros .exe (excepto Emm386.exe y
Setver.exe)
que
residen
en
la
carpeta
%windir%.
También se reenvía a si mismo a un conjunto de direcciones ya que
vienen con el gusano. El mensaje enviado tiene las siguientes
características:
Asunto: Brigada Ocho Bitmap Tools
Adjunto: <Nombre original del gusano>
http://www.symantec.com/avcenter/venc/data/w32.ameter@m.html
5
Troyano: Trojan.WinReboot
Troyano que provoca un bucle de inicio. Cuando las tareas de arranque
de Windows finalizan, vuelve a iniciar el sistema. Al estar escrito en
Visual Basic, necesita las librerías VB instaladas para poder ser
operativo, además de que Windows debe estar instalado en el directorio
C:\Windows.
http://www.symantec.com/avcenter/venc/data/trojan.winreboot.html
Troyano: PWSteal.BStroj, Trojan.PSW.BStroj.19 [AVP]
Ladrón de passwords de usuario de MSN Messenger o Yahoo! Messenger
para enviárselas al hacker. Está escrito en Microsoft Visual Basic versión
6.
http://www.symantec.com/avcenter/venc/data/pwsteal.bstroj.html
Troyano: Backdoor.Pest.Cli
Se trata de la parte cliente del troyano que permitirá al hacker tomar el
control de la máquina infectada. Afecta a todas las versiones de
Windows a partir de Windows 95 y tiene un tamaño de fichero de
1,350,144 Bytes.
http://www.symantec.com/avcenter/venc/data/backdoor.pest.cli.html
Gusano: WORM_CIANAM.A, CIANAM.A
Este gusano se propaga enviando copias de sí mismo usando Microsoft
Outlook.
Llega en un correo con alguno de los siguientes asuntos:
Why are you so playful??
Why are you so angry at me??
Why are you so useless??
Why are you so hateful???
We need to talk...!
What's the problem?
How are you??
You need help?
What's happening???
RE: Why you not replying??
Need help! Check this out!
También se propaga mediante IRC y Kazaa
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=W
ORM_CIANAM.A&VSect=T
6
Gusano: W32/Thyac@MM
Escrito en Visual Basic, este virus intenta propagarse enviándose a
direcciones de correo extraídas de los ficheros temporales de Internet, y
a través de la red de compartición de ficheros Kazaa. Tiene un tamaño
de 18,432 bytes (comprimido con UPX).
http://vil.mcafee.com/dispVirus.asp?virus_k=99720
Arnoldo Moreno Pérez
arnoldo_58@hotmail.com (Pueden anexarme como
contacto)
miru@prodigy.net.mx (Correo Personal, pueden
escribirme con gusto, también pueden enviarme
muestras)
0445525017344 (Celular)
56984085 (Teléfono Particular)
Domicilio: Navarra 195-6,CP03400
Colonia Alamos, Delegación Benito Juárez),México D.F.