Noticias Sobre Seguridad

VSantivirus No. 377 - Año 5 - Viernes 20 de julio de 2001 Nombre: CodeRed.worm Alias: W32/Bady, CODERED.A, HBC, W32/Bady.worm Tipo: Gusano Tamaño: 4 Kb aprox. Origen: China Este gusano, que se ha estado propagando enormemente en los últimos días, explota una conocida vulnerabilidad en el archivo IDQ.DLL, de los servidores Microsoft IIS 5.0 Esta falla permite, mediante el aprovechamiento de un desbordamiento de búfer, la ejecución de código capaz de tomar el control del servidor web, a través de las extensiones ISAPI. El gusano CodeRed se propaga, escaneando servidores que corran IIS 5.0 (Internet Information Server), desde una lista de direcciones IP generada aleatoriamente. Cuando encuentra un servidor en alguna de esas direcciones, el gusano intenta ingresar al sistema a través del puerto 80, explotando la mencionada vulnerabilidad. Cuando ingresa en una computadora vulnerable, el gusano examina la existencia de un archivo C:\NOTWORM, (creado por el propio gusano bajo ciertas condiciones, si la máquina ya ha sido infectada). Si no existe, el gusano continúa su labor, de lo contrario puede permanecer residente. Solo infecta sistemas que se estén ejecutando en idioma inglés (Windows NT y 2000). Si se cumple esta condición, el gusano permanece latente por unas dos horas antes de dar sus siguientes pasos. Este lapso de tiempo, permite que el gusano se pueda propagar con mayor libertad antes que el usuario o el administrador del sitio, pueda detectar su presencia. En ese periodo, el gusano crea 100 threads simultáneos (tareas independientes, cada una consumiendo su propia memoria y recursos del procesador), y corre en cada una de ellas su propio código, en un bucle que usa para analizar la presencia de otras máquinas vulnerables, a las que pueda conectarse para infectarlas. Esta acción puede afectar la estabilidad del sistema, e incluso llegar a colapsarlo, como en un ataque de negación de servicio (D.o.S) . En la segunda parte de su acción, el gusano busca el archivo KERNEL32.DLL, y se engancha a algunas funciones necesarias para su funcionamiento. Utiliza también las librerías INFOCOMM.DLL, W3SVC.DLL y WS2_32.DLL. Estos archivos están presentes en un sistema como el mencionado. Las funciones enganchadas, le permiten interceptar los requerimientos de los clientes (browsers) que visitan el sitio, mostrando en lugar de la página solicitada, una con el siguiente texto: Welcome to http://www.worm.com ! Hacked By Chinese! El sitio mencionado en esta página, no posee ninguna relación con los creadores del virus. Esta acción se produce durante las siguientes diez horas (si el gusano no es quitado antes por el administrador del sitio). Una de las características más singulares de este gusano, es que el mismo no modifica ninguna página HTML, ni copia archivo alguno con su código en la máquina infectada. Funciona siempre residente en memoria, e intercepta las funciones normales del servidor, para mostrar en lugar de la página HTML solicitada, la suya, creada a partir del código residente en la memoria. Esto hace que pueda ser sacado fácilmente, simplemente reiniciando la computadora infectada. Como vimos, uno de sus efectos colaterales más importantes, es la fuerte degradación del funcionamiento del servidor atacado, debido a la cantidad de threads que se ejecutan al mismo tiempo, y al ancho de banda usado en la búsqueda de nuevas máquinas para infectar. Además, en algunas ocasiones, el gusano ejecuta estos threads hasta el agotamiento de todos los recursos del sistema, provocando la caída del mismo. Aunque a las 10 horas, el gusano termina por si mismo su ejecución, la infección puede volver a ocurrir en la misma máquina. Si la fecha actual, es cualquier día del mes, entre el 20 y el 28, el gusano intenta un ataque de negación de servicio a la dirección www.whitehouse.gov, enviando gran cantidad de datos basura al puerto 80. Finalmente, si la fecha es mayor al día 28, los diferentes threads creados en la primera etapa de la infección, quedan en un bucle infinito, causando la inestabilidad y posiblemente la caída de Windows. Actualmente, el gusano está ocasionando varios problemas debido a la gran cantidad de escaneos (100 a la vez por computadora), realizados en cada uno de los servidores atacados (casi 30.000 según los últimos reportes), lo que genera una gran cantidad de tráfico. Son vulnerables todos los sistemas corriendo el servicio Microsoft Index 2.0 (3), o Windows 2000 Indexing Service, que no han sido actualizados con los parches respectivos. La solución más evidente para quitar el gusano, como vimos, es resetear la computadora. La solución definitiva para que no vuelva a infectarse, es instalar los parches disponibles desde hace más de un mes en el sitio de Microsoft. ---------------------------- Hola, ¿emergencias?, tengo un virus en el teléfono celular Por Michelle Delio 15 de junio, 2001 Recibir correo electrónico en el celular es divertido, ¿no? Bien, los usuarios de i-mode en Japón que abrieron un mensaje que contenía un código malicioso no pudieron evitar hacer una ráfaga de llamadas de emergencia. Por Michelle Delio. Los teléfonos con conexión a Internet en Japón de repente, al parecer en forma espóntanea, empezaron a llamar a la policía y a los departamentos de bomberos para pedir auxilio. El problema afecta a los usuarios del servicio i-mode de DoCoMo, un servicio de Internet que permanece constantemente conectado y funciona en teléfonos celulares especiales. El servicio brinda a los usuarios la posibilidad de acceder al correo electrónico, sitios de Internet y otros servicios de la Red en forma inalámbrica. DoCoMo publicó una declaración el miércoles que confirmaba que 13.250.000 de los teléfonos celulares que utilizan el servicio i-mode de la empresa son vulnerables a un virus, que se distribuye a través del correo electrónico y que, cuando se abre, se activa y controla las funciones básicas del teléfono. Pero para el momento en que se dio a conocer la declaración, algunos de los abonados a DoCoMo ya se habían dado cuenta de que el origen del problema era un email malicioso, porque el verano pasado (invierno en el hemisferio sur) un problema similar afectó a los sistemas i-mode. Los emails que en la actualidad les están causando problemas a algunos de los 24 millones de usuarios de DoCoMo contienen una línea de código que ordena al software de telefonía de DoCoMo ejecutar acciones tales como marcar el "110" (el número de emergencias de Japón). El código se activa cuando los usuarios abren el mensaje en el programa de correo electrónico de su teléfono. Las variantes del código malintencionado también hacen que el teléfono realice una innumerable cantidad de llamadas a números telefónicos al azar o que se paralicen las funciones del teléfono cuando se abre el mensaje. Un falla en la seguridad del software de muchos teléfonos que se usan con el servicio DoCoMo permiten que un programador cree un pequeña cadena de código que imparte instrucciones a las funciones "Llamar" y "Enviar Correo" del teléfono. El código está incorporado directamente al texto del mensaje y no llega como adjunto. DoCoMo reconoció el efecto del virus de correo electrónico, pero la empresa informó a los medios de comunicación japoneses que los teléfonos no son defectuosos y que no se van a retirar del mercado, reparar ni reemplazar. En cambio, DoCoMo declaró que va a actualizar el software del teléfono celular si los usuarios informan que tienen problemas. En la declaración de DoCoMo, también se aconseja a los usuarios que no abran mensajes de remitentes desconocidos y que pulsen el botón de apagado si el teléfono comienza a enviar emails o a marcar en forma automática sin el consentimiento de su propietario. Si el aparato telefónico se apaga solo, se recomienda a los usuarios reiniciar el teléfono sacando y volviendo a colocar la batería. La declaración de DoCoMo señaló que ningún cliente informó que se hubiese dañado el dispositivo telefónico. Pero la empresa todavía está pensando en poner el asunto en manos de sus abogados "debido a los inconvenientes causados a sus clientes y al daño provocado a la imagen de Internet móvil." Según la declaración que dieron a conocer los medios de comunicación de Japón, DoCoMo explicó que la primera vez que comenzaron a recibir quejas de los clientes por problemas extraños fue el 23 de mayo. DoCoMo confirmó el 24 de mayo que 12 modelos diferentes de teléfonos producidos por cinco fabricantes distintos, entre los que se incluyen NEC, Fujitsu, Mitsubishi Electric, Sony y Matsushita, son vulnerables al código que contiene el mensaje de correo electrónico malintencionado. Pero DoCoMo agregó que los modelos de otros fabricantes también podrían verse afectados en formas todavía desconocidas si se abre un mensaje que contenga un código infectado. No es la primera vez que los teléfonos habilitados con i-mode son víctimas de un email que contiene un virus. En julio de 2000, miles de usuarios de i-mode también recibieron emails que estaban codificados para hacer que sus teléfonos marcaran el "110" dijo James Hardy, un periodista freelance que trabaja en Tokio. "Como resultado, algunos estudiantes fueron interrogados por hacer llamadas falsas a los servicios de emergencia de la policía y los bomberos. Un estudiante incluso fue arrestado. Al final, todo se aclaró, pero se tardó casi un mes en resolver el problema", señaló Hardy. "Se hicieron muchos llamados falsos a las líneas de emergencia, tantos que el Servicio de Policía del Japón tuvo que advertirle a DoCoMo que debía mejorar la seguridad del software telefónico." Mobile Media del Japón informó que DoCoMo anunció en septiembre de 2000 que todos los aparatos, a partir la serie 503i, incluirían software actualizado para impedir que los teléfonos cayeran bajo el control de un virus. La última declaración de DoCoMo ahora promete que todos los teléfonos que se vendan después de julio de 2001 tendrán software actualizado y más seguro. Según el comunicado de prensa japonés de DoCoMo, el código que causó los últimos problemas es diferente del que afectó a los celulares en julio de 2000 ---------------------------- Malos Tiempos para los Virus?¡¡ jejejeje parece que si...vamos ganando la batalla contra estos males de la sociedad..jejej..acuerdate si te infectas de un Virus nuevo mandamelo y con gusto le doy solucion ¡- ) Gracias por entrar a Unsecurity Dead Web..tu pagina de Seguridad..¡¡ McAfee presenta sus servicios antivirus ISABEL LÓPEZ MADRID.- Los virus son uno de los males endémicos de nuestros ordenadores. 'I love you', 'Melissa' o 'Explorezip' son algunos de los virus que se han hecho famosos por poner en jaque a los ordenadores de medio mundo. Sólo en el año 1999 los virus causaron más de 2 billones de pesetas en pérdidas. Por este motivo, las empresas de software se afanan, cada vez más, en la búsqueda de antivirus y de sistemas de seguridad para neutralizar o detectar la acción de los virus informáticos. McAfee, una división de Network Associates Inc, multinacional en soluciones de seguridad, ha presentado diferentes herramientas de seguridad para mantener los virus a raya. Entre éstas se encuentra McAfee Active Virus Defense. Se puede gestionar sin la intervención del administrador o del usuario con el ePolicy Orchestrator y facilita informes detallados sobre la actividad de los virus a través del Anti-Virus Informant, informes con los que se pueden conocer los focos de infección, los puntos de entrada vulnerables y otras informaciones para controlar a los virus. Entre los servicios y productos de McAfee para luchar contra esta plaga de los ordenadores, también se encuentra el VirusScan AsaP, basado en la Red, y desarrollado a partir de McAfee Total Virus Defense y VirusScan, ambas tecnologías de Network que ya protegen a 70 ordenadores en todo el mundo. Destaca su instalación automática desde Internet, su capacidad de actualizarse diariamente, su sistema de emergencia y la emisión de informes. Asimismo, es gestionado y supervisado por los proveedores de servicio por lo que se elimina el coste de personal para gestionar e instalar las soluciones. Blas Simarro, Director Técnico de McAfee, justificó la necesidad de este nuevo servicio de la compañía que, en principio, sólo estará disponible para Windows, en las pérdidas económicas que los virus ocasionan a las empresas. A su juicio, hay que prestar especial atención a la protección en Internet porque, según sus datos, el 90% de los virus se transmiten a través del correo electrónico. Javier Perea, responsable de la división de Proveedor de Servicio de McAfee para España y Portugal, afirmó que se trata de un producto para determinadas empresas, hasta 1000 nodos o PCs, porque 'por encima de ahí, las empresas ya disponen de una persona encargada'. Igualmente considera que la presencia de un antivirus que se puede instalar desde Internet no supondrá el fin de los antivirus en CD-Rom. 'Ambos van a convivir', señala. ---------------------------- Denial of Service (DoS) . Ataques de Rechazo de servicio (DoS) Informacion general Los ataques de rechazo de servicio ( mas conocidos como DoS, en inglés Denial of Service) no son virus, sino métodos que utilizan los hackers para impedir o denegar el acceso de los usuarios legítimos a las computadoras. Los ataques de DoS suelen ejecutarse mediante herramientas de rechazo de servicio que envían muchos paquetes de solicitud a un servidor de Internet atacado (normalmente un servidor de Web, de FTP o de correo), que inunda los recursos del servidor y lo inutiliza. Todos los sistemas conectados a Internet y equipados con servicios de red basados en TCP son posibles victimas. Por ejemplo, imaginate que un hacker crea un programa que llama a una pizzeria. La pizzeria responde al teléfono, pero se da cuenta que se trata de una llamada de broma. Si el programa repite esto de forma continua, impide a los clientes legítimos hacer pedidos de pizzas, porque la línea telefónica está ocupada. Este proceso es una operación de rechazo de servicio y es similar a los ataques de rechazo de servicio. Muchas herramientas para ataques de rechazo de servicio permiten ejecutar un ataque de rechazo de servicio de forma distribuida. Por ejemplo, imagina que un hacker implanta de forma secreta su programa en muchas computadoras de Internet. Esto causaría un mayor impacto porque habría más computadoras llamando a la misma tienda de pizzas. También sería más difícil localizar al atacante, dado que el programa no se está ejecutando desde la computadora del hacker. El atacante sólo controla la computadora en la que instaló el programa de forma secreta. Esto es similar a los ataques de rechazo de servicio distribuidos. Las herramientas de rechazo de servicio como TFN, TFN2K y Trinoo son herramientas de ataque distribuido. Las herramientas de ataque de servicio pueden instalarse de forma secreta (igual que un Troyano) en un gran número de sistemas inocentes que pueden ser controlados desde un punto central para iniciar los ataques de rechazo de servicio en las computadoras atacadas. Los sistemas en los que se instalan las herramientas de ataque de rechazo de servicio de forma secreta suelen llamarse zombies o esclavos. Los métodos de sobrecarga de los recursos y la decisión de qué recursos se sobrecargan varían en función de las herramientas de ataque de servicio que se utilicen. Por ejemplo, los ataques de rechazo de servicio realizados con Smurf utilizan una petición de eco de ICMP (Internet Control Message Protocol) falsificada. Otras herramientas de rechazo de servicio, como la familia de programas TFN (Tribe Flood Network), utilizan la técnica de inundación SYN, que crea conexiones entreabiertas. En la parte inferior de este escrito encontraras mas informacion sobre utilidades de rechazo de servicio. Cómo combatir un ataque de rechazo de servicio: Resulta difícil controlar el origen de los paquetes de petición de los ataques de rechazo de servicio, especialmente si se trata de un ataque de rechazo de servicio distribuido. Resulta imposible impedir todos los ataques de rechazo de servicio, pero hay algunas precauciones sencillas que se pueden tomar para reducir el riesgo de verse capturados por un ataque de rechazo de servicio. Por ejemplo, la desactivación de la respuesta de ICMP para protegerse de un ataque de tipo Smurf o la configuración de un router para filtrar y comprobar si una dirección IP proveniente del exterior contiene una dirección IP externa (o viceversa) para evitar ataques de tipo TFN. Norton Internet Security 2001 puede proteger su computadora de que se la utilice como esclavo o zombie. Protege su computadora mediante la construcción de una barrera impenetrable entre la computadora y los hackers de Internet. ( Mas informacion en la seccion de Downloadz =8-) ¿Cómo puede ayudarte un antivirus a combatir los ataques de rechazo de servicio? El antivirus detecta virus y no detecta los ataques de rechazo de servicio. Sin embargo, el antivirus puede tener un papel importante en la detección de los agentes de zombie. El antivirus detecta los programas antivirus mediante una firma predefinida. Con frecuencia, algunas herramientas como TFN o Trinoo ejecutan sus ataques desde computadoras capturadas previamente, tomando como base los agentes de zombie sobre los que se instalan en secreto. Los zombies no son sólo las víctimas del ataque de rechazo de servicio, sino que se usan para realizar el ataque en sí. Mediante la extracción de un patrón o una forma de los agentes de zombie conocidos, los productos antivirus pueden detectar el software malicioso en los sistemas capturados. El antivirus también puede detectar el momento en el que un hacker instala en secreto los agentes de zombie. Hasta el 18 de febrero de 2000, Norton AntiVirus podía detectar algunos de los agentes de rechazo de servicio más habituales, como TFN, TFN2K, Trinoo y Stacheldraht,tambien McAffe tiene esa cualidad...pero recuerda que cada dia se encuentran formas de meter el...por asi decirlo Troyano en las PCs asi que no te confies. Estas son otras herramientas de rechazo de servicio que detecta NAV desde el 23 de febrero de 2000 W32.DoS.funtime Solaris.DoS.stacheld.c Solaris.DoS.stacheld.t Solaris.DoS.stacheld.m