Foros de daboweb
SEGURIDAD INFORMATICA, Firewall, parches, vacunas, antivirus, anti troyanos, spyware etc => Seguridad Informatica - Firewall - Virus - Troyanos - Spyware - Ad Aware - Malware => Mensaje iniciado por: Danae en 15 de Agosto de 2005, 07:56:39 pm
-
Mytob.IR. Se propaga usando vulnerabilidad MS05-039
Nombre: Mytob.IR
Nombre NOD32: Win32/Mytob.IR
Nombre más conocido: Zotob.B
Tipo: Gusano de Internet y caballo de Troya
Alias: Mytob.IR, Zotob, Zotob.B, W32.Zotob.B, W32/Zotob.B.worm, W32/Zotob.worm, W32/Zotob.worm.b, W32/Zotob-B, Win32.HLLM.MyDoom, Win32.Zotob.B, Win32/Mytob, Win32/Mytob.IR, Win32/Zotob.A, Win32/Zotob.B!Worm, Worm.IRCBot.DL, Worm.Zotob.A, WORM_ZOTOB.B
Plataforma: Windows 32-bit
Tamaño: 15,386 bytes
Puertos: TCP 445, 8080, 8888, 33333
Gusano que se propaga utilizando la vulnerabilidad descripta en el boletín MS05-039 de Microsoft:
MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm
Esta vulnerabilidad solo puede ser explotada en equipos con Windows 2000 sin el parche MS05-039 instalado.
Solamente un usuario autenticado podría explotarla de forma remota en equipos con Windows XP y XP SP1.
Los usuarios con Windows XP SP2 y Windows Server 2003, no pueden ser afectados de forma remota, por lo que este gusano no los afecta de forma directa.
En estos sistemas, esta vulnerabilidad solo puede ser explotada de forma local, con la única consecuencia de elevación de privilegios. Sin embargo, Microsoft advierte que puede ser posible que un equipo con XP o Server 2003, pudiera llegar a ser infectado por la interacción local del usuario o por otro malware instalado previamente en el sistema.
Cuando el gusano se ejecuta, crea el siguiente archivo:
c:\windows\system32\csm.exe
Agrega las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
csm Win Updates = "csm.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
csm Win Updates = "csm.exe"
El gusano comprueba continuamente la existencia de estas claves y las vuelve a crear si son borradas con el virus todavía en memoria.
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).
Ambas versiones, modifican la siguiente entrada para deshabilitar el servicio de "Conexión de seguridad a Internet" (ICF):
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
Start = "4"
Se conecta a un servidor IRC en el siguiente dominio a través del puerto TCP 8080:
wait.atillaekici.net
La conexión al servidor IRC, permite que un usuario remoto pueda acceder al sistema infectado y realizar acciones como las siguientes:
- Acceso vía FTP al equipo infectado
- Actualizar el gusano via FTP
- Atacar determinados hosts (flood atack)
- Borrar archivos
- Descargar y ejecutar archivos vía HTTP
- Enviar información del sistema infectado
- Finalizar la ejecución del gusano
- Finalizar procesos
- Notificar su presencia a un canal de IRC determinado
- Reiniciar la computadora
- Remover componentes
- Solicitar fecha de infección
- Solicitar versión del gusano
- Visitar determinadas direcciones
También abre un servidor FTP en el puerto TCP 33333 por el que otros equipos descargarán una copia del gusano.
El gusano intenta propagarse utilizando la vulnerabilidad en el servicio Plug and Play de Windows, descripta en el boletín de seguridad MS05-039. Para ello puede crear hasta 300 threads (hilos de ejecución) para buscar sistemas vulnerables enviando paquetes SYN por el puerto TCP 445. Esta acción genera una tarea llamada "SCAN".
Si el ataque tiene éxito (equipos con Windows 2000 sin el parche MS05-039), ejecuta un shell (cmd.exe) en el puerto TCP 8888. Por este puerto, envía al equipo remoto los comandos para descargarse y ejecutarse a si mismo. Primero, copia el siguiente archivo en los sistemas vulnerables:
2pac.txt
Este archivo contiene un script FTP, que el gusano intentará usar al ejecutar el comando FTP .EXE por el shell abierto antes, con el resultado que el equipo accedido descargue una copia del malware usando el servidor FTP en el puerto TCP 33333 creado antes en el equipo infectado.
El archivo descargado es guardado con el siguiente nombre y luego ejecutado:
haha.exe
El gusano agrega las siguientes entradas al archivo HOSTS de Windows, impidiendo además el acceso a muchos sitios de antivirus y otras firmas de seguridad:
.... Made By .... Greetz to good friend ..... Based On ....
MSG to avs: the first av who detect this worm will be the
first killed in the next 24hours!!!
127 .0 .0 .1 www .symantec .com
127 .0 .0 .1 securityresponse .symantec .com
127 .0 .0 .1 symantec .com
127 .0 .0 .1 www .sophos .com
127 .0 .0 .1 sophos .com
127 .0 .0 .1 www .mcafee .com
127 .0 .0 .1 mcafee .com
127 .0 .0 .1 liveupdate .symantecliveupdate .com
127 .0 .0 .1 www .viruslist .com
127 .0 .0 .1 viruslist .com
127 .0 .0 .1 viruslist .com
127 .0 .0 .1 f-secure .com
127 .0 .0 .1 www .f-secure .com
127 .0 .0 .1 kaspersky .com
127 .0 .0 .1 kaspersky-labs .com
127 .0 .0 .1 www .avp .com
127 .0 .0 .1 www .kaspersky .com
127 .0 .0 .1 avp .com
127 .0 .0 .1 www .networkassociates .com
127 .0 .0 .1 networkassociates .com
127 .0 .0 .1 www .ca .com
127 .0 .0 .1 ca .com
127 .0 .0 .1 mast .mcafee .com
127 .0 .0 .1 my-etrust .com
127 .0 .0 .1 www .my-etrust .com
127 .0 .0 .1 download .mcafee .com
127 .0 .0 .1 dispatch .mcafee .com
127 .0 .0 .1 secure .nai .com
127 .0 .0 .1 nai .com
127 .0 .0 .1 www .nai .com
127 .0 .0 .1 update .symantec .com
127 .0 .0 .1 updates .symantec .com
127 .0 .0 .1 us .mcafee .com
127 .0 .0 .1 liveupdate .symantec .com
127 .0 .0 .1 customer .symantec .com
127 .0 .0 .1 rads .mcafee .com
127 .0 .0 .1 trendmicro .com
127 .0 .0 .1 pandasoftware .com
127 .0 .0 .1 www .pandasoftware .com
127 .0 .0 .1 www .trendmicro .com
127 .0 .0 .1 www .grisoft .com
127 .0 .0 .1 www .microsoft .com
127 .0 .0 .1 microsoft .com
127 .0 .0 .1 www .virustotal .com
127 .0 .0 .1 virustotal .com
127 .0 .0 .1 www .amazon .com
127 .0 .0 .1 www .amazon .co .uk
127 .0 .0 .1 www .amazon .ca
127 .0 .0 .1 www .amazon .fr
127 .0 .0 .1 www .paypal .com
127 .0 .0 .1 paypal .com
127 .0 .0 .1 moneybookers .com
127 .0 .0 .1 www .moneybookers .com
127 .0 .0 .1 www .ebay .com
127 .0 .0 .1 ebay .com
También crea el siguiente mutex para no ejecutarse más de una vez en memoria:
B-O-T-Z-O-R
Relacionados:
MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm
Alerta ante exploit para la vulnerabilidad MS05-039
http://www.vsantivirus.com/ms-advisory-899588.htm
Zotob. Se propaga usando vulnerabilidad MS05-039
http://www.vsantivirus.com/zotob.htm
Rbot (MS05-039). Utiliza exploit Plug and Play
http://www.vsantivirus.com/rbot-ms05-039.htm
Mytob.IQ. Se propaga usando vulnerabilidad MS05-039
http://www.vsantivirus.com/mytob-iq.htm
Reparación IMPORTANTE:
Instalar el siguiente parche si aún no lo ha hecho:
MS05-039 Vulnerabilidad en Plug and Play (899588)
http://www.vsantivirus.com/vulms05-039.htm
Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
5. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
7. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal:
Start = "2"
8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
\Parameters
\FirewallPolicy
\DomainProfile
\AuthorizedApplications
\List
9. Haga clic en la carpeta "List" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.
6. Reinicie su computadora.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/mytob-ir.htm
-
¡vaya con la vulnerabilidad Plug and Play!!..
gracias Danae
un saludo