Mostrando mensaje 336     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1287 Año 8, jueves 15 de enero de 2004 Fecha: Jueves, 15 de Enero, 2004  05:33:16 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1287 Año 8, jueves 15 de enero de 2004 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - MS04-001 Vulnerabilidad en filtro H.323 (816458) 2 - MS04-002 Vulnerabilidad en Exchange Server 2003 (832759) 3 - MS04-003 Desbordamiento de búfer en función MDAC (832483) 4 - W32/Gaobot.DQ. Se copia como "msdv32.exe" 5 - W32/Gaobot.DP. Se copia como "sw32.exe" 6 - Troj/Istbar. Agrega parásitos y una barra al IE _____________________________________________________________ 1 - MS04-001 Vulnerabilidad en filtro H.323 (816458) _____________________________________________________________ http://www.vsantivirus.com/vulms04-001.htm MS04-001 Vulnerabilidad en filtro H.323 (816458) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Debido a un desbordamiento de búfer en el filtro H.323, un atacante remoto podría lograr la ejecución de código en los servidores ISA Server 2000 que tengan dicho filtro activado. (816458) * Nivel de gravedad: Crítico * Impacto: Ejecución remota de código * Fecha revisión: 13 de enero de 2004 * Software afectado: Microsoft Internet Security and Acceleration Server 2000 Microsoft Small Business Server 2000 Microsoft Small Business Server 2003 * Software NO afectado: Microsoft Proxy Server 2.0 Estas versiones fueron testeadas y no son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción H.323 es un protocolo estándar internacional, publicado por la Unión Internacional de Telecomunicaciones, utilizado para facilitar la comunicación entre sistemas de telefonía y multimedia. Algunos ejemplos de tales sistemas son VoIP (Voice over IP, transmisión de voz a través de redes IP), equipos de videoconferencias y dispositivos de red que manejan tráfico H.323. Una vulnerabilidad en el filtro H.323 para Microsoft Internet Security and Acceleration Server 2000, puede permitir que un atacante provoque un desbordamiento de búfer en el servicio Microsoft Firewall (Servidor de Seguridad), de ISA Server 2000, con el que podría ejecutar código en el contexto de seguridad de dicho servicio. Esto puede dar al atacante el control total del sistema. El filtro H.323 está habilitado por defecto en una instalación estándar. Este problema de seguridad se produce porque el filtro H.323 para el Servicio del Servidor de Seguridad de Microsoft no realiza las comprobaciones de límite adecuadas en paquetes H.323 con un formato especial. Los servidores ISA que se ejecutan en modo de caché no son vulnerables porque el Servicio del Servidor de Seguridad de Microsoft está desactivado de forma predeterminada. No obstante, se recomienda encarecidamente la instalación de esta actualización de seguridad ya que el filtro H.323 está activado de forma predeterminada en los sistemas instalados en modo integrado o de Servidor de Seguridad. * Rating de Severidad: Microsoft ISA Server 2000 (Crítico) * Parches: El parche puede descargarse del siguiente enlace: [Nota: los enlaces aparecen cortados por superar la cantidad de caracteres permitidos en el formato de este boletín. En todos los casos se deben cortar y pegar en una sola línea] Microsoft Internet Security and Acceleration Server 2000 Microsoft Small Business Server 2000 (incluye Microsoft Internet Security and Acceleration Server 2000) Microsoft Small Business Server 2003 (incluye Microsoft Internet Security and Acceleration Server 2000) http://www.microsoft.com/downloads/details.aspx?FamilyId=CBE4 2990-4156-4E1D-9ACB-4CD449D9599B&displaylang=es Tamaño: 242 KB * Requisitos del sistema Sistemas operativos compatibles: Windows 2000, Windows Server 2003 º Microsoft Internet Security and Acceleration Server 2000 º Microsoft Internet Security and Acceleration Server 2000 Service Pack 1 * Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. * Más información: Microsoft Security Bulletin MS04-001 http://www.microsoft.com/technet/security/bulletin/MS04-001.asp Microsoft Knowledge Base Article - 816458 http://support.microsoft.com/?kbid=816458 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - MS04-002 Vulnerabilidad en Exchange Server 2003 (832759) _____________________________________________________________ http://www.vsantivirus.com/vulms04-002.htm MS04-002 Vulnerabilidad en Exchange Server 2003 (832759) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Una vulnerabilidad existente en Exchange Server 2003, puede permitir que, bajo determinadas condiciones, un usuario de Outlook Web Access (OWA), acceda de forma aleatoria, a la casilla de correo de cualquier otro usuario. (832759) * Nivel de gravedad: Moderado * Impacto: Elevación de privilegios * Fecha revisión: 13 de enero de 2004 * Software afectado: Microsoft Exchange Server 2003 * Software NO afectado: Microsoft Exchange 2000 Server Microsoft Exchange Server 5.5 Estas versiones fueron testeadas y no son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción Existe una vulnerabilidad en la forma en que las conexiones de hypertexto (HTTP), son reutilizadas en una autentificación mediante el protocolo NTLM (NT Lan Manager), en servidores Microsoft Exchange 2003, sobre el acceso OWA, empleados como frontend (interactúan con el usuario). También cuando se accesa por medio de Outlook Web Access (OWA) en Windows 2000 y Windows server 2003 y cuando son utilizados servidores Exchange 2003 que corren Windows Server 2003 como backend (procesan la información). Este fallo, puede permitir a un usuario de Outlook Web Access (OWA) acceder, de forma aleatoria, a cualquier otro buzón de correo, perteneciente a otro usuario. Para estar protegido contra este problema, sólo es necesario instalar esta actualización en los servidores Microsoft Exchange 2003 usados como frontend. Sin embargo, Microsoft recomienda que usted actualice todos sus servidores Microsoft Exchange 2003, de modo que cuando por alguna razón se asignen como servidores frontend, ya estén protegidos. * Rating de Severidad: Microsoft Exchange Server 2003 (Moderado) * Parches: El parche puede descargarse del siguiente enlace: [Nota: los enlaces aparecen cortados por superar la cantidad de caracteres permitidos en el formato de este boletín. En todos los casos se deben cortar y pegar en una sola línea] Microsoft Exchange Server 2003 http://www.microsoft.com/downloads/details.aspx?FamilyId=9542 F949-D09B-4199-A837-FBCFC0567676&displaylang=es Tamaño: 460 KB * Requisitos del sistema Sistemas operativos compatibles: Windows 2000 Service Pack 3, Windows 2000 Service Pack 4, Windows Server 2003 º Exchange 2003 * Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. * Más información: Microsoft Security Bulletin MS04-002 http://www.microsoft.com/technet/security/bulletin/MS04- 002.asp Microsoft Knowledge Base Article - 832759 http://support.microsoft.com/?kbid=832759 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - MS04-003 Desbordamiento de búfer en función MDAC (832483) _____________________________________________________________ http://www.vsantivirus.com/vulms04-003.htm MS04-003 Desbordamiento de búfer en función MDAC (832483) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Una vulnerabilidad existente en Microsoft Data Access Components (MDAC), posibilita la ejecución de código en sistemas clientes, cuando se lanza una petición de consulta a la lista de servidores SQL de la red. (832483) * Nivel de gravedad: Importante * Impacto: Ejecución remota de código * Fecha revisión: 13 de enero de 2004 * Reemplaza: Esta revisión reemplaza a la proporcionada por el boletín de seguridad MS03-033. MS03-033 Ejecución de código por falla en MDAC (823718) http://www.vsantivirus.com/vulms03-033.htm * Software afectado: MDAC 2.5 (incluido en Microsoft Windows 2000) MDAC 2.6 (incluido en Microsoft SQL Server 2000) MDAC 2.7 (incluido en Microsoft Windows XP) MDAC 2.8 (incluido en Microsoft Windows Server 2003) MDAC 2.8 (incluido en Windows Server 2003 64-Bit Edition) Estas versiones fueron testeadas y son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción MDAC (Microsoft Data Access Components), es una colección de componentes utilizados para proporcionar la necesaria conectividad entre numerosas operaciones de bases de datos y Windows. Un atacante podría generar un paquete especial que cause un desbordamiento de búfer en un componente vulnerable, cuando se hace una petición para consultar la lista de servidores SQL Server de la red. Esto le permitiría obtener el mismo nivel de privilegios sobre el sistema, que tenga el programa que hizo la solicitud, incluyendo la posible ejecución de código. El atacante debe estar en la misma subnet. Para averiguar la versión de MDAC instalada, se sugiere la herramienta que se brinda en el siguiente enlace: 301202 "HOW TO: Check for MDAC Version" http://support.microsoft.com/default.aspx?kbid=301202 * Rating de Severidad: Microsoft Data Access Components 2.5 (Importante) Microsoft Data Access Components 2.6 (Importante) Microsoft Data Access Components 2.7 (Importante) Microsoft Data Access Components 2.8 (Importante) * Parches: El parche puede descargarse del siguiente enlace: [Nota: los enlaces aparecen cortados por superar la cantidad de caracteres permitidos en el formato de este boletín. En todos los casos se deben cortar y pegar en una sola línea] Microsoft Data Access Components 2.5 Microsoft Data Access Components 2.6 Microsoft Data Access Components 2.7 Microsoft Data Access Components 2.8 http://www.microsoft.com/downloads/details.aspx?FamilyId=3947 2EE8-C14A-47B4-BFCC-87988E062D91&displaylang=es Tamaño: 2046 KB * Requisitos del sistema Sistemas operativos compatibles: Windows 2000 Service Pack 2, Windows 2000 Service Pack 3, Windows 2000 Service Pack 4, Windows NT, Windows Server 2003, Windows XP También compatible con: Windows NT Terminal Server Edition Una de las siguientes versiones de MDAC: Microsoft Data Access Components versión 2.5 Service Pack 2 Microsoft Data Access Components versión 2.5 Service Pack 3 Microsoft Data Access Components versión 2.6 Service Pack 2 Microsoft Data Access Components versión 2.7 RTM Microsoft Data Access Components versión 2.7 Service Pack 1 Microsoft Data Access Components versión 2.8 RTM * Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. * Más información: Microsoft Security Bulletin MS04-003 http://www.microsoft.com/technet/security/bulletin/MS04- 003.asp Microsoft Knowledge Base Article - 832483 http://support.microsoft.com/?kbid=832483 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - W32/Gaobot.DQ. Se copia como "msdv32.exe" _____________________________________________________________ http://www.vsantivirus.com/gaobot-dq.htm Nombre: W32/Gaobot.DQ Tipo: Gusano de Internet y caballo de Troya Alias: WORM_AGOBOT.CF, W32.HLLW.Gaobot.gen, W32/Gaobot.worm.gen.b, Win32/HLLW.Gaobot.P, Backdoor.Agobot.3.ag, Win32.HLLW.Agobot, Worm.Win32.Agobot.20531 Fecha: 14/ene/04 Plataforma: Windows NT, 2000 y XP Tamaño: 205,312 bytes Puertos: TCP/135, TCP/445 Otra variante del W32/Gaobot.AO, gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de tres conocidas vulnerabilidades. El tamaño del ejecutable de esta versión, es de 205,312 bytes, y se ejecuta solo en Windows NT, 2000 y XP. Las principales diferencias con variantes anteriores son las siguientes: 1. Se copia con el siguiente nombre: c:\windows\system32\msdv32.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). 2. Las entradas que agrega en el registro son las siguientes: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Device Configuration Loader = msdv32.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Device Configuration Loader = msdv32.exe 3. Esta versión no crea ningún nuevo servicio después de ejecutarse. Cómo variantes anteriores, posee un componente de acceso remoto por puerta trasera vía IRC, que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. También intenta finalizar los procesos activos de una extensa lista de productos antivirus y cortafuegos (más de 450) y los procesos pertenecientes a otros gusanos, como el Blaster, etc. Las listas completas con todos los nombres de estos procesos, las puede consultar en la descripción de W32/Gaobot.AO. * Más información: W32/Gaobot.AO. Peligroso gusano y caballo de Troya http://www.vsantivirus.com/gaobot-ao.htm * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar las carpetas compartidas Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Editar el registro * NOTA IMPORTANTE: El gusano puede remover las unidades compartidas por defecto en Windows NT, 2000 y XP (C$, D$, IPC$, y ADMIN$). Por otra parte, el servicio en Windows NT, 2000 y XP, tampoco puede ser finalizado desde el Administrador de tareas, ya que es capaz de lanzar un nuevo proceso antes de ser descargado de memoria el primero. En caso de querer detenerlo desde el Administrador, se despliega un mensaje de error, pero el servicio seguirá funcionando. También finaliza la ejecución de REGEDIT.EXE y COMMAND.COM (o CMD.EXE). Para eliminarlo, renombre el archivo del editor del registro (REGEDIT.EXE), por ejemplo REG.EXE. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REG.EXE (si ese fuera el nuevo nombre), y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Device Configuration Loader 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Device Configuration Loader 6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 7. Reinicie su computadora en modo a prueba de fallas, y siga con las instrucciones que se dan a continuación. * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre el siguiente archivo: c:\windows\system32\msdv32.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Vulnerabilidad en RPC (Remote Procedure Call) Este troyano se aprovecha de un desbordamiento de búfer en la interface RPC (Remote Procedure Call) que permite la ejecución arbitraria de código. El Remote Procedure Call (RPC) permite el intercambio de información entre equipos, y está presente por defecto en el protocolo TCP bajo el puerto 135 en Windows NT 4.0, 2000 y XP. Una falla en la parte de RPC encargada del intercambio de mensajes sobre TCP/IP, permite a un atacante ejecutar cualquier código con los privilegios locales (Mi PC). Descargue y ejecute el parche correspondiente (MS03-026, MS03-039), desde el siguiente enlace: MS03-039 Ejecución de código en servicio RPCSS (824146) http://www.vsantivirus.com/vulms03-039.htm * IMPORTANTE Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores. También instale los parches mencionados más adelante. Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora. En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras. Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano. * Activar cortafuegos de Windows XP (Internet Conexión Firewall) NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa. Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red. 2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet". 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - W32/Gaobot.DP. Se copia como "sw32.exe" _____________________________________________________________ http://www.vsantivirus.com/gaobot-dp.htm Nombre: W32/Gaobot.DP Tipo: Gusano de Internet y caballo de Troya Alias: W32/Agobot-BY, Backdoor.Agobot.3.gen, Win32/Agobot.3.FR, W32.HLLW.Gaobot.gen, WORM_AGOBOT.BQ, Worm.Win32.Agobot.68608.B Fecha: 16/dic/03 Actualización: 14/ene/04 Plataforma: Windows NT, 2000 y XP Tamaño: 68,608 bytes Puertos: TCP/135, TCP/445 Otra variante del W32/Gaobot.AO, gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de tres conocidas vulnerabilidades. El tamaño del ejecutable de esta versión, es de 68,608 bytes, y se ejecuta solo en Windows NT, 2000 y XP. Las principales diferencias con variantes anteriores son las siguientes: 1. Se copia con el siguiente nombre: c:\windows\system32\sw32.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). 2. Las entradas que agrega en el registro son las siguientes: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Configuration Loader = sw32.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Configuration Loader = sw32.exe HKLM\SYSTEM\CurrentControlSet\Services\sw3 3. En Windows NT, 2000 y XP, el gusano crea un nuevo servicio llamado "sw3" para ejecutarse en forma automática. 4. Debido a errores en su código, esta versión puede provocar algunos mensajes de error de Windows. Cómo variantes anteriores, posee un componente de acceso remoto por puerta trasera vía IRC, que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. También intenta finalizar los procesos activos de una extensa lista de productos antivirus y cortafuegos (más de 450) y los procesos pertenecientes a otros gusanos, como el Blaster, etc. Las listas completas con todos los nombres de estos procesos, las puede consultar en la descripción de W32/Gaobot.AO. * Más información: W32/Gaobot.AO. Peligroso gusano y caballo de Troya http://www.vsantivirus.com/gaobot-ao.htm * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar las carpetas compartidas Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Editar el registro * NOTA IMPORTANTE: El gusano puede remover las unidades compartidas por defecto en Windows NT, 2000 y XP (C$, D$, IPC$, y ADMIN$). Por otra parte, el servicio en Windows NT, 2000 y XP, tampoco puede ser finalizado desde el Administrador de tareas, ya que es capaz de lanzar un nuevo proceso antes de ser descargado de memoria el primero. En caso de querer detenerlo desde el Administrador, se despliega un mensaje de error, pero el servicio seguirá funcionando. También finaliza la ejecución de REGEDIT.EXE y COMMAND.COM (o CMD.EXE). Para eliminarlo, renombre el archivo del editor del registro (REGEDIT.EXE), por ejemplo REG.EXE. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REG.EXE (si ese fuera el nuevo nombre), y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Configuration Loader 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Configuration Loader 6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \sw3 7. Pinche en la carpeta "sw3" y bórrela. 8. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 9. Reinicie su computadora en modo a prueba de fallas, y siga con las instrucciones que se dan a continuación. * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre el siguiente archivo: c:\windows\system32\sw32.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Vulnerabilidad en RPC (Remote Procedure Call) Este troyano se aprovecha de un desbordamiento de búfer en la interface RPC (Remote Procedure Call) que permite la ejecución arbitraria de código. El Remote Procedure Call (RPC) permite el intercambio de información entre equipos, y está presente por defecto en el protocolo TCP bajo el puerto 135 en Windows NT 4.0, 2000 y XP. Una falla en la parte de RPC encargada del intercambio de mensajes sobre TCP/IP, permite a un atacante ejecutar cualquier código con los privilegios locales (Mi PC). Descargue y ejecute el parche correspondiente (MS03-026, MS03-039), desde el siguiente enlace: MS03-039 Ejecución de código en servicio RPCSS (824146) http://www.vsantivirus.com/vulms03-039.htm * IMPORTANTE Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores. También instale los parches mencionados más adelante. Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora. En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras. Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano. * Activar cortafuegos de Windows XP (Internet Conexión Firewall) NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa. Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red. 2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet". 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 6 - Troj/Istbar. Agrega parásitos y una barra al IE _____________________________________________________________ http://www.vsantivirus.com/troj-istbar.htm Nombre: Troj/Istbar Tipo: Caballo de Troya Versiones: Troj/Istbar.E, Troj/Istbar.F, Troj/Istbar.G, Troj/Istbar.H, Troj/Istbar.I Alias: Istbar.E, Trj/Istbar.E, Trj/Istbar.F, Trj/Istbar.G, Trj/Istbar.H, Trj/Istbar.I, Trojan.W32/Istbar.E Tamaño: 176,128 bytes Fecha: 2/oct/03 Fecha última actualización: 14/ene/04 Reportado por: Panda Se trata de un troyano programado en Visual C++ 6, comprimido con la herramienta UPX, que instala diversos parásitos en el sistema (spyware, dialers, adwares, etc.), sin la autorización del usuario. La infección se produce cuando el usuario visita determinadas páginas, y se le pide para descargar y ejecutar un control ActiveX: Advertencia de seguridad Indique si desea instalar y activar "FREE SEX-XXX TOOLBAR" firmado el 18/09/2003 21:37 y distribuido por: Integrated Search Technologies La autenticidad del editor ha sido comprobada por Thawte Server CA Advertencia: Integrated Search Technologies certifica que este contenido es seguro. Sólo instale o vea este contenido si confía en Integrated Search Technologies para realizar dicha certificación. [ ] Confiar siempre en el contenido de Integrated Search Technologies [ Si ] [ No ] [ Más información] Una vez instalado, presenta diversas ventanas emergentes de publicidad de páginas de contenido pornográfico, además de agregar una nueva barra de herramientas al Internet Explorer. Algunos programas parásitos instalados: RapidBlaster DownloadPlus nCase Wink/EasyDates (dialer) Modifica la página de inicio del Internet Explorer por la siguiente: http:/ /www.slotch.com Puede actualizarse a nuevas versiones, y por lo tanto modificarse a si mismo al conectarse a Internet, por lo que esta descripción solo deberá tomarse como referencia. En las versiones actuales, el troyano puede instalar en el sistema los siguientes archivos: º ISTSVC.EXE. Detectado como Istbar.B, Istbar.C o Istbar.G. º STBAR.DLL. Una barra de herramientas que se agrega al IE (Istbar.B). º ISTSVC_UPDATER.EXE. Componente de actualización (Istbar.D). º ISTACTIVEX.EXE. Activa al troyano en el sistema (un control ActiveX), y crea los demás archivos (detectado como Istbar.E). º RB32.EXE (crea el archivo LP.EXE). º LP.EXE, descarga otros componentes como dialers (Istbar.F). º LOADER.EXE. Troyano de acceso remoto detectado como Ruledor.A. º IGETNET.EXE. Troyano de acceso remoto detectado como Ruledor.A. También se crean algunos de estos archivos: mscache.exe aupdate.exe aupdate_uninstall.exe mscache.dll El troyano modifica o crea las siguientes entradas en el registro, la primera para autoactualizarse en cada reinicio, y la segunda para cambiar la página de inicio del Internet Explorer: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run IST Service = c:\archivos de programa\istsvc.exe HKLM\SOFTWARE\Microsoft\Internet Explorer\Main Start Page = http:/ /www.slotch.com * Cómo protegernos de los parásitos ¿Qué son los parásitos?. ¿Qué tipos de parásitos existen?. ¿Cómo llegan a nuestra computadora?. ¿Cómo protegernos de ellos?. Toda la información relacionada la encuentra en el siguiente artículo: Parásitos en nuestra computadora http://www.vsantivirus.com/ev-parasitos.htm * Procedimiento sugerido de limpieza Eliminar este parásito, puede ocasionar que algunos de los programas que lo instalan, dejen de funcionar o no funcionen correctamente. * Antivirus Para borrar manualmente el parásito, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrar los archivos creados por el parásito * En Windows 95/98/Me/NT/2000 1. Seleccione Inicio, Buscar, Archivos o carpetas 2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas" 3. En "Nombre" ingrese (o corte y pegue), lo siguiente: aupdate.exe; aupdate_uninstall.exe; igetnet.exe; istactivex.exe; istdnld.exe; istsvc.exe; istsvc_updater.exe; loader.exe; lp.exe; mscache.dll; mscache.exe; rb32.exe; stbar.dll; whenu.exe 4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados 5. Cierre la ventana de búsqueda 6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * En Windows XP 1. Seleccione Inicio, Buscar 2. Seleccione "Todos los archivos y carpetas" 3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente: aupdate.exe; aupdate_uninstall.exe; igetnet.exe; istactivex.exe; istdnld.exe; istsvc.exe; istsvc_updater.exe; loader.exe; lp.exe; mscache.dll; mscache.exe; rb32.exe; stbar.dll; whenu.exe 4. Verifique que en "Buscar en:" esté seleccionado "C:" 5. Pinche en "Más opciones avanzadas" 6. Seleccione "Buscar en carpetas del sistema" 7. Seleccione "Buscar en subcarpetas" 8. Haga clic en "Búsqueda" y borre todos los archivos encontrados 9. Cierre la ventana de búsqueda 10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo las columnas "Nombre", busque y borre la siguiente entrada: IST Service = c:\archivos de programa\istsvc.exe 4. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet pinche en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Pinche en Aceptar, etc. * Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer 1. Cierre todas las ventanas del Internet Explorer abiertas 2. Seleccione "Mi PC", "Panel de control". 3. Pinche en el icono "Opciones de Internet". 4. Seleccione la lengüeta "Programas". 5. Pinche en el botón "Restablecer configuración Web" 6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI. 7. Pinche en "Aceptar". * Cambiar la página de inicio del Internet Explorer Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o pinche en "Página en blanco"). O navegue hacia una página de su agrado, pinche en Herramientas, Opciones de Internet, General, y finalmente pinche en "Usar actual". * Cambiar las páginas de búsqueda del Internet Explorer 1. Inicie el Internet Explorer. 2. Pinche en el botón "Búsqueda" de la barra de herramientas. 3. En el panel que se despliega (Nuevo, Siguiente, Personalizar), seleccione "Personalizar". 4. Asegúrese de marcar "Utilizar el asistente de búsqueda" (Use Search Assistant). 5. Pinche en el botón "Reiniciar" (Reset). 6. Pinche en el botón "Configuración de Autosearch" (Autosearch Settings). 7. Elija un proveedor de búsquedas en el menú (Search Provider). 8. Seleccione "Aceptar" hasta salir de todas las opciones. * Información adicional Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1287 Año 8, jueves 15 de enero de 2004