Mostrando mensaje 391     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004 Fecha: Miercoles, 10 de Marzo, 2004  08:23:38 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - MS04-008 DoS en Windows Media Services (832359) 2 - MS04-009 Ejecución de código en Outlook 2002 (828040) 3 - MS04-010 Fuga de información en MSN Messenger (838512) 4 - Correo Web de Yahoo! vulnerable a ataques XSS 5 - W32/Netsky.L. Se propaga por correo electrónico _____________________________________________________________ 1 - MS04-008 DoS en Windows Media Services (832359) _____________________________________________________________ http://www.vsantivirus.com/vulms04-008.htm MS04-008 DoS en Windows Media Services (832359) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Esta vulnerabilidad puede permitir que un atacante cause una denegación de servicio en el componente Windows Media Server de Microsoft Windows 2000 Server, logrando que éste deje de responder. * Nivel de gravedad: Moderado * Impacto: Denegación de servicio (DoS) * Fecha revisión: 9 de marzo de 2004 * Software afectado: Microsoft Windows 2000 Server Service Pack 2 Microsoft Windows 2000 Server Service Pack 3 Microsoft Windows 2000 Server Service Pack 4 * Componente afectado: Windows Media Services 4.1 (incluido en Windows 2000 Server) Estas versiones fueron testeadas y son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción Microsoft Windows Media Services es una característica implementada en Microsoft Windows 2000 Server, Advanced Server, y Datacenter Server. También está disponible una versión descargable para Windows NT 4.0 Server (no es afectada por esta vulnerabilidad). Windows Media Services ofrece el soporte para la difusión de contenido multimedia en vivo a clientes a través de una red en lo que se conoce como multicast streaming. Se denomina "streaming" a la técnica utilizada para transmitir datos de tal modo que estos puedan ser procesados como un flujo continuo y constante, mostrando la información transmitida antes de que el archivo se haya descargado en su totalidad. La vulnerabilidad se produce a causa de la manera que Windows Media Station Service y Windows Media Monitor Service, componentes de Windows Media Services, manejan las conexiones TCP/IP. Si un usuario remoto envía una secuencia especialmente creada de paquetes TCP/IP al puerto de escucha de cualquiera de estos servicios, los mismos podrían dejar de responder, no permitiendo otras conexiones. El servicio debe ser reiniciado para recobrar su funcionalidad. Windows Media Unicast Service también podría ser afectado por esta vulnerabilidad si ocurre un ataque exitoso a Windows Media Station Service. Uno de los factores mitigantes de este fallo, es que el componente Windows Media Services no se instala por defecto. * Rating de Severidad: Microsoft Windows 2000 Server (Moderado) * Parches: El parche puede descargarse del siguiente enlace: [Nota: los enlaces aparecen cortados por superar la cantidad de caracteres permitidos en el formato de este boletín. En todos los casos se deben cortar y pegar en una sola línea] * Actualización de seguridad para Windows Media Services (KB832359) - Español http://www.microsoft.com/downloads/details.aspx?FamilyId=7F4C 067C-5D34-48FB-A9FA-C2200243D4D2&displaylang=es Tamaño: 391 KB * Requisitos del sistema Sistemas operativos compatibles: Windows 2000 Service Pack 2, Windows 2000 Service Pack 3, Windows 2000 Service Pack 4 * Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. * Más información: Microsoft Security Bulletin MS04-008 www.microsoft.com/technet/security/bulletin/ms04-008.mspx Microsoft Knowledge Base Article - 832359 http://support.microsoft.com/?kbid=832359 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - MS04-009 Ejecución de código en Outlook 2002 (828040) _____________________________________________________________ http://www.vsantivirus.com/vulms04-009.htm MS04-009 Ejecución de código en Outlook 2002 (828040) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Una vulnerabilidad en Outlook 2002, puede permitir la ejecución remota de código en la zona de seguridad local. Esto afecta a usuarios de Microsoft Office XP y Outlook 2002. Outlook 2002 está disponible como un producto separado, además de ser incluido como parte de Office XP. * Nivel de gravedad: Importante * Impacto: Ejecución remota de código * Fecha revisión: 9 de marzo de 2004 * Software afectado: Microsoft Office XP Service Pack 2 Microsoft Outlook 2002 Service Pack 2 * Software no afectado: Microsoft Office 2000 Service Pack 3 Microsoft Office XP Service Pack 3 Microsoft Office 2003 Microsoft Outlook 2000 Service Pack 3 Microsoft Outlook 2002 Service Pack 3 Microsoft Outlook 2003 Estas versiones fueron testeadas y no son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción Una vulnerabilidad en Outlook 2002, puede permitir que el Internet Explorer ejecute un script en la zona de seguridad local del sistema afectado. El fallo se produce al intentar interpretar un URL "mailto:" maliciosamente construido. Para aprovecharse de esta vulnerabilidad, un atacante puede crear una página web diseñada para explotar este fallo. También puede enviar un correo electrónico con formato HTML conteniendo un "mailto:" modificado. Un vínculo "mailto:" es un tipo especial de URL, que permite el envío de un mensaje electrónico. Solo es necesario que el usuario visualice la página mencionada, o lea el mensaje malicioso, para que el exploit actúe, y el atacante pueda acceder a archivos del sistema vulnerable, o ejecutar código en la zona de seguridad local, con los mismos privilegios del actual usuario. El fallo solo se produce cuando Outlook muestra la página por defecto creada al finalizar su instalación. Si el usuario crea un perfil o una cuenta de correo, dicha página es cambiada por el contenido de la bandeja de entrada. * Rating de Severidad: Microsoft Office XP (Importante) Microsoft Outlook 2002 (Importante) * Parches: Los parches pueden descargarse del siguiente enlace: Outlook 2002 Security Patch: KB828040 http://www.microsoft.com/office/ork/2003/tools/locddl/default .htm#Spanish * Requisitos del sistema Se requiere Office XP Service Pack 3 * Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. * Más información: Microsoft Security Bulletin MS04-009 www.microsoft.com/technet/security/bulletin/ms04-009.mspx Microsoft Knowledge Base Article - 828040 http://support.microsoft.com/?kbid=828040 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - MS04-010 Fuga de información en MSN Messenger (838512) _____________________________________________________________ http://www.vsantivirus.com/vulms04-010.htm MS04-010 Fuga de información en MSN Messenger (838512) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy MSN Messenger permite enviar mensajes en tiempo real a otros usuarios, así como archivos. Una vulnerabilidad encontrada en este producto, puede permitir que un atacante acceda a información privada en el disco duro de la víctima. * Nivel de gravedad: Moderado * Impacto: Revelación de información * Fecha revisión: 9 de marzo de 2004 * Software afectado: Microsoft MSN Messenger 6.0 Microsoft MSN Messenger 6.1 Estas versiones fueron testeadas y son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. * Descripción Una vulnerabilidad en Microsoft MSN Messenger, provocada por la forma en que el programa maneja la solicitud de archivos, puede permitir que un atacante envíe una respuesta maliciosamente construida. Si el exploit es exitoso, el atacante puede visualizar el contenido de los archivos del disco duro del usuario afectado, sin que éste pueda sospechar de la intrusión. El atacante debe conocer la ubicación exacta de los archivos a visualizar, además del nombre usado por el usuario para acceder a MSN Messenger. Si el usuario ha bloqueado el Messenger para no recibir mensajes de usuarios anónimos que no estén en su lista de contactos, el atacante no podrá acceder a la máquina vulnerable (solo podrá hacerlo si se encuentra en dicha lista). El atacante solo podrá acceder a los archivos a los que tenga acceso la víctima por su nivel de privilegio actual. * Rating de Severidad: Microsoft MSN Messenger 6.0 (Moderado) Microsoft MSN Messenger 6.1 (Moderado) * Parches: Debe descargarse el nuevo MSN Messenger Versión 6.1 del siguiente enlace: * Descarga de Messenger Versión 6.1 (6.1.0211 o superior) http://messenger.msn.com/ * Requisitos del sistema Sistemas operativos compatibles: Todas las versiones soportadas de Windows. * Nota: Para saber si la versión 6.1 instalada es vulnerable, desde el Messenger abra el menú "Ayuda", "Acerca de...". Si el número de versión mostrado allí es 6.1.0211 o superior, usted no es vulnerable. * Más información: Microsoft Security Bulletin MS04-010 www.microsoft.com/technet/security/bulletin/ms04-010.mspx Microsoft Knowledge Base Article - 838512 http://support.microsoft.com/?kbid=838512 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Correo Web de Yahoo! vulnerable a ataques XSS _____________________________________________________________ http://www.vsantivirus.com/vul-yahoo-xss.htm Correo Web de Yahoo! vulnerable a ataques XSS Por Marcelo A. Rodriguez marcelo-ar@videosoft.net.uy Rafel Ivgi (The-Insider) ha reportado una vulnerabilidad del tipo "validación de entrada" en "Yahoo! Correo" (Webmail), que puede ser potencialmente explotada para realizar ataques Cross-Site Scripting (XSS) por un usuario malicioso. Un ataque XSS consiste en introducir en el campo de un formulario o código embebido en una página, un script (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado. Según el reporte, el servicio "Yahoo! Correo" no valida las entradas provistas por el usuario en los campos "order" y "sort". Un usuario remoto puede crear una URL maliciosa que, al ser abierta por un usuario atacado conectado al servicio de Yahoo! Correo, ocasionará la ejecución de código script arbitrario en su navegador. Dicho código se originará desde el sitio de Yahoo! y se ejecutará en el contexto de seguridad de dicho sitio. Como resultado de esto, el código podrá acceder a las cookies del usuario (incluidas las de autenticación), si las hay, asociadas con el sitio, acceder a datos recientemente remitidos al sitio por el usuario mediante un formulario, o tomar acciones en el sitio actuando como el usuario atacado. * Detalles Luego de ingresar a "Yahoo! Correo" con el "Nombre de usuario" y la "Contraseña" correspondiente, se podrán ver los nuevos mensajes. Al elegir un mensaje cualquiera y hacer clic en el para visualizar su contenido, se verá en la barra de direcciones del navegador algo similar a esto: http://us.f200.mail.yahoo.com/ym/ShowLetter?MsgId=3308_151647 _1069_1720_553_0_917_- 1_0&YY=96862&inc=25&order=down&sort=date&pos=0&view=a&head=b& box=Inbox En dicho enlace puede incluirse un script que permite robar la cuenta. Según explica Rafel Ivgi, cualquier usuario que haya tildado la opción "Recordar mi identidad en esta computadora" es vulnerable a un ataque XSS de este tipo. También lo es un usuario que revise su correo y abra un enlace malicioso que se encuentre dentro de un mensaje que explote esta vulnerabilidad, por lo tanto, es posible crear un gusano que envíe mensajes a usuarios de Yahoo! utilizando este fallo para robar cuentas de correo. * Consejos A diferencia de Hotmail, al Webmail de Yahoo es posible acceder sin Javascript habilitado, ya que cuenta con dos versiones disponibles de este servicio. Sin embargo, al ingresar sin Javascript, sale el siguiente mensaje: Correo Yahoo! ¡Hemos mejorado Correo Yahoo!, Contactos, Agenda y el Bloc de notas! Ahora con el nuevo diseño resulta mucho más fácil navegar. Debes habilitar el JavaScript en tu navegador para poder utilizar el nuevo diseño. * Seguí las instrucciones para habilitar JavaScript o * Cambiá a la versión anterior Al hacer doble clic en el enlace "Cambiá a la versión anterior", se ingresa al webmail viejo de Yahoo, sin Javascript, lo que impediría la explotación de este fallo. Descubierto por: Rafel Ivgi, The-Insider http://theinsider.deep-ice.com Reporte original: http://www.securitytracker.com/alerts/2004/Mar/1009352.html (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - W32/Netsky.L. Se propaga por correo electrónico _____________________________________________________________ http://www.vsantivirus.com/netsky-l.htm Nombre: W32/Netsky.L Tipo: Gusano de Internet Alias: Netsky.L, Moodown.L, I-Worm.Moodown.l, Win32/Netsky.L, W32/Netsky.l@MM, W32/Netsky.L.worm, WORM_NETSKY.L, W32/Netsky-L, Win32.Netsky.L, W32/Netsky.L, W32.Netsky.L@mm, W32/Netsky.L@mm, Win32/Netsky.L.Worm, I-Worm.Netsky.gen, W32.Netsky.K@mm Fecha: 10/mar/04 Plataforma: Windows 32-bit Tamaño: 16,896 bytes (UPX) Nueva versión del Netsky, reportado el 10 de marzo de 2004. Cuando se ejecuta, el gusano se copia a sí mismo en el directorio de Windows: c:\windows\avprotect.exe NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). El gusano crea la siguiente entrada en el registro, para auto ejecutarse en cada reinicio: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HtProtect = c:\windows\avprotect.exe También borra diferentes entradas creadas por otros gusanos, como Mydoom y Mimail, así como de antiguas versiones del propio Netsky. El gusano busca direcciones electrónicas en archivos con las siguientes extensiones, en todas las unidades de disco y mapeadas en red, de la C a la Z, excepto unidades de CD-Rom: .adb .asp .cgi .dbx .dhtm .doc .eml .htm .html .jsp .msg .oft .php .pl .rtf .sht .shtm .tbb .txt .uin .vbs .wab .wsh .xml Cuando detecta una conexión a Internet establecida, el gusano comienza a propagarse a si mismo, enviando mensajes con las siguientes características: De: [remitente falso] Cualquier dirección de las obtenidas por el gusano en la máquina infectada. Asunto: [uno de los siguientes] Re: Approved Re: Important Re: Your details Re: Your document Texto del mensaje: [uno de los siguientes] Please read the attached file. Please read the document. Please see the attached file for details. Your document is attached. Your file is attached. Datos adjuntos: [uno de los siguientes] [nombre].pif details_[nombre].pif document_[nombre].pif your_file_[nombre].pif Donde [nombre] es el mismo de la dirección de correo del destinatario del mensaje. Por ejemplo, si el usuario tiene la dirección "pepe@dominio.com", el nombre del archivo adjunto será "pepe.pif", "document_[nombre].pif", etc. El gusano evita enviar mensajes a direcciones que contengan cualquiera de las siguientes cadenas: abuse andasoftwa antivi antivir aspersky avp cafee fbi f-pro freeav f-secur icrosoft iruslis itdefender messagelabs orman orton skynet sophos spam ymantec Posee su propio motor SMTP, y si durante el envío de los mensajes, falla en consultar al servidor de nombres configurado en la conexión actual, entonces lo intenta con servidores DNS localizados en las siguientes direcciones: 194.25.2.129 194.25.2.129 194.25.2.130 194.25.2.131 194.25.2.132 194.25.2.133 194.25.2.134 212.44.160.8 217.5.97.137 145.253.2.171 151.189.13.35 193.141.40.42 213.191.74.19 212.7.128.162 212.7.128.165 195.20.224.234 62.155.255.16 193.193.144.12 193.193.158.10 212.185.253.70 212.185.252.73 193.189.244.205 195.185.185.195 212.185.252.136 Si la fecha es 11, 12 o 13 de marzo, el gusano aumenta la cantidad de mensajes enviados. * Reparación manual * Antivirus 1. Actualice sus antivirus con las últimas definiciones 2. Ejecútelos en modo escaneo, revisando todos sus discos 3. Borre los archivos detectados como infectados * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los siguientes archivos: c:\windows\avprotect.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas: HtProtect 4. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004