Mostrando mensaje 422     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1373 Año 8, viernes 9 de abril de 2004 Fecha: Viernes, 9 de Abril, 2004  09:07:44 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1373 Año 8, viernes 9 de abril de 2004 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Macromedia Dreamweaver vulnerable a inyección SQL 2 - El Netsky hace caer a 4 de 5 servidores de Internet 3 - Back/Nibu.D. Troyano que roba información 4 - W32/Gaobot.FD. Se copia como "smss32.exe" _____________________________________________________________ 1 - Macromedia Dreamweaver vulnerable a inyección SQL _____________________________________________________________ http://www.vsantivirus.com/vul-dreamweaver-dsn.htm Macromedia Dreamweaver vulnerable a inyección SQL Por Angela Ruiz angela@videosoft.net.uy Una vulnerabilidad en Macromedia Dreamweaver, el conocido software de desarrollo web, puede permitir que un atacante, bajo determinadas condiciones, pueda acceder a archivos del sistema, además de poder inyectar código SQL. SQL (Structured Query Language), es un lenguaje contextual que se usa para interactuar con bases de datos. Una vulnerabilidad "SQL Injection", permite inyectar código SQL para obtener información confidencial del sistema. Los productos afectados de la gama de herramientas que componen la suite Dreamweaver, son las versiones MX y MX 2004 de Dreamweaver, además del paquete UltraDev 4. Según la información proporcionada por Macromedia, en una instalación normal, Dreamweaver descarga en el servidor de prueba un determinado script (MMHTTPDB), que permite manipular la base de datos vía HTTP. Este script puede revelar los nombres de las fuentes (Data Source Names). Dicha información puede permitir a un atacante la ejecución de código SQL en el equipo con las versiones vulnerables de Dreamweaver instaladas. El fallo ocurre si los parámetros "Using Driver On Testing Server" o "Using DSN on Testing Server" están marcados como activados, en la sección de conexiones a bases de datos. Cuando ello ocurre, Dreamweaver crea el mencionado script que permite el acceso a los datos a través del protocolo HTTP. Un atacante puede de ese modo, realizar consultas SQL a la base de datos. El script se crea en la carpeta "_mmServerScripts" (o "_mmDBScripts), no visible desde el propio Dreamweaver, sino a través de herramientas de terceros, o al utilizar un cliente FTP para actualizar el sitio. La compañía recomienda proteger las bases de datos con contraseñas, además de eliminar los archivos que comprometen la seguridad de la base de datos. Para borrar estos scripts, proceda de la siguiente manera: * Dreamweaver MX 2004 (Windows y Macintosh) Desde la barra del menú principal, seleccione "Site", "Advanced", "Remove Connection Scripts". * Dreamweaver MX - Windows Abra el panel del sitio ("Windows", "Site"). Desde la barra del menú, seleccione "Site", "Remove Connection Scripts". * Dreamweaver UltraDev, version 4 Desde la barra del menú, seleccione "Site", "Remove Connection Scripts. * Más Información: Security implications of remote database connectivity www.macromedia.com/support/dreamweaver/ts/documents/rem_db_security.htm MPSB 04-05 Potential Risk in Dreamweaver Remote www.macromedia.com/devnet/security/security_zone/mpsb04-05.html (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - El Netsky hace caer a 4 de 5 servidores de Internet _____________________________________________________________ http://www.vsantivirus.com/ev-09-04-04.htm El Netsky hace caer a cuatro de cinco servidores de Internet Por Enciclopedia Virus (*) http://www.enciclopediavirus.com/ [Publicado con autorización de Enciclopedia Virus] Cuatro de los cinco sitios web seleccionados por el gusano Netsky para ser las víctimas de su programado ataque distribuido de denegación de servicio, han sucumbido al golpe de cientos de miles de máquinas infectadas intentando conectarse en forma simultánea. Algunos de esos servidores han debido cambiar su dirección para seguir estando accesibles. El sitio principal de la red de intercambio de archivos entre usuarios, eDonkey ha quedado inaccesible, aunque sigue activo por una dirección alternativa (sin embargo, no todos los usuarios sabrían encontrarlo fácilmente), mientras el web de KaZaa, es el único que todavía sobrevive (hasta el momento de publicar esta noticia). Anticipándose al ataque que el gusano Netsky tenía previsto en su código, los sitios de eDonkey y de KaZaa, y otros tres sitios también marcados como blancos, reforzaron algunos días antes sus servidores, para minimizar las consecuencias del ataque DDoS lanzado por recientes variantes del virus. Netsky.Q (también llamado Netsky.R), aparecido el pasado 29 de marzo, está diseñado para atacar a diversos sitios de Internet que distribuyen archivos compartidos entre usuarios, o software ilegal y herramientas de hackeo. KaZaa y eDonkey son sus objetivos más conocidos y el ataque está planificado para durar por lo menos seis días. Otras variantes posteriores tienen previstas acciones muy similares. En el caso de eDonkey, como el gusano sólo ataca su dirección principal (www.edonkey2000.com), el sitio todavía es accesible a través de http://edonkey2000.com. Sin embargo, la mayoría de los usuarios no intentan acceder a algún sitio sin escribir "www" al comienzo del nombre. Otro objetivo, www.emule-project.net, ha experimentado también severas interrupciones y actualmente es inaccesible por esa dirección. Sin embargo, anticipadamente ha anunciado a sus usuarios que dispondría de una dirección alternativa, www.emule-project.org (cambiando .net por .org). En su página principal, desde antes del ataque se veía este texto: "Debido al anunciado ataque DDoS contra nuestros servidores, www.emule-project.net dejará de funcionar entre el 7 de abril y el 16 de abril. Por favor, utilice www.emule-project.org durante este tiempo." El sitio web de KaZaa parece ser el único objetivo del Netsky que ha sobrevivido al primer y segundo día del ataque, sin consecuencias visibles, aunque de los restantes dos sitios (ambos dedicados a la piratería), uno de ellos ha vuelto a estar activo luego de colapsar al comienzo del golpe. Un ataque DDos (Distributed Denial of Service), se realiza cuando cientos o hasta miles de computadoras (en este caso, todas las infectadas con las variantes mencionadas del Netsky), actúan como verdaderos zombis, atacando todas al mismo tiempo, a una determinada víctima, la que recibe una sucesión de solicitudes de servicio, con tal frecuencia y cantidad, que ocasionan casi siempre la caída del sistema, además de la saturación del ancho de banda. Otras variantes del gusano tienen previstos ataques similares en otras fechas (por ejemplo de1 14 a1 23 de abril de 2004), en algunos casos contra los mismos sitios, aunque también a otros diferentes. (*) Este artículo, original de Enciclopedia Virus http://www.enciclopediavirus.com, es publicado en VSAntivirus.com con la respectiva autorización. Los derechos de republicación para su uso en otro medio, deberán solicitarse en http://www.enciclopediavirus.com/contacto/index.php Artículo original: www.enciclopediavirus.com/noticias/verNoticia.php?id=420 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Back/Nibu.D. Troyano que roba información _____________________________________________________________ http://www.vsantivirus.com/back-nibu-d.htm Nombre: Back/Nibu.D Tipo: Caballo de Troya de acceso remoto Alias: Backdoor.Nibu.D, Bloodhound.Exploit.6, W32/Dumaru.w.gen, Exploit-MhtRedir Fecha: 6/abr/04 Tamaño: 123,904 bytes Plataforma: Windows 32-bit Reportado por: Symantec Troyano que abre varios hilos para ejecutar simultáneamente una puerta trasera (backdoor), un capturador de teclado (keylogger), y otros elementos utilizados para robar información crítica del sistema infectado.. No tiene rutina de propagación propia. La primera muestra fue enviada en forma de correo no solicitado a una gran cantidad de usuarios, el 6 de abril de 2004, en un mensaje con las siguientes características (el mensaje intenta explotar una vulnerabilidad en el Internet Explorer que permite la ejecución arbitraria de código sin la intervención del usuario, simplemente por leer el mensaje, o verlo en el panel de vista previa): Asunto: Receipt of Payment Texto del mensaje: Dear friend, Thank you for your purchase! This message is to inform you that your order has been received and will be processed shortly. Your account is being processed for $79.85, for a 3 month term. You will receive an account setup confirmation within the next 24 hours with instructions on how to access your account. If you have any questions regarding this invoice, please feel free to contact us at [enlace]. We appreciate your business and look forward to a great relationship! Thank You, The Hashshanklin Team ORDER SUMMARY ------------- Web Hosting............. $29.85 Setup................... $30.00 Domain Registration..... $20.00 Sales Date.............. 04/04/2004 Domain.................. sexigerl.com Total Price............. $79.85 Card Type............... Visa Cuando el troyano se ejecuta por primera vez en una máquina infectada, crea los siguientes archivos: [carpeta de inicio]\rundllw.exe c:\windows\dllreg.exe c:\windows\sock64.dll c:\windows\system\load32.exe c:\windows\system\vxdmgr32.exe NOTA 1: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system32", etc.). NOTA 2: [carpeta de inicio] es una de las siguientes: * Windows XP, 2000 (español e inglés) c:\documents and settings \all users\menú inicio\programas\inicio c:\documents and settings \all users\start menu\programs\startup c:\documents and settings \[nombre usuario]\menú inicio\programas\inicio c:\documents and settings \[nombre usuario]\start menu\programs\startup * Windows 95, 98, Me (español e inglés) c:\windows\all users\menú inicio\programas\inicio c:\windows\all users\start menu\programs\startup c:\windows\menú inicio\programas\inicio c:\windows\start menu\programs\startup c:\windows\profiles\[nombre usuario] \menú inicio\programas\inicio c:\windows\profiles\[nombre usuario] \start menu\programs\startup El troyano agrega la siguiente entrada en el registro para autoejecutarse en cada reinicio del sistema: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run load32 = c:\windows\system\load32.exe El archivo C:\WINDOWS\SOCK64.DLL crea un Windows Hook (funciones especiales que capturan sucesos que ocurren en el sistema, pudiendo modificar, neutralizar o interceptar los eventos de Windows). El troyano lo utiliza para tomar el control de ciertas acciones de la computadora infectada. También se crea la siguiente entrada en el registro: HKEY_LOCAL_MACHINE\SOFTWARE\SARS Modifica el archivo C:\WINDOWS\WIN.INI (solo en Windows 95, 98 y Me), bajo la etiqueta [windows]: [windows] run=c:\windows\dllreg.exe Modifica el archivo C:\WINDOWS\SYSTEM.INI (solo en Windows 95, 98 y Me), bajo la etiqueta [boot]: [boot] shell=explorer.exe c:\windows\system\vxdmgr32.exe Con ello, logra que esos elementos del troyano se ejecuten al reiniciarse Windows. En Windows NT, 2000 y XP, crea la siguiente entrada en el registro: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon Shell = explorer.exe c:\windows\system32\vxdmgr32.exe El troyano guarda la información robada en determinados archivos, los que son permanentemente monitorizados. Cuando llegan a determinado tamaño, el troyano envía dichos archivos a algunas direcciones electrónicas indicadas en su código. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los siguientes archivos: [carpeta de inicio]\rundllw.exe c:\windows\dllreg.exe c:\windows\sock64.dll c:\windows\system\load32.exe c:\windows\system\vxdmgr32.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: [carpeta de inicio] es una de las siguientes: * Windows XP, 2000 (español e inglés) c:\documents and settings \all users\menú inicio\programas\inicio c:\documents and settings \all users\start menu\programs\startup c:\documents and settings \[nombre usuario]\menú inicio\programas\inicio c:\documents and settings \[nombre usuario]\start menu\programs\startup * Windows 95, 98, Me (español e inglés) c:\windows\all users\menú inicio\programas\inicio c:\windows\all users\start menu\programs\startup c:\windows\menú inicio\programas\inicio c:\windows\start menu\programs\startup c:\windows\profiles\[nombre usuario] \menú inicio\programas\inicio c:\windows\profiles\[nombre usuario] \start menu\programs\startup * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: load32 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \Microsoft \Windows NT \CurrentVersion \Winlogon 5. Pinche en la carpeta "Winlogon" y en el panel de la derecha, busque la siguiente entrada bajo la columna "Nombre": Shell 6. Modifique el valor de "Shell" para que aparezca solo esto: Shell = Explorer.exe 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \SARS 8. Pinche en la carpeta "SARS" y bórrela. 9. Use "Registro", "Salir" para salir del editor y confirmar los cambios. * Modificar SYSTEM.INI * Usuarios de Windows Me solamente: En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo SYSTEM.INI en la carpeta C:\Windows\Recent. Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre SYSTEM.INI. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos. 1. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter. 2. Busque lo siguiente: [boot] shell = explorer.exe c:\windows\system\vxdmgr32.exe y déjelo así: [boot] shell = explorer.exe 3. Grabe los cambios y salga del bloc de notas * Modificar WIN.INI * Usuarios de Windows Me solamente: En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo WIN.INI en la carpeta C:\Windows\Recent. Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre WIN.INI. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos. 1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter. 2. Si existe alguna referencia a los archivos del en la línea "run=" bajo la sección [windows], bórrelo. Por ejemplo: [windows] run=c:\windows\dllreg.exe Debe quedar como: [Windows] run= 3. Grabe los cambios y salga del bloc de notas. 4. Reinicie su computadora. * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - W32/Gaobot.FD. Se copia como "smss32.exe" _____________________________________________________________ http://www.vsantivirus.com/gaobot-fd.htm Nombre: W32/Gaobot.FD Tipo: Gusano de Internet y caballo de Troya Alias: WORM_AGOBOT.MB Fecha: 8/abr/04 Plataforma: Windows NT, 2000 y XP Puertos: TCP/135, TCP/445 Tamaño: 70,144 bytes Gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de conocidas vulnerabilidades. Se ejecuta solo en Windows NT, 2000 y XP. Las diferencias con variantes anteriores son las siguientes: 1. Se copia con el siguiente nombre: c:\windows\system32\smss32.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). 2. Las entradas que agrega en el registro son las siguientes: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Configuration Loader = smss32.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Configuration Loader = smss32.exe HKLM\System\CurrentControlSet\Services\a3 3. La última entrada, crea y ejecuta un servicio llamado "Configuration Loader". Posee un componente de acceso remoto por puerta trasera vía IRC, que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. También intenta finalizar los procesos activos de una extensa lista de productos antivirus y cortafuegos (más de 450) y los procesos pertenecientes a otros gusanos, como el Bagle y Netsky entre otros. Las listas completas con todos los nombres de estos procesos, las puede consultar en la descripción de W32/Gaobot.AO. * Más información: W32/Gaobot.AO. Peligroso gusano y caballo de Troya http://www.vsantivirus.com/gaobot-ao.htm * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar las carpetas compartidas Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT, y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Configuration Loader 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Configuration Loader 6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \System \CurrentControlSet \Services \a3 7. Pinche en la carpeta "a3" y bórrela. 8. Use "Registro", "Salir" para salir del editor y confirmar los cambios. * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre el siguiente archivo: c:\windows\system32\smss32.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Vulnerabilidad en RPC (Remote Procedure Call) Este troyano se aprovecha de un desbordamiento de búfer en la interfase RPC (Remote Procedure Call) que permite la ejecución arbitraria de código. El Remote Procedure Call (RPC) permite el intercambio de información entre equipos, y está presente por defecto en el protocolo TCP bajo el puerto 135 en Windows NT 4.0, 2000 y XP. Una falla en la parte de RPC encargada del intercambio de mensajes sobre TCP/IP, permite a un atacante ejecutar cualquier código con los privilegios locales (Mi PC). Descargue y ejecute el parche correspondiente (MS03-026, MS03-039), desde el siguiente enlace: MS03-039 Ejecución de código en servicio RPCSS (824146) http://www.vsantivirus.com/vulms03-039.htm * IMPORTANTE Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores. También instale los parches mencionados más adelante. Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora. En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras. Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano. * Activar cortafuegos de Windows XP (Internet Conexión Firewall) NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa. Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red. 2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet". 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1373 Año 8, viernes 9 de abril de 2004