Detectando Conficker (Virus) en una Red...

Conficker es el software malicioso que ha ocupado la atención de los medios los últimos meses, incluido este blog (ver toda la información sobre Conficker). Los consejos para prevenir una infección de Conficker ya han sido publicados reiteradas veces. Sin embargo, un inconveniente frecuente en las redes corporativas es cuando el gusano ya ha infectado, y ya está instalado en la organización. ¿cómo protegerse?La principal preocupación cuando el gusano ya ha infectado equipos, es cómo detectar cuáles equipos están infectados. Aunque mantener todos los equipos con las actualizaciones a la fecha, y protegidos por un antivirus que neutralice la amenaza, sería la principal protección; la realidad indica que muchas organizaciones poseen estructuras poco organizadas donde no hay configuraciones homogéneas de seguridad en los diferentes equipos de la red.
Para tal fin, fue desarrollada una herramienta, como iniciativa de The HoneyNet Project, que permite detectar qué equipos de la red están infectados. La misma escanea un segmento de red y verifica qué equipos probablemente estén infectados con Conficker. La herramienta puede descargarse aquí, es un script hecho en Phyton (ejecutable aquí) que puede ejecutarse muy fácilmente indicando como parámetros las direcciones IP para chequear.

Asimismo, Nessus, una de las aplicaciones de escaneo de vulnerabilidades más popular, ya cuenta con un plugin (#36036) que está basado en dicha herramienta. Por lo tanto, ya pueden integrarse las funcionalidades de Nessus para detectar la infección.
Teniendo en cuenta que en muchas de sus variantes el gusano se propaga por el resto de los equipos de la red, identificar los equipos ya infectados y desconectarlos de la red es un buen primer paso para iniciar la limpieza.
Una vez identificados los equipos y desinfectados, recuerden las medidas que ya hemos recordado para prevenir una nueva infección:
* Actualice su sistema operativo* Active un Firewall (de perímetro o personal)* Utilice un Antivirus* No utilice su sistema con permisos administrativos

Click aquí para ver el original.

Herramienta gratuita elimina al gusano Downadup

Según los laboratorios de BitDefender siguen extendiéndose por la red nuevas variantes agresivas de este gusano.

El pasado sábado 7 de marzo, BitDefender detectó una nueva y más agresiva versión del virus Downadup, que se aprovecha de una vulnerabilidad de Windows RPC Server Service, llamada Win32.Worm.Downadup.C.

Una vez comprometido el sistema, el gusano desactiva Windows Update y bloquea el acceso a la mayoría de páginas web antivirus para dificultar la desinfección del equipo por parte del usuario.

El gusano en sí no es nuevo, ya que hizo su primera aparición en noviembre de 2008, bajo nombres como Cinficker o Kido. Esta amenaza también es conocida por aprovecharse de la vulnerabilidad descrita en el boletín de seguridad de Microsoft MS08-067.

BitDefender ofrece a todos los usuarios una herramienta gratuita que desinfecta todas las versiones del gusano Downadup lo que supone un avance en la seguridad de Internet.

Click aquí para ver el original.

Panda presenta su solución gratuita USB Vaccine

Cada vez son más los ejemplares de malware, entre ellos el peligroso gusano Conficker, que se propagan mediante la infección de dispositivos y unidades extraíbles como llaves de memoria, reproductores MP3, cámaras de fotos, etc.

Panda Security ha puesto a disposición de los usuarios Panda USB Vaccine, una solución de seguridad gratuita diseñada para bloquear el malware que se propaga a través de unidades extraíbles como llaves de memoria USB, CD/DVDs, reproductores MP3, etc.

La técnica utilizada el malware para propagarse es la siguiente:

El sistema operativo Windows utiliza el archivo Autorun.inf de las unidades extraíbles con el fin de saber qué acciones debe llevar a cabo cuando un nuevo dispositivo de almacenamiento externo, como una unidad USB o un CD / DVD, se inserta en el PC. Este archivo, ubicado en el directorio raíz de los dispositivos extraíbles, ofrece, entre otras cosas, la posibilidad de definir un programa que ejecute automáticamente parte del contenido del dispositivo extraíble cuando éste sea conectado a un PC. Esta funcionalidad está siendo utilizada por los ciberdelincuentes para propagar sus virus, mediante la modificación de ese fichero Autorun.inf con órdenes para que el malware que se ha copiado, por ejemplo, en una llave de memoria USB se ejecute automáticamente en cuanto ésta sea conectada a un PC. Así, ese PC quedaría infectado inmediatamente.

Para prevenir esto, Panda Security, a través de su división Panda Research, ha desarrollado Panda USB Vaccine, producto gratuito que permite llevar a cabo una doble protección preventiva, o vacuna, tanto del mismo PC para deshabilitar la funcionalidad AutoRun, como de unidades y llaves USB individuales.

“Se trata de una herramienta muy útil, ya que no existe una manera sencilla de deshabilitar la opción de Autorun en Windows. Con esta herramienta, los usuarios podrán hacerlo de manera sencilla, logrando así un alto grado de seguridad respecto a las infecciones procedentes de dispositivos extraíbles”, asegura Pedro Bustamante, Senior Research Advisor de Panda Security.

Click aquí para ver el original.

Antivirus falso simula el explorador de Windows

En los últimos días ha aparecido otro rogue que simula, dentro del navegador del usuario, un explorador de Windows. Como suele ser, la amenaza es promocionada a través de un sitio web malicioso. Cuando el usuario accede, es alertado de la probable existencia de programas dañinos en su equipo. Posteriormente, se observa en el cuerpo del navegador una imitación del explorador de Windows, con sus unidades clásicas, y una supuesta exploración del sistema.

El sitio simula finalizar el proceso (que es en realidad un GIF animado) y alerta al usuario sobre la existencia de cientos de infecciones. Nótese que la captura de pantalla fue realizada sobre una plataforma Linux, mostrándose de todas formas el explorador de Windows.

Si el usuario presiona en cualquier sector de la ventana, se ofrece la descargar del archivo SystemGuard2009.exe que ESET NOD32 detecta como Win32/Kryptik.GJ , un troyano Downloader que descarga otras aplicaciones maliciosas. Este mismo comportamiento se puede ver en nuestro video educativo sobre rogue.

Del rastreo del archivo infectado hemos detectado gran cantidad de sitios comprometidos con la misma técnica. Algunos de ellos, ya han sido dados de baja:

Como se puede observar, las técnicas de rogue o scareware se encuentran entre los ataques más habituales y sus creadores continúan en la creación de nuevos métodos de distribución para infectar al usuario.

Click aquí para ver el original.

El 6% de los ordenadores analizados por Panda Security están infectados con el gusano Conficker

- Se han detectado infecciones en más de 83 países.
- España, Estados Unidos, Taiwán y Brasil entre los países más infectados.

El número de ordenadores infectados por el gusano Conficker continúa creciendo, según datos de PandaLabs. Según un estudio llevado a cabo por PandaLabs, cerca de un 6% (5,77%) de los ordenadores de todo el mundo estarían ya infectados con este gusano.
El estudio, que ha sido llevado a cabo sobre una muestra de casi dos millones de ordenadores demuestra que la infección, desde su origen en China, se ha extendido ya por 83 países, alcanzando niveles especialmente altos en países como España, Estados Unidos, Taiwán, Brasil o México.

“Que de cada dos millones de ordenadores que analices, cerca de 115.000 estén infectados con un mismo ejemplar de malware es algo que no se veía desde los tiempos de las grandes ataques como los de Kournikova o Blaster”, afirma Luis Corrons, director técnico de PandaLabs, que añade: “lo peor es que este gusano aún puede hacer mucho daño, ya que en cualquier momento puede comenzar a descargar más malware en los equipos o propagarse por otros medios”.

Además, los investigadores de PandaLabs han averiguado nuevos datos sobre este peligroso gusano. Algunas de sus variantes estarían llevando a cabo ataques de fuerza bruta para conseguir las contraseñas del ordenador infectado y también de las redes internas como las que existen en muchas empresas. La debilidad de esas contraseñas (palabras comunes, nombres propios, etc.) ha facilitado la distribución de este gusano.

Consiguiendo esas contraseñas, los ciberdelincuentes pueden conseguir acceso al ordenador de los usuarios y utilizarlo con otros fines.

“Esto demuestra una vez más la necesidad de establecer contraseñas seguras tanto en los ordenadores personales como en las redes corporativas, ya que en caso contrario, una infección en un equipo puede extenderse a toda una empresa, dejando todos los ordenadores en manos de los atacantes”, explica Luis Corrons.

Además, este gusano cuenta con un sistema de ingeniería social muy novedoso para propagarse a través de dispositivos USB: en el menú que aparece en los sistemas operativos Windows cuando introduces un dispositivo USB y que ofrece diferentes opciones (abrir carpeta para ver archivos, reproducir canciones, ejecutar los programas contenidos en el dispositivo, etc.) ha disfrazado la opción de ejecución de programa (que activa el malware) como si fuese la opción de “abrir carpeta para ver archivos”, de tal modo que un usuario que quiera ver el contenido de la llave de memoria, en realidad, estará poniendo en marcha el gusano e infectándose.

Click aquí para ver el original.

Gusano Conficker (Importante)

En las últimas horas hemos recibido una alta cantidad de consultas de usuarios latinoamericanos sobre un mensaje de error que “Generic host process for win32 service error” que aparece al iniciar la computadora. Esto posiblemente se debe a una infección con el gusano detectado por ESET NOD32 como Win32/Conficker.A que ha registrado una alta tasa de propagación en los últimos días a través del puerto 445 y explotando una vulnerabilidad solucionada por Microsoft el pasado 23 de octubre, oportunidad en la que apareció el Gusano Gimmiv. A continuación se puede ver el aumento de tráfico en el puerto mencionado, a través informes de ISC SANS.

En ese momento recomendamos instalar inmediatamente la actualización crítica MS08-067 desde el sitio de Microsoft. En este momento volvemos a sugerir lo mismo en forma urgente. Tal y como indica Microsoft, la actualización se debe instalar en cualquiera de estos sistemas vulnerables.

* Microsoft Windows 2000 Service Pack 4
* Windows XP Service Pack 2
* Windows XP Service Pack 3
* Windows XP Professional x64 Edition
* Windows XP Professional x64 Edition Service Pack 2
* Windows Server 2003 Service Pack 1
* Windows Server 2003 Service Pack 2
* Windows Server 2003 x64 Edition
* Windows Server 2003 x64 Edition Service Pack 2
* Windows Server 2003 with SP1 for Itanium-based Systems
* Windows Server 2003 with SP2 for Itanium-based Systems
* Windows Vista and Windows Vista Service Pack 1
* Windows Vista x64 Edition and Windows Vista x64 Edition Service Pack 1
* Windows Server 2008 for 32-bit Systems
* Windows Server 2008 for x64-based Systems
* Windows Server 2008 for Itanium-based Systems

Debido a que la actualización no ha reportado problemas, por favor instalela en sus sistemas y filtre adecuadamente el puerto 445 en su Firewall. Mientras tanto, los usuarios de ESET NOD32 siempre estuvieron protegidos, debido a que detectamos el gusano desde el primer momento.

Click aquí para ver el original.