Neeris. A Conficker le salen imitadores...

Microsoft ha alertado de la reactivación de un viejo virus, Neeris, que ha copiado algunas de las estrategias de infección de Conficker y está volviendo a propagarse.
Microsoft alerta de que Neeris, un virus que apareció en mayo de 2005, está renaciendo de sus cenizas para sacar partido del mismo agujero en Windows que Conficker y que, además, está empezando a propagarse a través de unidades flash.Según Ziv Mador y Aaron Putnam, investigadores del centro de protección de malware de Microsoft, los creadores de Neeris han añadido recientemente una técnica para sacar partido de la vulnerabilidad MS08-067 que Microsoft parcheó el pasado mes de octubre.
Conficker, el gusano que empezó utilizando un nuevo sistema de comunicación para recibir comandos de sus controladores, también saca partido de esta vulnerabilidad para empezar a propagarse y dañar las redes desde finales de 2008 y, sobre todo, en este inicio de 2009. Así, por ejemplo, sólo en enero Conficker ha infectado a millones de máquinas.
“Neeris también se propaga a través de Autorun. La nueva variante tiene incluso la misma configuración que Conficker para abrir carpetas para ver los archivos”, explican estos expertos en el blog.
Una de las técnicas de propagación de Conficker es la instalación de un archivo denominado autorun.inf en un dispositivo USB, especialmente los de memoria flash. Cuando se conecta este dispositivo a un ordenador, el archivo autorun.inf copia silenciosamente el gusano en el PC. Por eso, los expertos de Microsoft no descartan que los autores de ambos virus estén aliados.
Cabe señalar, además, que “curiosamente”, la nueva versión de Neeris aparece el 31 de marzo, un día antes de que Conficker estuviera preparado para actuar. “Sin embargo, Neeris no se descargaba desde ninguna variante de Conficker por lo que no hay evidencia de que esté relacionado con la tercera versión de Conficker, preparada para actuar el 1 de abril”, explican estos expertos.
Por último, y teniendo en cuenta que Neeris saca partido de una vulnerabilidad de Microsoft ya solucionada en octubre, se aconseja tener el parche instalado en todas las máquinas para evitar verse infectado por Neeris.

Click aquí para ver el original.

Detectando Conficker (Virus) en una Red...

Conficker es el software malicioso que ha ocupado la atención de los medios los últimos meses, incluido este blog (ver toda la información sobre Conficker). Los consejos para prevenir una infección de Conficker ya han sido publicados reiteradas veces. Sin embargo, un inconveniente frecuente en las redes corporativas es cuando el gusano ya ha infectado, y ya está instalado en la organización. ¿cómo protegerse?La principal preocupación cuando el gusano ya ha infectado equipos, es cómo detectar cuáles equipos están infectados. Aunque mantener todos los equipos con las actualizaciones a la fecha, y protegidos por un antivirus que neutralice la amenaza, sería la principal protección; la realidad indica que muchas organizaciones poseen estructuras poco organizadas donde no hay configuraciones homogéneas de seguridad en los diferentes equipos de la red.
Para tal fin, fue desarrollada una herramienta, como iniciativa de The HoneyNet Project, que permite detectar qué equipos de la red están infectados. La misma escanea un segmento de red y verifica qué equipos probablemente estén infectados con Conficker. La herramienta puede descargarse aquí, es un script hecho en Phyton (ejecutable aquí) que puede ejecutarse muy fácilmente indicando como parámetros las direcciones IP para chequear.

Asimismo, Nessus, una de las aplicaciones de escaneo de vulnerabilidades más popular, ya cuenta con un plugin (#36036) que está basado en dicha herramienta. Por lo tanto, ya pueden integrarse las funcionalidades de Nessus para detectar la infección.
Teniendo en cuenta que en muchas de sus variantes el gusano se propaga por el resto de los equipos de la red, identificar los equipos ya infectados y desconectarlos de la red es un buen primer paso para iniciar la limpieza.
Una vez identificados los equipos y desinfectados, recuerden las medidas que ya hemos recordado para prevenir una nueva infección:
* Actualice su sistema operativo* Active un Firewall (de perímetro o personal)* Utilice un Antivirus* No utilice su sistema con permisos administrativos

Click aquí para ver el original.

Cuidado con los enlaces en búsquedas sobre Conficker...

La preocupación por el gusano más virulento de los últimos años está generando multitud de consultas a los buscadores de Internet con la palabra Conficker. Pero los resultados de estás búsquedas pueden ser a su vez enlaces maliciosos, según anuncia Symantec.
Symantec alerta en su blog sobre la posibilidad de seguir enlaces maliciosos al buscar información sobre Conficker/Downadup. Algunos buscadores están devolviendo entre los resultados vínculos a páginas infectadas que han sido creadas para extender programas antivirus falsos.Si se pincha en esos enlaces el usuario será llevado a una página de descarga de aplicaciones que pueden contener más malware. La web imita el aspecto de la ventana de alertas de seguridad de Windows para confundir al usuario e incitarle a pulsar en los botones.
Symantec recomienda utilizar el sistema de protección de red de sus productos, que activan una firma llamada “HTTP Fake Scan Webpage”, e impiden que el ordenador del usuario pueda visitar estos sitios.
En la misma línea actuaría la protección implementada en el nuevo Internet Explorer 8, que según un reciente estudio de NSS Lab para Microsoft, sería el mejor navegador para bloquear este tipo de páginas maliciosas.
Conficker ya ha infectado más de 10 millones de ordenadores en todo el mundo y pasado mañana, 1 de abril, se espera la activación de Conficker C la última versión de este gusano, desconociéndose los daños que pueda causar. Si los criminales que crearon el gusano quisieran, podrían utilizar esta red de ordenadores infectados para lanzar un ataque de denegación de servicio distribuido (DDOS) muy potente contra otros ordenadores en Internet. Aunque por otra parte se desconoce si realmente va a causar algún daño, por lo que algunos expertos mantienen que se le tiene un miedo exagerado.

Click aquí para ver el original.

Herramienta gratuita elimina al gusano Downadup

Según los laboratorios de BitDefender siguen extendiéndose por la red nuevas variantes agresivas de este gusano.

El pasado sábado 7 de marzo, BitDefender detectó una nueva y más agresiva versión del virus Downadup, que se aprovecha de una vulnerabilidad de Windows RPC Server Service, llamada Win32.Worm.Downadup.C.

Una vez comprometido el sistema, el gusano desactiva Windows Update y bloquea el acceso a la mayoría de páginas web antivirus para dificultar la desinfección del equipo por parte del usuario.

El gusano en sí no es nuevo, ya que hizo su primera aparición en noviembre de 2008, bajo nombres como Cinficker o Kido. Esta amenaza también es conocida por aprovecharse de la vulnerabilidad descrita en el boletín de seguridad de Microsoft MS08-067.

BitDefender ofrece a todos los usuarios una herramienta gratuita que desinfecta todas las versiones del gusano Downadup lo que supone un avance en la seguridad de Internet.

Click aquí para ver el original.

Panda presenta su solución gratuita USB Vaccine

Cada vez son más los ejemplares de malware, entre ellos el peligroso gusano Conficker, que se propagan mediante la infección de dispositivos y unidades extraíbles como llaves de memoria, reproductores MP3, cámaras de fotos, etc.

Panda Security ha puesto a disposición de los usuarios Panda USB Vaccine, una solución de seguridad gratuita diseñada para bloquear el malware que se propaga a través de unidades extraíbles como llaves de memoria USB, CD/DVDs, reproductores MP3, etc.

La técnica utilizada el malware para propagarse es la siguiente:

El sistema operativo Windows utiliza el archivo Autorun.inf de las unidades extraíbles con el fin de saber qué acciones debe llevar a cabo cuando un nuevo dispositivo de almacenamiento externo, como una unidad USB o un CD / DVD, se inserta en el PC. Este archivo, ubicado en el directorio raíz de los dispositivos extraíbles, ofrece, entre otras cosas, la posibilidad de definir un programa que ejecute automáticamente parte del contenido del dispositivo extraíble cuando éste sea conectado a un PC. Esta funcionalidad está siendo utilizada por los ciberdelincuentes para propagar sus virus, mediante la modificación de ese fichero Autorun.inf con órdenes para que el malware que se ha copiado, por ejemplo, en una llave de memoria USB se ejecute automáticamente en cuanto ésta sea conectada a un PC. Así, ese PC quedaría infectado inmediatamente.

Para prevenir esto, Panda Security, a través de su división Panda Research, ha desarrollado Panda USB Vaccine, producto gratuito que permite llevar a cabo una doble protección preventiva, o vacuna, tanto del mismo PC para deshabilitar la funcionalidad AutoRun, como de unidades y llaves USB individuales.

“Se trata de una herramienta muy útil, ya que no existe una manera sencilla de deshabilitar la opción de Autorun en Windows. Con esta herramienta, los usuarios podrán hacerlo de manera sencilla, logrando así un alto grado de seguridad respecto a las infecciones procedentes de dispositivos extraíbles”, asegura Pedro Bustamante, Senior Research Advisor de Panda Security.

Click aquí para ver el original.

Antivirus falso simula el explorador de Windows

En los últimos días ha aparecido otro rogue que simula, dentro del navegador del usuario, un explorador de Windows. Como suele ser, la amenaza es promocionada a través de un sitio web malicioso. Cuando el usuario accede, es alertado de la probable existencia de programas dañinos en su equipo. Posteriormente, se observa en el cuerpo del navegador una imitación del explorador de Windows, con sus unidades clásicas, y una supuesta exploración del sistema.

El sitio simula finalizar el proceso (que es en realidad un GIF animado) y alerta al usuario sobre la existencia de cientos de infecciones. Nótese que la captura de pantalla fue realizada sobre una plataforma Linux, mostrándose de todas formas el explorador de Windows.

Si el usuario presiona en cualquier sector de la ventana, se ofrece la descargar del archivo SystemGuard2009.exe que ESET NOD32 detecta como Win32/Kryptik.GJ , un troyano Downloader que descarga otras aplicaciones maliciosas. Este mismo comportamiento se puede ver en nuestro video educativo sobre rogue.

Del rastreo del archivo infectado hemos detectado gran cantidad de sitios comprometidos con la misma técnica. Algunos de ellos, ya han sido dados de baja:

Como se puede observar, las técnicas de rogue o scareware se encuentran entre los ataques más habituales y sus creadores continúan en la creación de nuevos métodos de distribución para infectar al usuario.

Click aquí para ver el original.

El 6% de los ordenadores analizados por Panda Security están infectados con el gusano Conficker

- Se han detectado infecciones en más de 83 países.
- España, Estados Unidos, Taiwán y Brasil entre los países más infectados.

El número de ordenadores infectados por el gusano Conficker continúa creciendo, según datos de PandaLabs. Según un estudio llevado a cabo por PandaLabs, cerca de un 6% (5,77%) de los ordenadores de todo el mundo estarían ya infectados con este gusano.
El estudio, que ha sido llevado a cabo sobre una muestra de casi dos millones de ordenadores demuestra que la infección, desde su origen en China, se ha extendido ya por 83 países, alcanzando niveles especialmente altos en países como España, Estados Unidos, Taiwán, Brasil o México.

“Que de cada dos millones de ordenadores que analices, cerca de 115.000 estén infectados con un mismo ejemplar de malware es algo que no se veía desde los tiempos de las grandes ataques como los de Kournikova o Blaster”, afirma Luis Corrons, director técnico de PandaLabs, que añade: “lo peor es que este gusano aún puede hacer mucho daño, ya que en cualquier momento puede comenzar a descargar más malware en los equipos o propagarse por otros medios”.

Además, los investigadores de PandaLabs han averiguado nuevos datos sobre este peligroso gusano. Algunas de sus variantes estarían llevando a cabo ataques de fuerza bruta para conseguir las contraseñas del ordenador infectado y también de las redes internas como las que existen en muchas empresas. La debilidad de esas contraseñas (palabras comunes, nombres propios, etc.) ha facilitado la distribución de este gusano.

Consiguiendo esas contraseñas, los ciberdelincuentes pueden conseguir acceso al ordenador de los usuarios y utilizarlo con otros fines.

“Esto demuestra una vez más la necesidad de establecer contraseñas seguras tanto en los ordenadores personales como en las redes corporativas, ya que en caso contrario, una infección en un equipo puede extenderse a toda una empresa, dejando todos los ordenadores en manos de los atacantes”, explica Luis Corrons.

Además, este gusano cuenta con un sistema de ingeniería social muy novedoso para propagarse a través de dispositivos USB: en el menú que aparece en los sistemas operativos Windows cuando introduces un dispositivo USB y que ofrece diferentes opciones (abrir carpeta para ver archivos, reproducir canciones, ejecutar los programas contenidos en el dispositivo, etc.) ha disfrazado la opción de ejecución de programa (que activa el malware) como si fuese la opción de “abrir carpeta para ver archivos”, de tal modo que un usuario que quiera ver el contenido de la llave de memoria, en realidad, estará poniendo en marcha el gusano e infectándose.

Click aquí para ver el original.

El Pentágono prohibe los pendrives

El Pentágono prohibió, al menos temporalmente, el uso de la memoria externa portátil debido a la amenaza de un virus detectadas por las autoridades en las redes del Departamento de Defensa.

Aunque los funcionarios de Defensa no confirmaron públicamente la prohibición, los empleados del departamento recibieron mensajes sobre las nuevas restricciones. Dentro de la prohibición, el centro recogió los aparatos de memoria externa portátil adquiridos o suministrados por el departamento a sus empleados, según el mensaje que les envió.

Los empleados fueron informados que es posible que nunca recuperen esos utensilios y no fue aclarado cuánto durará la prohibición.

El vocero del Pentágono Bryan Whitman no dio detalles el viernes sobre el virus, pero dijo que se trata de un “virus global” cuya existencia fue denunciada en repetidas ocasiones al público en general.

“No se trata solamente de un problema del departamento, ni tampoco solo un problema del gobierno”, dijo Whitman.

El Pentágono admitió que su extensa red cibernética es vigilada e incluso amenazada millones de veces al día por terceras personas. El año pasado, un ataque cibernético obligó al Departamento de Defensa a desconectar más de 1.500 ordenadores.

Las autoridades dijeron que se detectó una violación del sistema, aunque el ataque no tuvo un efecto adverso en las operaciones del departamento.

Empero, la jefatura militar advirtió reiteradamente sobre las amenazas potenciales de diversas fuentes incluyendo otros países - como China - así como grupos terroristas y ciberpiratas.

Click aquí para ver el original.