| |
VSantivirus No. 1450 Año 8, viernes 25 de junio de 2004
W32/Scob.A. Infecta servidores IIS 5.0
http://www.vsantivirus.com/scob-a.htm
Nombre: W32/Scob.A
Tipo: Caballo de Troya
Alias: Scob, Toofer, Download.Ject, Win32.Toofer, Win32/Scob.A
Fecha: 24/jun/04
Plataforma: Windows 32-bit
Este troyano afecta a servidores Microsoft Internet Information Services 5.0 (IIS), e indirectamente a usuarios de Microsoft Internet Explorer.
No afecta a usuarios con el RC2 de Windows XP instalado (versión Release Candidate del futuro Service Pack 2 de Windows XP, solo en inglés).
También son vulnerables los usuarios de Windows 2000 Server que utilicen Microsoft IIS, y que no hayan aplicado el siguiente parche:
MS04-011 Actualización crítica de Windows (835732)
http://www.vsantivirus.com/vulms04-011.htm
El troyano se instala en los servidores vulnerables, como AGENT.EXE, y libera una utilidad de administración para el IIS llamada ADS.VBS.
Una vez activo, ejecuta el siguiente comando:
csript.exe ads.vbs enum /p w3svc
Envía el resultado de la salida, al archivo de texto W3ENUM.TXT donde la misma es interpretada para conseguir el directorio IIS. Entonces, libera el componente JS/Scob en el directorio "inetsrv\" con nombres al azar, por ejemplo:
iis72a.dll
Después vuelve a utilizar ADS.VBS para agregar el DLL creado al contenido HTTP servido por el IIS, tanto en archivos HTML como CSS, incluidos GIF, JPG, etc.
Cuando un usuario visualiza alguna de las páginas del servidor comprometido, se infecta con el componente JavaScript (JS/Scob.A). Para lograrlo, el troyano se aprovecha de dos vulnerabilidades del Internet Explorer, una de ellas aún no solucionada (a la fecha de esta descripción).
Más información:
JS/Scob.A. Descarga archivos al visitar sitios Web
http://www.vsantivirus.com/js-scob-a.htm
Recomendaciones
Usuarios de Windows 2000 Server con servidor Microsoft IIS, deben descargar el siguiente parche:
MS04-011 Actualización crítica de Windows (835732)
http://www.vsantivirus.com/vulms04-011.htm
Otras recomendaciones:
What You Should Know About Download.Ject
http://www.microsoft.com/security/incident/download_ject.mspx
Actualizaciones:
25/06/04 - 15:00 -0300 (Download.Ject)
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
