Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

Controlado desde el
19/10/97 por NedStat

W32/Tumbi.A. Utiliza la vulnerabilidad RPC/DCOM
 
VSantivirus No. 1231 Año 8, Jueves 20 de noviembre de 2003

W32/Tumbi.A. Utiliza la vulnerabilidad RPC/DCOM
http://www.vsantivirus.com/tumbi-a.htm

Nombre: W32/Tumbi.A
Tipo: Gusano de Internet
Alias: Win32/Tumbi.A, W32/Francette.A, W32.Francette.Worm, Worm.Win32.Francette.a, W32/Tumbi.worm
Fecha: 17/nov/03
Plataforma: Windows 32-bit
Tamaño: 253,440 bytes

Este gusano, escrito en Borland Delphi y comprimido con la utilidad ASPack, se aprovecha de la vulnerabilidad en los protocolos RPC/DCOM, descripta en los siguientes artículos:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm

Vulnerabilidad RPC/DCOM: MS03-026
http://www.vsantivirus.com/vulms03-026-027-028.htm

Para infectar otras computadoras, se vale del puerto TCP/135. La existencia del archivo SYSHOST.EXE puede ser indicador de una infección, lo que indica la posibilidad de que usuarios no autorizados, puedan controlar la computadora en forma remota.

Cuando se ejecuta, este gusano crea la siguiente entrada en el registro para autoejecutarse en cada reinicio:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft IIS = syshost.exe

Luego, calcula direcciones IP al azar, e intenta conectarse a cada dirección que detecte como activa, a través del puerto TCP/135 para explotar la vulnerabilidad RPC/DCOM (similar al gusano Blaster o Lovsan).

Si se conecta a una computadora vulnerable, crea un shell remoto (SHELL - Intérprete de comandos. Interpreta y activa los comandos o utilidades introducidos por el usuario, sirviendo de interface entre el sistema y el usuario). Desde allí, genera las instrucciones para que el equipo remoto utilice comandos ftp para conectarse a un determinado sitio Web.

Desde ese sitio descarga una versión actualizada de si mismo (syshost.exe), y la ejecuta en la máquina remota, repitiendo el ciclo.

El gusano también se vale de la vulnerabilidad "Microsoft IIS traversal exploit" en servidores de Microsoft sin parches actualizados, para descargar y luego ejecutar los archivos siguientes en la carpeta C:\WINNT\SYSTEM32 de los servidores de Internet:

nt_ddr.exe
Syshost.exe

El gusano se conecta a un canal de IRC específico, de un determinado servidor, por el puerto TCP/6669 0 TCP/6667, para recibir instrucciones remotas, que le permiten a un atacante acciones como las siguientes:

  • Realizar ataques de denegación de servicio (DoS)
  • Ejecutar comandos en la máquina infectada
  • Descargar archivos
  • Escanear puertos
  • Realizar ataques de flooding (enviar información basura a canales de IRC)


Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Remoción del gusano utilizando "Process Explorer"

Para quitar manualmente este gusano, se sugiere la herramienta de uso gratuito "Process Explorer" (100 Kb), que puede ser descargada del siguiente enlace:

http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

Una vez descargada dicha herramienta, cree una nueva carpeta, copie allí el contenido del archivo .ZIP descargado y ejecute el archivo PROCEXP.EXE.

Bajo la columna "Process" de la ventana superior de la utilidad "Process Explorer", localice y "mate" (Kill Process), el siguiente proceso:

Cnqmax.exe


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre las entradas que contengan el siguiente nombre de archivo:

Microsoft IIS = syshost.exe

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)


Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).

2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.

4. Seleccione Aceptar, etc.


El IRC y los virus

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos que usted ha pedido, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Vea también:

Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2003 Video Soft BBS