Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

       

W32/Tumbi.R. Usa RPC/DCOM e infecciones del MyDoom
 
VSantivirus No. 1426 Año 8, martes 1 de junio de 2004

W32/Tumbi.R. Usa RPC/DCOM e infecciones del MyDoom
http://www.vsantivirus.com/tumbi-r.htm

Nombre: W32/Tumbi.R
Tipo: Gusano de Internet
Alias: Tumbi.R, Win32/Tumbi.R, W32/Francette-J, W32/Tumbi.worm.gen.b, W32.Francette.Worm, WORM_FRANCETTE.F
Fecha: 28/may/04
Plataforma: Windows 32-bit
Tamaño: 253,440 bytes
Puertos: TCP 135, 3127, 6669, 6667

Este gusano, escrito en Borland Delphi y comprimido con la utilidad ASPack, se aprovecha para propagarse de la vulnerabilidad en los protocolos RPC/DCOM, descripta en los siguientes artículos:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm

Vulnerabilidad RPC/DCOM: MS03-026
http://www.vsantivirus.com/vulms03-026-027-028.htm

También utiliza el acceso creado en equipos previamente infectados con el gusano MyDoom.A, para copiarse en otros equipos.

Abre una puerta trasera controlable a través de canales de IRC, lo que permite a un intruso tomar el control total del equipo infectado.

El gusano también libera el archivo LOL.DLL, utilizado para capturar la salida del teclado.

La existencia de dicho archivo puede ser indicador de una infección, lo que indica la posibilidad de que usuarios no autorizados, puedan controlar la computadora en forma remota.

Cuando se ejecuta, este gusano crea la siguiente entrada en el registro para autoejecutarse en cada reinicio:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft IIS = c:\[camino completo]+[nombre al azar].exe

Luego, calcula direcciones IP al azar, e intenta conectarse a cada dirección que detecte como activa, a través del puerto TCP/135 para explotar la vulnerabilidad RPC/DCOM (similar al gusano Blaster o Lovsan).

También escanea el puerto TCP/3127, buscando equipos previamente infectados con el gusano MyDoom.A para propagarse copiándose a través de la puerta trasera creada por dicho gusano en ese puerto.

Si se conecta a una computadora vulnerable, crea un shell remoto (SHELL - Intérprete de comandos. Interpreta y activa los comandos o utilidades introducidos por el usuario, sirviendo de interfase entre el sistema y el usuario). Desde allí, genera las instrucciones para que el equipo remoto utilice comandos ftp para conectarse a un determinado sitio Web.

Desde ese sitio descarga una versión actualizada de si mismo y la ejecuta en la máquina remota, repitiendo el ciclo.

El gusano se conecta a un canal de IRC específico, de un determinado servidor, por el puerto TCP/6669 0 TCP/6667, para recibir instrucciones remotas, que le permiten a un atacante acciones como las siguientes:

  • Realizar ataques de denegación de servicio (DoS)
  • Ejecutar comandos en la máquina infectada
  • Descargar archivos
  • Escanear puertos
  • Realizar ataques de flooding (enviar información basura a canales de IRC)


Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre las entradas que contengan el siguiente nombre:

Microsoft IIS

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).

2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2004 Video Soft BBS