El troyano que ESET NOD32 detectó sin necesidad de actualización, como una variante de Win32/IRCBot.OO, pertenece a la familia de los IRC/Bot, o sea troyanos que reciben instrucciones a través de canales de IRC para realizar tareas automatizadas en los equipos infectados. Generalmente, esto sirve para crear verdaderes redes de máquinas zombis, también conocidas como botnets, capaces de llevar a cabo acciones maliciosas a gran escala.

No es nuevo que este troyano se aproveche de nuevas vulnerabilidades para propagarse, intentando sacar partido de los tiempos de reacción de los usuarios (o sea, antes que los parches, que ya fueron liberados por Microsoft, sean instalados). Otras variantes de este IRCBot lo han hecho así antes.

Esta versión, se copia en el directorio del sistema con el nombre de WGAREG.EXE (aunque puede llegar con un nombre en blanco y solo la extensión .EXE), y luego crea un servicio en Windows con el nombre de "Windows Genuine Advantage Registration Service", para simular ser parte del sistema de autenticación de "Windows genuino" de Microsoft. La descripción de este falso servicio, advierte -en inglés-, que detenerlo o inhabilitarlo, puede dejar inestable el sistema, además de afirmar que su función es asegurarse que la versión de Windows actual sea genuina y esté registrada.

La segunda variante crea un servicio similar, pero con el siguiente nombre: "Windows Genuine Advantage Validation Monitor", y utiliza el archivo WGAVM.EXE.

Lo que caracteriza a esta versión, como dijimos antes, es que puede aprovechar la vulnerabilidad que Microsoft corrigió en su parche MS06-040, la cuál se produce por un desbordamiento de búfer en el servicio servidor de Windows. Sin embargo, el exploit actual, parece no funcionar en Windows XP SP2 ni en Windows 2003 SP1. Los demás sistemas que el parche cubre, en cambio si son vulnerables (incluyendo Windows XP y XP SP1).

Una vez que el troyano está en el equipo infectado, el mismo puede buscar equipos vulnerables a través del puerto TCP 445, e infectarlos.

Pero además de ello, el troyano tiene la capacidad de enviar mensajes a través del AOL Messenger, si el mismo está instalado en el equipo infectado. De esta manera, podría crear mensajes falsos, para incitar a otros usuarios a descargar el BOT de otros enlaces, y de esa forma favorecer su propagación, eludiendo otras restricciones como las de los cortafuegos (se trata de la descarga de un archivo común y corriente de Internet).

En este caso específico, comprobamos que la protección de ESET NOD32 impidió la descarga de dicho archivo, protegiendo al usuario de la infección también por esa vía. Sin embargo, es bueno recordar lo peligroso que puede ser el uso de la mensajería instantánea, sobre todo en ambientes corporativos. En este caso, el parche de Microsoft protege al usuario de la infección vía puerto TCP 445 (o el firewall que proteja la red interna del exterior), pero no lo protege de la descarga de un archivo de Internet.

El troyano intenta conectarse a los siguientes servidores (ambos en China), por un puerto no estándar:

bniu .househot .com:18067
ypgw .wallloan .com:18067

También es notorio un aumento de tráfico de salida por el puerto TCP 445, cuando el troyano busca otros equipos vulnerables para infectarlos.

Es importante tener en cuenta, que si un equipo es infectado, al tratarse básicamente de un programa capaz de recibir instrucciones remotas y realizar acciones de acuerdo a ello, no hay una solución que nos asegure completamente que los equipos han sido limpiados. Cualquier otra clase de software malicioso podría ser descargado mientras tanto, o se podrían haber hecho modificaciones críticas que podrían haber dejado el camino libre a otras amenazas, de modo que eliminar el troyano no resuelve totalmente el problema.

En casos como estos, no quedan muchas más opciones que "derribar y reconstruir", sobre todo cuando se trata de redes corporativas, ya que nunca podríamos estar seguros de que clase de "regalos" pueden haber quedado en el sistema.

Además, la eliminación manual no resulta nada trivial, debido a las modificaciones que puede realizar el troyano.

Es por todas esas razones, que debemos tener siempre en cuenta, que la mejor protección es la prevención.

Según el servicio ThreatSense.net de ESET NOD32, esta variante se ubica al momento de este artículo (cuando aún no han pasado 24 horas de la primera detección), en el puesto número 33 de los códigos maliciosos más detectados en las últimas 24 horas.

Relacionados:

Aumenta la alerta por posible gusano de Windows
http://www.vsantivirus.com/11-08-06.htm

MS06-040 Vulnerabilidad en servicio Servidor (921883)
http://www.vsantivirus.com/vulms06-040.htm

Sistema comprometido: "derribar y reconstruir"
http://www.vsantivirus.com/derribar-reconstruir.htm

Troyano que intenta crear una red de máquinas zombis
http://www.vsantivirus.com/25-10-05.htm


(*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director técnico y gerente general de NOD32 Uruguay.






(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com