El Stration hace crecer los niveles de spam

El Stration hace crecer los niveles de spam
	VSantivirus No 2293 Año 10, sábado 11 de noviembre de 2006 El Stration hace crecer los niveles de spam http://www.vsantivirus.com/eb-11-11-06.htm Por Emilio Baby emilio@videosoft.net.uy Expertos de iDefense han hecho comentarios esta semana, sobre detalles del gusano Stration que han pasado inadvertidos hasta ahora para la mayoría. Según estos, el Stration, posee la habilidad de enviar millones de mensajes con publicidad no deseada de productos farmacéuticos. El gusano Stration, también conocido con el nombre de Warezov, ha sido el tópico número uno en las listas de las firmas antivirus por casi tres meses, pero hasta ahora, no se ha dicho que, en caso de ocurrir una infección, el gusano espera 6 horas antes de realizar una tarea diferente a la que mencionan la mayoría de las descripciones conocidas del mismo. Según iDefense, el Stration comienza entonces a enviar cantidades masivas de correo basura, con publicidad de productos como Viagra y otros. "Muchos vendedores de antivirus han estado diciendo que Stration no tiene una carga maliciosa secundaria," dice Mike La Pilla, un analista de iDefense. "Pero sí la tiene. El gusano espera exactamente seis horas antes de contactarse con diferentes sitios de Internet, y descargar un troyano que comienza a enviar correo electrónico." Si un usuario ejecuta el archivo adjunto al mensaje original, un pequeño troyano del tipo downloader es lanzado, e intenta conectarse a un determinado dominio para descargar otras versiones del gusano. El Stration, en su momento, envía las direcciones electrónicas capturadas en el sistema infectado, a otros sistemas en otros dominios. Solo más tarde intentará conectarse a un segundo dominio para descargar el "spam bot" (robot para el envío de spam). El Stration ha sido señalado por muchos analistas, como el culpable del explosivo aumento de la tasa de correo basura de los últimos meses, y del gran número de "bots" detectados en Internet. "Muchas compañías de seguridad han estado tratando de cerrar los servidores que figuran en el primer dominio," afirma el analista de iDefense, "pero eso deja al Stration aún con la capacidad de conectarse con el segundo dominio para descargar el troyano encargado del spam." El enfoque de los dos dominios del Stration, ha sido lo suficientemente sofisticado como para engañar a gran parte de los vendedores más grandes de antivirus. iDefense se refiere también a otras características del Stration que han sido descuidadas, como por ejemplo, que el gusano también es capaz de propagarse por ICQ. El gusano no solamente recoge direcciones de correo electrónico, sino también listas de contactos de ICQ que pueda encontrar en las computadoras infectadas. La mayor parte de las infecciones a través del ICQ se dan en países como Rusia, Estonia, Lituania, y otros similares, en gran medida debido a que el mensajero instantáneo es muy popular en Europa del Este. Pocos antivirus advirtieron esta faceta del Stration. La Pilla dice que las excepciones son Grisoft, una compañía establecida en la república checa, que vende la línea AVG, y ESET, la compañía eslovaca que produce NOD32. El ISC (Internet Storm Center del SANS Institute), relacionó la rápida subida en los niveles del correo basura en octubre, con un considerable salto en el número de sistemas infectados, lo que coincide con la circunstancial conexión entre el Stration y su envío de spam. "En los últimos meses, el número de proveedores de Internet infectados, ronda el millón por día. El pasado 18 de octubre ese número trepó a casi 1.8 millones, esto coincide con un dramático incremento en el spam," publicó este martes el ISC. "El Stration, con sus constantes cambios, intenta mantenerse siempre un paso adelante de los antivirus," dice La Pilla. "Cuando usted abre el adjunto, ejecuta un troyano que descarga una nueva versión del gusano. No es el gusano propiamente dicho lo que recibe." Eso puede hacer que cuando usted abra el correo a determinada hora del día, descargue una versión vieja del gusano, pero si lo hace más tarde, tal vez descargue la versión más reciente, que no siempre podrá ser detectada por su antivirus, aunque el mismo esté actualizado. Es evidente que el enfoque de una detección proactiva antes que reactiva, es fundamental en este tipo de amenazas. "En nuestro centro de alertas, recibimos constantemente muestras de nuevos gusanos," dice Jose Luis Lopez de ESET NOD32 Uruguay. "El laboratorio de VSAntivirus procesa esas muestras para obtener estadísticas actualizadas, y en caso de ser necesario, enviarlas al laboratorio de ESET para su rápida inclusión en la base de firmas. En algunos días hemos recibido más de 400 variantes ligeramente modificadas del Stration, todas ellas han sido identificadas por la heurística de NOD32 como versiones genéricas, o simplemente como posibles variantes." "Pero es evidente que aún con este impresionante record de detecciones de nuestro antivirus, es importante que el usuario tome verdadera conciencia del más sencillo y más repetido consejo en materia de seguridad que hemos publicado miles de veces en nuestro portal. El de no abrir adjuntos ni seguir enlaces de mensajes que no hemos solicitado, sin importar quien sea el remitente," concluye Lopez. Relacionados: Ataque masivo del gusano Stration supera récords http://www.vsantivirus.com/21-10-06.htm Substantial Increase in Infected System Numbers (is it real?) http://isc.sans.org/diary.php?storyid=1828 'Stration' Worm Spawns Sneak Attacks http://www.techweb.com/showArticle.jhtml?articleID=193600350 iDefense Labs http://labs.idefense.com/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com