Cuidado con San Valentín

PandaLabs, el laboratorio de detección y análisis de malware de Panda Security, ha detectado dos nuevos gusanos, Nuwar.OL y Valentin.E, que están empleando temas relacionados con San Valentín para propagarse.

"Todos los años asistimos a la aparición de diversos ejemplares de malware que emplean la cercanía de San Valentín como cebo para atraer a los usuarios", explica Luis Corrons, Director Técnico de PandaLabs, que añade: "el hecho de que insistan año tras año demuestra que los ciber-delincuentes obtienen un beneficio de este tipo de cebo y que mucha gente sigue cayendo en la trampa".

El primero de estos gusanos, Nuwar.OL, llega a través de correo electrónico con asuntos como "I Love You Soo Much", "Inside My Heart" o" You… In My Dreams", entre otros. El texto del correo incluye un link a un sitio web desde el que se producirá la descarga del código malicioso. Esa página es muy sencilla y presenta la forma de una postal romántica, con una gran imagen de un corazón rosa.

Una vez ha infectado un equipo, este gusano comenzará a enviar gran cantidad de correos electrónicos como los ya vistos a otros contactos del usuario, con la intención de propagarse. Esto, además, provoca un gran tráfico de red y la consecuente ralentización del equipo.

Muy similar es el caso de Valentin.E. Al igual que el gusano de la familia Nuwar, este ejemplar se propaga por correo electrónico con asuntos como "Searching for true Love" o "True Love". Los correos llevan adjunto un archivo con el nombre "friends4u". Si el usuario abre ese archivo, se estará descargando una copia del gusano.

Una vez en el equipo, el código malicioso aparece como un archivo .scr. Si el usuario lo ejecuta, Valentin.E, con el fin de engañarlo, mostrará un nuevo fondo de pantalla al usuario, pero, a la vez, estará realizando varias copias de sí mismo en el equipo.

Desde el equipo infectado, el gusano comenzará a enviar mails que contengan copias de sí mismo, para propagarse e intentar infecta a más usuarios.

"Ambos casos son ejemplos claros de técnicas de ingeniería social para distribuir malware. Se emplean asuntos atractivos –supuestas tarjetas de San Valentín, fondos de pantalla románticos, etc.- para incitar a los usuarios a ejecutar el archivo o seguir el link que conducen a la descarga del malware en el ordenador", afirma Luis corrons.

En años anteriores, PandaLabs ya localizó varios ejemplares de malware que empleaban San Valentín como gancho para distribuirse e infectar a más usuarios. Así, ejemplares como Nuwar.D o las variantes A y B de Nurech se propagaban mediante correos electrónicos con temática amorosa y asuntos como: "You and I Forever ","A Valentine Love Song" o "For My Valentine". En el caso de Nurech.B el código malicioso se ocultaba en un archivo adjunto con nombres como "FLASH POSTCARD.EXE" o "GREETING CARD.EXE".

Nota de prensa remitida por Panda Security

---

Informe de virus

PandaLabs, el laboratorio de detección y análisis de malware de Panda Security, ha detectado la aparición de troyanos que incluyen rootkits (MBRtool.A, MBRtool.B, MBRtool.C, etc.) diseñados para suplantar el master boot record (MBR), el primer sector o sector cero del disco duro, por uno propio. Esto supone una auténtica novedad en la utilización de rootkits, ya que hacen aún más difícil la detección de los códigos maliciosos a los que van asociados.

“Este sistema de ataque hace que sea prácticamente imposible detectar el rootkit y los códigos maliciosos a los que oculta una vez que se han instalado en el equipo, utilizando soluciones de seguridad tradicionales”, afirma Luis Corrons, Director Técnico de PandaLabs, que añade: “la única defensa sería detectar la presencia de estos rootkits antes de que entren en el ordenador. Además, y en previsión de códigos maliciosos desconocidos similares que puedan aparecer, es necesario utilizar tecnologías proactivas capaces de detectar amenazas sin necesidad de conocerlas con anterioridad”.

El propósito de los rootkits en el campo de la ciber-delincuencia es ocultar la acción de los ejemplares de malware, dificultando así su detección. Hasta ahora, los rootkits se instalaban dentro de algún proceso del sistema, pero los nuevos ejemplares que PandaLabs ha localizado se instalan en una parte del disco duro que se activa antes que el propio sistema operativo.

Cuando uno de estos nuevos rootkits es ejecutado en un sistema, realiza una copia del MBR existente, al tiempo que modifica el original con instrucciones maliciosas. Con ello consigue que si se intenta acceder al MBR, en lugar de al falso, el rootkit lo redirigirá al verdadero, evitando que el usuario o las aplicaciones vean algo sospechoso.

Debido a estas modificaciones, cuando el usuario encienda el ordenador, se cargará el MBR modificado, antes de cargar el sistema operativo. En ese momento, el rootkit ejecutará el resto de su código con lo que conseguirá quedar totalmente oculto tanto él como los códigos maliciosos asociados al mismo.

Hasta ahora, los rootkits enmascaraban extensiones o procesos, pero estos nuevos ejemplares pueden engañar directamente al sistema. Su emplazamiento provoca que el usuario no observe ninguna anomalía en ningún proceso del sistema, puesto que el rootkit cargado en memoria estará vigilando todos los accesos al disco, para hacer invisible al sistema cualquier tipo de malware al que vaya sido asociado.

Los usuarios deben extremar las precauciones ante este nuevo tipo de amenaza. Por ello, es conveniente que no ejecuten ningún archivo de procedencia desconocida que les llegue por correo electrónico, mensajería instantánea u otros medios.

Para eliminar el código malicioso, el usuario que ya haya sido infectado deberá arrancar el ordenador con un CD de arranque para así no ejecutar el MBR. A continuación, deberá restaurar éste con utilidades como fixmbr de la consola de recuperación de Windows, cuando la infección se produce con este sistema operativo instalado.

“Estos rootkits también podrían utilizarse para afectar a otras plataformas como Linux, ya que se ejecutan antes que el MBR, por lo que su acción es independiente del sistema operativo que tenga instalado el usuario”, concluye Luis Corrons.

Nota de prensa elaborada por Panda Security.

Fluc, rentabiliza tu movil

Novedad de la Red, una empresa australiana Fluc, ofrece ingresos gracias a anuncios que recibas en tu móvil. Así de sencillo. Y de complicado a la vez. Utiliza una técnica parecida a la de Google: solo recibes anuncios de tu preferencia (si vas por la calle y te acercas a una tienda de algo que has declarado que te interesa, gusta... te manda un mensajito para que conozcas la ubicación del negocio o comercio en cuestión). Y es también aquí, donde creo que esta lo peligroso (el diablo está en los detalle, que dirían los ingleses). Debes declarar que gustos, aficiones, intereses... tienes; además realizarán un seguimiento de por donde te mueves para poder enviarte mensajes. Y todo esto si me parece bastante jodido. Es demasiada información en manos de otro como para confiar de entrada. Yo dejaré que pase tiempo para saber como va la cosa, pero no me hace gracia de entrada.
De todas formas es de agradecer el esfuerzo que parece que hacen respecto de la privacidad. En su declaración dicen que son más paranoicos que nosotros con el respeto a nuestra privacidad. De entrada está bien que se lo tomen así, pero de momento solo es una declaración de intenciones. Ya que, ¿qué hacen con los perfiles de los que se registren en el servicio? Obviamente, debe haber algún tipo de cesión a los anunciantes, y esto es algo que no podemos controlar de entrada. Además no se si la legislación australiana de protección de datos se parece a la española, donde podemos tener más control sobre nuestras informaciones.
No se, estas cosas de entrada siempre me parecen buenas, pero... mira tu que el Gran Hermano y existe...

Utilidades en la Red

Leyendo la revista Innovatia, que publica IDE-CESEM para sus alumnos, he descubierto tres páginas muy curiosas: MediaFire, MierdaMail y Zamzar.
La primera es un sistema de almacenamiento, vamos un disco duro online, gratuito y sin límite de almacenamiento y sin publicidad. Todo un chollo. Aún no lo he probado, pero de entrada la cosa promete.
La segunda, MierdaMail, es un servicio de cuentas de correo electrónico que te permite crear una cuenta en 1 segundo (real) y tiene una duración de 15 minutos, ideal para cuando necesitas una cuenta para registrarte y probar algún servicio pero no sabes o no quieres que te inunden de spam.
La última, Zamzar, te permite convertir archivos (de hasta 100 MB) a multitud de formatos determinados, que, pasadas 24 horas, te envian a tu mail.
Tres páginas de lo más útiles. No las pienso olvidar.

Informe semanal sobre virus

Según Infected or Not, el 14% de los ordenadores analizados tenían malware activo, es decir, amenazas que en el momento del análisis estaban llevando a cabo acciones maliciosas.

Por su parte, el 25% del total de ordenadores analizados tenía malware latente, o lo que es lo mismo, amenazas que, simplemente, se encuentran en el sistema sin llevar a cabo acciones maliciosas.

Del total de ordenadores analizados, el 72% contaba con algún tipo de protección antivirus instalada. Sin embargo, esto no supone una garantía de protección total, ya que casi el 30% de los ordenadores protegidos se encontraban infectados con malware.

“Las protecciones antivirus tradicionales, que funcionan en base a un fichero de firmas, ya no son suficientes. Es necesario complementarlas tanto con tecnologías proactivas capaces de detectar amenazas analizando su comportamiento, como con auditorías periódicas con herramientas capaces de detectar mucho más malware”, afirma Luis Corrons, director técnico de PandaLabs, que añade: “Ejemplos de este tipo de herramientas son NanoScan y TotalScan que funcionan en base a un modelo de inteligencia colectiva. Así, este sistema no se ciñe a consultar un único archivo de firmas, sino que utiliza una enorme base de conocimiento acumulado en los servidores de Panda, lo que les permite detectar muchas más amenazas”.

En lo referente a los códigos maliciosos que han aparecido recientemente, PandaLabs destaca a los troyanos Astry.A y EbodaR.A.

Astry.A impide al usuario modificar la configuración de las carpetas del Explorador de Windows a través de las Opciones de Carpeta. Además, muestra varios mensajes, uno de ellos al iniciar sesión y el otro a ciertas horas programadas por el troyano.

Además, Astry.A modifica la información de la pestaña Ver en las Opciones de carpeta del Explorador de Windows.

Por su parte, EbodaR.A es un troyano que se instala en el ordenador aprovechando una vulnerabilidad presente en algunas versiones de la aplicación Acrobat Reader. Además, es necesario que en el sistema se encuentre instalado el navegador Internet Explorer 7.

Para aprovechar dicho problema de seguridad, los atacantes envían archivos maliciosos en formato .PDF, adjuntos a mensajes de correo electrónico. Estos archivos contienen el código necesario para aprovechar la mencionada vulnerabilidad. En caso de que el usuario ejecute dicho archivo, se ejecutará un comando de Windows Xp que deshabilita el firewall del sistema. Además, se descargará y ejecutará al troyano en el ordenador desde cierta dirección de Internet.

Una vez instalado, EbodaR.A podrá descargar otros códigos maliciosos en el ordenador infectado.

Más información en Panda.

Informe semanal sobre virus

Según datos recogidos durante la última semana en la web Infected or Not por las soluciones online NanoScan y TotalScan, el 30% de los ordenadores analizados que estaban protegidos con alguna solución de seguridad, contenían malware. En el caso de ordenadores sin ningún tipo de protección, la cifra se dispara hasta el 44%.

En lo referente a los códigos maliciosos que han aparecido esta semana, PandaLabs destaca a los gusanos Bindo.A y Nuwar.HU.

Bindo.A es un gusano cuyo objetivo principal es propagarse y afectar al mayor número de ordenadores posible. Para ello, realiza copias de sí mismo con nombre como autoply.exe o MSshare.exe en las carpetas compartidas de programas P2P que el usuario tenga instalados.

Además de lo anterior crea un archivo AUTORUN.INF en todas las unidades en las que se copia, para así ejecutarse cada vez que se acceda a alguna de ellas.

La presencia de este gusano en el equipo es fácil de reconocer, ya que aumenta el número de ficheros compartidos en las carpetas compartidas de P2P que el usuario tenga en su equipo.

Además Bindo.A, modifica ciertos accesos directos del escritorio para que tengan dos direcciones de ejecución; la original del acceso y una nueva para ejecutarse al lanzar el programa original.

Por su parte, Nuwar.HU es una nueva variante del conocido gusano “Storm Worm” que aprovecha la fiesta de Hallowen para propagarse. Finaliza procesos de diversas herramientas de seguridad que puedan estar instaladas en el ordenador.

Además, suelta un rootkit en el sistema, llamado noskrnl.sys, y lo establece como servicio con el fin de que se ejecute automáticamente al iniciar sesión en el equipo.

Para propagarse, Nuwar.HU utiliza mensajes de correo electrónico con asuntos como “Have a Happy Halloween everyone” o “Party on this Halloween”, entre otros muchos. Dichos mensajes incluyen links a ciertas páginas de Internet que, al ser visitadas, muestran una animación de un “esqueleto danzante”. En caso de que el usuario descargue y ejecute el archivo con una supuesta animación que se ofrece en dicha web, el equipo se infectará con el gusano, convirtiéndose en un zombi al servicio de un usuario malicioso.

Informe de virus y otras amenazas

Siguiendo los informes de Infected o not y PandaLabs, las principales amenazas surgidas esta semana son UzaScreener.A, Winko.G y Destructor.A.

UzaScreener.A llega al equipo con la apariencia de una carpeta de Windows llamada My_Personal_Data. Si el usuario intenta abrirla, realmente estará ejecutando el gusano.
Éste código malicioso está diseñado para reiniciar el ordenador cada vez que se ejecuta. Cuando el equipo ha sido reiniciado diez veces, cambia el fondo de pantalla del equipo por uno nuevo en el que puede leerse: “U.Z.A. Operating system”. También modifica la imagen que se muestra al encender el ordenador y realiza otras acciones maliciosas como deshabilitar el administrador de tareas.
Como dato curioso, UzaScreener.A presenta el siguiente mensaje en su código: “U.Z.A O/S is a virus made by ANJ which is dedicated to his very sweet and lovely wife, AAZ...With lots of love.” (U.Z.A. O/S es un virus creado por ANJ que está dedicado a su dulce y querida esposa, AAZ…Con mucho amor).

El gusano Winko.G se propaga creando copias de sí mismo en todas las unidades disponibles que haya en el sistema, incluyendo los dispositivos extraíbles. Además, crea un archivo AUTORUN.INF, para ejecutarse cada vez que se acceda a alguna de estas unidades.
Este gusano descarga malware de las familias de troyanos Lineage y Gamania, diseñados para robar contraseñas de juegos online, desde distintas direcciones web. Además, crea varias entradas nuevas en el Registro de Windows y elimina las pertenecientes al servicio de informe de errores que se encarga de mostrar los mensajes de error del sistema.

Destructor.A, por su parte, está diseñado para copiarse en todas las unidades del equipo que infecte, de tal modo que, cuando el usuario acceda a alguna de ellas, este gusano se ejecute. Este código malicioso ejecuta varios procesos a la vez, lo que provoca que el sistema sea más lento. Además, modifica el fondo de pantalla cambiándolo por uno propio en el que puede leerse la palabra: “Destructor”.
Este gusano crea varias entradas en el registro de Windows que le sirven, entre otras acciones maliciosas, para ejecutarse con cada reinicio del sistema o cambiar la página de Inicio de Internet Explorer.

Además, se han observado los primeros casos de spam en formato mp3

Informe de virus y otras amenazas

El 25,93% de los ordenadores analizados por la soluciones antivirus online NanoScan y TotalScan -que se encuentran disponibles en la en la web Infected or Not, estaban infectados por algún tipo de malware activo. Esto implica no solamente que el ordenador contenía alguna amenaza, sino que, además, ésta se encontraba realizando acciones maliciosas en el momento del análisis.
Por su parte, con relación al total de equipos analizados, el 33,79% de ellos estaban infectados pese a tener alguna solución antivirus instalada. La cifra se elevó hasta el 43,17% en el caso de máquinas que no contaban con protección.

Por su parte, el ranking de malware más frecuentemente detectado por TotalScan durante la semana, está encabezado por la aplicación potencialmente no deseada (PUP) MyWebSearch, el adware Zango y el troyano Downloader.MDW.

Top 10 TotalScan
Puesto	Nombre
1	Application/MyWebSearch
2	Adware/Zango
3	Trj/Downloader.MDW
4	Adware/SaveNow
5	Adware/NaviPromo
6	Application/FunWeb
7	Adware/OneStep
8	Adware/Lop
9	Spyware/Virtumonde
10	Adware/Gator

En lo referente a las nuevas amenazas aparecidas durante la semana, PandaLabs destaca al troyano Nautunit.A y al gusano/virus DarkAngel.C.

Nautunit.A es un troyano que llega al equipo utilizando un icono que simula ser el archivo de la aplicación ACDSee. En caso de que el usuario ejecute el archivo, el sistema muestra el mensaje de error, afirmando que el formato del fichero no se reconoce mientras el troyano se instala en el sistema.

Así, hace varías copias de sí mismo en diferentes ubicaciones del ordenador, en archivos con nombres como My Music.exe o 3D Screen Saver.scr. Además, crea diversas entradas en el registro de Windows que, entre otras acciones, deshabilitan el editor del registro de Windows y ocultan la opción de búsqueda del menú Inicio. Asimismo, realiza los cambios necesarios para que, al inicializar aplicaciones como Msconfig,exe, Regedit.exe o Rstrui.exe, el que se ejecute en realidad sea el propio troyano.

Nautunit.A reinicia el ordenador cada vez que el usuario ejecuta determinadas aplicaciones, relacionadas sobre todo con utilidades de seguridad del sistema.

Por su parte, el gusano/virus DarkAngel.A llega al equipo utilizando el icono típico de los archivos de la aplicación Microsoft Word. En caso de ser ejecutado, no se muestra ningún síntoma aparente de que el equipo esté siendo infectado. Sin embargo, en ese momento, DarkAngel.A crea varías copias de sí mismo en el ordenador, así como un archivo llamado autorun.inf con el fin de ejecutarse cada vez que el usuario acceda a la unidad C:

También genera diversas entradas en el registro de Windows que le permiten, entre otras acciones, ejecutarse automáticamente cada vez que se reinicia el ordenador, o modificar el icono que usan por defecto los archivos con extensión .scr.

DarkAngel.A también desactiva un gran número de procesos en memoria relacionados principalmente con aplicaciones de seguridad.

Más información

Informe Semanal de Virus

Según datos recogidos por Infected or not durante la última semana, el 33,23% de los usuarios que tienen instalada alguna solución de seguridad están infectados. En los usuarios desprotegidos, la cifra de infectados ha sido de un 46,16%.

Las amenazas mas detectadas los últimos siete días son:
1 Adware/Gator
2 Application/Altnet
3 Adware/SaveNow
4 Adware/Cydoor
5 Adware/Exact.BargainBuddy
6 Spyware/MarketScore
7 Adware/Lop
8 Exploit/iFrame
9 Adware/nCase
10 Adware/Aureate-Radiate

También se han detectado los siguientes códigos maliciosos:

Nabload.CHW se distribuye en correos que dicen provenir del servicio de soporte de Gmail (ver foto). El texto del mail, escrito en portugués, insta al usuario a descargarse una nueva herramienta antivirus sin la cual, supuestamente, no podrá hacer uso de su cuenta de correo electrónico. Cuando el usuario pincha sobre el link de la descarga, lo que realmente hace es introducir una copia de este troyano en su ordenador.
Está diseñado para descargar en el ordenador infectado un troyano bancario. Éste manda un mail a la cuenta de correo de su creador indicado el nombre de la máquina que ha infectado. Además, controla la navegación del usuario de modo que, cuando éste se conecta a ciertas páginas de banca online, le roba sus claves bancarias. Una vez recopilados los datos, los envía por correo al creador.

El troyano Maran.DJ añade varias claves al registro de Windows. De este modo consigue ejecutarse con cada inicio del sistema y modificar las capas de LSP (Layered Service Provider o proveedor de servicio por capas, un controlador del sistema relacionado con los servicios de red) para monitorizar el tráfico de datos de Internet. A continuación, emplea esos cambios para robar información del usuario y del equipo infectado, siendo capaz de leer contraseñas, nombres de usuario y cualquier otro tipo de información confidencial que la víctima introduzca a través del teclado en páginas web o documentos.

El gusano Ganensar.A, por su parte, llega al equipo con el icono de un archivo de Windows Media. Realiza varias copias de sí mismo en el sistema en el que, además, descarga varios ficheros maliciosos. Este gusano realiza varias modificaciones en el registro de Windows para poder ejecutarse con cada inicio de sesión. Además crea otras entradas destinadas, entre otras acciones maliciosas, a deshabilitar el administrador de tareas y el editor de registro. Asimismo, en la ventana de propiedades del sistema introduce una imagen y un texto que indican que el ordenador ha sido infectado.
Además, impide la ejecución de aquellos programas cuyos nombres de ventana contengan determinadas palabras. También deshabilita la protección de ficheros de Windows, sustituyendo determinados archivos por copias del bloc de notas manteniendo el nombre del original. De esta manera, cuando se intente ejecutar alguno de esos ficheros, se abrirá el bloc de notas. Por último, cuando se pulsa la tecla intro, aparece una ventana mostrando un mensaje del autor del gusano.

Mimbot.A esta diseñado para cerrar las ventanas de la aplicación MSN Messenger que se encuentren abiertas, al tiempo que envía mensajes para que los contactos que se encuentren almacenados acepten un fichero infectado con una copia del propio gusano. Para crear los mensajes emplea una gran cantidad de frases en distintos idiomas como, por ejemplo: “Debo utilizar este cuadro en msn?”; “Was denken Sie an diese?“; “que pensez-vous” o “check it out, i shaved my head :|.”

Aviso de Seguridad de Panda Security

Desde Panda nos informan/avisan de que en el mes de septiembre los troyanos han trabajado bastante y una cuarta parte de los ordenadores están afectados... Ya sabéis a Mac.
Este es el contenido completo del aviso:

"Los troyanos han sido de nuevo los códigos maliciosos más activos durante el mes de septiembre, según los datos de la solución antivirus online Panda ActiveScan. Concretamente, han sido detectados en el 25,94% de los ordenadores infectados.

A poca distancia se encuentra el adware, -software diseñado para mostrar publicidad periódicamente-. Según ActiveScan, estaba presente en el 23,39% de los ordenadores infectados con algún tipo de malware.

El tercer tipo de código malicioso más activo durante septiembre han sido los gusanos informáticos, que han alcanzado el 8,39%. Le siguen los backdoors (3,77%) -códigos maliciosos que permiten accesos no autorizados a los ordenador- y el spyware o software espía (3,2%).

Otras amenazas que causaron problemas durante el pasado mes fueron los dialers (3,02) y los bots (2,48%).

Por su parte, el troyano Downloader.MDW ha sido, por cuarto mes consecutivo, el más detectado en septiembre por la solución antivirus online Panda ActiveScan. La segunda y tercera plaza están ocupadas por dos ejemplares de nueva aparición: el backdoor W32/IRCbot.BEP.worm y el troyano Downloader.OZB.

En cuarta y quinta posición del ranking figuran, respectivamente, ZLFake.A.drp y el troyano Lineage.BZE. Ambos ya se encontraban presentes en el Top Ten del mes anterior, si bien han descendido puestos en la clasificación.

La sexta plaza ha sido para el también troyano Downloader.PYI. Por su parte, en octavo y noveno lugar se sitúan los dos únicos gusanos del ranking: Puce.E y Brontok.H.

Las últimas posiciones han sido para ZlFake.A y Downloader.PCQ.2

Política 2.0

Descubro a través de El Mundo, un breve pero buen trabajo que ha realizado Daniel Primo sobre los blogs y demás páginas personales que diversos políticos abrieron, comenzaron o como mejor se diga con motivo de las pasadas Elecciones Autonómicas y Municipales.
Como era fácilmente imaginable, la mayoria o no están actualizados o ya ni están disponibles. Esto es solo otro ejemplo más de que quienes se decican de forma profesional (no tienen por que ser buenos profesionales, solo vivir de ello) a la política solo se preocupan de algo cuando llegan las elecciones. No descubro ni aproto nada nuevo, ya lo sé, pero esto no es más que una nueva constatación de lo imbéciles que nos creen quienes nos gobiernan, o de lo vagos que son, o de que no renovaron el contrato de quién les mantenía el blog... o quien sabe.
En cualquier caso, agradecer a Daniel Primo que se haya dedicado un rato al menos a comprobarlo.
NOTA: en vez de titular esta entrada "Política 2.0", quizá hubiera sido mejor "Políticos ni 0,2" (-> nueva etiqueta...)

Informe de virus

Son muy curiosos, y muy cabrones, los nuevos virus de los que hoy informa Panda: Voter.A, MSNSend.A y Sohanat.DB.

Voter.A es un curioso gusano con fines electorales, ya que está diseñado para mostrar una imagen con propaganda de uno de los candidatos a la presidencia de Kenya cada vez que se ejecuta, acción que realiza cada nueve segundos.

Este gusano modifica el registro para ejecutarse también con cada reinicio del sistema. Para propagarse, este gusano crea copias en las unidades estraíbles (usb, disco portatil, etc..) con los nombres: smss.exe, Raila Odinga.exe y autorun.exe. Además, crea un archivo autorun.inf para ejecutarse cada vez que el ordenador detecte una unidad extraíble.

MSNSend.A es un gusano que se propaga a través de mensajería instantánea. Para lograrlo, envía un mensaje aleatorio a los contactos del usuario infectado que estén conectados cuando se ejecuta. Algunos ejemplos son: “Here are my private pictures for you” o “voy a poner esa foto de nosotros en mi blog ya”. El mensaje adjunta un archivo .zip que contiene una copia del gusano. Si el usuario la abre, quedará infectado.

Este código malicioso intenta conectarse con una determinada página web para enviar a su creador información confidencial sobre el equipo infectado, como su dirección MAC (Media Access Control), un identificador que se corresponde de forma única con una tarjeta o interfaz de red. Además, crea una entrada en el registro de Windows para ejecutarse con cada reinicio del sistema.

Sohanat.DB es un gusano que llega al ordenador con el icono de un archivo de texto. Está diseñado para modificar el archivo host del usuario, de modo que no pueda acceder a distintas páginas, la mayoría de ellas de buscadores.

Además, este código malicioso se conecta a una dirección web para descargar en el sistema una variante de sí mismo.

Sohanat.DB realiza varias modificaciones en el registro mediante las cuales modifica la página de inicio, deshabilita el editor de registro y el administrador de tareas e impide el acceso a la opción ejecutar del menú Inicio, entre otras acciones maliciosas. Además, crea una entrada nueva en el registro de Windows que le permite ejecutarse con cada reinicio del sistema.

Informe semanal de viruses y otros problemillas con la informática

Después de mucho tiempo sin hacer mención a los informes de Panda Security en sus alertas semanales (tanto que la empresa ha cambiado de nombre y cerrado varios acuerdos importantes), retomamos este comentario regular, que yo considero realmente útil. Pero como no tengo muchas ganas de resumirlo, aquí lo tenéis entero:
"Los troyanos LunchLoad.A y FakeGoogleBar.M son los dos ejemplares de malware de nueva aparición destacados por PandaLabs en su informe semanal. Éste también recoge información sobre los cuatro nuevos parches de seguridad publicados por Microsoft.

LunchLoad.A llega al sistema con el nombre backup2_36. Una vez ejecutado, suelta varios ficheros en el sistema que contienen la información necesaria para que el malware pueda identificarse ante su creador cuando establezca conexión con él. Para poder llevar a cabo esa conexión, este troyano se conecta a un servidor desde el que recibirá las órdenes pertinentes como qué malware descargar, cuando ejecutarlo, etc. En él dejará constancia, además, la dirección MAC de cada uno de los ordenadores que hayan sido infectados.

FakeGoogleBar.M está diseñado para modificar la barra de herramientas de navegación original de Google. Si el usuario no tiene ésta instalada, el archivo creará varios ficheros para poder llevar a cabo sus acciones igualmente. Esas acciones maliciosas comenzarán por la modificación de varias entradas del registro de Windows para poder inyectar una librería .dll en el navegador, de modo que cada vez que el usuario lo abra, el troyano se ejecute.

Además, este troyano abrirá un puerto del ordenador e intentará establecer una conexión HTTP a través de la cual poder enviar información confidencial del usuario a su creador. Para poder hacerse con esos datos, FakeGoogleBar.M registra las palabras introducidas por el usuario en varios buscadores de Internet como Google o Yahoo. También copia todas las direcciones URL que contengan palabras clave como bank o .gov. Toda esa información robada es posteriormente enviada a al autor del malware mediante la conexión a una web específicamente diseñada.

Esta semana Microsoft ha publicado cuatro parches que resuelven otras tantas vulnerabilidades de sus productos. Una de ellas ha sido clasificada como crítica y afecta a Microsoft Agent. Dicha vulnerabilidad podría permitir a un atacante remoto la ejecución de código arbitrario en los ordenadores afectados.

El resto de las vulnerabilidades han sido clasificadas como importantes. La primera de ellas afecta a Visual Studio, la segunda a Windows Services para UNIX y la última a MSN Messenger y en Windows Live Messenger.

Puede obtener más información y descargar los correspondientes parches de seguridad en la siguiente dirección" Ya sabeis, los que usan Windows...

Informe semanal de viruses y otros problemillas de la informática

El pasado viernes, Panda Software hizo público su informe semanal sobre virus y amenazas informáticas varias. Como desde hace ya unos días nos hacemos eco de este tipo de noticias, ya que nos pasamos mucho tiempo en Internet, para poder hacerlo algo más seguros.
Al grano, en el informe de la semana pasada se nos informa de dos gusanos especialmente peligros: Dotex.A y SpreadBanker.A (del que ya hablamos hace uno días); y de una actualización de seguridad de Microsoft (seis parches en total) que corrige 15 vulnerabilidades (¡15, toma ya!).
Como nos informan desde Panda, cuando es ejecutado en un ordenador, Dotex.A se conecta a una página web desde la que descarga dos ejemplares de malware: el gusano QQPass.AFD y el troyano QQRob.OI que, a su vez, se conectarán a otra web y descargarán distintas variantes de la familia Lineage en el ordenador infectado.
Dotex.A se copia en varios directorios y en todas las unidades mapeadas del equipo, siempre como un archivo oculto. Este gusano elimina varias entradas del registro de Windows y crea y modifica otras. Una de esas modificaciones está destinada a impedir que se vean los archivos ocultos del sistema y, de esta manera, hacer que sus copias pasen desapercibidas.
Con respecto a la actualización de Microsoft (del segundo gusano, os remito a una entrada anterior), cuatro de estos parches están clasificados como “críticos”. De ellos, el primero resuelve un fallo de seguridad en Windows Schannel, mientras que el segundo es una actualización acumulativa que resuelve anteriores vulnerabilidades de Internet Explorer además de seis nuevas que pueden permitir la ejecución de código remoto en los ordenadores afectados.
El tercer parche clasificado como crítico también es una actualización acumulativa que resuelve vulnerabilidades conocidas de Outlook Express y Windows Mail y, además, soluciona cuatro fallos de seguridad nuevos en esos programas que pueden permitir a un atacante remoto controlar el ordenador afectado. El cuarto parche crítico resuelve una vulnerabilidad en la API Win32 que podría permitir la ejecución remota de código.
Del resto de parches, uno ha sido clasificado como “importante” y afecta a Microsoft Visio 2002 y 2003 y otro ha sido clasificado como “moderado” y resuelve una vulnerabilidad en Windows Vista que podría permitir que usuarios sin privilegios tuvieran acceso a datos almacenados por los usuarios locales.

Conferencia Mundial de Desarrolladores

Se celebra estos días la WWDC, la conferencia mundial de desarrolladores de Apple, donde presentarán las novedades de la marca (entre ellas la versión para Windows del navegador Safari, especificaciones del nuevo sistema operativo Leopard, el iPhone...). Pero no quería dedicar mucho tiempo a esto y si hacerme eco de dos cuestiones interesantes cuado menos.
La primera, es el artículo de La Gaceta de los Negocios sobre el tratamiento de datos personales durante las campañas electorales, es la segunda referencia al mismo tema que encuentro en menos de un mes (la otra fué en kriptólis, y ya la reflejé). No es que sea mucho, pero está bien que no perdamos de vista que la protección de datos personales es un derecho fundamental, según lo entiende el Tribunal Constitucional, y no hay despistarse.
El segundo, es que se ha descubierto un gusano, SpreadBanker.A, que opera desde videos de Youtube y copia la claves de banca electrónica y tiene capacida para autopropagarse por nuestra libreta de direcciones. Así que cuidadín con Youtube y actualizar los antivirus, yo os recomiento los de Panda Software (más que nada por que en el PC del curro funcionan muy bien). Os recomiendo que sigáis este enlace si queréis saber si este malware ha invadido (¡qué épico!) vuestro ordenador. Funciona de la siguiente manera, según nos cuentan desde Panda: "El gusano está formado por dos componentes. Cuando el usuario ejecuta el primero de ellos, éste se conecta a la página de YouTube y le muestra un vídeo. El problema está en que, a la vez, está descargando en el ordenador la segunda parte del gusano.
SpreadBanker.A está programado para robar las contraseñas introducidas en las páginas de varios bancos online. Además, también podría hacerse con las claves de varios juegos como Age Of Mythology, GTA, Unreal Tournament, WarCraft o Final Fantasy.
Además, realiza varias modificaciones en el registro de Windows y crea copias de sí mismo en varias carpetas pertenecientes a programas P2P (peer to peer). El gusano da a estas copias nombres atractivos como “sexogratis” o “crackwindowsvista” para atraer a los clientes de esas redes y poder propagarse.
Este gusano también modifica el fichero host para impedir el acceso del usuario a la web de varias compañías de seguridad." Yo, por lo que pueda pasar pasaré de los videos durante unos días, hasta que lo arreglen, vamos.
Si queréis más información sobre virus, podéis consultar la enciclopedia de Panda.

Para quienes realmente quieren avanzar

Siguiendo la linea de la última entrada, os vuelvo a recomendar que visitéis Applesfera, para que podáis conocer y comprobar las ventajas reales de tener un Mac frente a un PC (o frente a Microsoft), y no me refiero solo a las estéticas, que están fuera de toda duda. En fin probadlo vosotros también. Es de lo mejor podéis hacer. Y para que no os perdáis esta entrada cuando se cuelgue vuestro PC, pongo un link permanente. ¡Que majo soy!

Tened cuidado ahí fuera

Como nos pasamos el día en internet, bien trabajando o buscando información, jugando o simplemente dedicándonos a la interesantísima tarea de leer los blogs y páginas personales que encontramos por cualquier parte de la red, pues se me ha ocurrido que podría estar bien incluir noticias y referncias a recursos que nos garanticen una mayor seguridad y privacidad en nuestros paseos virtuales. En la medida de lo posible procuraré que sean recursos abiertos y gratuitos, pero no puedo prometerlo. En todo caso serán tremendamente útiles.
Y el primero, bueno (creo) y gratuito, es TOTALSCAN, desarrollado por Panda Software, que nos permite detectar hasta un millón de amenazas distintas para nuestros equipos (virus, spyware...)
Durante el fin de semana añadiré recuros para que podáis detectar, y en consecuencia sepáis cómo eliminar y lo hagáis las vulnerabilidades de vuestros equipos. Esto os pasa por usa PC's... y, como tengo un Mac... Pues me libro