Crónica de un gusano anunciado
Se veía venir. La aparición de un nuevo gusano que aprovechara alguna de las últimas vulnerabilidades corregidas por los parches de agosto de Microsoft era cuestión de días.
En menos de 24 horas, tras la publicación de los parches, se hicieron públicas un par de pruebas de concepto para explotar las vulnerabilidades correspondientes a las actualizaciones MS05-038 y MS05-041. Apenas dos dias después se completó con nuevas PoC, incluyendo la que corresponde a la actualización MS05-039 que ha sido aprovechada por el gusano. Y al quinto día apareció "Zotob".
Listado de exploits: 2005-08-09 : Microsoft Windows Remote Desktop Protocol DoS Exploit (MS05-041) 2005-08-09 : Microsoft Internet Explorer COM Objects Instantiation Exploit (MS05-038) 2005-08-11 : Microsoft Internet Explorer COM Objects File Download Exploit (MS05-038) 2005-08-11 : Microsoft Windows 2000 Plug and Play Universal Remote Exploit (MS05-039) Y el que utiliza "Zotob": 2005-08-11 : Microsoft Windows Plug and Play Remote Buffer Overflow Exploit (MS05-039)
En cuanto a "Zotob", intenta explotar la vulnerabilidad a través del puerto TCP/445. Cuando encuentra un sistema Windows 2000 vulnerable, que no tuviera instalada la actualización MS05-039, abre un shell en el puerto TCP/8888 desde donde descarga por FTP el ejecutable del gusano hospedado en el sistema previamente infectado desde el que provenía el ataque.
La respuesta de los antivirus ha sido rápida, en el caso de BitDefender, NOD32 y McAfee ya lograban detectarlo antes de su aparición, el resto de antivirus han ido incluyendo firmas específicas durante el domingo.
Tirón de orejas a Avast, Ikarus, TheHacker, TrendMicro y VBA32, que aun no lo detectaban en la madrugada del lunes.
|
Hola.
Enhorabuena, una vez más demostrais un saber hacer impresionante.
El email de una-al-día es perfecto para recordarme cada mañana que nada es perfecto, y los guardo para cuando necesito confirmar información.
Ahora además puedo recomendarle este blog a gente que jamás leería vuestra web porque parece "demasiado profesional"
Este blog se lee fácil, el aspecto despejado ayudará a que la gente que no suele leer webs técnicas se entere de cosas que realmente son para preocuparse.
Y en cuanto a la tira de Dilbert, espero que pongais más. Le quita hierro al asunto.
De verdad, gracias. Espero que sirva para mentalizar a los que creen que los accidentes les ocurren a los demás.
Antoni.
¡Gracias, Antoni, por tus comentarios!
Respecto a los rezagados, que aun no detectaban a Zotob en el momento del post, tenemos novedades.
TrendMicro lo detecta desde las 04:57 de la madrugada del lunes como WORM_ZOTOB.A
Seguiremos informando sobre el resto de rezagados.
Avast desde las 12:54 lo detecta como Win32:Zotob
VBA32 desde las 13:37 lo detecta como Net-Worm.Win32.Mytob.cd
TheHacker desde las 20:26 lo detecta como W32/Zotob.worm.gen
Sólo queda sin detectarlo el motor de Ikarus.
con el servipack 2 (sp2 de microsoft) essuficiente para que el sasser y el virus blaster no te infecten? y el zotob con el panda titanium vale para detectarlo?
es que no encuentro los dichosos parches de microsoft....
gracias, agradeceria una contestacion
miguel.
Miguel, aunque tengas un antivirus, siempre es recomendable que actualices el sistema operativo, especialmente los parches de seguridad.
El boletín relativo a la vulnerabilidad que explota Zotob lo tienes en la dirección http://www.microsoft.com/spain/technet/seguridad/boletines/MS05-039-IT.mspx
Ahí puedes encontrar los enlaces a los diferentes parches dependiendo de tu versión de Windows.
por favor podrian decirme si el servipak 2 se actualiza y como hacerlo gracias
alguno que haya sido infectado con el virus o lo tenga porfa me lo facilita es que lo necesito para realizar un antivirus respectivo oks. muchas gracias este es mi mail killerd544@hackmexico.net
afecta a Microsoft Windows XP Service Pack 3 ???
Por favor envía los trackbacks a: http://blog.hispasec.nospam/laboratorio/22/tbZ3ping
Reemplazando "nospam" por "com"
Gusano "Zotob"
El gusano es capaz de infectar automáticamente los sistemasWindows 2000 que no hayan instalado la actualización MS05-0039,disponible desde el pasado martes. Desde Hispasec aconsejamos a todoslos usuarios mantengan sus sistemas puntualmente actualiza
Boletín 00023 - 16/08/2005
1.- Manipulación local de permisos de archivos con unzip 5.52
2.- Actualización del kernel de SuSE Linux...
Zotob. O la enésima manera de explotar Microsoft Windows
Lo de siempre. Imaginemos una fórmula donde A sea la complejidad de elaboración un exploit, B es la inmediatez para disponer de una solución al exploit, y C sea la capacidad del usuario de obtener un conocimiento rápido del problema y alcance del mism...