| Última actualització: 22/08/2004; 21:05:01 |
 |
 |
 |
Weblog d'en Xavi Caballé Pàgina personal de Xavier Caballé. "All my struggling in the world and so many dreams that don't come true" |
|
|
|||||
|
|||||
|
|
NetSky.D
AVÍS: cuc Netsky.D, amb una alta propagació durant les últimes horesVersió en català de l'original publicat per HispasecEn les últimes hores s'ha detectat l'aparició d'aquesta nova variant del cuc Netsky, que destaca pel gran nombre de missatges infectats que estan sent registrats des d'un primer moment. Segons indicadors en temps real de Hispasec, ha passat a ser el cuc amb major ratio de propagació a nivell internacional, inclòs l'estat espanyol entre altres molts països. Pot ser fàcilment detectable a primera vista, ja que es propaga a través d'un missatge amb un fitxer adjunt amb extensió .PIF d'uns 17,4KB. Estem vivint en els últims dies una autentica onada de noves versions de cucs. A les cinc noves variants de Bagle distribuïdes aquest cap de setmana, cal sumar-los avui dilluns l'aparició en autèntica tromba de la variant Netsky.D, que si s'ha de jutjar pels últims indicadors va camí de liderar en un temps rècord el TOP 10 del llistat de propagació de virus, ja que fins la data ocupava un dels seus predecessors, Netsky.B. Tot sembla indicar que l'onada no cessarà en les pròximes hores, en el moment d'escriure aquesta nota ja contem amb noves variants de Netsky, i en el laboratori de Hispasec acabem de detectar una nova versió de Bagle no reconeguda pels antivírics. Seguirem informant sobre aquests nous espècimens en el cas que detectem ratios importants en la seva propagació. Des d'Hispasec recomanem s'augmentin les precaucions amb els missatges de correu electrònic que incloguin fitxers adjunts, i es configurin les actualitzacions automàtiques dels programes antivírics perquè es realitzin en intervals de temps més curts (no n'hi ha prou amb actualitzar una vegada al dia). En relació a Netsky.D, l'amenaça més activa de moment, la reacció dels fabricants en proporcionar l'actualització de la signatura específica perquè els seus clients poguessin detectar-ho, segons el sistema de monitoratge 24hx7d del laboratori de Hispasec, va anar la següent:
Com en ocasions anteriors, els temps esmentats són l'hora oficial (GMT+1). Destaca que McAfee detectava a Netsky.D abans que aparegués, amb la mateixa signatura que va incloure el 25 de febrer per a detectar al seu predecessor Netsky.C. En segon lloc apareix Panda que ha estat el primer fabricant en incloure la signatura específica per a Netsky.D, mentre que NOD32 que apareix en tercer lloc a l'hora d'incloure la signatura, en realitat, reconeixia a aquest espècimen com sospitós també abans que aparegués, a través de la funció d'heurística avançada del monitor resident, que tenen els usuaris de la versió 2.0 del motor. En qualsevol cas podem observar la ràpida reacció de totes els fabricants d'antivírics, que en tot just unes poques hores han desenvolupat i distribuït les actualitzacions per a neutralitzar Netsky.D, una mostra més de la importància que ha arribat a la propagació d'aquest cuc.
Descripció de Netsky.DEl cuc ens arriba en un executable adjunt comprimit amb Petite i extensió .PIF d'uns 17KB (17,424 bytes), en un missatge de correu electrònic amb les següents característiques:
Quan s'executa el fitxer .PIF, el cuc inicia la infecció del sistema, copiant-se com WINLOGON.EXE a la carpeta de Windows. A continuació inclou la següent entrada en el registre de Windows per a assegurar-se la seva execució en cada inici de sistema: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun (No confondre amb l'executable legítim WINLOGON.EXE que pot trobar-se en la carpeta de sistema de Windows). El cuc inclou el seu propi motor SMTP per a enviar-se automàticament a d'altres adreces, que recopila del sistema infectat buscant en tots els fitxers amb extensió .adb, .asp, .cgi, .dbx, .dhtm, .doc, .eml, .htm, .oft, .php, .pl, .rtf, .sht, .shtm, .msg, .tbb, .txt, .uin, .vbs i .wab. Netsky.D evita enviar-se a les adreces recol·lectades que incloguin algunes de les següents cadenes: abuse, fbi, orton, f-pro, aspersky, cafee, orman, itdefender, f-secur, avp, skynet, spam, messagelabs, ymantec, antivi, icrosoft. Addicionalment, i com fes també el seu predecessor Netsky.C, esborra diverses entrades del registre, de forma que desactiva algunes aplicacions de seguretat i altres cucs en el cas que es trobessin instal·lats en el sistema. També inclou un efecte basat a emetre sons amb tons semialeatoris a través de l'altaveu del PC infectat. Más informació i exemples sobre aquestes característiques es troben explicades en la descripció que vam oferir sobre Netsky.C Més informacióWin32.Netsky.D@mm Win32.Netsky.D NetSky.D Win32/Netsky.D I-Worm.Netsky.d W32/Netsky.d@MM W32/Netsky.D@mm Nestky.D W32/Netsky-D W32.Netsky.D@mm W32/Netsky.d@MM WORM_NETSKY.D |
