UNAM-CERT

En las últimas horas el CERT/UNAM-CERT ha recibido reportes de diversos usuarios así como foros y listas de discusión acerca de un nueva variante del virus conocido como W32/Novarg o W32/MyDoom que se describe en la Nota de Seguridad

• Contiene su propio motor SMTP para construir mensajes de correo
• Contiene una rutina de propagación punto a punto.
• Contiene una carga maliciosa de Negación de Servicio
• Sobrescribe el archivo de servidores locales en la máquina víctima

El correo electrónico tiene las siguientes características:

De: Puede ser una dirección electrónica falsa o falsificada

Asunto:
(uno de los siguientes)

• Returned mail
• Deliver Error
• Status
• Server ReportInforme del Servidor
• Mail Transaction Failed
• Mail Delivery SystemServer Report
• hello
• hi

Mensaje:
(uno de los siguientes)

• sendmail daemon reported
• Error #804 occured during SMTP session. Partial message has been received.
• Mail transaction failed. Partial message is available.
• The message contains Unicode characters and has been sent as a binary attachment.
• The message contains MIME-encoded graphics and has been sent as a binary attachment.
• The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment .

Archivo Adjunto:
(uno de los siguientes)

• doc.bat
• document.zip
• message.zip
• readme.zip
• text.pif
• hello.cmd
• body.scr
• test.htm.pif
• data.txt.exe
• file.scr

Además:

El archivo adjunto puede que tenga dos sufijos. De ser así el primero, puede ser uno de los siguientes:

.txt

.htm

.doc

La terminación será cualquiera de las siguientes:

.pif

.scr

.exe

.cmd

.bat

.zip (En un archivo .zip se encontrará una copia del gusano el cual tendrá el mismo nombre que el archivo .zip. Por ejemplo readme.zip contendrá readme.pif)

En caso de que el gusano tenga extensión .exe o .scr, el archivo tendrá un icono parecido a un icono de un documento de texto de Windows En caso contrario, el icono corresponderá al tipo de archivo con el que se muestre.

Cuando este archivo es ejecutado:

1. Crea los siguientes archivos:
   
   • %System%\ctfmoni.dll. Actúa como un servidor proxy. Este DLL actúa como un servidor proxy. La puerta trasera también tiene la habilidad para descargar y ejecutar archivos. Hace uso de los puertos TCP 80, 1080, 3128, 8080 y 10080.
   • %Temp%\Message. Este archivo contiene letras y es mostrado utilizando el Bloc de Notas.
   • %System%\Explorer.exe
   
   
   IMPORTANTE:
   • Explorer.exe es un archivo real de Windows 95/98/Me, pero se encuentra en la carpeta %Windir% y no en la carpeta %System%. (En forma predeterminada es C:\Windows o C:\Winnt) No elimine el archivo legítimo que está en la carpeta %Windir%.
   • %System%\ es una variable. El gusano busca la carpeta System y se copia por si mismo en esa ubicación. En forma predeterminada es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
   • %Temp% es una variable. El gusano busca la carpeta de archivos temporales y se copia por si mismo en esa ubicación. En forma predeterminada es C:\Windows\TEMP (Windows 95/98/Me), o C:\WINNT\Temp (Windows NT/2000), o C:\Document and Settings\\Local Settings\Temp (Windows XP).
   
   
   
2. Termina el proceso taskmon.exe si se esta ejecutando.
   
   
3. Agrega el valor:
   
   "(Default)" = "%System%\ctfmon.dll"
   
   a la clave de registro:
   
   HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
   
   Para que Explorer.exe cargue Cftmon.dll.
   
   
4. Agrega el valor:
   
   "Explorer" = "%System%\Explorer.exe"
   
   a las llaves de registro:
   
   HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   
   Para que Explorer.exe se ejecute cuando inicie Windows.

El gusano sobrescribe el archivo host local para prevenir que las computadoras infectadas accedan a sitios especificos:

ad.doubleclick.net ad.fastclick.net ads.fastclick.net ar.atwola.com atdmt.com avp.ch avp.com avp.ru awaps.net banner.fastclick.net banners.fastclick.net ca.com click.atdmt.com clicks.atdmt.com dispatch.mcafee.com download.mcafee.com download.microsoft.com downloads.microsoft.com engine.awaps.net fastclick.net f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com liveupdate.symantec.com mast.mcafee.com mcafee.com media.fastclick.net msdn.microsoft.com my-etrust.com nai.com networkassociates.com office.microsoft.com

phx.corporate-ir.net secure.nai.com securityresponse.symantec.com service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com symantec.com update.symantec.com updates.symantec.com us.mcafee.com vil.nai.com viruslist.ru windowsupdate.microsoft.com www.avp.ch www.avp.com www.avp.ru www.awaps.net www.ca.com www.fastclick.net www.f-secure.com www.kaspersky.ru www.mcafee.com www.microsoft.com www.my-etrust.com www.nai.com www.networkassociates.com www.sophos.com www.symantec.com www.trendmicro.com www.viruslist.ru www3.ca.com

El virus se copia a sí mismo al directorio compartido KaZaa con los siguientes nombres de archivo:

• xsharez_scanner
• BlackIce_Firewall_Enterpriseactivation_crack
• zapSetup_95_693
• MS59-56_hotfix
• winamp0
• NessusScan_pro
• attackXP-6.71

con una de las siguientes extensiones de archivo:

• .pif
• .scr
• .bat
• .exe

El virus intenta realizar un ataque DoS contra www.microsoft.com y www.sco.com.

• Existe un 70% de probabilidad de que el gusano intente realizar el ataque DoS contra www.microsoft.com si la fecha de activación es el 3 de Febrero de 2004.
  
• Existe un 80% de probabilidad de que el gusano intente realizar el ataque DoS contra www.sco.com si la fecha de activación es el 1 de Febrero de 2004.

El DoS contra ambos sitios consiste en enviar requerimientos GET al dominio en cuestión utilizando una conexión directa al puerto 80. La fecha es tomada utilizando la hora del sistema local.

El virus abre una conexión en los siguientes puertos:

• 1080 (si falla continúa con los siguientes)
• 3128
• 80
• 8080
• 10080

Un firewall personal no protegerá necesariamente su sistema contra un virus distribuido por correo electrónico, pero un firewall personal correctamente configurado puede evitar que el virus descargue componentes o lance ataques adicionales contra otros sistemas. Desafortunadamente, una vez en un sistema, el virus puede ser capaz de inhabilitar un firewall, eliminando así la protección de su software.

Muchos firewall personales están disponibles en versiones gratuitas o de prueba.

Algunos distribuidores de firewalls personales son los siguientes:

• ZoneAlarm Pro (Zone Labs)
  
• Norton Personal Firewall (Symantec)
  
• McAffe Personal Firewall (McAffe)
  
• Tiny Personal Firewall (Tiny Software)
  
• Outpost Firewall (Agnitum)
  
• Kerio Personal Firewall (Kerio Technologies)
  
• BlackICE PC Protection (Internet Security Systems)

Ejecutar y Actualizar un Software Antivirus

Aunque la actualización de un producto antivirus no protege contra todos los códigos maliciosos, para la mayoría de los usuarios esto parece ser la primera línea de defensa contra ataques de código malicioso.

La mayoría de los distribuidores de software antivirus publican frecuentemente información actualizada, herramientas, o bases de datos del virus para ayudar a detectar y a recuperarse de código malicioso. Por lo tanto, es importante que los usuarios mantengan su software antivirus actualizado.

Algunos de los distribuidores antivirus en el mercado son:

• Symantec
  http://www.symantec.com/region/mx/
• Panda Software
  http://www.pandasoftware.es
• Bitdefender
  http://www.bitdefender-es.com
• Trend Micro
  http://www.trendmicro.com.mx
• Sophos
  http://esp.sophos.com
• RAV
  http://www.ravantivirus.com

Herramientas de limpieza automática:

Descargue y ejecute cualquiera de estas herramientas en su computadora, para una limpieza automática de la misma. Siga las instrucciones en pantalla.

• Symantec
  http://securityresponse.symantec.com/avcenter/venc/data/w32.novarg.a@mm.removal.tool.html
  
• Sophos
  http://www.us.sophos.com/support/disinfection/mydooma.html
  
• Panda Software
  http://www.pandasoftware.es/virus_info/enciclopedia/verFicha.aspx?idvirus=44140&lst=sol#TENGOPANDA
  
• F-secure
  http://www.f-secure.com/download-purchase/tools.shtml
  
• Trend Micro
  http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MIMAIL.R
• Vsantivirus
  http://www.vsantivirus.com/mydoom-a.htm
• bitdefender
  http://www.bitdefender-es.com/bd/site/virusinfo.php?menu_id=1&v_id=209#

• Andrade Guzmán Jesús Mauricio (mandrade@seguridad.unam.mx)
• Jesús Ramón Jiménez Rojas (jrojas@seguridad.unam.mx)
• Carlos Juárez Anguiano (cjuarez@seguridad.unam.mx)
• Omar Landa Alfán (olanda@seguridad.unam.mx)