UNAM-CERT
Departamento de Seguridad en Cómputo
DGSCA-UNAM
nota de Seguridad UNAM-CERT 2004-007
Propagación Gusano SASSER
En las ultimas Horas UNAM-CERT ha recibido información
a través de
diversos foros y listas de discusión de los principales Equipos de
Respuesta a incidentes del Mundo acerca de la propagación de un nuevo
gusano que intenta explotar las vulnerabilidades descritas en el
Boletín de Seguridad de Microsoft MS04-011:
Actualización de Seguridad para Microsoft Windows (835732)
Fecha de Liberación: 10 de Diciembre de 2004
Ultima Revisión:
Fuente:
Sistemas Afectados
Microsoft Windows
2000
Microsoft Windows
XP
Microsoft Windows
2003
Descripción
De acuerdo con los últimos reportes de diversos Equipos
de Respuesta a Incidentes de Cómputo, el gusano Sasser
podría ser comparado con el gusano Blaster o Lovsan
aparecido en Agosto del año pasado.
El gusano Sasser al igual que el gusano Blaster es un
gusano de red que se propaga de forma automática afectando
sistemas Windows 2000, XP y 2003, escaneando direcciones
IP aleatorias y utilizando un FTP para transferir el
archivo del gusano al servidor infectado.
De forma similar, Sasser causa que las máquinas no
actualizadas se reinicien, apareciendo una pantalla
similar a la que aparecía con el gusano Blaster, solo
que ahora hace referencia al archivo de sistema
C:\WINNT\system32\lsass.exe.
Detalles Técnicos
Intenta crear un mutex llamado Jobaka3l y
termina si el intento falla. Esto asegura que exista
más de una instancia del gusano en ejecución en la
computadora.
Se copia a sí mismo como %Windir%\avserve.exe.
La variable %Windir% se refiere al directorio de
instalación predeterminado C:\Windows (Windows XP/2003)
o C:\Winnt (Windows 2000).
para que el gusano se ejecute cuando inicie Windows.
Utiliza el API AbortSystemShutdown para
intentar apagar o reiniciar los sistemas infectados.
Inicia un servidor FTP en el puerto 5554.
Este servidor es utilizado para propagar el gusano
a los servidores.
Intenta conectarse de forma aleatoria a direcciones
IP a través del puerto TCP 445. Cuando una conexión
es realizada a un equipo de cómputo,
el gusano envía el código de explotación para que
la computadora víctima pueda ejecutar un shell de
forma remoto a través del puerto TCP 9996.
Enseguida el gusano usa la conexión a través
del shell en la computadora víctima para
conectarse de a través del protocolo FTP
estableciendo una conexión a un servidor
FTP mediante del puerto 5554 y así obtener
la copia del gusano. Esta copia tendrá un
nombre que consiste de 4 o 5
dígitos seguido de la leyenda
by_up.exe(por ejemplo: 74353_up.exe).
Las direcciones IP generadas por el gusano son
distribuidas de la siguiente forma:
El 50% son completamente aleatorias.
El 25% tienen el primer octeto igual
a la dirección IP del servidor infectado.
El 25% tienen el primero y segundo octeto
igual a la dirección IP del servidor infectado.
El gusano inicia 128 subprocesos que escanean
direcciones escogidas de forma aleatoria.
Esto consume una gran cantidad de CPU y como resultado
una computadora infectada podría disminuir
su desempeño considerablemente.
Variantes
Sasser.B
Esta variante puede ejecutarse en computadoras
con windows 95/98/Me pero no infectarlas.
Aunque estos sistemas operativos no pueden ser
infectados, pueden ser utilizados para infectar
sistemas vulnerables.
El mutex que genera es llamado Jobaka3. El nombre
del archivo al que se copia es %Windir%\avserve2.exe.
Agrega el valor:
para que el gusano se ejecute cuando inicie Windows.
Sasser.C
Es una variante menor de Sasser.B. Esta variante en
particular genera 1024 subprocesos (threads) en la rutina de
infección, mientras que la variante B utiliza solo
128 subprocesos.
Sasser.D
Esta variante tiene actualizada la rutina para encontrar
computadoras vulnerables, envía un requerimiento de eco
ICMP antes de intentar hacer una conexión.
Este cambio puede prevenir que el gusano se ejecute
propiamente en algunos sistemas Windows.
En sistemas Windows 2000 el gusano terminará su rutina
antes de ejecutar cualquier código con el siguiente error:
The procedure entry point IcmpSendEcho could not be located in the dynamic link library iphlpapi.dll.
Intenta crear un mutex llamado SkynetSasserVersionWithPingFas.
El ejecutable es copiado como %Windir%\avserve2.exe.
Su rutina de búsqueda excluye las siguientes direcciones:
127.0.0.1
10.x.x.x
172.16.x.x - 172.31.x.x (inclusive)
192.168.x.x
169.254.x.x
Intenta conectarse de forma aleatoria a direcciones
IP a través del puerto TCP 445. Cuando una conexión
es realizada a un equipo de cómputo,
el gusano envía el código de explotación para que
la computadora víctima pueda ejecutar un shell de
forma remoto a través del puerto TCP 9995.
Soluciones
Aplicar una Actualización del Distribuidor
Se recomienda instalar la actualización de seguridad
que soluciona la vulnerabilidad que explota este gusano.
Ejecutar, administrar y actualizar un software antivirus
Aunque un paquete de software antivirus actualizado no
puede brindar protección contra todos los códigos maliciosos,
para la mayoría de los usuarios representa la primera
línea de defensa contra ataques de código malicioso.
La mayoría de los distribuidores antivirus liberan
frecuentemente información actualizada, herramientas,
o bases de datos de virus para ayudar a detectar
y recuperar un sistema que ha sido infectado mediante
un código malicioso, incluyendo Sasser.
De esta forma, es importante que los usuarios mantengan
su software antivirus actualizado.
Utilizar un Firewall Personal
El primer paso que se debe tomar para proteger
su computadora de posibles infecciones
es tener instalado y activado un firewall.
Si su computadora ya ha sido infectada, el
activar o instalar un firewall ayudará a
limitar los efectos del gusano en su computadora.
Si su computadora se reinicia constantemente,
desconécte la computadora del Internet antes
de activar o instalar un firewall.
Los sistemas operativos Windows XP y Windows 2003
ya cuentan con un Firewall incorporado
(Internet Connection Firewall) y puede
ser habilitado de forma sencilla.
Muchos firewall personales están
disponibles en versiones gratuitas o
de prueba.
Algunos distribuidores de firewalls personales
son los siguientes:
UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Departamento de Seguridad en Computo
E-Mail : seguridad@seguridad.unam.mx
http://www.unam-cert.unam.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel : 56 22 81 69
Fax : 56 22 80 43
Aviso legal | Criditos
