W32.Blaster.Worm

Basados en el número de notificación recibidas de los usuarios y basados en la información de Symantec DeepSight Threat Management System, Symantec Security Response ha elevado la categoría de esta amenazade nivel 3 a nivel 4.

W32.Blaster.Worm es un gusano que explota la vulnerabilidad de DCOM RPC (llamada remota de procedimientos descrita en Microsoft Security Bulletin MS03-026, este recurso esté en inglés) utilizando el puerto 135 del protocolo TCP. Intentará descargar y ejecutar el archivo msblast.exe.

Los usuarios deben de bloquear el acceso al puerto 4444 TCP en la capa de firewall. Incluso deberán bloquear los siguientes puertos, si no utilizan las aplicaciones mencionadas.

• Puerto 135 TCP, "DCOM RPC"
• Puerto 69 UDP, "TFTP"

• Versión: 50811s
• Número de secuencia: 24254
• Versión extendida: 8/11/2003, rev. 19

También conocido como:	W32/Lovsan.worm [McAfee], Win32.Poza [CA], Lovsan [F-Secure], WORM_MSBLAST.A [Trend], W32/Blaster-A [Sophos], W32/Blaster [Panda]
Tipo:	Worm
Longitud de la infección:	6,176 bytes
Sistemas afectados:	Windows 2000, Windows XP
Sistemas no afectados:	Linux, Macintosh, OS/2, UNIX
Referencias CVE:	CAN-2003-0352

Definiciones de virus beta 11/08/2003 Definiciones de virus (Intelligent Updater) * 11/08/2003 Definiciones de virus (LiveUpdate™) ** 11/08/2003 * Las definiciones de virus de Intelligent Updater se publican a diario, pero precisan ser descargadas e instaladas manualmente. Haga clic aquí para realizar la descarga manualmente. ** Las definiciones de virus de LiveUpdate se publican, por lo general, todos los miércoles.Haga clic aquí si desea obtener más instrucciones sobre el funcionamiento de LiveUpdate.

Salvaje: Número de infecciones: Más de 1000 Número de sitios: Más de 10 Distribución geográfica: Alta Contención de peligrosidad: Moderado Eliminación: Fácil

Datos de la amenaza Salvaje: Alta Daño: Media Distribución: Alta

Daño

• Carga útil:
  • Desestabiliza el sistema: May cause machines to crash.
  • Pone en peligro la configuración de seguridad: Opens a hidden remote cmd.exe shell

Distribución

• Puertos: TCP 135, TCP 4444, UDP 69
• Objetivo de la infección: Machines with vulnerable DCOM RPC Services running

Cuando W32.Blaster.Worm se ejecuta, realizará las siguientes tareas:

1. Genera un Mutex llamado “BILLY”. Si existe el mutes, el gusano saldrá.
   
2. Añade el valor:
   
   "windows auto update"="msblast.exe"
   
   a la llave de registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
   para poder ejecutarse cuando se inicie Windows.
   
3. Calcula una dirección IP aleatoria A.B.C.0, en donde A, B, y C son valores aleatorios entre 0 y 255.
   
   NOTA: 40% de las veces, Si C > 20, un valor aleatorio menor que 20 se restará de C.
   
4. Una vez que la dirección IP es calculada, el gusano tratará de localizar y explotar la máquina en la subred local, basado en A.B.C.0. El gusano contará hacia arriba, partiendo de 0 para tratar de localizar y explotar otros equipos basados en la nueva IP.
   
5. Envía información en el puerto 135 de TCP que pueden explotar la vulnerabilidad de DCOM RPC.
   
   NOTAS:
   • Esto implica que la subred local se saturará con peticiones del puerto 135.
   • Debido a la naturaleza aleatoria en que construye la información el gusano, se pueden provocar conflictos en las computadoras si se envía información incorrecta.
   • Mientras W32.Blaster.Worm no tenga la posibilidad de dispersarse en equipos con Windows NT o Windows 2003 Server, las computadoras a las que no se las haya instalado el parche y que tengan estos sistemas operativos se pueden bloquear debido al conflicto que causa el gusano al tratar de enviar información. Desde luego si se copia y ejecuta manualmente el gusano en un equipo con estos sistemas operativos, el gusano se instalará y dispersará.
     
6. El gusano crea el archivo oculto cdm.exe que comparte vía remota lo que escucha el en el puerto 4444 TCP, permitiendo un posible ataque remoto en el equipo infectado.
   
7. Escucha el puerto 69 UDP. Cuando recibe una petición de una computadora en la que fue posible conectarse aprovechando la vulnerabilidad de DCOM RPC, mandará de regreso el msblast.exe y solicitará la ejecución del gusano.
   
8. Si el mes es posterior al de Agosto o si la fecha es posterior al día 15, desarrollará una negación de servicio (DoS) en “windowsupdate.com”
   
   Con la lógica actual, el gusano activará la negación de servicio a partir del 16 de este mes y continuará hasta el fin del año.
   
   El gusano tiene el siguiente texto que nunca es visible.
   
   I just want to say LOVE YOU SAN!!
   billy gates why do you make this possible ? Stop making money and fix your software!!

Symantec Security Response invita a todos los usuarios y administradores a adherirse a las siguientes "mejores prácticas" básicas para su seguridad:

• Desconecte y elimine todos los servicios que no sean necesarios. De forma predeterminada, muchos sistemas operativos instalan servicios auxiliares que no son imprescindibles, como clientes de FTP, telnet y servidores de web. A través de estos servicios penetran buena parte de los ataques. Por lo tanto, si se eliminan, las amenazas combinadas dispondrán de menos entradas para realizar ataques y tendrá que mantener menos servicios actualizados con parches.
• Si una amenaza combinada explota uno o varios servicios de red, deshabilite o bloquee el acceso a estos servicios hasta que aplique el parche correspondiente.
• Mantenga siempre el parche actualizado, sobre todo en equipos que ofrezcan servicios públicos, a los que se puede acceder a través de algún firewall como, por ejemplo, servicios HTTP, FTP, de correo y DNS.
• Implemente una política de contraseñas. Con contraseñas complejas, resulta más difícil descifrar archivos de contraseñas en equipos infectados. De este modo, ayuda a evitar que se produzcan daños cuando un equipo es atacado o, al menos, limita esta posibilidad.
• Configure su servidor de correo electrónico para que bloquee o elimine los mensajes que contengan archivos adjuntos que se utilizan comúnmente para extender virus, como archivos .vbs, .bat, .exe, .pif y .scr.
• Aísle rápidamente los equipos que resulten infectados para evitar que pongan en peligro otros equipos de su organización. Realice un análisis posterior y restaure los equipos con medios que sean de su confianza.
• Instruya a sus empleados para que no abran archivos adjuntos a menos que los esperen. El software descargado desde Internet no debe ejecutarse, a menos que haya sido analizado previamente en busca de virus. Basta únicamente con visitar un sitio web infectado para que pueda infectarse si las vulnerabilidades del explorador de web no han sido correctamente corregidas con parches.

Eliminación de W32.Blaster.Worm por medio de la herramienta
Symantec Security Response ha desarrollado una

1. Deshabilite Restaurar Sistema (Windows Me/XP).
2. Actualice las definiciones de virus.
3. Finalice los procesos Troyanos.
4. Ejecute un análisis completo del sistema y elimine todos los archivos que se detecten como W32.Blaster.Worm.
5. Corrija los cambios que el Troyano hizo en el registro.

• Cómo deshabilitar y habilitar Restaurar sistema en Windows Me.
• Cómo habilitar o deshabilitar Restaurar sistema en Windows XP.

• Ejecute LiveUpdate (esta es la forma más sencilla de obtener las definiciones de virus). Las definiciones de virus se colocan en los servidores de LiveUpdate una vez por semana (generalmente los miércoles), a menos que se produzca un ataque generalizado de virus. Para determinar si existen definiciones para esta amenaza disponibles a través de LiveUpdate, consulte las Definiciones de virus (LiveUpdate), en la sección "Protección", en la parte superior de este documento.
• Descargue las definiciones utilizando la herramienta Intelligent Updater. Las definiciones de virus se publican en los servidores los días laborales (de lunes a viernes) y deben descargarse e instalarse manualmente desde el Sitio Web Symantec Security response. Para determinar si existen definiciones disponibles para esta amenaza a través de Intelligent Updater, consulte las Definiciones de virus (Intelligent Updater), en la sección "Protección", en la parte superior de este documento.
  Las definiciones de virus por medio Intelligent Updater están disponibles: Lea "Cómo actualizar los archivos d definiciones de virus utilizando Virus definition Update installer" para instrucciones detalladas.

Reinicie el equipo en Modo a prueba de fallos. Todos los sistemas operativos de 32 bits de Windows, a excepción de Windows NT, se pueden reiniciar en modo A prueba de fallos. Si necesita instrucciones para hacerlo, consulte el documento "Cómo iniciar el equipo en modo A prueba de fallos".

Windows NT/2000/XP
Para finalizar el proceso troyano:
1. Presione una vez CTRL+ALT+SUPR.
2. Haga clic en Administrador de tareas.
3. Haga clic en la pestaña Procesos.
4. Haga clic dos veces en el encabezado de columna Nombre de imagen para ordenar los procesos alfabéticamente.
5. A continuación, busque el archivo msblast.exe por la lista.
6. Cuando lo encuentre, haga clic en él y presione el botón Terminar proceso.
7. Salga del Administrador de tareas.
   

• Para productos de consumidor Norton AntiVirus: Lea el documento, "Cómo configurar Norton Antivirus para que analice todos los archivos."
• Para productos Symantec AntiVirus Enterprise: Lea el documento, "Cómo averiguar si un producto antivirus empresarial de Symantec está configurado para analizar todos los archivos."
  

1. Ejecute una búsqueda completa de virus.
2. Sí se detecta algún archivo infectado por W32.Blaster.Worm, haga clic en Eliminar.

1. Haga clic en Inicio y, después, en Ejecutar. (Aparecerá el cuadro de diálogo Ejecutar.)
2. Escriba regedit.
   
   A continuación, haga clic en Aceptar. (Se abrirá el Editor del Registro.)
   
3. Desplácese hasta la clave:
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   
4. En el panel derecho, elimine el valor:
   
   "windows auto update"="msblast.exe"
   
5. Salga del Editor del Registro.

Escrito por: Douglas Knowles