BAQUIA

El troyano Downloader.EJD simula ser un parche para la vulnerabilidad Plug and Play

PandaLabs ha detectado la nueva variante EJD de la familia de troyanos Downloader que, como novedad, se presenta ante el usuario simulando ser el parche que corrige la vulnerabilidad Plug and Play de Windows. Esta vulnerabilidad fue aprovechada hace tan sólo unos días por los gusanos Zotob e IRCBot.KC y KD para introducirse en los sistemas informáticos, provocando un nivel de alerta naranja de virus ya que fueron capaces de afectar a medios de comunicación como CNN, ABC y The New York Times, instituciones como el Congreso de USA, o empresas como Caterpillar, entre otras. Las Tecnologías TruPreventTM han bloqueado a este troyano de forma proactiva analizando su comportamiento, por lo que los ordenadores que disponen de ellas han sido inmunes a los ataques de este troyano desde el primer momento, sin necesidad de actualizaciones.

Según Luis Corrons, director de PandaLabs: “Se trata de una nueva forma de aprovechar la vulnerabilidad Plug and Play, aunque en este caso haciendo uso de la ingeniería social, una estrategia que ha conseguido provocar epidemias de importancia, ya que depende de los usuarios el ejecutar o no el archivo recibido. Esto puede evitarse en gran medida complementando los antivirus tradicionales con tecnologías proactivas como TruPreventTM, capaces de detectar nuevos ejemplares de malware analizando su comportamiento. Debe tenerse en cuenta que un ordenador que disponga de estas tecnologías no se verá afectado ni aún en el caso de que el usuario ejecute el archivo que contiene a Downloader.EJS, ya que las Tecnologías TruPreventTM detectan los procesos maliciosos que el troyano intenta poner en marcha y los bloquea inmediatamente”.

En realidad, como la mayoría de los troyanos, Downloader.EJD no tiene capacidad de propagación propia, sino que han sido uno o varios usuarios maliciosos quienes han preparado y enviado masivamente el correo electrónico que contiene a dicho troyano. Concretamente dicho mensaje presenta las siguientes características:

Remitente: [email protected]

Asunto: What You Need to Know About the Zotob.A Worm

Cuerpo: What You Should Know About Zotob

Published: August 14, 2005 | Updated: August 19, 2005 Severity VirusGreen

What the levels mean

Supported Software Affected

Windows All Version

Microsoft Security Advisory 899588

Zotob.A

Zotob.B

Zotob.C

Zotob.D

Zotob.E

Bobax.O

Esbot.A

Rbot.MA

Rbot.MB

Rbot.MC

Zotob is a worm that targets All Windows computers and takes advantage of a security issue that was addressed by Microsoft Security Bulletin MS05-039. This worm and its variants install malicious software, and then search for other computers to infect.

Important If you have installed the update released with Security Bulletin MS05-039, you are already protected from Zotob and its variants. If you are using any supported version of Windows, you are not at risk from Zotob and its variants.

Use the Microsoft Windows Malicious Software Removal Tool to search for and remove the Zotob worm and its variants from your hard drive.

This tool checks for and removes infections from Zotob.A through Zotob.E as well as Bobax.O, Esbot.A, Rbot.MA, Rbot.MB, and Rbot.MC. It also checks for and removes all versions of malicious software that the tool has been updated to remove.

Por su parte, el archivo adjunto a dicho mensaje lleva por nombre MS05-039.exe, que se corresponde con la referencia dada por Microsoft a la vulnerabilidad Plug and Play.

Sin embargo, y dado que el mencionado correo ha sido preparado de forma manual por parte de quienes lo han enviado masivamente, es muy posible que puedan detectarse mensajes con características distintas y que también contengan a Downloader.EJD.

En caso de que el usuario ejecute el archivo recibido, el troyano se copia en el sistema bajo el nombre svchst.exe, y procede a ejecutarse. En ese momento, intenta desactivar determinadas aplicaciones de seguridad que se encuentren instaladas en el sistema y descarga, desde una dirección web, un fichero llamado test.exe. Este último contiene otro troyano, llamado Agent.AII, que crea varios archivos en el sistema, cuya función es robar información transmitida a través de páginas web en cuyas URLs se encuentren términos como: e-gold, e-bullion, intgold, 1MDC, Pecunix, GoldMoney, Virtualgold, NetPad, paymer, entre otros. Además Agent.AII introduce varias entradas en el registro de Windows con el objetivo de asegurar su ejecución en todo momento.

Para evitar la entrada de cualquiera de los mencionados troyanos, Panda Software recomienda mantener actualizado el software antivirus.


Compartir en :


Noticias relacionadas

Recomendamos




Comentarios