05/08/2021

Nueva variante del virus Sasser: Sasser F

Os tenemos que reportar otra nueva versión del virus Sasser: Sasser F.

Se trata de una versión ligeramente modificada y recompilada del Sasser.A, seguramente creada por un imitador del autor original, capturado el pasado viernes en Alemania. Se trata de un gusano que se propaga utilizando la vulnerabilidad en el proceso LSASS (Local Security Authority Subsystem), reparada por Microsoft en el parche MS04-011. Solo afecta computadoras bajo Windows XP o 2000, que no posean dicho parche instalado, y el síntoma más notorio de la infección, es un constante reinicio del sistema.

> CARACTERISTICAS
Existe una posible infección cuando se producen continuos fallos del proceso LSASS.EXE con el consiguiente reinicio de Windows.

Existe el siguiente archivo en el sistema:

c:winlog2

Se genera tráfico excesivo en los siguientes puertos TCP:

445, 5554 y 9996

Análisis:

El gusano es un archivo de 74,752 bytes, comprimido con la utilidad PECompact.

El gusano se copia a si mismo en la carpeta de Windows con el siguiente nombre:

c:windows
apatch.exe

NOTA: La carpeta “c:windows” puede variar de acuerdo al sistema operativo instalado (“c:winnt” en NT, “c:windows”, en 9x, Me, XP, etc.).

También crea el siguiente archivo:

c:winlog2

Modifica la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
napatch.exe = c:windows
apatch.exe

El gusano inicia 128 hilos de ejecución para escanear direcciones IP seleccionadas al azar por el puerto TCP/445, buscando sistemas vulnerables (TCP/445 es el puerto por defecto para el servicio vulnerable).

Esto ocasiona a veces, el fallo de las computadoras que no tienen el parche MS04-011 instalado.

En Windows XP, muestra una ventana con un mensaje muy similar al siguiente:

LSA Shell (Export Version) ha encontrado un problema
y debe cerrarse. Sentimos mucho el inconveniente.

En Windows 2000 se muestra una ventana casi idéntica a la provocada en Windows XP por el gusano Blaster (Lovsan):

Apagar el sistema

Se está apagando el sistema. Guarde todo
trabajo en curso y cierre la sesión. Se perderá
cualquier cambio que no haya sido guardado.
El apagado ha sido iniciado por NT
AUTORITHYSYSTEM

Tiempo restante
para el apagado: xx:xx:xx

Mensaje
El proceso del sistema
C:WINDOWSsystem32lsass.exe terminó
de forma inesperada indicando código 0
Windows debe reiniciar ahora.

El gusano detecta la versión del sistema operativo, y utiliza diferentes exploits para Windows XP y Windows 2000 (exploit universal), y para Windows 2000 Advanced Server (SP4 exploit).

Windows 9x, Me y NT, no son vulnerables.

Si el ataque es exitoso, un shell (intérprete de comandos), es iniciado en el puerto TCP/9996.

A través del shell, se instruye al equipo remoto a descargar y ejecutar el gusano desde la computadora infectada, utilizando el protocolo FTP. Para ello, se crea y ejecuta en dicho equipo un script llamado CMD.FTP. El script descarga y ejecuta a su vez al gusano propiamente dicho (con el nombre #_UP.EXE), provocando la infección.

El servidor FTP escucha por el puerto TCP/5554 en todos los equipos infectados, con el propósito de permitir la descarga del gusano en otros sistemas que así también son infectados.

El archivo C:WINLOG2 registra las direcciones IP de todas las transacciones FTP realizadas, lo que incluye la direcciones de las máquinas infectadas.

El gusano crea el siguiente mutex para no ejecutarse más de una vez en memoria:

billgate

El uso de un cortafuego personal, disminuye el riesgo de infección.

> INSTRUCCIONES PARA ELIMINARLO
1. Descargue e instale el parche MS04-011 y luego reinicie el equipo:

Microsoft Security Bulletin MS04-011
www.microsoft.com/technet/security/bulletin/ms04-011.mspx

2. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

3. Elimine bajo la columna “Nombre”, la entrada “napatch.exe”, en la siguiente clave del registro:

HKLMSOFTWAREMicrosoft
WindowsCurrentVersionRun

4. Cierre el editor del registro.

5. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del gusano.

Más información en: Enciclopedia virus

Deja una respuesta

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies