Aunque este nuevo incidente invita a la reflexión, vamos a dedicar la entrega de hoy a la descripción del espécimen y a las soluciones que se están facilitando para desinfectar los sistemas afectados.
“BugBear.B” tiene funcionalidades propias de un gusano, un virus, y un troyano de puerta trasera. Además de distribuirse de forma masiva a través del e-mail y por los recursos compartidos de las redes locales, es capaz de infectar determinados ejecutables de Windows, captura todas las pulsaciones de teclado, y abre una puerta trasera en los sistemas infectados que permite el acceso y control indiscriminado de forma remota.
Escrito en Microsoft Visual C++, el virus original tiene un tamaño de 170KB, si bien ha sido comprimido con la utilidad UPX para su distribución, por lo que nos llega con un tamaño de unos 72Kb (72,192 bytes).
La instalación en el sistema
Cuando es ejecutado e infecta un sistema procede a copiarse en la carpeta de inicio como .EXE con un nombre al azar, de esta forma se asegura su ejecución cada vez que iniciemos una sesión en Windows. Además copia tres archivos .DLL en el directorio de sistema de Windows, uno de ellos es el “keylogger” que captura y archiva las pulsaciones de teclado, información accesible de forma remota gracias a la puerta trasera que abre “BugBear.B”. Adicionalmente crea también dos archivos con nombres al azar, uno con extensión .DAT en la carpeta de Windows y el segundo con extensión .TMP en la carpeta temporal del sistema.
En su faceta como virus, “BugBear.B” contiene en su interior una lista de archivos “víctimas” a los que infectar:
scandskw.exe
regedit.exe
mplayer.exe
hh.exe
notepad.exe
winhelp.exe
Internet Exploreriexplore.exe
adobeacrobat 5.0readeracrord32.exe
WinRARWinRAR.exe
Windows Media Playermplayer2.exe
RealRealPlayerrealplay.exe
Outlook Expressmsimn.exe
FarFar.exe
CuteFTPcutftp32.exe
AdobeAcrobat 4.0ReaderAcroRd32.exe
ACDSee32ACDSee32.exe
MSN Messengermsnmsgr.exe
WS_FTPWS_FTP95.exe
QuickTimeQuickTimePlayer.exe
StreamCastMorpheusMorpheus.exe
Zone LabsZoneAlarmZoneAlarm.exe
TrillianTrillian.exe
LavasoftAd-aware 6Ad-aware.exe
AIM95aim.exe
Winampwinamp.exe
DAPDAP.exe
ICQIcq.exe
kazaakazaa.exe
winzipwinzip32.exe
Infección en redes locales
Además del sistema local, la búsqueda e infección de los archivos de la lista anterior se extiende a todos los recursos compartidos de la red a los que tenga acceso, donde adicionalmente el gusano realiza copias de si mismo bajo extensión .EXE y con nombres de archivo al azar en las carpetas de inicio, con el fin de provocar la infección de esos sistemas al iniciar una nueva sesión.
Como ya hemos avanzado, “BugBear.B” cuenta con un módulo “keylogger” encargado de espiar y archivar todas las pulsaciones de teclado del sistema infectado. De esta forma quedaría recogida toda la información que el usuario escribe, incluido datos sensibles como contraseñas.
Para tener acceso a la información y control del sistema infectado, “BugBear.B” abre una puerta trasera en el puerto TCP/1080 que queda a la escucha de las ordenes remotas. Entre las acciones que pueden llevarse a cabo destacan:
– listado, copia y eliminación de archivos y directorios
– listado y finalización de procesos y aplicaciones en memoria
– descarga y ejecución arbitraria de archivos
– acceso a la información capturada por el “keylogger”
– abrir un servidor HTTP (TCP/80) para navegar por las unidades del sistema infectado de forma indiscriminada
– información diversa sobre el sistema y listado de recursos de la red local
Finalización de antivirus y firewalls personales
“BugBear.B” contiene una rutina que tiene como fin desactivar una serie de procesos y aplicaciones del sistema infectado, que corresponden a productos antivirus y firewalls personales, para evitar así que estas soluciones puedan “entorpecer” su misión. Según el siguiente listado:
ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE
VSHWIN32.EXE VSECOMR.EXE VSCAN40.EXE VETTRAY.EXE
VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE
TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE
SERV95.EXE SCRSCAN.EXE SCANPM.EXE SCAN95.EXE
SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE
RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE
PAVW.EXE PAVSCHED.EXE PAVCL.EXE PADMIN.EXE
OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE
NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE
NAVNT.EXE NAVLU32.EXE NAVAPW32.EXE N32SCANW.EXE
MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE
JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE
ICSUPP95.EXE ICMON.EXE ICLOADNT.EXE ICLOAD95.EXE
IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE
FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE
F-STOPW.EXE F-PROT95.EXE F-PROT.EXE F-AGNT95.EXE
ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE
DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE
CLAW95.EXE CFINET32.EXE CFINET.EXE CFIAUDIT.EXE
CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE
AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE
AVPM.EXE AVPDOS32.EXE AVPCC.EXE AVP32.EXE
AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE
AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE
ANTI-TROJAN.EXE ACKWIN32.EXE _AVPM.EXE _AVPCC.EXE
_AVP32.EXE LOCKDOWN2000.EXE
Distribución por e-mail
Esta es sin duda la funcionalidad estrella a la que debe la alta propagación conseguida. Destaca la capacidad de recoger información de otros mensajes que se encuentran en el sistema infectado para confeccionar el e-mail que distribuye al gusano. Esto dota de un mayor realismo a los mensajes que envía el gusano, ya que suelen contar con asuntos y cuerpos reales, escritos en el lenguaje de la víctima, simulando ser una respuesta o un reenvío de un mensaje original.
Los destinatarios de los mensajes los recolecta de la bandeja de entrada del sistema infectado, y adicionalmente de archivos con extensión:
.mmf
.nch
.mbx
.eml
.tbb
.dbx
.ocs
El gusano cuenta con su propio motor SMTP, no necesitando contar con un cliente de correo determinado para propagarse. Los datos del servidor SMTP los recoge de la clave del registro de Windows:
HKEY_CURRENT_USERSOFTWAREMicrosoftInternet AccountManagerAccounts
Al igual que ocurre con el famoso “Klez”, el gusano falsea la dirección del remitente, lo que dificulta conocer y avisar a los sistemas que realmente están infectados y distribuyen el virus.
El nombre del archivo adjunto con el gusano lo selecciona de los archivos que encuentra en la carpeta del usuario, según la clave del registro de Windows
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Folders[usuario]
o de la carpeta Mis Documentos del sistema infectado que tenga alguna de las siguientes extensiones:
.reg .ini .bat .diz .txt .cpp .html .htm .jpeg
.jpg .gif .cpl .dll .vxd .sys .com .exe .bmp
Al nombre de archivo seleccionado le añade la segunda extensión real, que puede ser: .scr .pif .exe
Por lo que el archivo adjunto puede tener el siguiente aspecto:
nombrededocumento.DOC.PIF
archivografico.JPG.EXE
hojadecualquiercosa.XLS.SCR
Asuntos
Además puede crear y enviarse en mensajes nuevos, contando con una lista fija de posibles asuntos:
Hello!
update
hmm..
Payment notices
Just a reminder
Correction of errors
history screen
Announcement
various
Introduction
Interesting…
I need help about script!!!
Stats
Please Help…
Report
Membership Confirmation
Get a FREE gift!
Today Only
New Contests
Lost & Found
bad news
wow!
fantastic
click on this!
Market Update Report
empty account
My eBay ads
Cows
25 merchants and rising
CALL FOR INFORMATION!
new reading
Sponsors needed
SCAM alert!!!
Warning!
its easy
free shipping!
News
Daily Email Reminder
Tools For Your Online Business
New bonus in your cash account
Your Gift
Re:
$150 FREE Bonus!
Your News Alert
Hi!
Get 8 FREE issues – no risk!
Greets!
También cuenta con una lista fija de posibles nombres de archivo:
DATA
SONG
MUSIC
VIDEO
PHOTO
RESUME
PICS
IMAGES
IMAGE
NEWS
DOCS
CARD
SETUP
README
De forma aleatoria, el mensaje infectado puede incluir la explotación de la conocida vulnerabilidad “IFRAME/MIME”, también aprovechada por gusanos como “Klez”, que provocaría la ejecución automática del adjunto al visualizar el mensaje en aquellos sistemas no actualizados.
Más ingeniería social
“BugBear.B” evita enviarse a direcciones de correo que contengan alguna de las siguientes cadenas:
ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE
VSHWIN32.EXE VSECOMR.EXE VSCAN40.EXE VETTRAY.EXE
VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE
TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE
SERV95.EXE SCRSCAN.EXE SCANPM.EXE SCAN95.EXE
SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE
RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE
PAVW.EXE PAVSCHED.EXE PAVCL.EXE PADMIN.EXE
OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE
NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE
NAVNT.EXE NAVLU32.EXE NAVAPW32.EXE N32SCANW.EXE
MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE
JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE
ICSUPP95.EXE ICMON.EXE ICLOADNT.EXE ICLOAD95.EXE
IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE
FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE
F-STOPW.EXE F-PROT95.EXE F-PROT.EXE F-AGNT95.EXE
ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE
DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE
CLAW95.EXE CFINET32.EXE CFINET.EXE CFIAUDIT.EXE
CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE
AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE
AVPM.EXE AVPDOS32.EXE AVPCC.EXE AVP32.EXE
AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE
AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE
ANTI-TROJAN.EXE ACKWIN32.EXE _AVPM.EXE _AVPCC.EXE
_AVP32.EXE LOCKDOWN2000.EXE
Efectos colaterales y otras curiosidades
Al igual que ocurre con otros gusanos que se distribuyen a través de las redes locales, “BugBear.B” no distingue entre los recursos compartidos las unidades de red y las impresoras, por lo que en ocasiones intentará copiarse a una impresora, provocando que ésta imprima “basura”.
El “keylogger”, preparado para el idioma inglés, no funciona de forma adecuada con el carácter tilde “´”, de forma que no permite poner el acento ortográfico en la vocal y lo duplica a continuación, por ejemplo “informa´´tica”.
“BugBear.B” cuenta con un listado interno de más de mil dominios pertenecientes a entidades bancarias. Cuando detecta que ha infectado un sistema cuya cuenta de dirección de correo electrónico pertenece a uno de estos dominios, activa la clave de auto-dialing en el registro de Windows:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternetSettings
“EnableAutodial”=”0000001”
Soluciones
Como ya avanzamos en la anterior entrega de “una-al-día”, las medidas de prevención pasan por no abrir archivos adjuntos no solicitados, y en esta ocasión atendiendo especialmente a aquellos que nos lleguen con las extensiones .EXE, .PIF o .SCR, teniendo en cuenta el uso de la doble extensión por parte del gusano. Por su parte los administradores de servidores de correo también puede aplicar sencillos filtros para evitar este tipo de archivos adjuntos.
La inmensa mayoría de las casas antivirus ya cuentan con la actualización pertinente, por lo que los usuarios de estas soluciones deberán forzar la actualización a demanda de su producto para contar con la protección adecuada y poder desinfectar sus sistemas.
Además, las diferentes firmas antivirus han puesto a disposición de los usuarios de forma gratuita diversas utilidades específicas de detección y desinfección de “BugBear.B”. A continuación listamos algunas de las que tenemos conocimiento en este momento (en nuestra página web actualizaremos el listado con la información que nos hagan llegar al respecto las casas antivirus):
BitDefender http://www.bitdefender.com/descarga/evaluacion/Antibugbear-es.exe
Panda Software http://updates.pandasoftware.com/pq/gen/bugbearb/pqremove.com
Symantec http://securityresponse.symantec.com/avcenter/FixBugb.exe
LinkedIn comparte una lista con las cinco tendencia que definirán la senda del mercado laboral…
Proopoint cree que el año que viene los delincuentes manipularán datos privados asociados a la…
Las implantación de nuevas herramientas, la optimización de productos ya existentes y la adopción de…
La mayoría renovaría por completo su infraestructura de seguridad para adoptar soluciones totalmente integradas.
Entrevistamosa Sergio Rodríguez, CTO de PUE DATA, para hablar del "boom" de los espacios de…
Los mensajes RCS ofrecen muchas más posibilidades que los SMS, pero también abren la puerta…