[Seguridad] El gusano Sasser, las lecciones no aprendidas

02/05/2004 - 16:37 por Jorge Zeledon | Informe spam
La recomendación: FORMATEAR


1 - El gusano Sasser, las lecciones no aprendidas
_____________________________________________________________

http://www.vsantivirus.com/02-05-04.htm

El gusano Sasser, las lecciones no aprendidas

Por Jose Luis Lopez
videosoft@videosoft.net.uy

Para muchos, parece repetirse la historia del Blaster o
Lovsan, y ciertamente hay muchos puntos en común. Primero,
ambos se basan en una vulnerabilidad hecha pública después de
publicarse el parche que la corrige:

16/07/03 - Microsoft publica el parche para la vulnerabilidad
RPC/DCOM (MS03-026)
11/08/03 - Se detecta la primera versión del gusano Blaster
(o Lovsan)

13/04/04 - Microsoft publica el parche para la vulnerabilidad
LSASS (MS04-011)
01/05/04 - Se detecta la primera versión del gusano Sasser

En ambos casos, es evidente que los usuarios han debido tener
el tiempo suficiente para actualizar sus equipos. En el caso
del Sasser, el propio Microsoft y sitios de seguridad como el
nuestro, publicaron varias veces en las últimas semanas,
sendas advertencias de la inminente posibilidad de la
aparición de un código malicioso que se aprovecharía de la
falla.

Luego del Blaster, podría suponerse que hay una lección
aprendida. Pero no es así.

Aunque al comienzo parecían existir algunas dudas respecto al
alcance de los fallos provocados por el nuevo gusano en
relación al Lovsan, con el correr de las horas puede
afirmarse que la cantidad de máquinas infectadas es
importante.

Un hecho significativo es el aumento notorio de visitas a
nuestro propio Web. En un solo día aumentaron las visitas
únicas (por usuario) de un promedio de 30,000 diarias en días
hábiles, a un total de casi 60,000 (siendo un sábado y además
feriado). Y la página más visualizada es la que describe al
gusano Sasser y como eliminarlo.

Por lo pronto, esa primera lección (la de actualizar nuestros
sistemas con los parches respectivos), parece claramente
reprobada.

Sigamos con las comparaciones. Ambos gusanos utilizan el
puerto TCP/445 para "rastrear" a sus víctimas, aunque sean
servicios diferentes los afectados.

Después de los ataques provocados por el Blaster, muchos
proveedores de Internet empezaron a bloquear el puerto 445.
Aunque ciertamente se han evitado con esto muchas más
infecciones de las que podrían haber ocurrido, los hechos
parecen corroborar que esto no es ningún consuelo debido a la
cantidad de infecciones existentes (que además van en
aumento).

Y seguramente el próximo primer día hábil de la semana, con
el mayor tráfico provocado por los cientos de miles de
máquinas encendidas en ambientes corporativos, se producirá
un importante pico en las infecciones, teniendo en cuenta
además, que este tipo de gusanos infecta por solo conectar
una máquina vulnerable a la red, y no es necesario abrir o
ejecutar ningún mensaje o adjunto.

La segunda lección (tampoco aprendida), es que un simple
cortafuegos (el incorporado por Windows XP o uno de
terceros), podría haber evitado la infección, como en el caso
del Blaster.

Pero existe otra similitud entre los dos gusanos, y es la
forma en que ambos comprometen indirectamente a nuestro
sistema. Uno de los mayores problemas con el Blaster, es la
vulnerabilidad existente y el exploit que la provoca.

Los piratas informáticos crearon numerosas herramientas que
se aprovechaban de ese agujero para implantar cualquier clase
de código o realizar cualquier acción en el sistema
vulnerable. De este modo, la infección con el gusano funciona
en realidad como una señal de alerta.

El gusano en si mismo no es el problema, solo sirve como
indicador de que alguien pudo hacer lo que se le antojó en
nuestro sistema. De allí que la limpieza básica de una
infección provocada por el Blaster, pasa por recomendar una
instalación limpia, con formateo incluido.

Esta afirmación, siempre suele generar muchas críticas, a las
que casi siempre respondo con una odiosa comparación.
Encontrarnos con el Blaster en nuestro sistema y quitarlo, es
como descubrir un día en la cocina de nuestra casa a un grupo
de terroristas almorzando tranquilamente, y echarlos a las
patadas. Eso no soluciona el problema, porque siempre va a
existir la posibilidad de que en alguna parte de nuestro
hogar, haya quedado una bomba a punto de estallar.

En el caso del Sasser, aunque no hay por el momento
evidencias de que existan herramientas que se aprovechen del
fallo en el proceso LSASS, si hay dos exploits, y muchos
puntos claves a tener en cuenta.

Este gusano crea un shell (una consola de comandos), que
puede permitir el ingreso de casi cualquier tipo de
instrucción que comprometa a nuestro sistema. También abre un
servidor FTP que permite el acceso a cualquier archivo. Y no
hay nada que nos asegure que por borrar al Sasser de nuestro
sistema, nos libraremos de la posibilidad de exista "una
bomba a punto de estallar" en alguna parte de nuestra casa.

Concretamente, no hay forma de saber cuántas nuevas
modificaciones del exploit están dando vueltas por Internet,
y cuantas formas maliciosas pueden llegar a crearse a partir
de las mismas. Por ello, detectar una infección con el gusano
Sasser, ameritaría no solo la limpieza del sistema infectado,
sino la completa reinstalación del mismo (y posterior
actualización de los parches e instalación o activación de un
cortafuegos), como única forma de asegurarnos contra las
posibles consecuencias.

Cómo seguramente habrán más exámenes, sería muy bueno que la
próxima vez tengamos mejor aprendidas las lecciones.


* Más información:

Preguntas frecuentes sobre el Sasser
http://www.vsantivirus.com/faq-sasser.htm

Preguntas frecuentes sobre el Lovsan (Blaster)
http://www.vsantivirus.com/faq-lovsan.htm

Preguntas similare

Leer las respuestas

#1 Waldin
02/05/2004 - 16:44 | Informe spam
El problema está en :
- la mayoría de usuarios no activan el firewall de XP porque no les
funciona correctamente el programa P2P que utilizan.
- No quieren perder tiempo en entrar a Windows Update y actualizar (o por
algún motivo tienen miedo).

Hasta que los usuarios no sean conscientes dde que deben de preocuparse por
la seguridad de sus sistemas, esto no va a cambiar.
Respuesta Responder a este mensaje
#2 Antonio Amengual[MSMVP]
02/05/2004 - 17:38 | Informe spam
je, cuando vean que SP2 empiece a quejarse que no hay firewall, no hay
update activados, no hay antivirus etc etc


Bienvenidos al sitio de MVP de Microsoft
http://mvp.support.microsoft.com/

Recuerda: Una Consulta, Un Foro:
news:microsoft.public.es.outlookexpress
news:microsoft.public.es.windowsxp
news:microsoft.public.es.windowsxp.aplicaciones
news:microsoft.public.es.windowsxp.hardware
news:microsoft.public.es.windowsxp.instalacion
news:microsoft.public.es.windowsxp.seguridad



Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no
otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
You assume all risk for your use.


XP Pro-2600-limpia+SP1

por favor
respuestas al grupo; asi nos beneficiamos todos
no se responde personalmente

saludos

Antonio
ms mvp windowsxp shell user

"Waldin" wrote in message
news:OMwv$
El problema está en :
- la mayoría de usuarios no activan el firewall de XP porque no les
funciona correctamente el programa P2P que utilizan.
- No quieren perder tiempo en entrar a Windows Update y actualizar (o por
algún motivo tienen miedo).

Hasta que los usuarios no sean conscientes dde que deben de preocuparse
por
la seguridad de sus sistemas, esto no va a cambiar.


Respuesta Responder a este mensaje
#3 Waldin
02/05/2004 - 17:57 | Informe spam
Pues seguro a que hay quien no lo ponga :-(
Si a estas alturas hay gente que ni tiene SP1 :-S

"Antonio Amengual[MSMVP]" escribió en el mensaje
news:
je, cuando vean que SP2 empiece a quejarse que no hay firewall, no hay
update activados, no hay antivirus etc etc
Respuesta Responder a este mensaje
#4 Anonimo
02/05/2004 - 19:05 | Informe spam
Del artículo:

"Esta afirmación, siempre suele generar muchas críticas, a
las que casi siempre respondo con una odiosa comparación.
Encontrarnos con el Blaster en nuestro sistema y quitarlo,
es como descubrir un día en la cocina de nuestra casa a un
grupo de terroristas almorzando tranquilamente, y echarlos
a las patadas. Eso no soluciona el problema, porque siempre
va a existir la posibilidad de que en alguna parte de
nuestro hogar, haya quedado una bomba a punto de estallar."

Y digo yo: ¿entonces propone 'formatear' (mudanza-out,
tirar tabiques e instalaciones, volver a construir los
tabiques e instalaciones y mudanza-in) la casa?

Si es que sois de risa. :-))))))))))))))))))





La recomendación: FORMATEAR


1 - El gusano Sasser, las lecciones no aprendidas
_____________________________________________________________

http://www.vsantivirus.com/02-05-04.htm

El gusano Sasser, las lecciones no aprendidas

Por Jose Luis Lopez


Para muchos, parece repetirse la historia del Blaster o
Lovsan, y ciertamente hay muchos puntos en común. Primero,
ambos se basan en una vulnerabilidad hecha pública después de
publicarse el parche que la corrige:

16/07/03 - Microsoft publica el parche para la vulnerabilidad
RPC/DCOM (MS03-026)
11/08/03 - Se detecta la primera versión del gusano Blaster
(o Lovsan)

13/04/04 - Microsoft publica el parche para la vulnerabilidad
LSASS (MS04-011)
01/05/04 - Se detecta la primera versión del gusano Sasser

En ambos casos, es evidente que los usuarios han debido tener
el tiempo suficiente para actualizar sus equipos. En el caso
del Sasser, el propio Microsoft y sitios de seguridad como el
nuestro, publicaron varias veces en las últimas semanas,
sendas advertencias de la inminente posibilidad de la
aparición de un código malicioso que se aprovecharía de la
falla.

Luego del Blaster, podría suponerse que hay una lección
aprendida. Pero no es así.

Aunque al comienzo parecían existir algunas dudas respecto al
alcance de los fallos provocados por el nuevo gusano en
relación al Lovsan, con el correr de las horas puede
afirmarse que la cantidad de máquinas infectadas es
importante.

Un hecho significativo es el aumento notorio de visitas a
nuestro propio Web. En un solo día aumentaron las visitas
únicas (por usuario) de un promedio de 30,000 diarias en días
hábiles, a un total de casi 60,000 (siendo un sábado y además
feriado). Y la página más visualizada es la que describe al
gusano Sasser y como eliminarlo.

Por lo pronto, esa primera lección (la de actualizar nuestros
sistemas con los parches respectivos), parece claramente
reprobada.

Sigamos con las comparaciones. Ambos gusanos utilizan el
puerto TCP/445 para "rastrear" a sus víctimas, aunque sean
servicios diferentes los afectados.

Después de los ataques provocados por el Blaster, muchos
proveedores de Internet empezaron a bloquear el puerto 445.
Aunque ciertamente se han evitado con esto muchas más
infecciones de las que podrían haber ocurrido, los hechos
parecen corroborar que esto no es ningún consuelo debido a la
cantidad de infecciones existentes (que además van en
aumento).

Y seguramente el próximo primer día hábil de la semana, con
el mayor tráfico provocado por los cientos de miles de
máquinas encendidas en ambientes corporativos, se producirá
un importante pico en las infecciones, teniendo en cuenta
además, que este tipo de gusanos infecta por solo conectar
una máquina vulnerable a la red, y no es necesario abrir o
ejecutar ningún mensaje o adjunto.

La segunda lección (tampoco aprendida), es que un simple
cortafuegos (el incorporado por Windows XP o uno de
terceros), podría haber evitado la infección, como en el caso
del Blaster.

Pero existe otra similitud entre los dos gusanos, y es la
forma en que ambos comprometen indirectamente a nuestro
sistema. Uno de los mayores problemas con el Blaster, es la
vulnerabilidad existente y el exploit que la provoca.

Los piratas informáticos crearon numerosas herramientas que
se aprovechaban de ese agujero para implantar cualquier clase
de código o realizar cualquier acción en el sistema
vulnerable. De este modo, la infección con el gusano funciona
en realidad como una señal de alerta.

El gusano en si mismo no es el problema, solo sirve como
indicador de que alguien pudo hacer lo que se le antojó en
nuestro sistema. De allí que la limpieza básica de una
infección provocada por el Blaster, pasa por recomendar una
instalación limpia, con formateo incluido.

Esta afirmación, siempre suele generar muchas críticas, a las
que casi siempre respondo con una odiosa comparación.
Encontrarnos con el Blaster en nuestro sistema y quitarlo, es
como descubrir un día en la cocina de nuestra casa a un grupo
de terroristas almorzando tranquilamente, y echarlos a las
patadas. Eso no soluciona el problema, porque siempre va a
existir la posibilidad de que en alguna parte de nuestro
hogar, haya quedado una bomba a punto de estallar.

En el caso del Sasser, aunque no hay por el momento
evidencias de que existan herramientas que se aprovechen del
fallo en el proceso LSASS, si hay dos exploits, y muchos
puntos claves a tener en cuenta.

Este gusano crea un shell (una consola de comandos), que
puede permitir el ingreso de casi cualquier tipo de
instrucción que comprometa a nuestro sistema. También abre un
servidor FTP que permite el acceso a cualquier archivo. Y no
hay nada que nos asegure que por borrar al Sasser de nuestro
sistema, nos libraremos de la posibilidad de exista "una
bomba a punto de estallar" en alguna parte de nuestra casa.

Concretamente, no hay forma de saber cuántas nuevas
modificaciones del exploit están dando vueltas por Internet,
y cuantas formas maliciosas pueden llegar a crearse a partir
de las mismas. Por ello, detectar una infección con el gusano
Sasser, ameritaría no solo la limpieza del sistema infectado,
sino la completa reinstalación del mismo (y posterior
actualización de los parches e instalación o activación de un
cortafuegos), como única forma de asegurarnos contra las
posibles consecuencias.

Cómo seguramente habrán más exámenes, sería muy bueno que la
próxima vez tengamos mejor aprendidas las lecciones.


* Más información:

Preguntas frecuentes sobre el Sasser
http://www.vsantivirus.com/faq-sasser.htm

Preguntas frecuentes sobre el Lovsan (Blaster)
http://www.vsantivirus.com/faq-lovsan.htm



.

Respuesta Responder a este mensaje
#5 Benavides
02/05/2004 - 19:13 | Informe spam
No se admiten resentidos, Lo sentimos.

escribió en el mensaje
news:73de01c43067$a97f8d50$
Del artículo:

"Esta afirmación, siempre suele generar muchas críticas, a
las que casi siempre respondo con una odiosa comparación.
Encontrarnos con el Blaster en nuestro sistema y quitarlo,
es como descubrir un día en la cocina de nuestra casa a un
grupo de terroristas almorzando tranquilamente, y echarlos
a las patadas. Eso no soluciona el problema, porque siempre
va a existir la posibilidad de que en alguna parte de
nuestro hogar, haya quedado una bomba a punto de estallar."

Y digo yo: ¿entonces propone 'formatear' (mudanza-out,
tirar tabiques e instalaciones, volver a construir los
tabiques e instalaciones y mudanza-in) la casa?

Si es que sois de risa. :-))))))))))))))))))





La recomendación: FORMATEAR


1 - El gusano Sasser, las lecciones no aprendidas
_____________________________________________________________

http://www.vsantivirus.com/02-05-04.htm

El gusano Sasser, las lecciones no aprendidas

Por Jose Luis Lopez


Para muchos, parece repetirse la historia del Blaster o
Lovsan, y ciertamente hay muchos puntos en común. Primero,
ambos se basan en una vulnerabilidad hecha pública después de
publicarse el parche que la corrige:

16/07/03 - Microsoft publica el parche para la vulnerabilidad
RPC/DCOM (MS03-026)
11/08/03 - Se detecta la primera versión del gusano Blaster
(o Lovsan)

13/04/04 - Microsoft publica el parche para la vulnerabilidad
LSASS (MS04-011)
01/05/04 - Se detecta la primera versión del gusano Sasser

En ambos casos, es evidente que los usuarios han debido tener
el tiempo suficiente para actualizar sus equipos. En el caso
del Sasser, el propio Microsoft y sitios de seguridad como el
nuestro, publicaron varias veces en las últimas semanas,
sendas advertencias de la inminente posibilidad de la
aparición de un código malicioso que se aprovecharía de la
falla.

Luego del Blaster, podría suponerse que hay una lección
aprendida. Pero no es así.

Aunque al comienzo parecían existir algunas dudas respecto al
alcance de los fallos provocados por el nuevo gusano en
relación al Lovsan, con el correr de las horas puede
afirmarse que la cantidad de máquinas infectadas es
importante.

Un hecho significativo es el aumento notorio de visitas a
nuestro propio Web. En un solo día aumentaron las visitas
únicas (por usuario) de un promedio de 30,000 diarias en días
hábiles, a un total de casi 60,000 (siendo un sábado y además
feriado). Y la página más visualizada es la que describe al
gusano Sasser y como eliminarlo.

Por lo pronto, esa primera lección (la de actualizar nuestros
sistemas con los parches respectivos), parece claramente
reprobada.

Sigamos con las comparaciones. Ambos gusanos utilizan el
puerto TCP/445 para "rastrear" a sus víctimas, aunque sean
servicios diferentes los afectados.

Después de los ataques provocados por el Blaster, muchos
proveedores de Internet empezaron a bloquear el puerto 445.
Aunque ciertamente se han evitado con esto muchas más
infecciones de las que podrían haber ocurrido, los hechos
parecen corroborar que esto no es ningún consuelo debido a la
cantidad de infecciones existentes (que además van en
aumento).

Y seguramente el próximo primer día hábil de la semana, con
el mayor tráfico provocado por los cientos de miles de
máquinas encendidas en ambientes corporativos, se producirá
un importante pico en las infecciones, teniendo en cuenta
además, que este tipo de gusanos infecta por solo conectar
una máquina vulnerable a la red, y no es necesario abrir o
ejecutar ningún mensaje o adjunto.

La segunda lección (tampoco aprendida), es que un simple
cortafuegos (el incorporado por Windows XP o uno de
terceros), podría haber evitado la infección, como en el caso
del Blaster.

Pero existe otra similitud entre los dos gusanos, y es la
forma en que ambos comprometen indirectamente a nuestro
sistema. Uno de los mayores problemas con el Blaster, es la
vulnerabilidad existente y el exploit que la provoca.

Los piratas informáticos crearon numerosas herramientas que
se aprovechaban de ese agujero para implantar cualquier clase
de código o realizar cualquier acción en el sistema
vulnerable. De este modo, la infección con el gusano funciona
en realidad como una señal de alerta.

El gusano en si mismo no es el problema, solo sirve como
indicador de que alguien pudo hacer lo que se le antojó en
nuestro sistema. De allí que la limpieza básica de una
infección provocada por el Blaster, pasa por recomendar una
instalación limpia, con formateo incluido.

Esta afirmación, siempre suele generar muchas críticas, a las
que casi siempre respondo con una odiosa comparación.
Encontrarnos con el Blaster en nuestro sistema y quitarlo, es
como descubrir un día en la cocina de nuestra casa a un grupo
de terroristas almorzando tranquilamente, y echarlos a las
patadas. Eso no soluciona el problema, porque siempre va a
existir la posibilidad de que en alguna parte de nuestro
hogar, haya quedado una bomba a punto de estallar.

En el caso del Sasser, aunque no hay por el momento
evidencias de que existan herramientas que se aprovechen del
fallo en el proceso LSASS, si hay dos exploits, y muchos
puntos claves a tener en cuenta.

Este gusano crea un shell (una consola de comandos), que
puede permitir el ingreso de casi cualquier tipo de
instrucción que comprometa a nuestro sistema. También abre un
servidor FTP que permite el acceso a cualquier archivo. Y no
hay nada que nos asegure que por borrar al Sasser de nuestro
sistema, nos libraremos de la posibilidad de exista "una
bomba a punto de estallar" en alguna parte de nuestra casa.

Concretamente, no hay forma de saber cuántas nuevas
modificaciones del exploit están dando vueltas por Internet,
y cuantas formas maliciosas pueden llegar a crearse a partir
de las mismas. Por ello, detectar una infección con el gusano
Sasser, ameritaría no solo la limpieza del sistema infectado,
sino la completa reinstalación del mismo (y posterior
actualización de los parches e instalación o activación de un
cortafuegos), como única forma de asegurarnos contra las
posibles consecuencias.

Cómo seguramente habrán más exámenes, sería muy bueno que la
próxima vez tengamos mejor aprendidas las lecciones.


* Más información:

Preguntas frecuentes sobre el Sasser
http://www.vsantivirus.com/faq-sasser.htm

Preguntas frecuentes sobre el Lovsan (Blaster)
http://www.vsantivirus.com/faq-lovsan.htm



.

Respuesta Responder a este mensaje
Ads by Google
Help Hacer una preguntaSiguiente Respuesta Tengo una respuesta
Search Busqueda sugerida