Forums Últimos mensajes - Powered by IBM
 
Tags Palabras claves

[Seguridad] Virus sasser consideraciones

07/05/2004 - 14:13 por fermu | Informe spam
Ayuda Hacer una pregunta
Hash: SHA1

Como ya casí todo el mundo sabe, el virus sasser es un gusano que para
propagarse a otros equipos, aprovecha la vulnerabilidad en el proceso
LSASS (Local Security Authority Subsystem). Sólo afecta a equipos
Windows 2000/XP y Windows Server 2003 sin actualizar. El virus sasser
actuará de scanner en el equipo afectado para detectar la posibilidad
de infectar a otro equipos que no tengan cubierta la citada
vulnerabilidad con lo cual detectaremos un intenso tráfico de salida
provocado precisamente, por este escaneo.

Los síntomas de la infección son:
Aviso de reinicio del equipo en 1 minuto.
Tráfico en los puertos TCP 445, 5554 y 9996.

Estimo que estos síntomas serán variables, el aviso de reinicio podría
desaparecer en cuanto su código se perfeccione, con lo cual el único
síntoma que nos quedaría sería el tráfico en los puertos antes citados,
los pasos para desinfectarlos, recomendados por las diferentes casas de
antivirus son los siguientes:

1. Bajar el parche MS04-011 de la web de Microsoft.

2. Desconectar el PC de la Red.

3. Ejecutar el parche MS04-011.

4. Eliminar los arhivos avserve.exe y win.log del directorio de Windows
y el raíz respectivamente.

5. Acceder al registro de sistema mediante la ejecución del regedit (
Menú Inicio, Ejecutar, Regedit ).

6. Buscar la entrada creada por el Sasser.A ( Edición, Buscar: avserve)
y eliminarla ( Edición, Eliminar).

7. Sólo para usuarios de Windows XP, desactivar la herramienta de
Restaurar Sistema ( Menú Inicio, Panel de Control, Sistema, Lengueta:
Restaurar sistema, marcar la casilla: Deshabilitar Restaurar sistema ).

8. Instalación de un Firewall. En el caso de Windows XP o 2003 puede
recurrirse al Firewall propio. ( Menú Inicio, Panel de Control,
Conexiones de Red, Propiedades de la conexión principal, Lengueta:
Avanzadas, marcar la casilla: Proteger mi equipo y mi red limitando o
impidiendo el acceso a él desde Internet ).

Los pasos anteriormente mencionados pueden ser suficientes
para la mayoría de los usuarios...
No obstante, hay que recordar que el sasser, al igual que el blaster, es
una puerta que permitirá la entrada
de otros gusanos y troyanos algunos con componente rootkit. En este
punto, y dada la importancia que tiene la instalación de un rootkit,
cabe definir que es exactamente esta herramienta. Con este nombre
definimos básicamente una herramienta de ocultación de servicios,
conexiones, etc, etc... Un rootkit suele ir ligado a un troyano, es
decir, el troyano es la herramienta para manejar el sistema y el rootkit
la herramienta para ocultarlo.

Hay que resaltar que la instalación de un troyano, siempre que contemos
con los servicios de un antivirus actualizado no es sencilla, ya que la
mayoría detectará un intento de infección.

Está claro que si se nos ha instalado el sasser, no contamos con las
herramientas básicas de seguridad en un sistema, es decir, firewall,
antivirus y sistema parcheado y actualizado, la pregunta que cabe
hacernos es: ¿Podemos recuperar nuestro sistema sin formateo?, ¿si
formateamos nuestra máquina estará segura?. Estás son preguntas
controvertidas, al respecto cabe decir, que ni Microsoft ni ninguna casa
de antivirus, recomienda el formateo como medio para recuperar un
sistema. Yo no soy partidario de esta solución ya que, lo veo demasiado
drástico, pero... hay que tener en cuenta nuestra situación mi postura
es que cualquier sistema es recuperable, sin necesidad de formateo.
Poniéndonos de cara a un usuario doméstico, cabe decir que quizas la
solución no sea del todo desacertada. Pero, creo, que habría que mirar
el caso específico de cada usuario. Una vez infectados por el sasser,
debemos valorar si la recuperación del sistema es más rentable (en
cuanto a tiempo) que la recuperación del sistema.

Naturalmente el formateo no es solución, si no aprendemos la lección:

1. Usar firewall
2. Usar antivirus
3. Tener nuestro sistema al corriente de los diferentes parches.


Como conclusión, resaltar que no es aconsejable en absoluto recomendar
el formateo como norma general y recordar que la casa de Antivirus Panda
ha desarrollado una herramienta para desinfectar el PC y recuperarlo a
su estado anterior. Esta solución, sin ser tan drástica como el formateo
podría servir para solventar el problema que se plantea con la infección
de tan peligroso virus, la valoración, como norma general la debería
hacer el usuario, sin imposiciones, cada caso puede ser un mundo, por lo
que estandarizar el problema podría ser hasta peligroso.

Enlaces relacionados

http://www.pandasoftware.es/home/default.asp

saludos
email Siga el debateRespuesta 48 respuestasRespuesta Tengo una respuesta

Preguntas similare

Mostrar todos los temas similares

Leer las respuestas

#6 fermu
07/05/2004 - 16:14 | Informe spam
Hash: SHA1

JM Tella Llop [MVP Windows] escribió:
| Repito por ultima vez:
|
| Miralo bajo el prisma que yo lo miro: yo uso mucho la banca on-line.
Realizo muchas transacciones comerciales con mi maquina. Uso mucho las
tarjetas de credito para compras online. Tengo informacion confidencial
(o importante) de mi trabajo en mi maquina.
| Por tanto, no puedo arriesgarme a que en cualquier momento.
|
| Ahora bien tu haz lo que quieras.
|
|

Estimado Tella:

Para mi siempre es un placer debatir contigo puesto que te considero una
persona que indublemente tiene bastantes conocimientos en informática.
Ahora bien, en primer lugar, yo jamás posteo como anónimo, de hecho está
ip (desde la que escribo) es fija y habitualmente no me escondó nunca
para rebatir.

Aclarado este punto, creo que es necesario recalcar que yo no rechazo la
posibilidad de realizar un formateo para solventar una posible
infección, de hecho la he recomendado en algún hilo que otro.

Es evidente, que un volumen de transacciones por banca electrónica hacen
especialmente sensible un ordenador, no ya infectado con el virus
sasser, sino con un troyano-rootkit, la solución indublemente, no sólo
es formatear, también tendrías que cambiar todas las claves de tu banco.
~ Pero, en ello, creo que me das la razón, cada caso puede ser un mundo

Empresarialmente, no me cabe en la cabeza, como, Por ejemplo, la
audiencia nacional se halla visto infectada por este virus. Está claro
que la solución no es formatear, es concienciar al usuario en conceptos
de seguridad informática. Además, a nivel empresarial, se hace
aconsejable un Sistema de Detección de Intrusiones en toda regla, que
garantize la integridad de NUESTROS datos, porque hay que recordar que
los organismos oficiales tienen datos sensibles de muchos ciudadanos.

La solución, el formateo no lo es, es la reeducación, manejar un
ordenador, no es manejar un microondas.

Saludos,

Fernando M.
Respuesta Responder a este mensaje
#7 JM Tella Llop [MVP Windows]
07/05/2004 - 16:23 | Informe spam
Bueno... mi respuesta anterior iba al "anonimo" que evidentemente sabía que no eras tu. Ese "anonimo", no debate... simplemente ve una opinion mia, y por el mero hecho de ser mia... la discute (con cero de conocimientos, que no es tu caso tampoco).

Efectivamente, en el hipotetico caso de que yo resultase que he sido vulnerable, tal y comenté en mi articuoo, lo primero pasa por cambias todas las claves, tanto bancarias como de la maquina, red, etc,,, y no volver a usar las anteriores. Pero esto no basta, porque si nos han metido el rootkit... volverá a capturar las nuevas y las enviará.

Esto no es hipotetico... mucho mas raro y dificil era la falsdificacion de URL's para usar como cebo de paginas bancarias... y te puedo asegurar que la banca ha perdido mucho dinero para no repercutirselo a los clinetes por culpa de eso..

La solucion, pasa evidentemente por la concienciacion. Eso lo primero: nos hartamos en repetir siempre lo del uso del sentido comun, el uso de cortafuegos, las actualizaciones criticas... etc. Y yo soy el primero que lo cumplo a rajatabla. Pero, repito, si yo resultase infectado seria el primero en formatear.

Y si mi ejemplo vale de algo. solo pido que se escuche, que se lean los motivos que expuse en mi articulo... y sobre todo que usen el sentido comun.

Además, y en plan egosita pediria el formateo.. porque un rouutkit puede hacer muchas cosas: incluso atacar a otras maquinas.. ty no me gustan maquinas asesinas o zombies en la red.

Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
You assume all risk for your use.




"fermu" wrote in message news:erl$
Hash: SHA1

JM Tella Llop [MVP Windows] escribió:
| Repito por ultima vez:
|
| Miralo bajo el prisma que yo lo miro: yo uso mucho la banca on-line.
Realizo muchas transacciones comerciales con mi maquina. Uso mucho las
tarjetas de credito para compras online. Tengo informacion confidencial
(o importante) de mi trabajo en mi maquina.
| Por tanto, no puedo arriesgarme a que en cualquier momento.
|
| Ahora bien tu haz lo que quieras.
|
|

Estimado Tella:

Para mi siempre es un placer debatir contigo puesto que te considero una
persona que indublemente tiene bastantes conocimientos en informática.
Ahora bien, en primer lugar, yo jamás posteo como anónimo, de hecho está
ip (desde la que escribo) es fija y habitualmente no me escondó nunca
para rebatir.

Aclarado este punto, creo que es necesario recalcar que yo no rechazo la
posibilidad de realizar un formateo para solventar una posible
infección, de hecho la he recomendado en algún hilo que otro.

Es evidente, que un volumen de transacciones por banca electrónica hacen
especialmente sensible un ordenador, no ya infectado con el virus
sasser, sino con un troyano-rootkit, la solución indublemente, no sólo
es formatear, también tendrías que cambiar todas las claves de tu banco.
~ Pero, en ello, creo que me das la razón, cada caso puede ser un mundo

Empresarialmente, no me cabe en la cabeza, como, Por ejemplo, la
audiencia nacional se halla visto infectada por este virus. Está claro
que la solución no es formatear, es concienciar al usuario en conceptos
de seguridad informática. Además, a nivel empresarial, se hace
aconsejable un Sistema de Detección de Intrusiones en toda regla, que
garantize la integridad de NUESTROS datos, porque hay que recordar que
los organismos oficiales tienen datos sensibles de muchos ciudadanos.

La solución, el formateo no lo es, es la reeducación, manejar un
ordenador, no es manejar un microondas.

Saludos,

Fernando M.
Respuesta Responder a este mensaje
#8 Anonimo
07/05/2004 - 16:45 | Informe spam
Por partes, como diría Jack el Destripador:

Respecto a la banca on-line. Suelen utilizar no sólo
códigos de acceso y contraseña para acceder, sino también
claves de confirmación para las operaciones y estas claves
están en una tarjeta que evidentemente ningun software
puede leer. Además en caso de una operación anómala, el
propio banco se tomaría mucho interés en el asunto.

Respecto a las tarjetas de crédito. En caso de operaciones
no presenciales (es el caso de las operaciones por
internet) con tarjeta de crédito, la carga de la prueba la
tiene el vendedor. Por lo tanto, cuando si te llega un
cargo indebido, es suficiente con comunicarlo al banco.

Respecto a la información confidencial. Si realmente es
importante, no la tengas en un equipo. Debe tenerse en
soporte informatico, cifrada y en caja fuerte; y utilizarla
en un equipo no conectado a internet. Evidentemente en la
confidencialidad también hay grados y puedes ir rebajando
medidas.

En lo último coincido. Cada uno que haga lo que crea
oportuno, pero... cuando se aconseja se debe aconsejar
objetivamente, NO MIRANDO CON TU PRISMA.







Repito por ultima vez:

Miralo bajo el prisma que yo lo miro: yo uso mucho la


banca on-line. Realizo muchas transacciones comerciales con
mi maquina. Uso mucho las tarjetas de credito para compras
online. Tengo informacion confidencial (o importante) de mi
trabajo en mi maquina.
Por tanto, no puedo arriesgarme a que en cualquier


momento.

Ahora bien tu haz lo que quieras.


Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de


ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and


confers no rights.
You assume all risk for your use.




wrote in message


news:9dbb01c4343b$151ca490$
Sigues sin comprender que no es lo mismo nuestro pc que un
sistema informático de una empresa y mucho menos el de un
banco o los de la administración pública.

Leelo despacio haber si asi lo entiendes.

Esta diferencia es evidente en varios aspectos. No es lo
mismo una parada en nuestro pc que en esos sistemas. No es
lo mismo una perdida de datos en nuestro pc que en esos
sistemas. No es lo mismo una intrusión en nuestro pc que en
esos sistemas.







YUo sigo aconsejando el formateo por un simple motivo. El


posible rootkit: aara un tecnico en informatica puede ser
mas o menos costos quitarlo dependiendo con que tecnicas
esté realizado (por suepuesto ninguna herramienta en este
caso te lo va a quitar). Pero para un usuario final es algo
imposible de hacer.

Miralo bajo el prisma que yo lo miro: yo uso mucho la


banca on-line. Realizo muchas transacciones comerciales con
mi maquina. Uso mucho las tarjetas de credito para compras
online. Tengo informacion confidencial (o importante) de mi
trabajo en mi maquina.
Por tanto, no puedo arriesgarme a que en cualquier


momento... dicha informacion salga de mi maquina. Y si me
meten un rottkit bien diseñado, por mucho que use el
parche, me limpie con las herramientas de limpieza de las
casas de antivirus, etc. esa informacion saldrá.

Ahora te pregunto tambien: en el hipotetico caso que el


ministerior del interior, hacienda, etc. fuese
infectado, tu como usuario y para integridad de tus datos
no les EXIGIRIAS que formateasen sus maquinas?

Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de


ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and


confers no rights.
You assume all risk for your use.




"fermu" wrote in message


news:e%
Hash: SHA1

Como ya casí todo el mundo sabe, el virus sasser es un




gusano que para
propagarse a otros equipos, aprovecha la vulnerabilidad




en el proceso
LSASS (Local Security Authority Subsystem). Sólo afecta




a equipos
Windows 2000/XP y Windows Server 2003 sin actualizar.




El virus sasser
actuará de scanner en el equipo afectado para detectar




la posibilidad
de infectar a otro equipos que no tengan cubierta la citada
vulnerabilidad con lo cual detectaremos un intenso




tráfico de salida
provocado precisamente, por este escaneo.

Los síntomas de la infección son:
Aviso de reinicio del equipo en 1 minuto.
Tráfico en los puertos TCP 445, 5554 y 9996.

Estimo que estos síntomas serán variables, el aviso de




reinicio podría
desaparecer en cuanto su código se perfeccione, con lo




cual el único
síntoma que nos quedaría sería el tráfico en los puertos




antes citados,
los pasos para desinfectarlos, recomendados por las




diferentes casas de
antivirus son los siguientes:

1. Bajar el parche MS04-011 de la web de Microsoft.

2. Desconectar el PC de la Red.

3. Ejecutar el parche MS04-011.

4. Eliminar los arhivos avserve.exe y win.log del




directorio de Windows
y el raíz respectivamente.

5. Acceder al registro de sistema mediante la ejecución




del regedit (
Menú Inicio, Ejecutar, Regedit ).

6. Buscar la entrada creada por el Sasser.A ( Edición,




Buscar: avserve)
y eliminarla ( Edición, Eliminar).

7. Sólo para usuarios de Windows XP, desactivar la




herramienta de
Restaurar Sistema ( Menú Inicio, Panel de Control,




Sistema, Lengueta:
Restaurar sistema, marcar la casilla: Deshabilitar




Restaurar sistema ).

8. Instalación de un Firewall. En el caso de Windows XP




o 2003 puede
recurrirse al Firewall propio. ( Menú Inicio, Panel de




Control,
Conexiones de Red, Propiedades de la conexión principal,




Lengueta:
Avanzadas, marcar la casilla: Proteger mi equipo y mi




red limitando o
impidiendo el acceso a él desde Internet ).

Los pasos anteriormente mencionados pueden ser suficientes
para la mayoría de los usuarios...
No obstante, hay que recordar que el sasser, al igual




que el blaster, es
una puerta que permitirá la entrada
de otros gusanos y troyanos algunos con componente




rootkit. En este
punto, y dada la importancia que tiene la instalación de




un rootkit,
cabe definir que es exactamente esta herramienta. Con




este nombre
definimos básicamente una herramienta de ocultación de




servicios,
conexiones, etc, etc... Un rootkit suele ir ligado a un




troyano, es
decir, el troyano es la herramienta para manejar el




sistema y el rootkit
la herramienta para ocultarlo.

Hay que resaltar que la instalación de un troyano,




siempre que contemos
con los servicios de un antivirus actualizado no es




sencilla, ya que la
mayoría detectará un intento de infección.

Está claro que si se nos ha instalado el sasser, no




contamos con las
herramientas básicas de seguridad en un sistema, es




decir, firewall,
antivirus y sistema parcheado y actualizado, la pregunta




que cabe
hacernos es: ¿Podemos recuperar nuestro sistema sin




formateo?, ¿si
formateamos nuestra máquina estará segura?. Estás son




preguntas
controvertidas, al respecto cabe decir, que ni Microsoft




ni ninguna casa
de antivirus, recomienda el formateo como medio para




recuperar un
sistema. Yo no soy partidario de esta solución ya que,




lo veo demasiado
drástico, pero... hay que tener en cuenta nuestra




situación mi postura
es que cualquier sistema es recuperable, sin necesidad




de formateo.
Poniéndonos de cara a un usuario doméstico, cabe decir




que quizas la
solución no sea del todo desacertada. Pero, creo, que




habría que mirar
el caso específico de cada usuario. Una vez infectados




por el sasser,
debemos valorar si la recuperación del sistema es más




rentable (en
cuanto a tiempo) que la recuperación del sistema.

Naturalmente el formateo no es solución, si no




aprendemos la lección:

1. Usar firewall
2. Usar antivirus
3. Tener nuestro sistema al corriente de los diferentes




parches.


Como conclusión, resaltar que no es aconsejable en




absoluto recomendar
el formateo como norma general y recordar que la casa de




Antivirus Panda
ha desarrollado una herramienta para desinfectar el PC y




recuperarlo a
su estado anterior. Esta solución, sin ser tan drástica




como el formateo
podría servir para solventar el problema que se plantea




con la infección
de tan peligroso virus, la valoración, como norma




general la debería
hacer el usuario, sin imposiciones, cada caso puede ser




un mundo, por lo
que estandarizar el problema podría ser hasta peligroso.

Enlaces relacionados

http://www.pandasoftware.es/home/default.asp

saludos


.



.

Respuesta Responder a este mensaje
#9 JM Tella Llop [MVP Windows]
07/05/2004 - 16:51 | Informe spam
diselo al resto de usuarios que son como tu :-)

de verdad.. pecas de una prepotencia que te faltan conocimientos para poder presumir de ella. jeje...:-))))

Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
You assume all risk for your use.




wrote in message news:9e3f01c43441$fc3d9770$
Por partes, como diría Jack el Destripador:

Respecto a la banca on-line. Suelen utilizar no sólo
códigos de acceso y contraseña para acceder, sino también
claves de confirmación para las operaciones y estas claves
están en una tarjeta que evidentemente ningun software
puede leer. Además en caso de una operación anómala, el
propio banco se tomaría mucho interés en el asunto.

Respecto a las tarjetas de crédito. En caso de operaciones
no presenciales (es el caso de las operaciones por
internet) con tarjeta de crédito, la carga de la prueba la
tiene el vendedor. Por lo tanto, cuando si te llega un
cargo indebido, es suficiente con comunicarlo al banco.

Respecto a la información confidencial. Si realmente es
importante, no la tengas en un equipo. Debe tenerse en
soporte informatico, cifrada y en caja fuerte; y utilizarla
en un equipo no conectado a internet. Evidentemente en la
confidencialidad también hay grados y puedes ir rebajando
medidas.

En lo último coincido. Cada uno que haga lo que crea
oportuno, pero... cuando se aconseja se debe aconsejar
objetivamente, NO MIRANDO CON TU PRISMA.







Repito por ultima vez:

Miralo bajo el prisma que yo lo miro: yo uso mucho la


banca on-line. Realizo muchas transacciones comerciales con
mi maquina. Uso mucho las tarjetas de credito para compras
online. Tengo informacion confidencial (o importante) de mi
trabajo en mi maquina.
Por tanto, no puedo arriesgarme a que en cualquier


momento.

Ahora bien tu haz lo que quieras.


Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de


ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and


confers no rights.
You assume all risk for your use.




wrote in message


news:9dbb01c4343b$151ca490$
Sigues sin comprender que no es lo mismo nuestro pc que un
sistema informático de una empresa y mucho menos el de un
banco o los de la administración pública.

Leelo despacio haber si asi lo entiendes.

Esta diferencia es evidente en varios aspectos. No es lo
mismo una parada en nuestro pc que en esos sistemas. No es
lo mismo una perdida de datos en nuestro pc que en esos
sistemas. No es lo mismo una intrusión en nuestro pc que en
esos sistemas.







YUo sigo aconsejando el formateo por un simple motivo. El


posible rootkit: aara un tecnico en informatica puede ser
mas o menos costos quitarlo dependiendo con que tecnicas
esté realizado (por suepuesto ninguna herramienta en este
caso te lo va a quitar). Pero para un usuario final es algo
imposible de hacer.

Miralo bajo el prisma que yo lo miro: yo uso mucho la


banca on-line. Realizo muchas transacciones comerciales con
mi maquina. Uso mucho las tarjetas de credito para compras
online. Tengo informacion confidencial (o importante) de mi
trabajo en mi maquina.
Por tanto, no puedo arriesgarme a que en cualquier


momento... dicha informacion salga de mi maquina. Y si me
meten un rottkit bien diseñado, por mucho que use el
parche, me limpie con las herramientas de limpieza de las
casas de antivirus, etc. esa informacion saldrá.

Ahora te pregunto tambien: en el hipotetico caso que el


ministerior del interior, hacienda, etc. fuese
infectado, tu como usuario y para integridad de tus datos
no les EXIGIRIAS que formateasen sus maquinas?

Jose Manuel Tella Llop
MVP - Windows

http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de


ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and


confers no rights.
You assume all risk for your use.




"fermu" wrote in message


news:e%
Hash: SHA1

Como ya casí todo el mundo sabe, el virus sasser es un




gusano que para
propagarse a otros equipos, aprovecha la vulnerabilidad




en el proceso
LSASS (Local Security Authority Subsystem). Sólo afecta




a equipos
Windows 2000/XP y Windows Server 2003 sin actualizar.




El virus sasser
actuará de scanner en el equipo afectado para detectar




la posibilidad
de infectar a otro equipos que no tengan cubierta la citada
vulnerabilidad con lo cual detectaremos un intenso




tráfico de salida
provocado precisamente, por este escaneo.

Los síntomas de la infección son:
Aviso de reinicio del equipo en 1 minuto.
Tráfico en los puertos TCP 445, 5554 y 9996.

Estimo que estos síntomas serán variables, el aviso de




reinicio podría
desaparecer en cuanto su código se perfeccione, con lo




cual el único
síntoma que nos quedaría sería el tráfico en los puertos




antes citados,
los pasos para desinfectarlos, recomendados por las




diferentes casas de
antivirus son los siguientes:

1. Bajar el parche MS04-011 de la web de Microsoft.

2. Desconectar el PC de la Red.

3. Ejecutar el parche MS04-011.

4. Eliminar los arhivos avserve.exe y win.log del




directorio de Windows
y el raíz respectivamente.

5. Acceder al registro de sistema mediante la ejecución




del regedit (
Menú Inicio, Ejecutar, Regedit ).

6. Buscar la entrada creada por el Sasser.A ( Edición,




Buscar: avserve)
y eliminarla ( Edición, Eliminar).

7. Sólo para usuarios de Windows XP, desactivar la




herramienta de
Restaurar Sistema ( Menú Inicio, Panel de Control,




Sistema, Lengueta:
Restaurar sistema, marcar la casilla: Deshabilitar




Restaurar sistema ).

8. Instalación de un Firewall. En el caso de Windows XP




o 2003 puede
recurrirse al Firewall propio. ( Menú Inicio, Panel de




Control,
Conexiones de Red, Propiedades de la conexión principal,




Lengueta:
Avanzadas, marcar la casilla: Proteger mi equipo y mi




red limitando o
impidiendo el acceso a él desde Internet ).

Los pasos anteriormente mencionados pueden ser suficientes
para la mayoría de los usuarios...
No obstante, hay que recordar que el sasser, al igual




que el blaster, es
una puerta que permitirá la entrada
de otros gusanos y troyanos algunos con componente




rootkit. En este
punto, y dada la importancia que tiene la instalación de




un rootkit,
cabe definir que es exactamente esta herramienta. Con




este nombre
definimos básicamente una herramienta de ocultación de




servicios,
conexiones, etc, etc... Un rootkit suele ir ligado a un




troyano, es
decir, el troyano es la herramienta para manejar el




sistema y el rootkit
la herramienta para ocultarlo.

Hay que resaltar que la instalación de un troyano,




siempre que contemos
con los servicios de un antivirus actualizado no es




sencilla, ya que la
mayoría detectará un intento de infección.

Está claro que si se nos ha instalado el sasser, no




contamos con las
herramientas básicas de seguridad en un sistema, es




decir, firewall,
antivirus y sistema parcheado y actualizado, la pregunta




que cabe
hacernos es: ¿Podemos recuperar nuestro sistema sin




formateo?, ¿si
formateamos nuestra máquina estará segura?. Estás son




preguntas
controvertidas, al respecto cabe decir, que ni Microsoft




ni ninguna casa
de antivirus, recomienda el formateo como medio para




recuperar un
sistema. Yo no soy partidario de esta solución ya que,




lo veo demasiado
drástico, pero... hay que tener en cuenta nuestra




situación mi postura
es que cualquier sistema es recuperable, sin necesidad




de formateo.
Poniéndonos de cara a un usuario doméstico, cabe decir




que quizas la
solución no sea del todo desacertada. Pero, creo, que




habría que mirar
el caso específico de cada usuario. Una vez infectados




por el sasser,
debemos valorar si la recuperación del sistema es más




rentable (en
cuanto a tiempo) que la recuperación del sistema.

Naturalmente el formateo no es solución, si no




aprendemos la lección:

1. Usar firewall
2. Usar antivirus
3. Tener nuestro sistema al corriente de los diferentes




parches.


Como conclusión, resaltar que no es aconsejable en




absoluto recomendar
el formateo como norma general y recordar que la casa de




Antivirus Panda
ha desarrollado una herramienta para desinfectar el PC y




recuperarlo a
su estado anterior. Esta solución, sin ser tan drástica




como el formateo
podría servir para solventar el problema que se plantea




con la infección
de tan peligroso virus, la valoración, como norma




general la debería
hacer el usuario, sin imposiciones, cada caso puede ser




un mundo, por lo
que estandarizar el problema podría ser hasta peligroso.

Enlaces relacionados

http://www.pandasoftware.es/home/default.asp

saludos


.



.

Respuesta Responder a este mensaje
#10 fermu
07/05/2004 - 16:53 | Informe spam
Hash: SHA1

JM Tella Llop [MVP Windows] escribió:


| Y si mi ejemplo vale de algo. solo pido que se escuche, que se
lean los motivos que expuse en mi articulo... y sobre todo que usen el
sentido comun.
|
| Además, y en plan egosita pediria el formateo.. porque un rouutkit
puede hacer muchas cosas: incluso atacar a otras maquinas.. ty no me
gustan maquinas asesinas o zombies en la red.
|

Como díría alguien cuyo nombre no recuerdo, el sentido común es el menos
comun de los sentidos. No obstante tengo que recalcar que la instalación
del virus sasser no tiene porque llevar incorporada la instalación de un
rootkit. Los rootkit como he dicho en algun post, si son detectables,
especialmente si instalamos un sniffer en la red que monitoree todo el
tráfico en nuestra red... también hay herramientas especificas para ello.

No obstante, centrandonos a un nível doméstico, pues... lo que decía
habría que valorar si con solo eliminar el sasser se soluciona nuestro
problema, o bien, se nos ha instalado un troyano-rootkit.

Creo necesario remarcar que un rootkit por si sólo no hace que una
maquina se quede como zombie para lanzar un ataque DoS (por ejemplo),
simplemente oculta el proceso. Además la salida de datos, la podríamos
detectar, simplemente con echar un vistazo al modem. Nos tendriamos que
preguntar ¿si no tengo ninguna conexión activa y un comando "netstat
actividad en las luces del modem?, es evidente, que yo lo primero que
haría sería desconectar el modem de la red y averiguar la causa. Está,
sería mi opción personal. Pero, si ante los primeros sintomas de una
ataque en toda regla, lo que hago es formatear, ¿habré aprendido de mis
fallos?. Yo creo, que evidentemente no.


Respuesta Responder a este mensaje
Ads by Google
Help Hacer una preguntaSiguiente AnteriorRespuesta Tengo una respuesta
Search Busqueda sugerida