------------------------------------------------------------------- Hispasec - una-al-d�a 05/06/2003 Todos los d�as una noticia de seguridad www.hispasec.com -------------------------------------------------------------------
"BugBear.B": descripci�n y soluciones -------------------------------------- Como ya adelantamos en el "una-al-d�a" de ayer, BugBear.B est� protagonizando una de las distribuciones m�s explosivas que se recuerdan, por el gran n�mero de mensajes infectados que circulan en las primeras horas. Aunque este nuevo incidente invita a la reflexi�n, vamos a dedicar la entrega de hoy a la descripci�n del esp�cimen y a las soluciones que se est�n facilitando para desinfectar los sistemas afectados. "BugBear.B" tiene funcionalidades propias de un gusano, un virus, y un troyano de puerta trasera. Adem�s de distribuirse de forma masiva a trav�s del e-mail y por los recursos compartidos de las redes locales, es capaz de infectar determinados ejecutables de Windows, captura todas las pulsaciones de teclado, y abre una puerta trasera en los sistemas infectados que permite el acceso y control indiscriminado de forma remota. Escrito en Microsoft Visual C++, el virus original tiene un tama�o de 170KB, si bien ha sido comprimido con la utilidad UPX para su distribuci�n, por lo que nos llega con un tama�o de unos 72Kb (72,192 bytes). La instalaci�n en el sistema Cuando es ejecutado e infecta un sistema procede a copiarse en la carpeta de inicio como .EXE con un nombre al azar, de esta forma se asegura su ejecuci�n cada vez que iniciemos una sesi�n en Windows. Adem�s copia tres archivos .DLL en el directorio de sistema de Windows, uno de ellos es el "keylogger" que captura y archiva las pulsaciones de teclado, informaci�n accesible de forma remota gracias a la puerta trasera que abre "BugBear.B". Adicionalmente crea tambi�n dos archivos con nombres al azar, uno con extensi�n .DAT en la carpeta de Windows y el segundo con extensi�n .TMP en la carpeta temporal del sistema. Infecci�n de otros ejecutables En su faceta como virus, "BugBear.B" contiene en su interior una lista de archivos "v�ctimas" a los que infectar: scandskw.exe regedit.exe mplayer.exe hh.exe notepad.exe winhelp.exe Internet Explorer\iexplore.exe adobe\acrobat 5.0\reader\acrord32.exe WinRAR\WinRAR.exe Windows Media Player\mplayer2.exe Real\RealPlayer\realplay.exe Outlook Express\msimn.exe Far\Far.exe CuteFTP\cutftp32.exe Adobe\Acrobat 4.0\Reader\AcroRd32.exe ACDSee32\ACDSee32.exe MSN Messenger\msnmsgr.exe WS_FTP\WS_FTP95.exe QuickTime\QuickTimePlayer.exe StreamCast\Morpheus\Morpheus.exe Zone Labs\ZoneAlarm\ZoneAlarm.exe Trillian\Trillian.exe Lavasoft\Ad-aware 6\Ad-aware.exe AIM95\aim.exe Winamp\winamp.exe DAP\DAP.exe ICQ\Icq.exe kazaa\kazaa.exe winzip\winzip32.exe Infecci�n en redes locales Adem�s del sistema local, la b�squeda e infecci�n de los archivos de la lista anterior se extiende a todos los recursos compartidos de la red a los que tenga acceso, donde adicionalmente el gusano realiza copias de si mismo bajo extensi�n .EXE y con nombres de archivo al azar en las carpetas de inicio, con el fin de provocar la infecci�n de esos sistemas al iniciar una nueva sesi�n. Troyano y puerta trasera Como ya hemos avanzado, "BugBear.B" cuenta con un m�dulo "keylogger" encargado de espiar y archivar todas las pulsaciones de teclado del sistema infectado. De esta forma quedar�a recogida toda la informaci�n que el usuario escribe, incluido datos sensibles como contrase�as. Para tener acceso a la informaci�n y control del sistema infectado, "BugBear.B" abre una puerta trasera en el puerto TCP/1080 que queda a la escucha de las ordenes remotas. Entre las acciones que pueden llevarse a cabo destacan: - listado, copia y eliminaci�n de archivos y directorios - listado y finalizaci�n de procesos y aplicaciones en memoria - descarga y ejecuci�n arbitraria de archivos - acceso a la informaci�n capturada por el "keylogger" - abrir un servidor HTTP (TCP/80) para navegar por las unidades del sistema infectado de forma indiscriminada - informaci�n diversa sobre el sistema y listado de recursos de la red local Finalizaci�n de antivirus y firewalls personales "BugBear.B" contiene una rutina que tiene como fin desactivar una serie de procesos y aplicaciones del sistema infectado, que corresponden a productos antivirus y firewalls personales, para evitar as� que estas soluciones puedan "entorpecer" su misi�n. Seg�n el siguiente listado: ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE VSHWIN32.EXE VSECOMR.EXE VSCAN40.EXE VETTRAY.EXE VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE SERV95.EXE SCRSCAN.EXE SCANPM.EXE SCAN95.EXE SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE PAVW.EXE PAVSCHED.EXE PAVCL.EXE PADMIN.EXE OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE NAVNT.EXE NAVLU32.EXE NAVAPW32.EXE N32SCANW.EXE MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE ICSUPP95.EXE ICMON.EXE ICLOADNT.EXE ICLOAD95.EXE IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE F-STOPW.EXE F-PROT95.EXE F-PROT.EXE F-AGNT95.EXE ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE CLAW95.EXE CFINET32.EXE CFINET.EXE CFIAUDIT.EXE CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE AVPM.EXE AVPDOS32.EXE AVPCC.EXE AVP32.EXE AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE ANTI-TROJAN.EXE ACKWIN32.EXE _AVPM.EXE _AVPCC.EXE _AVP32.EXE LOCKDOWN2000.EXE Distribuci�n por e-mail Esta es sin duda la funcionalidad estrella a la que debe la alta propagaci�n conseguida. Destaca la capacidad de recoger informaci�n de otros mensajes que se encuentran en el sistema infectado para confeccionar el e-mail que distribuye al gusano. Esto dota de un mayor realismo a los mensajes que env�a el gusano, ya que suelen contar con asuntos y cuerpos reales, escritos en el lenguaje de la v�ctima, simulando ser una respuesta o un reenv�o de un mensaje original. Los destinatarios de los mensajes los recolecta de la bandeja de entrada del sistema infectado, y adicionalmente de archivos con extensi�n: .mmf .nch .mbx .eml .tbb .dbx .ocs El gusano cuenta con su propio motor SMTP, no necesitando contar con un cliente de correo determinado para propagarse. Los datos del servidor SMTP los recoge de la clave del registro de Windows: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Account Manager\Accounts Al igual que ocurre con el famoso "Klez", el gusano falsea la direcci�n del remitente, lo que dificulta conocer y avisar a los sistemas que realmente est�n infectados y distribuyen el virus. El nombre del archivo adjunto con el gusano lo selecciona de los archivos que encuentra en la carpeta del usuario, seg�n la clave del registro de Windows HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Explorer\Shell Folders\[usuario] o de la carpeta Mis Documentos del sistema infectado que tenga alguna de las siguientes extensiones: .reg .ini .bat .diz .txt .cpp .html .htm .jpeg .jpg .gif .cpl .dll .vxd .sys .com .exe .bmp Al nombre de archivo seleccionado le a�ade la segunda extensi�n real, que puede ser: .scr .pif .exe Por lo que el archivo adjunto puede tener el siguiente aspecto: nombrededocumento.DOC.PIF archivografico.JPG.EXE hojadecualquiercosa.XLS.SCR Adem�s puede crear y enviarse en mensajes nuevos, contando con una lista fija de posibles asuntos: Hello! update hmm.. Payment notices Just a reminder Correction of errors history screen Announcement various Introduction Interesting... I need help about script!!! Stats Please Help... Report Membership Confirmation Get a FREE gift! Today Only New Contests Lost & Found bad news wow! fantastic click on this! Market Update Report empty account My eBay ads Cows 25 merchants and rising CALL FOR INFORMATION! new reading Sponsors needed SCAM alert!!! Warning! its easy free shipping! News Daily Email Reminder Tools For Your Online Business New bonus in your cash account Your Gift Re: $150 FREE Bonus! Your News Alert Hi! Get 8 FREE issues - no risk! Greets! Tambi�n cuenta con una lista fija de posibles nombres de archivo: DATA SONG MUSIC VIDEO PHOTO RESUME PICS IMAGES IMAGE NEWS DOCS CARD SETUP README De forma aleatoria, el mensaje infectado puede incluir la explotaci�n de la conocida vulnerabilidad "IFRAME/MIME", tambi�n aprovechada por gusanos como "Klez", que provocar�a la ejecuci�n autom�tica del adjunto al visualizar el mensaje en aquellos sistemas no actualizados. "BugBear.B" evita enviarse a direcciones de correo que contentan alguna de las siguientes cadenas: list localdomain localhost lyris mailer-daemon majordom nobody@ noreply postmaster@ recipients remove root@ spam talk ticket trojan undisclosed virus Efectos colaterales y otras curiosidades Al igual que ocurre con otros gusanos que se distribuyen a trav�s de las redes locales, "BugBear.B" no distingue entre los recursos compartidos las unidades de red y las impresoras, por lo que en ocasiones intentar� copiarse a una impresora, provocando que �sta imprima "basura". El "keylogger", preparado para el idioma ingl�s, no funciona de forma adecuada con el car�cter tilde "�", de forma que no permite poner el acento ortogr�fico en la vocal y lo duplica a continuaci�n, por ejemplo "informa��tica". "BugBear.B" cuenta con un listado interno de m�s de mil dominios pertenecientes a entidades bancarias. Cuando detecta que ha infectado un sistema cuya cuenta de direcci�n de correo electr�nico pertenece a uno de estos dominios, activa la clave de auto-dialing en el registro de Windows: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings "EnableAutodial"="0000001" Soluciones Como ya avanzamos en la anterior entrega de "una-al-d�a", las medidas de prevenci�n pasan por no abrir archivos adjuntos no solicitados, y en esta ocasi�n atendiendo especialmente a aquellos que nos lleguen con las extensiones .EXE, .PIF o .SCR, teniendo en cuenta el uso de la doble extensi�n por parte del gusano. Por su parte los administradores de servidores de correo tambi�n puede aplicar sencillos filtros para evitar este tipo de archivos adjuntos. La inmensa mayor�a de las casas antivirus ya cuentan con la actualizaci�n pertinente, por lo que los usuarios de estas soluciones deber�n forzar la actualizaci�n a demanda de su producto para contar con la protecci�n adecuada y poder desinfectar sus sistemas. Adem�s, las diferentes firmas antivirus han puesto a disposici�n de los usuarios de forma gratuita diversas utilidades espec�ficas de detecci�n y desinfecci�n de "BugBear.B". A continuaci�n listamos algunas de las que tenemos conocimiento en este momento (en nuestra p�gina web actualizaremos el listado con la informaci�n que nos hagan llegar al respecto las casas antivirus): BitDefender http://www.bitdefender.com/descarga/evaluacion/Antibugbear-es.exe Panda Software http://updates.pandasoftware.com/pq/gen/bugbearb/pqremove.com Symantec http://securityresponse.symantec.com/avcenter/FixBugb.exe Opina sobre esta noticia: http://www.hispasec.com/unaaldia/1684/comentar M�s informaci�n: Alerta gusano: BugBear.B http://www.hispasec.com/unaaldia/1683 Bugbear.B http://www.alerta-antivirus.es/virus/detalle_virus.html?cod=2644 [EMAIL PROTECTED] http://www.bitdefender-es.com/virusi/virusi_descrieri.php?virus_id=153 Win32.Bugbear.B http://www3.ca.com/virusinfo/virus.aspx?ID=35384 WIN32/BUGBEAR.B http://www.enciclopediavirus.com/virus/vervirus.php?id=381 Win32.Bugbear.b http://www.esafe.com/home/csrt/analysis.asp?virus_no=11494&cf=tl Bugbear.B http://www.f-secure.com/v-descs/bugbear_b.shtml W32/[EMAIL PROTECTED] http://www.hacksoft.com.pe/virus/w32_bugbear_b.htm W32/[EMAIL PROTECTED] http://vil.mcafee.com/dispVirus.asp?virus_k=100358 W32/[EMAIL PROTECTED] http://www.norman.com/virus_info/w32_bugbear_b_mm.shtml Bugbear.B http://www.pandasoftware.es/virus_info/enciclopedia/verficha.aspx?idvirus=39 823&sind=0 BUGBEAR.B http://www.perantivirus.com/sosvirus/virufamo/bugbearb.htm Win32/[EMAIL PROTECTED] http://www.ravantivirus.com/virus/showvirus.php?v=190 W32/Bugbear-B http://esp.sophos.com/virusinfo/analyses/w32bugbearb.html W32/Bugbear-B http://www.sybari.com/alerts/alertdetail.asp?Name=W32/Bugbear-B [EMAIL PROTECTED] http://www.symantec.com/avcenter/venc/data/[EMAIL PROTECTED] PE_BUGBEAR.B http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=PE_BUGBEAR.B I-Worm.Tanatos.b (aka Bugbear.b) http://www.viruslist.com/eng/viruslist.html?id=60814 W32/Bugbear.B. Peligroso gusano de gran propagaci�n http://www.vsantivirus.com/bugbear-b.htm Bernardo Quintero [EMAIL PROTECTED] Tal d�a como hoy: ----------------- 05/06/2002: SSH, o como establecer conexiones y copiar ficheros de forma segura http://www.hispasec.com/unaaldia/1319 05/06/2001: Actualizaci�n de contenidos en CriptoRed http://www.hispasec.com/unaaldia/954 05/06/2000: El i-worm "Timof�nica" env�a mensajes a m�viles http://www.hispasec.com/unaaldia/587 05/06/1999: Nuevo fallo en el Pentium III http://www.hispasec.com/unaaldia/221 ------------------------------------------------------------------- Claves PGP en http://www.hispasec.com/directorio/contacto ------------------------------------------------------------------- Bajas: mailto:[EMAIL PROTECTED] Altas: mailto:[EMAIL PROTECTED] ------------------------------------------------------------------- (c) 2003 Hispasec http://www.hispasec.com/copyright ------------------------------------------------------------------- _______________________________________________ llista de correu de l'Internauta [EMAIL PROTECTED] http://zeus.internauta.net/mailman/listinfo/internauta
