- Leer los mensajes de correo electrónico en texto plano.

- No pulsar enlaces que se hayan recibido a través de correo electrónico o programas de mensajería instantánea, enviados por remitentes desconocidos.

- Si el equipo tiene instalado Windows XP, activar DEP (Data Execution Prevention -Prevención de Ejecución de Datos-).

Si quereis mas informacion al respecto os recomiendo visitar "Solo informatica y otras yerbas..."

Lo curioso es que estos boletines de seguridad, uno de los parches que instalan, se encarga de remendar el fallo cometido en un parche anterior, exactamente en el desinstalador de Sony; ya que este dejaba el sistema expuesto a que cualquiera pudiera instalar software de forma remota y sin nuestro consentimiento.

Lo que a mi realmente me alarma, es el numero de "boletines de seguridad", yo personalmente los hubiera llamado "lo siento hemos metido la pata...otra vez.", que salen al cabo del año, después de tantos años aun hay errores en Windows 2000 y respecto al XP prefiero no hacer mención alguna.

Salen fallos cada día y eso no es normal en un Sistema Operativo, es alarmante, mas teniendo en cuenta que dicho SO es el mas usado del mundo. Debería preocuparnos el tema, y sorprendentemente, lo vemos normal, "ah es Windows son cosas suyas...", si nuestro coche se calara sin motivo alguno cada dos por tres nos procuraríamos, pero como es Windows no.

Tiemblo solo de pensar como sera el Windows Vista, ese que deberíamos haber "visto" hace ya unos cuantos años y que todavía se esconde en las entrañas de Microsoft. Por un lado deseo que llegue, pero por otro, por otro lo temo, porque desde el MS-DOS esto ha ido cuesta abajo....

Según Pandalabs se ha detectado la aparición de Sober.AH, una nueva variante de este gusano que se propaga por medio del correo electrónico y que ha comenzado a provocar numerosas incidencias en equipos de usuarios de todo el mundo.

La gran novedad, y también lo que le ha propiciado el éxito a esta nueva variante, es la utilización de Ingeniería Social (el otro día hablábamos de ella) para llevar a cabo sus propósitos. Puede llegar al ordenador como un email simulando proceder del FBI advirtiendo que se ha cometido un delito al acceder a ciertas webs ilegales.

El gusano, por otro lado, es capaz de reenviarse en mensajes escritos en ingles y alemán según la dirección de destino. En caso de que el usuario ejecute un archivo conteniendo a Sober.AH se mostrará una ventana  con un falso mensaje de error. Sin embargo, lo que el gusano estará haciendo en ese momento es enviarse a todas las direcciones de correo electrónico que puedan encontrarse en un gran número de archivos del sistema. A este fin, comprueba los dominios de las direcciones recogidas conectándose a distintos servidores de DNS públicos, así como la hora y la fecha, conectándose a varios servidores NTP.

Además, el gusano finaliza procesos que puedan estar ejecutándose en el sistema y que correspondan a determinadas aplicaciones, entre las que se encuentran algunas soluciones de seguridad. El objetivo de ello es dejar al ordenador desprotegido frente a otros posibles ataques. Un dato importante es que, cuando finaliza un proceso, se muestra una pantalla indicando que "no se han encontrado virus, troyanos o spyware en el sistema".

Tener cuidado y vigilar bien en que mensajes confiáis antes de leerlos.

Esta nueva variante, que ha sido distribuida de forma manual mediante un email sin asunto, que contiene, en muchos casos, palabras como "info" o "texte" y que siempre lleva un fichero adjunto a sido bautizado como Mitglieder.FK.

El nombre del fichero adjunto varía, pero algunos de los posibles nombres que toma son los siguientes:

• Health_and_knowledge.zip
• Sms_txt.zip
• Max.zip
• Business.zip
• The_new_price.zip
• Info_prices.zip
• Business_dealing.zip

Todos estos archivos comprimidos llevan dentro una copia del troyano con extensión ".EXE", las cuales al ser abiertas infectaran el sistema.

Al ser infectado el equipo estomáticamente intentara conectarse a un gran numero de URL desde las que descargara un fichero que copiará en el directorio de Windows con el nombre exefld\ y un número aleatorio. Posteriormente el troyano modificara dos claves del registro para asegurar su ejecución al iniciar el sistema.

"[...] Naiva.A que, como todos los troyanos, no posee propios medios de propagación, por lo que depende de la distribución manual de terceros (por correo, descargas de Internet, transferencia de ficheros a través del FTP, u otros medios). En la práctica, llega al ordenador como un documento de Word, que informa sobre la epidemia de la gripe aviar.

Naiva.A utiliza dos macros de Word. Por medio de la primera llama a cinco funciones del kernel, que le permiten modificar, crear y borrar ficheros. Con la segunda macro instala en el equipo a Ranky.FY, troyano que permitiría a un potencial atacante controlar de forma remota el ordenador afectado.

Para evitar ser víctima de Naiva.A es recomendable que el PC tenga fijado un nivel medio de protección frente a macros -para que así aparezca un mensaje informando de que el documento que contiene a este troyano posee macros-, o un nivel alto o muy alto, para impedir que se ejecuten las macros. [...]"

• PodCastellano es una web realmente fantástica, no solo encontrareis un magnifico directorio de Podcast en español sino que además tenéis a vuestra disposicion un sinfín de manuales y  herramientas para crear los vuestros propios. Y si algo no os queda claro podéis preguntarlo en sus magnificos foros.

• ñblog: utilidades y herramientas para blogs es un blog muy especial y muy trabajado. En el podréis encontrar herramientas y recursos en su mayoría desconocidos ( y por lo menos los que yo he visto) gratuitos para blogs y bitácoras. De visita recomendada.

• ADSLzone: web dedicada al ADSL es una definición demasiada escueta y sencilla que no le hace justicia a esta web. En este portal podrás encontrar ayuda sobre tu ADSl, desde como abrir puertos en tu router (hay manuales de cada router) hasta ayuda mas concreta en sus foros.

Quisiera terminar este articulo con dos referencias totalmente alejadas de las anteriores. Ambas son blogs y además escritos por dos compañeros de facultad y de clase, muy buena gente ella.

• The Neitherworld es un blog que yo calificaría como muy frikie y geek, pero no solo eso sino que muy entretenido. En el encontraras artículos realmente curiosos que yo no dejaría de leer.

• .blog//Treiral: Este ya lo conocéis, pero no puedo pasar sin citarlo, puesto que es otro de mis blogs frecuentemente visitados. Único en su especie tiene grandes artículos como son "los profesores de mi universidad" o "pereza como forma de vida".

Por hoy ya son suficientes enlaces, el próximo viernes (prometo no retrasarme) mas.

Su forma de propagacion varia pero siemrpe se anuncia como una aplicacion que se encarga, mediante el uso de un exploit, de modificar la version de la BIOS de nuestra PSP a una version mas antigua que permite la ejecucion de juegos no originales o piratas.

Puede que no sea un virus muy complicado de extenderse pero, este troyano habre una nueva generacion, donde las consolas se encuentran al alcance de codigos maliciosos.

"- Un gusano de mensajería instantánea se difunde simulando ser una postal -
        Virus Alerts, por Panda Software (http://www.pandasoftware.es)

MADRID, 20 de septiembre de 2005 - PandaLabs ha registrado en las últimas 24 horas un considerable número de incidencias provocadas por un nuevo gusano de mensajería, Mepe.A, en la zona de Latinoamérica, que se propaga utilizando programas de mensajería instantánea. Puede seguirse la evolución de este gusano en la Enciclopedia de Virus de Panda Software, en http://empresas.pandasoftware.es/virus_info/enciclopedia/verficha.aspx?lst=est&idvirus=90325

Este gusano, de origen hispano, y que simula ser un fichero de Shockwave Flash compilado -algo completamente falso-, al ejecutarse muestra un mensaje simulando que su ejecución ha fallado, pese a que ésta continúa, con la creación de una serie de copias de sí mismo en el directorio del sistema, así como la inscripción de una serie de claves en el registro para la ejecución automática en cada reinicio. Además, en el directorio raíz crea un fichero que contiene la frase "Dios sólo nos dio un 1 y un 0, y con eso, hemos construido un universo".

Para propagarse, este gusano utiliza aplicaciones de mensajería instantánea, de modo que cuando el usuario se conecte a la mencionada aplicación, el gusano busca ventanas activas de título "Conversación", a las que envía un mensaje en castellano invitando a descargar una postal de un conocido sitio web: "te mandaron un recado conmigo, ya te has de imaginar quien y si no sabes me dijo que no te dijera quien, me dijo que te lo escribio en una postal y que de aqui la abras www.[omitido].com ,bueno yo ya cumpli e?". El link que se envía al usuario remite al usuario a un sitio web que contiene una copia del gusano, de modo que éste se descarga en el ordenador del usuario, infectándolo.

Además, Mepe.A también vigila las tareas en ejecución, con el objetivo de cerrar las ventanas cuyo nombre coincida con "Administrador de tareas de Windows", "Panel de Control", "Editor del Registro", "Utilidad de configuración del sistema", y "Restaurar Sistema", de modo que el usuario no pueda finalizar el proceso relacionado con el gusano.

Desde PandaLabs ya se ha contactado con la compañía cuyos servidores alojan el gusano, para proceder a la desactivación de la URL y de este modo detener las infecciones."

Tener cuidado y ya sabeis lo que anda por ahi suelto.

"Phishing es la capacidad de duplicar una pagina web para hacer creer al visitante que se encuentra en la página original en lugar de la copiada. Normalmente se utiliza con fines delictivos duplicando páginas web de bancos conocidos y enviando indiscriminadamente correos para que se acceda a esta página a actualizar los datos de acceso al banco."

Yo no estoy totalmente de acuerdo con esta definicion, porque creo que tambien puede hacerse via e-mail.

Lo importante es que ha salido un troyano que esta especialmente orientado para el phising, he mirado distintas paginas, y he obtenido una copia de le para estudiarlo y esta muy bien diseñado, es un codigo bastante limpio, aunque hay trozos en lso que se puede observar que el programador no es profesional por lo que he podido apreciar.

Os pongo la descripcion que hacen de el en el informe de panda, que hasta el momento es la mejor que he encontrado, y mas adelante, cuando yo tenga terminado mi estudio del troyano, os informare ( solo llevo un 3% del codigo)

"En el equipo al que afecta, el troyano Banker.AMQ lleva a cabo varias acciones, entre las que destacan las siguientes:

- Comprueba si hay una conexión a Internet disponible y, si es así, envía un correo electrónico a una cuenta del dominio oi.com.br, notificando a su autor que se ha instalado en el ordenador.

- Monitoriza si el usuario visita páginas web pertenecientes a varias entidades bancarias brasileñas. En caso afirmativo, utiliza Internet Explorer para mostrar una página web maliciosa que, imitando a alguna de las legítimas visitadas por el usuario, solicita diferentes datos confidenciales -como el nombre de usuario y la contraseña-, dependiendo del sitio web de la entidad bancaria por la que se hace pasar. Tras recoger la información, y con el objetivo de confundir al usuario y no levantar sospechas, muestra un falso mensaje de error en portugués. Posteriormente envía los datos que ha obtenido a una dirección de correo electrónico.

- Busca archivos pertenecientes a la Libreta de Direcciones de Windows y a certificados digitales, y los transfiere a un servidor a través de FTP."

Estos dos gusanos aprovechan una vulnerabilidad de ejecucion remota de codigo Plug And Play, y mediante el cual permite al atacante controlar todo el sistema afectado.

Estos gusanos solo afectan a maquinas con los siguientes sistemas operativos:

• Windows 2000
• Windows XP
• Windows Server 2003.

Por lo que Microsoft ya ha publicado datos de estos gusanos en su boletín MS05-039, donde podemos encontrar un parche para eliminar esa vulnerabilidad

A continuacion os pongo el link de descarga del parche de microsoft, que, os recomiendo instalar inmediatamente: http://www.microsoft.com/spain/technet/seguridad/boletines/ms05-039-it.mspx

Saludos

swaze