Virus W32/Blaster ó Lovsan

[andres1569]

Hola a todos:

No sé si se deben publicar estos anuncios (más que noticias) en estos foros, lo hago porque he sido víctima, ayer, de este maldito gusano. Como dice el título su nombre es W32 Blaster (según correo que me manda mi amigo McAfee también se llama W32/Lovsan.worm).

Seguramente muchos ya sabréis de él, espero que no de primera mano como yo. Curiosamente leí algo sobre él por la mañana en la página de terra (http://www.terra.es), y por la tarde empezó a hacer de las suyas en mi máquina. Por lo que he leído, la intención de este virus en infectar cuantas más máquinas mejor -cuál no- al objeto de lanzar desde las mismas un ataque sobre la web de Microsoft el día 15 de este mes, es decir, este viernes.

Aunque sea un gusano y sólo tenga patas, es un auténtico manitas: La forma en que se manifestó en mi sistema (W2000) fue mostrando un error del tipo "error en en svchost.exe. Windows cerrará este proceso" (más o menos, ahora no recuerdo del todo el enunciado). Parece ser que es un servicio RPC que deja dañado. A partir de ahí inhabilita el que se pueda cerrar la conexión telefónica, y otras lindezas como que si pulsas sobre un link no te hace ni caso, o impedir que se pueda Copiar y Pegar desde el navegador. Ello obliga a reiniciar Windows.

En este link podéis encontrar información más detallada:

http://www.terra.es/tecnologia/articulo/html/tec9481.htm

Allí remite a páginas de fabricantes de Antivirus, en concreto lo conseguí limpiar mediante la utilidad pqremove.exe que ofrece Panda. Aunque limpia el sistema del virus, el error antes mencionado persistía en la máquina, cosa que solucioné bajándome el parche que ofrece Microsoft para subsanar el problema de seguridad:

http://microsoft.com/downloads/details.aspx?displaylang=es&FamilyID=C8B8A846-F541-4C15-8C9F-220354449117

En el primer link que os pongo, el de Terra, creo que también hay un enlace al parche de MS.

Sólo desear que este hilo os haya servido de culturilla general y que no hayáis tenido que hacer uso de ninguna utilidad, aunque quizás sí sea bueno que os descarguéis el parche, por si las moscas.

También me gustaría saber la opinión vuestra sobre si esta clase de noticias es mejor meterlas en el foro de Windows o en este de Noticias.

Saludos

[kinobi]

Hola Andrés,

Posteado originalmente por andres1569
No sé si se deben publicar estos anuncios (más que noticias) en estos foros, lo hago porque he sido víctima, ayer, de este maldito gusano.

Vaya, siento que hayas tenido problemas con el "famoso" gusano. De todas formas, siendo uno de los habituales de la casa, recibe un (amistoso) tirón de orejas, ya que hace unos 10 días comentamos el asunto en este mismo subforo (http://www.clubdelphi.com/foros/showthread.php?s=&threadid=2676), dando la dirección de Microsoft desde la que se podía descargar el parche que blindaba contra el agujero de seguridad que explota el gusano.

Saludos ... y que la cosa sea leve.

[andres1569]

Hola:

Kinobi, creo que leo todos los hilos que se postean aquí y de ese ni me acordaba. Seguramente no le dí la importancia que merecía (si es que lo leí).

De todas formas, he tenido mi merecido y el tirón de orejas ya me lo ha aplicado el gusanito Blaster, que me llevó toda la tarde de cabeza. Así la próxima vez seré más aplicado :D :D

Me queda una duda, ¿este gusano ya existía cuando Microsoft hizo esa advertencia? Supongo que sí, pero no ha sido hasta hoy que he recibido un aviso de McAfee, indicándome el link de Microsoft para bajarme el parche. ¿Quién descubrió la vulnerabilidad, Microsoft o el gusano llegó primero?

De todas formas, gracias, y veo que para noticias frescas, las del foro.

De paso, viendo el hilo que pusiste, entiendo que este hilo estaba en el subforo adecuado.

Saludos

[kinobi]

Hola,

Posteado originalmente por andres1569
Me queda una duda, ¿este gusano ya existía cuando Microsoft hizo esa advertencia?
Las noticias que yo tengo es que la vulnerabilidad se descubrió a principios (aproximadamente) de Julio, por gente ajena a Microsoft, que les informó del asunto. Microsoft tiene puesto al aviso del agujero desde el 16 de Julio.

Por otro lado, el gusano es posterior al aviso dado por Microsoft, aunque esperado. Es un asunto muy goloso para los aficionados a este tipo de "juegos".

Posteado originalmente por andres1569
¿Quién descubrió la vulnerabilidad,
Ayer mismo estuve leyendo un artículo donde lo decían. No tengo la referencia a mano, pero en cuanto la encuentre te lo indico.

Posteado originalmente por andres1569
Microsoft o el gusano llegó primero?
Parece ser que ni una cosa ni la otra.

Posteado originalmente por andres1569
De paso, viendo el hilo que pusiste, entiendo que este hilo estaba en el subforo adecuado.
Inicialmente no la iba a poner, pero después de haber visto la noticia (creo que en http://slashdot.com), y ver que hacían referencia al Departamento de Seguridad Interior de los EEUU, le presté más atención y creí que era lo suficientemente peligroso como para tener una referencia en el foro.

Saludos.

[kinobi]

Hola,

ya tengo la fuente que citaba al descubridor de la vulnerabilidad. No era un artículo, era un comentario en Barrapunto en una noticia sobre el tema:

http://barrapunto.com/comments.pl?sid=35755&cid=204795

Saludos.

[__cadetill]

Posteado originalmente por kinobi
ya tengo la fuente que citaba al descubridor de la vulnerabilidad. No era un artículo, era un comentario en Barrapunto en una noticia sobre el tema:


A mi lo que mas me ha sorprendido son los comentarios deribados de la noticia. Realmente pateticos :confused:

Referente al tema, estoy con kinobi que andres1569 se merecia el tiron de orejas :D :D

[kinobi]

Hola Cadetill,

Posteado originalmente por cadetill
A mi lo que mas me ha sorprendido son los comentarios deribados de la noticia. Realmente pateticos :confused:

piensa que el sistema de publicación de Barrapunto pasa por el redactor de la noticia, los editores que la publican (y, tal vez, pasan a portada) y por último los comentarios (incluidos los anónimos) de los visitantes en la bitácora. Al ser un sitio muy frecuentando, es relativamente normal que de vez en cuando surjan esas peleas de patio de colegio.

De todas formas, estoy contigo, no aportan nada, sólo ruido de fondo.

Saludos.

[andres1569]

Gracias por la información, Kinobi.

Me he leído el artículo de LSD (Last Stage of Delirium), y, por lo que deduzco, es a partir de divulgar dicha vulnerabilidad que la gente empieza a romperse el coco en explotarla. Recuerdo que Microsoft propuso hace tiempo que tales noticias no vieran la luz, pues son una golosina para todos los amantes de "fastidiar al prójimo".

Es curioso también observar cómo el desbordamiento de buffer es quizás la puerta trasera más buscada a la hora de atacar un sistema, se deja KO un servicio/proceso ... y a partir de ese momento ¡ancha es Castilla!.

Sobre lo de los comentarios, tipo "tú eres tonto", que se leen en Barrapunto.com, me hacen ver que en estos foros somos muy civilizados.



Asunto: Tirones de oreja.-

1er tirón .- Kinobi, esta mañana.
2º tirón .- Cadetill, un poco más tarde.
¿alguien más? :p

... Y yo que pensaba que mi noticia iba a ser una primicia mundial, y resulta que he sido el último pardillo en enterarse. Si Kinobi hubiera escrito el post de hace 10 días en mayúsculas, hubiera interpretado que era urgente. No me hubiera importado que me gritara entonces, al fin y al cabo, mis orejas prefieren que les griten a que las estiren. :)

Creo que os voy a enviar un emilio adjuntando a Blaster.worm (no temáis, es un jueguecito de cartas inofensivo), a ver si estáis prevenidos a no. :)

Saludos

[kinobi]

Hola,

Posteado originalmente por andres1569
Me he leído el artículo de LSD (Last Stage of Delirium), y, por lo que deduzco, es a partir de divulgar dicha vulnerabilidad que la gente empieza a romperse el coco en explotarla.
Esa es la impresión que tengo yo.

Posteado originalmente por andres1569
Es curioso también observar cómo el desbordamiento de buffer es quizás la puerta trasera más buscada a la hora de atacar un sistema, se deja KO un servicio/proceso ... y a partir de ese momento ¡ancha es Castilla!.
Más que dejar KO un servicio, que también, yo tengo la idea que lo que se busca es aprovechar que, por medio del desbordamiento de buffer, consigues acceder a posiciones de memoria (en principio protegidas) donde poder "colar" el código maligno.

Posteado originalmente por andres1569
Si Kinobi hubiera escrito el post de hace 10 días en mayúsculas, hubiera interpretado que era urgente.
Pues sí. De todas formas, al ser un foro sin mucho tráfico pensé que destacaría bastante el mensaje, además que le añadí la coletilla [Seguridad], con corchetes incluidos, al asunto del mensaje. Pero bueno, para otra ocasión buscaré métodos más eficaces para llamar la atención.

Posteado originalmente por andres1569
Creo que os voy a enviar un emilio adjuntando a Blaster.worm (no temáis, es un jueguecito de cartas inofensivo), a ver si estáis prevenidos a no. :)
Por mi "no problemo", gestiono el correo en Linux, y en caso que lo hiciese en Windows, mi versión no está afectada por el gusano, además que tengo bloqueados en el cortafuegos los puertos que utiliza el gusano.

Saludos.

[andres1569]

Kinobi escribió:
Por mi "no problemo", gestiono el correo en Linux, y en caso que lo hiciese en Windows, mi versión no está afectada por el gusano, además que tengo bloqueados en el cortafuegos los puertos que utiliza el gusano.


Bueno, Kinobi, la cosa no iba en serio, sólo quería que vierais la pinta que tiene este gusano, por si alguna vez tenéis la mala pata de toparos con él.



Y éste es Worm, W32/Blaster.Worm:



oooo$$$$$$$$$$$$oooo
oo$$$$$$$$$$$$$$$$$$$$$$$$o
oo$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$o o$ $$ o$
o $ oo o$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$o $$ $$ $$o$
oo $ $ "$ o$$$$$$$$$ $$$$$$$$$$$$$ $$$$$$$$$o $$$o$$o$
"$$$$$$o$ o$$$$$$$$$ $$$$$$$$$$$ $$$$$$$$$$o $$$$$$$$
$$$$$$$ $$$$$$$$$$$ $$$$$$$$$$$ $$$$$$$$$$$$$$$$$$$$$$$
$$$$$$$$$$$$$$$$$$$$$$$ $$$$$$$$$$$$$ $$$$$$$$$$$$$$ """$$$
"$$$""""$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$ "$$$
$$$ o$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$ "$$$o
o$$" $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$ $$$o
$$$ $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$" "$$$$$$ooooo$$$$o
o$$$oooo$$$$$ $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$ o$$$$$$$$$$$$$$$$$
$$$$$$$$"$$$$ $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$ $$$$""""""""
"""" $$$$ "$$$$$$$$$$$$$$$$$$$$$$$$$$$$" o$$$
"$$$o """$$$$$$$$$$$$$$$$$$"$$" $$$
$$$o "$$""$$$$$$"""" o$$$
$$$$o o$$$$$"
"$$$$o o$$$$$$o"$$$$o o$$$$$$$$$"
"$$$$$oo ""$$$$o$$$$$o o$$$$$$$$$$$$$$"
""$$$$$oooo "$$$o$$$$$$$$$""" $$$$$$$$$$$"" o$$$$$$$"
""$$$$$$$oo $$$$$$$$$$ $$$$$$$$$$$" o$$$$$"$$$$$$" $
""""$$$$$$$$$$$ $$ $$$$$$$$$" o$$$$$$$ $$ o$$$$$" o$$
$$$$$$$$$$$$ $$ $$$$$$$$$$$$$$" o$$$$$" o$$$$
$$$$$$$$$$" $$ $$$$$$$" $$ $$ o$$$$$$$"
"$$$"""" $$"""$$ $$ $$

(Portions of the code above belong to Kinobi Corporation, all rights reserved) :p

[__cadetill]

aaaaarrrrrggggg!!!!! pero que feo!!!! jejejeje

cada dia estamos peor en estos foros (¿seran los foros? ¿sera la informatica? ¿sera el Delphi? ¿sera M$? ¿seran los jefes?) :D :D

[andres1569]

Cadetill escribió:aaaaarrrrrggggg!!!!! pero que feo!!!! jejejeje
Que sepas que la cara no la he dibujado yo (mira lo de Portions debajo del gusano), aunque a mi me parece simpática. Yo sólo he pintado el cuerpo del gusano. :D

[kinobi]

Hola,

Posteado originalmente por andres1569
(Portions of the code above belong to Kinobi Corporation, all rights reserved) :p

¡Ostras!, pues no son copirait de Kinobi Corp., pero ahora tampoco me acuerdo de quién eran ... tremendo dilema :rolleyes:

Eso sí, la release con cola ha quedado mucho más simpática. Definitivamente la adopto como logo del gusano en cuestión.

Saludos.