|
|
Esta sección te permite ver todos los posts escritos por este usuario. Ten en cuenta que sólo puedes ver los posts escritos en zonas a las que tienes acceso en este momento.
Temas - RadicalEd
Páginas: 1 ... 8 9 [10] 11 12 ... 26
226
« en: Lunes 8 de Mayo de 2006, 20:01 »
Hola chicos de SoloCodigo, tengo una pregunta?
Pues se intalo la versión de LinExCol en un equipo y todo normal la instalación y todo y lo raro fue que al final no detecto los dispositivos de cdrom y floppy no aparecen los iconos por entorno grafico, ni las carpetas por linea de comandos 
'tonces como hago para montarlos???
Se que con mount se hace, pero según me acuerdo de hace unos cuantos milenios creo (digo creo por que no mi cuerdo) el montaje de dispositivos se hacia a través del CD de instalación. pero entonces como lo hago si este no es detectado?
Gracias Chao.
228
« en: Jueves 4 de Mayo de 2006, 20:33 »
Datos Técnicos
Peligrosidad: 3 - Media
Difusión: Baja Fecha de Alta:03-05-2006
Última Actualización:03-05-2006
Daño: Alto
[Explicación de los criterios]
Dispersibilidad: Alto
Nombre completo: Phishing.Todas/BAN.2493.01
Tipo: [Phishing] - Mensaje de correo-e o página web que utiliza diversas técnicas para suplantar la identidad de una página o sitio web.
Plataforma: [Todas] - Generico
Detalles
Las características exactas de los mensajes pueden variar, pero todas son similares:
* Remitente: algun_usuario@cajamadrid.es
* Asunto: CAJA MADRID: EL MENSAJE IMPORTANTE / EL MENSAJE URGENTE / LA INFORMACION IMPORTANTE /La informacion oficial / Oficina internet / La notificacion oficial... (o similar)
* Cuerpo del mensaje: Alegando una actualización rutinaria de software para mejorar los servicios de la entidad ofrece a los clientes el enlace a una página desde la que tienen que introducir su nombre de usuario y clave.
La página esta falsificada y los datos en ella introducidos pasan a estar en posesión de los falsificadores.
La siguiente imagen muestra un ejemplo del tipo de mensaje recibido:
La siguiente imagen muestra un ejemplo de la página fraudulenta a la que apunta el enlace del correo:
Con un simple vistazo se ve claramente que no cumple las medidas de seguridad necesarias para ser un entorno seguro, como sería la utilización del protocolo SSL de 128 bits (https) y la utilización de un certificado digital firmado por una autoridad certificadora.
229
« en: Jueves 4 de Mayo de 2006, 20:32 »
Se ha anunciado la existencia de una vulnerabilidad en ClamAV, que
podría llegar a explotarse por usuarios maliciosos para provocar
denegaciones de servicio e incluso llegar a comprometer un sistema
vulnerable.
ClamAV es un motor antivirus de código abierto, empleado con cierta
frecuencia en servidores de correo derivados de UNIX a modo de defensa
perimetral primaria.
La vulnerabilidad reside concretamente en Freshclam, una utilidad de
línea de comandos responsable de la descarga e instalación de las
actualizaciones de firmas de virus. Una de sus características es
un cliente HTTP que realiza descargas de archivos desde servidores
web. La vulnerabilidad se debe a un desbordamiento de búfer en dicho
cliente http cuando recibe cabeceras que exceden de 8 KB.
La explotación exitosa requires que se use Freshclam para descargar
firmas de virus desde un servidor web espejo malicioso por ejemplo
mediante envenenamiento DNS. Según el propio aviso de seguridad de
ClaAv el problema no es fácil de explotar, debido a la diversidad
de arquitecturas y plataformas cliente.
La vulnerabilidad de ha confirmado en las versiones 0.80 hasta la
0.88.1. Se ha publicado la versión 0.88.2 que corrige el problema
y se encuentra disponible para descarga desde:
http://prdownloads.sourceforge.net/clamav/...tar.gz?download
Más Información:
Security advisory: 0.88.2
http://www.clamav.net/security/0.88.2.html
230
« en: Jueves 4 de Mayo de 2006, 20:01 »
Hola chicos de SoloCodigo, tengo una pregunta pregunta????
Me mandaron a configurar la opción de fax sobre linux, tal como se utiliza el del windoze, alguien sabe como se hace????, que comandos o que paquetes se necesita para instalarlo????
Gracias Chao.
231
« en: Miércoles 3 de Mayo de 2006, 16:08 »
Hola chicos de SoloCodigo, aqui les dejo una imagen para descargar de una distribución de Linux basada en Debian desarrollada por LinEx y Colombianizada por la empresa donde trabajo, esta distribución la llamaron LinExCol (Linux de Extremadura para Colombia)Descarga LinExCOL
232
« en: Viernes 28 de Abril de 2006, 14:57 »
El problema afecta en principio a la versión 10.4.6 del sistema operativo de Apple, aunque no se descarta que otras versiones también estén afectadas.
La consultora Secunia ha informado de la existencia de uno o varios agujeros de seguridad en el sistema operativo Mac OS X y que aún no han sido corregidos por Apple. Secunia, que ha hecho pública esta información en su informe de vulnerabilidades, no da muchos detalles técnicos de los problemas, solamente indicando la función en la cual se encuentran.
Principalmente, los agujeros de seguridad se localizan en el navegador web Safari y el software de compresión de ficheros. El mismo descubridor de los problemas recomienda que, en la medida de lo posible, no se abran ficheros ZIP procedentes de fuentes desconocidas ni se acceda a páginas web de poca confianza mientras no exista un parche para tapar los agujeros, parche que por el momento no ha sido liberado por Apple.
Los anuncios de agujeros de seguridad son algo desacostumbrado para la comunidad de usuarios de Mac OS hasta la entrada en escena de la versión X del sistema que al estar basada en Unix (BSD), supuso un cambio respecto a las anteriores versiones del sistema, un producto cerrado, propietario y muy ofuscado incluso para la comunidad hacker, lo que hizo que no se utilizara asiduamente en técnicas de hacking, bien al contrario que el actual sistema.
Más información:
Secunia - Advisories - Mac OS X Multiple Potential Vulnerabilities
http://secunia.com/advisories/19686/
233
« en: Jueves 27 de Abril de 2006, 15:01 »
Michal Zalewski ha descubierto un grave fallo para Internet Explorer.
Se ha identificado una vulnerabilidad que puede ser aprovechada por
atacantes para ejecutar código arbitrario. El fallo se debe a una
corrupción en la memora a la hora de procesar scripts HTML manipulados.
Si el código contiene etiquetas OBJECT especialmente formadas,
el navegador dejaría de funcionar y, probablemente, quedaría
en disposición de inyectar código y poder ser ejecutado.
Parece que hoy por hoy, el simple hecho de navegar por Internet puede
resultar un deporte de riesgo, y esta vez no se puede apuntar con el
dedo exclusivamente a los "sospechosos habituales". La principal
alternativa para la navegación, Mozilla Firefox acababa de solventar
unas veinte vulnerabilidades con su última versión 1.5.0.2 del 13 de
abril, cuando ya el día 24 se publica un nuevo fallo que provoca que el
navegador deje de funcionar (se provoque denegación de servicio). En
este caso, no está claro que el problema pueda resultar en la ejecución
de código, aunque es probable.
La vulnerabilidad se debe a un error de manejo de Javascript en
js320.dll y pcom_core.dll relacionado con la función
iframe.contentWindow.focus. Un usuario remoto podría crear una página
HTML especialmente manipulada tal que, al ser cargada, dispararía un
desbordamiento de memoria intermedia (búfer). Existe prueba de concepto capaz de hacer que Firefox deje de funcionar abruptamente.
La popularidad del navegador de la fundación Mozilla se eleva cada día
y, aunque el porcentaje aún se vea superado con creces por Internet
Explorer, supone ya un jugoso número de usuarios en cifras totales.
Firefox puede estar pagando ya el precio de la fama. Cabía esperar que
ante el creciente interés por la aplicación, muchos más ojos lo
escudriñaran. El hecho de que su código sea visible facilita el estudio
e identificación de vulnerabilidades, además de encontrarse en una
versión todavía "joven". Estos factores influirán sin duda en que,
en lo sucesivo, sigan apareciendo errores.
Ante estas potenciales vulnerabilidades, habrá que estar atento a cómo
y en cuánto tiempo serán resueltas. También a un factor externo al
navegador pero importante: la (por ahora escasa) cantidad de malware
que phishers y demás fauna de Internet destinen específicamente a
aprovecharse de estos hipotéticos fallos. Estas serán condiciones
decisivas para seguir considerando a Firefox un software fiable y
razonablemente seguro en el futuro.
Para ninguno de los dos errores mencionados existe parche oficial por el
momento. Ante tan oscuro panorama, siempre quedarán alternativas como
Konqueror y Opera, navegadores con una cantidad de vulnerabilidades
(descubiertas) tan pequeña como su porcentaje de uso. Ventajas de
pertenecer a una minoría.
Más Información:
Firefox Javascript flaw:
http://www.milw0rm.com/exploits/1716
MSIE (mshtml.dll) OBJECT tag vulnerability
http://lists.grok.org.uk/pipermail/full-di...ril/045422.html
234
« en: Miércoles 26 de Abril de 2006, 17:14 »
Peligrosidad: 3 - Media
Difusión: Baja Fecha de Alta:26-04-2006
Última Actualización:26-04-2006
Daño: Alto
[Explicación de los criterios]
Dispersibilidad: Alto
Nombre completo: Worm-Backdoor.W32/Kidala.B@MM
Tipo: [Worm-Backdoor] - 'Malware' con capacidades de gusano y de puerta trasera
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [MM] - Virus que envía masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
Tamaño (bytes): 3848
Alias:W32.Kidala.B@mm (Symantec)
Detalles
Cuando Worm-Backdoor.W32/Kidala.B@MM es ejecutado, realiza las siguientes acciones:
1. Se copia a símismo en el fichero '%System%\DS.EXE'.
<
Nota: %System% es variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
2. Para ejecutarse automáticamente cada vez que el sistema es reiniciado, añade el valor indicado a la siguiente clave del registro de Windows:
Clave: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor: "DS" = "%System%\DS.EXE"
3. Recopila direcciones de correo electrónico de la libreta de contactos de Windows y de ficheros que tienen alguna de las siguientes extensiones:
* .adb
* .asp
* .dbx
* .htm
* .php
* .pl
* .sht
* .tbb
* .txt
* .wab
4. Genera direcciones de correo electrónico utilizando los siguientes nombres de usuario:
* alice
* andrew
* brenda
* brent
* brian
* claudia
* david
* debby
* george
* helen
* james
* jerry
* jimmy
* julie
* kevin
* linda
* maria
* michael
* peter
* robert
* sandra
* smith
* steve
a los que añade los siguientes dominios para completar la dirección electrónica:
* ayna.com
* hotmail.com
* maktoob.com
* microsoft.com
* msn.com
* usa.com
* usa.net
* yahoo.com
5. Evita enviarse a aquellas direcciones electrónicas que contienen alguna de las siguientes cadenas de texto:
* abuse
* accoun
* acketst
* admin
* anyone
* arin.
* be_loyal:
* berkeley
* borlan
* certific
* contact
* example
* feste
* gold-certs
* google
* hotmail
* ibm.com
* icrosof
* icrosoft
* inpris
* isc.o
* isi.e
* kernel
* linux
* listserv
* mit.e
* mozilla
* mydomai
* nobody
* nodomai
* noone
* nothing
* ntivi
* panda
* postmaster
* privacy
* rating
* rfc-ed
* ripe.
* ruslis
* samples
* secur
* sendmail
* service
* somebody
* someone
* sopho
* submit
* support
* tanford.e
* the.bat
* usenet
* utgers.ed
* webmaster
6. Se envía a sí mismo a las direcciones capturadas o generadas.
El mensaje enviado tiene las siguientes características:
Asunto: - alguno de los siguientes -
* [- en_blanco -]
* [- aleatorio -]
* Error
* hello
* Mail Delivery System
* Mail Transaction Failed
* Server Report
* Status
Cuerpo del mensaje: - alguno de los siguientes -
* [- en_blanco -]
* [- aleatorio -]
* Mail transaction failed. Partial message is available.
* The message contains Unicode characters and has been sent as a binary attachment.
* The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
Fichero anexo: - alguno de los siguientes -
* data
* doc
* document
* file
* message
* readme
* text
con alguna de las siguientes extensiones:
* .cmd
* .scr
* .bat
* .exe
* .pif
7. Abre una puerta trasera en el equipo afectado conectándose a un servidor de IRC, a un canal llamado '#MicroSystem#' y permaneciendo en escucha de instrucciones.
Los comandos que recibe normalmente permiten al atacante remoto realizar alguna de las siguientes funciones en el sistema comprometido:
* Descarga y ejecución de ficheros.
* Eiminación, detención o actualización del propio gusano.
* Lanzamiento de ataques de Denegación de Servicios (DoS).
8. Intenta propagarse a través de IRC enviando un mensaje a todos los usuarios que se unan al canal:
[-alias -] just look at this brother
http://[- dirección IP del remitente -]:2001/Hot.pif
9. Intentapropagarse a través de la mensajería instantánea de Windows buscando ventanas abiertas de esta aplicación y enviando alguno de los siguientes mensajes:
* hehe, watch this http://[- dirección IP del remitente -]:2001/[- nombre_de_fichero_aleatorio -]
* LOL, this shit is funny http://[- dirección IP del remitente -]:2001/[- nombre_de_fichero_aleatorio -]
* lol, don't forget to watch this video http://[-dirección IP del remitente-]:2001/[-nombre_de_fichero_aleatorio-]|
* look at this video http://[- dirección IP del remitente -]:2001/[- nombre_de_fichero_aleatorio -]
* your going to like this  http://[- dirección IP del remitente -]:2001/[- nombre_de_fichero_aleatorio -]
con alguno de los siguientes nombres de fichero:
* crazy5.scr
* crazyjump.scr
* exposed.scr
* funny2.scr
* funny3.scr
* haha.scr
* lucky.scr
* mjackson.scr
* picture1.scr
10. Se propaga aprovechando las vulnerabilidades indicadas en los siguientes boletines:
* Boletín de Seguridad MS03-026 ~ (DCOM RPC).
* Boletín de Seguridad MS04-011.
* Boletín de Seguridad MS03-007 ~ (ntdll.dll).
* Boletín de Seguridad MS05-039 ~ (MS Plug & Play).
11. Intenta propagarse a través de unidades compartidas en red dejando una copia de sí mismo en estas unidades utilizando las siguientes cadenas como nombre de usuario y contraseña:
* 12345
* 123456
* 1234567
* 12345678
* 123456789
* 1234567890
* 12345678910
* access
* accounting
* accounts
* Admin
* Administrador
* administrat
* administrateur
* Administrator
* Admins
* backup
* bitch
* blank
* brian
* changeme
* chris
* cisco
* compaq
* computer
* control
* Database
* databasepass
* databasepassword
* db1234
* dbpass
* dbpassword
* Default
* domain
* domainpass
* domainpassword
* exchange
* george
* guest
* hello
* homeuser
* internet
* intranet
* katie
* linux
* login
* loginpass
* NetWork
* nokia
* oeminstall
* oemuser
* office
* oracle
* orainstall
* outlook
* Owner
* ownerstaff
* pass1234
* passwd
* password
* password1
* peter
* qwerty
* server
* siemens
* sqlpassoainstall
* Staff
* Student
* susan
* system
* Teacher
* technical
* win2000
* win2k
* win98
* windows
* winnt
* winpass
* winxp
* wwwadmin
12. Busca los siguientes directorios:
* C:\Program Files\eDonkey2000\Incoming
* C:\Program Files\Files\Kazaa Lite\My Shared Folder
* C:\program files\kazaa\my shared folder
* C:\Program Files\LimeWire\Shared
* C:\Program Files\Morpheus\My Shared Folder
13. Se copia a sí mismo en los directorios anteriores en caso de que sean encontrados en el sistema.
Esos directorios se corresponden a directorios de intercambio de ficheros de diferentes aplicaciones P2P, y en función de estos, emplea unos nombres de fichero u otros:
* Warez P2P:
o Britney_Spears_sucks_someones_dick.scr
o Madonna_the_most_sexiest_girl_in_the_world.com
o Mariah_Carey_showering_in_bathroom.com
o nice_big_asshole_fuck_Jennifer_Lopez.scr
* Limewire:
o Alcohol_120%_patch
o DarkAngel_Lady_get_fucked_so_hardly
o LimeWire_speed++
o Outlook_hotmail+_fix
* eDonkey:
o Angilina_Jolie_Sucks_a_Dick
o BritneySpears_SoSexy
o DAP7.4.x.x_crack
o DownloadsLocation
o JenniferLopez_Film_Sexy_Enough
o NortonAV2006_Crack
* iMesh:
o KAV2006_Crack
o MSN7.0Loader
o MSN7.0UniversalPatch
o YahooMessenger_Loader
o ZoneAlarmPro6.xx_Crack
* Morpheus:
o lcc-wiz_update
o notepad++
o Opera8
o RealPlayer10.xx_crack
o TaskCatcher
* KaZaa:
o activation_crack
o dcom_patch
o icq2006-final
o nuke2006
o office_crack
o rootkitXP
o strip-girl-3.0
o winamp6
Todos estos ficheros tendrán alguna de las siguientes extensiones:
* .bat
* .exe
* .pif
* .scr
14. Detiene la ejecución de los siguientes procesos, algunos de los cuales son relativos a la seguridad:
* _AVPCC.EXE
* _AVPM.EXE
* _FINDVIRU.EXE
* ACKWIN32.EXE
* ALOGSERV.EXE
* AMON.EXE
* ANTI-TROJAN.EXE
* APVXDWIN.EXE
* ATGUARD.EXE
* AVE32.EXE
* AVKSERV.EXE
* AVNT.EXE
* AVPCC.EXE
* AVPM.EXE
* AVWIN95.EXE
* BLACKICE.EXE
* CLAW95CF.EXE
* CMGRDIAN.EXE
* ECENGINE.EXE
* ESAFE.EXE
* F-PROT95.EXE
* FINDVIRU.EXE
* FP-WIN.EXE
* FPROT.EXE
* GUARDDOG.EXE
* IAMAPP.EXE
* IOMON98.EXE
* KAVPF.EXE
* LOOKOUT.EXE
* NAVAPSVC.EXE
* NAVAPW32.EXE
* NAVNT.EXE
* NAVW32.EXE
* NAVWNT.EXE
* NOD32.EXE
* NSPLUGIN.EXE
* OGRC.EXE
* OUTPOST.EXE
* OUTPOSTINSTALL.EXE
* OUTPOSTPROINSTALL.EXE
* RAV7.EXE
* RULAUNCH.EXE
* SCAN32.EXE
* SPIDER.EXE
* VET95.EXE
* VETTRAY.EXE
* VSMAIN.EXE
* ZAPRO.EXE
* ZAPSETUP3001.EXE
* ZATUTOR.EXE
* ZONALARM.EXE
* ZONALM2601.EXE
* ZONEALARM.EXE
Nombres de Ficheros Adjuntos (virus que llegan por correo)
* text
* readme
* message
* file
* document
* doc
* data
Asunto del mensaje (virus que llegan por correo)
* Status
* Server Report
* Mail Transaction Failed
* Mail Delivery System
* hello
* Error
* [- aleatorio -]
* [- en_blanco -]
235
« en: Miércoles 26 de Abril de 2006, 17:11 »
Mozilla Thunderbird posee múltiples vulnerabilidades que permiten a un atacante obtener información del usuario del programa afectado.
Los problemas ocurren porque la aplicación no proporciona una adecuada restricción en su intérprete HTML para impedir la descarga de contenido remoto en los mensajes recibidos.
Estas vulnerabilidades pueden permitir a un atacante remoto acceder a información potencialmente sensible (incluyendo dirección IP de la víctima), lo que puede ayudar al primero en futuros ataques. El atacante también puede saber si el usuario leyó el mensaje, y en ese caso, el momento exacto en que lo hizo.
Mozilla Thunderbird 1.5.x es vulnerable a estos problemas, y otras versiones probablemente también lo sean.
No se requiere un exploit para aprovecharse de estos problemas. Se han publicado ejemplos de referencia.
Software vulnerable:
- Mozilla Thunderbird 1.5.x
- RedHat Desktop 4.0
- RedHat Enterprise Linux AS 4
- RedHat Enterprise Linux ES 4
- RedHat Enterprise Linux WS 4
Solución:
No se han publicado soluciones al momento.
Más información:
Mozilla Thunderbird Multiple Remote Information Disclosure Vulnerabilities
http://www.securityfocus.com/bid/16881/info
CVE-2006-1045 (Common Vulnerabilities and Exposures project)
http://www.cve.mitre.org/cgi-bin/cvename.c...e=CVE-2006-1045
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Relacionados:
Thunderbird
http://www.mozilla.com/thunderbird/
http://www.mozilla-europe.org/es/products/thunderbird/
Proyecto NAVE - Traducción de Mozilla
http://nave.escomposlinux.org/productos/descargas.php
236
« en: Martes 25 de Abril de 2006, 23:33 »
Hola chicos de SoloCodigo, tengo una pregunta bien grande...
Lo que pasa es que debia administrar la página web de la empresa donde trabajo, pero no se pudo encontrar la página de logueo del admin, la página no ha sido hackeada ni nada por el estilo, y hemos tratado de buscar el archivo login.php o admin.php y nada.
Este es el mensaje que suelta...
Not Found
The requested URL /admin/admin.php 80 was not found on this server.
Apache/2.0.51 (Fedora) Server at www.ciridigital.com Port 80
237
« en: Lunes 24 de Abril de 2006, 16:44 »
Peligrosidad: 3 - Media
Difusión: Baja
Fecha de Alta:24-04-2006
Última Actualización:24-04-2006
Daño: Alto
[Explicación de los criterios]
Dispersibilidad: Alto
Nombre completo: Worm-Backdoor.W32/Kidala@MM
Tipo: [Worm-Backdoor] - 'Malware' con capacidades de gusano y de puerta trasera
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [MM] - Virus que envía masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
Alias:W32.Kidala.A@mm (Symantec)
Detalles
Una vez ejecutado realiza las siguientes acciones:
1. Se copia a si mismo en:
* %System%\win24.exe
Nota: %system% representa la carpeta de sistema de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32)
2. Para ejecutarse al inicio del sistema añade la siguiente entrada en el registro de Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"win24" = "%System%\win24.exe"
3. Recopila direcciones de correo electrónico de la Libreta de direcciones de Windows. Además, genera direcciones usando nombres y dominios de la siguiente lista:
* Nombres:
o linda
o julie
o jimmy
o jerry
o helen
o debby
o claudia
o brenda
o anna
o alice
o brent
o adam
o ted
o fred
o jack
o bill
o stan
o smith
o steve
o matt
o dave
o dan
o joe
o jane
o bob
o robert
o peter
o tom
o ray
o mary
o serg
o brian
o jim
o maria
o leo
o jose
o andrew
o sam
o george
o david
o kevin
o mike
o james
o michael
o alex
o john
* Dominios:
o hotmail.com
o yahoo.com
o msn.com
o aol.com
No se mandará a si mismo a las direcciones que contengan alguna de las siguientes cadenas:
o sandra
o linda
o julie
o jimmy
o jerry
o helen
o debby
o claudia
o brenda
o anna
o alice
o brent
o adam
o .edu
o abuse
o www
o fcnz
o spm
o accoun
o certific
o listserv
o ntivi
o support
o icrosoft
o admin
o page
o the.bat
o gold-certs
o feste
o submit
o not
o help
o service
o privacy
o somebody
o soft
o contact
o site
o rating
o bugs
o you
o your
o someone
o anyone
o nothing
o nobody
o noone
o webmaster
o postmaster
o samples
o info
o root
o be_loyal:
o mozilla
o utgers.ed
o tanford.e
o pgp
o acketst
o secur
o isc.o
o isi.e
o ripe.
o arin.
o sendmail
o rfc-ed
o ietf
o iana
o usenet
o fido
o linux
o kernel
o google
o ibm.com
o fsf.
o gnu
o mit.e
o bsd
o math
o unix
o berkeley
o foo.
o .mil
o gov.
o .gov
o ruslis
o nodomai
o mydomai
o example
o inpris
o borlan
o sopho
o panda
o hotmail
o msn.
o icrosof
o syma
o avp
4. Revisa la siguiente clave del registro en busca de servidores SMTP disponibles:
HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
Si no encontrara ningún servidor SMTP, intentará localizar uno anexando una de las siguientes cadenas al nombre de dominio de las direcciones de correo recopiladas:
* gate
* ns
* relay
* mail1
* mxs
* mx1
* smtp
* mail
* mx
5. Se envia a si mismo a todas las direciones de correo recopiladas, con las siguientes caracteristicas:
* Asunto:
o [BLANCO]
o [ALEATORIO]
o Error
o Status
o Server Report
o Mail Transaction Failed
o Mail Delivery System
o hello
o hi
* Mensaje:
o [BLANCO]
o [ALEATORIO]
o Mail transaction failed. Partial message is available.
o The message contains Unicode characters and has been sent as a binary attachment.
o The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
o test
* Adjunto:
o body
o message
o test
o data
o file
o text
o doc
o readme
o document con alguna de las siguientes extensiones
o .bat
o .cmd
o .exe
o .scr
o .pif
6. Abre una puerta trasera conectándose a un servidor de IRC a la espera de comando a ejecutar, permitiendo así, realizar alguna de las siguientes acciones:
* Descargar ficheros.
* Borrar o modificar una copia de si mismo.
* Realizar ataques de denegación de servicio.
7. Se propaga también mediante el uso de mensajeria instantanea. Busca una ventana de algun programa de mensajeria y envia uno de los siguientes mensajes:
* look at this video [http://][DIRECCION IP DEL REMITENTE]:2001/[NOMBRE DE FICHERO ALEATORIO]
* hehe, watch this [http://][DIRECCION IP DEL REMITENTE]:2001/[NOMBRE DE FICHERO ALEATORIO]
* your going to like this [http://][DIRECCION IP DEL REMITENTE]:2001/[NOMBRE DE FICHERO ALEATORIO]
* lol, don't forget to watch this video [http://][DIRECCION IP DEL REMITENTE]:2001/[NOMBRE DE FICHERO ALEATORIO]
* LOL, this shit is funny [http://][DIRECCION IP DEL REMITENTE]:2001/[NOMBRE DE FICHERO ALEATORIO] [NOMBRE DE FICHERO ALEATORIO] puede ser:
* crazy5.scr
* exposed.scr
* funny2.scr
* funny1.scr
* haha.scr
* picture1.scr
* mjackson.scr
* lucky.scr
* crazyjump.scr
* funny3.scr
8. Se propaga explotando vulnerabilidades documentadas en los siguientes boletines de Microsoft:
* Microsoft Security Bulletin MS03-026
* Microsoft Security Bulletin MS03-007
* Microsoft Security Bulletin MS03-049
* Microsoft Security Bulletin MS05-039
* Microsoft Security Bulletin MS01-059
* Microsoft Security Bulletin MS04-011
* DameWare Mini Remote Control Server Pre-Authentication Buffer Overflow
9. Se propaga por recursos compartidos, incluyendo IPC$, usando los siguientes usuarios y contraseñas para conectarse:
* network
* NetWork
* net
* Net
* User
* Db2
* Oracle
* Dba
* Database
* Default
* Guest
* Wwwadmin
* Teacher
* Student
* Computer
* Root
* Staff
* Owner
* Admin
* Admins
* Administrat
* Administrateur
* Administrador
* Administrator
* dba
* wwwadmin
* owner
* computer
* ownerstaff
* staff
* teacher
* student
* intranet
* lan
* main
* winpass
* blank
* office
* control
* nokia
* siemens
* compaq
* dell
* cisco
* ibm
* oracle
* orainstall
* sqlpassoainstall
* sql
* db1234
* db2
* db1
* databasepassword
* data
* databasepass
* dbpassword
* dbpass
* access
* database
* domainpassword
* domainpass
* domain
* hello
* hell
* god
* sex
* slut
* bitch
* fuck
* exchange
* backup
* technical
* loginpass
* login
* mary
* katie
* kate
* george
* eric
* chris
* ian
* neil
* lee
* brian
* susan
* sue
* sam
* luke
* peter
* john
* mike
* bill
* fred
* joe
* jen
* bob
* qwe
* zxc
* asd
* qaz
* win2000
* winnt
* winxp
* win2k
* win98
* windows
* oeminstall
* oemuser
* oem
* user
* homeuser
* home
* accounting
* accounts
* internet
* www
* web
* outlook
* mail
* qwerty
* null
* root
* server
* system
* default
* changeme
* linux
* unix
* demo
* none
* guest
* test
* 2004
* 2003
* 2002
* 2001
* 2000
* 12345678910
* 1234567890
* 123456789
* 12345678
* 1234567
* 123456
* 12345
* 1234
* 123
* 7
* 0
* pwd
* pass
* pass1234
* passwd
* password
* password1
* adm
* admin
* admins
* administrat
* administrateur
* administrador
* administrator
10. Busca en los siguientes directorios:
* C:\Program Files\LimeWire\Shared
* C:\Program Files\eDonkey2000\incoming
11. Se copia en elguno de los siguientes directorios, dependiendo del cliente usado:
* Warez P2P:
o nice_big_asshole_fuck_Jennifer_Lopez.scr
o Madonna_the_most_sexiest_girl_in_the_world.com
o Britney_Spears_sucks_someones_dick.scr
o Mariah_Carey_showering_in_bathroom.com
* LimeWire:
o Alcohol_120%%_patch
o Outlook_hotmail+_fix
o LimeWire_speed++
o DarkAngel_Lady_get_fucked_so_hardly
* eDonkey:
o Angilina_Jolie_Sucks_a_Dick
o JenniferLopez_Film_Sexy_Enough
o BritneySpears_SoSexy
o DAP7.4.x.x_crack
o NortonAV2006_Crack
o DownloadsLocation
* iMesh:
o YahooMessenger_Loader
o MSN7.0UniversalPatch
o MSN7.0Loader
o KAV2006_Crack
o ZoneAlarmPro6.xx_Crack
* Morpheus:
o TaskCatcher
o Opera8
o notepad++
o lcc-win32_update
o RealPlayerv10.xx_crack
* Kazaa:
o nuke2006
o office_crack
o rootkitXP
o dcom_patch
o strip-girl-3.0
o activation_crack
o icq2006-final
o winamp6
12. Finaliza lso siguientes procesos, algunos de ellos relacionados con aplicaciones de seguridad:
* AVPCC.EXE
* AVKSERV.EXE
* ECENGINE.EXE
* FP-WIN.EXE
* VETTRAY.EXE
* ACKWIN32.EXE
* AVNT.EXE
* ESAFE.EXE
* FPROT.EXE
* F-PROT95.EXE
* IOMON98.EXE
* AVWIN95.EXE
* AVE32.EXE
* ANTI-TROJAN.EXE
* _AVPCC.EXE
* APVXDWIN.EXE
* CLAW95CF.EXE
* _FINDVIRU.EXE
* FINDVIRU.EXE
* NAVNT.EXE
* VET95.EXE
* SCAN32.EXE
* RAV7.EXE
* NAVAPW32.EXE
* VSMAIN.EXE
* GUARDDOG.EXE
* RULAUNCH.EXE
* ALOGSERV.EXE
* OGRC.EXE
* NAVAPSVC.EXE
* NSPLUGIN.EXE
* NOD32.EXE
* _AVPM.EXE
* AMON.EXE
* NAVWNT.EXE
* NAVW32.EXE
* SPIDER.EXE
* AVPM.EXE
* ATGUARD.EXE
* KAVPF.EXE
* BLACKICE.EXE
* LOOKOUT.EXE
* CMGRDIAN.EXE
* IAMAPP.EXE
* OUTPOST.EXE
* OUTPOSTINSTALL.EXE
* ZONEALARM.EXE
* ZONALM2601.EXE
* ZATUTOR.EXE
* ZAPSETUP3001.EXE
* ZAPRO.EXE
* OUTPOSTPROINSTALL.EXE
* ZONALARM.EXE
238
« en: Viernes 21 de Abril de 2006, 15:34 »
Peligrosidad: 3 - Media Difusión: Baja Fecha de Alta:21-04-2006
Última Actualización:21-04-2006
Daño: Alto
[Explicación de los criterios] Dispersibilidad: Alto
Nombre completo: Worm.W32/Mytob.PY
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Tamaño (bytes): 218112
Alias:WORM_MYTOB.PY (Trend Micro)
Detalles
Instalación
Tras su ejecución, se copia a sí mismo cmo WINSCCS.EXE en la carpeta del Sistema de Windows.
Crea las siguientes entradas de registro para ejecutarse en cada reinicio del sistema:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
Winsockets = "winsccs.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Winsockets = "winsccs.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Winsockets = "winsccs.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Winsockets = "winsccs.exe"
También crea las siguientes entradas en los registros indicados, como parte de su rutina de instalación:
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\Lsa
Winsockets = "winsccs.exe"
HKEY_CURRENT_USER\Software\Microsoft\OLE
Winsockets = "winsccs.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole
Winsockets = "winsccs.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
Winsockets = "winsccs.exe"
Propagación en Red y aprovechamiento de vulnerabilidades
Es capaz de propagarse a traves de recursos compartidos en red. Para ello, genera direcciones IP e intenta conectarse a ellas para descargar copias de sí mismo sobre:
ADMIN$\system32
C$\Windows\system32
C$\WINNT\system32
Si el acceso a los recursos mencionados se encuentra restringido mediante nombre de usuario y clave de acceso, el gusano intentará acceder probando combinaciones de las siguientes palabras:
007
123
1234
12345
123456
1234567
12345678
123456789
1234567890
2000
2001
2002
2004
access
accounting
accounts
adm
administrador
administrat
administrateur
administrator
admins
asd
backup
bill
bitch
blank
bob
brian
changeme
chris
cisco
compaq
computer
control
data
database
databasepass
databasepassword
db1
db1234
db2
dba
dbpass
dbpassword
default
dell
demo
domain
domainpass
domainpassword
eric
exchange
fred
fuck
george
god
guest
hell
hello
home
homeuser
ian
ibm
internet
intranet
jen
joe
john
kate
katie
lan
lee
linux
login
loginpass
luke
mail
main
mary
mike
neil
nokia
none
null
oem
oeminstall
oemuser
office
oracle
orainstall
outlook
owner
pass
pass1234
passwd
password
password1
peter
pwd
qaz
qwe
qwerty
sam
server
sex
siemens
slut
sql
sqlpassoainstall
staff
student
sue
susan
system
teacher
technical
test
unix
user
web
win2000
win2k
win98
windows
winnt
winpass
winxp
www
wwwadmin
zxc
El gusano aprovecha los fallos de seguridad descritos en los siguientes boletines de seguridad:
Buffer Overrun In RPCSS Service Could Allow Code Execution Microsoft Security Bulletin MS03-039.
The Windows LSASS vulnerability, Microsoft Security Bulletin MS04-011.
Rutinas de Puerta Trasera
Utilizará un puerto aleatorio para conectarse con el canal de charla ##RXNT## del servidor IRC monotoor.rottentomatoes.us, donde permanecerá a la espera de conexión del atacante remoto para el envio de comandos como los siguientes:
Descarga/Envio de ficheros
Recopilación de información del sistema
Captura de las pulsaciones del teclado
Lanzar comandos básicos IRC
Lanzar Ataques de Denegación de Servicio(DoS) utilizando los siguietnes métodos:
ICMP
Ping
TCP
UDP
Enviar mensajes de correo
Terminación de Procesos
El gusano es capaz de detener la ejecución de los siguientes procesos, si se encuentran activos en la máquina infectada. La mayoría pertenecen a aplicaciones de seguridad y antivirus:
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
ACCWIZZ.EXE
ACCWIZZZ.EXE
ACKWIN32.EXE
ADAWARE.EXE
ADVXDWIN.EXE
AGENTSVR.EXE
AGENTW.EXE
ALERTSVC.EXE
ALEVIR.EXE
ALOGSERV.EXE
AMON9X.EXE
ANTI-TROJAN.EXE
ANTIVIRUS.EXE
ANTS.EXE
APIMONITOR.EXE
APLICA32.EXE
APVXDWIN.EXE
ARR.EXE
ATCON.EXE
ATGUARD.EXE
ATRO55EN.EXE
ATUPDATER.EXE
ATWATCH.EXE
AU.EXE
AUPDATE.EXE
AUTO-PROTECT.NAV80TRY.EXE
AUTODOWN.EXE
AUTOTRACE.EXE
AUTOUPDATE.EXE
AVCONSOL.EXE
AVE32.EXE
AVGCC32.EXE
AVGCTRL.EXE
AVGNT.EXE
AVGSERV.EXE
AVGSERV9.EXE
AVGUARD.EXE
AVGW.EXE
AVKPOP.EXE
AVKSERV.EXE
AVKSERVICE.EXE
AVKWCTl9.EXE
AVLTMAIN.EXE
AVNT.EXE
AVP.EXE
AVP32.EXE
AVPCC.EXE
AVPDOS32.EXE
AVPM.EXE
AVPTC32.EXE
AVPUPD.EXE
AVSCHED32.EXE
AVSYNMGR.EXE
AVWINNT.EXE
AVWUPD.EXE
AVWUPD32.EXE
AVWUPSRV.EXE
AVXMONITOR9X.EXE
AVXMONITORNT.EXE
AVXQUAR.EXE
BACKWEB.EXE
BARGAINS.EXE
BD_PROFESSIONAL.EXE
BEAGLE.EXE
BELT.EXE
BIDEF.EXE
BIDSERVER.EXE
BIPCP.EXE
BIPCPEVALSETUP.EXE
BISP.EXE
BLACKD.EXE
BLACKICE.EXE
BLSS.EXE
BOOTCONF.EXE
BOOTWARN.EXE
BORG2.EXE
BOTZOR.EXE
BPC.EXE
BRASIL.EXE
BS120.EXE
BUNDLE.EXE
BVT.EXE
CCAPP.EXE
CCEVTMGR.EXE
CCPXYSVC.EXE
CDP.EXE
CFD.EXE
CFGWIZ.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET.EXE
CFINET32.EXE
CLAW95CF.EXE
CLEAN.EXE
CLEANER.EXE
CLEANER3.EXE
CLEANPC.EXE
CLICK.EXE
CMD32.EXE
CMESYS.EXE
CMGRDIAN.EXE
CMON016.EXE
CONNECTIONMONITOR.EXE
CPD.EXE
CPF9X206.EXE
CPFNT206.EXE
CSM.EXE
CTRL.EXE
CV.EXE
CWNB181.EXE
CWNTDWMO.EXE
DATEMANAGER.EXE
DCOMX.EXE
DEFALERT.EXE
DEFSCANGUI.EXE
DEFWATCH.EXE
DEPUTY.EXE
DIVX.EXE
DLLCACHE.EXE
DLLREG.EXE
DOORS.EXE
DPF.EXE
DPFSETUP.EXE
DPPS2.EXE
DRWATSON.EXE
DRWEB32.EXE
DRWEBUPW.EXE
DSSAGENT.EXE
DVP95.EXE
DVP95_0.EXE
ECENGINE.EXE
EFPEADM.EXE
EMSW.EXE
ENT.EXE
ESAFE.EXE
ESCANHNT.EXE
ESCANV95.EXE
ESPWATCH.EXE
ETHEREAL.EXE
ETRUSTCIPE.EXE
EVIL.EXE
EVPN.EXE
EXANTIVIRUS-CNET.EXE
EXE.AVXW.EXE
EXPERT.EXE
EXPLORE.EXE
F-PROT.EXE
F-PROT95.EXE
F-STOPW.EXE
FAMEH32.EXE
FAST.EXE
FCH32.EXE
FIH32.EXE
FINDVIRU.EXE
FIREWALL.EXE
FNRB32.EXE
FP-WIN.EXE
FP-WIN_TRIAL.EXE
FPROT.EXE
FRW.EXE
FSAA.EXE
FSAV.EXE
FSAV32.EXE
FSAV530STBYB.EXE
FSAV530WTBYB.EXE
FSAV95.EXE
FSGK32.EXE
FSM32.EXE
FSMA32.EXE
FSMB32.EXE
FUCK.EXE
GATOR.EXE
GBMENU.EXE
GBPOLL.EXE
GENERICS.EXE
GMT.EXE
GUARD.EXE
GUARDDOG.EXE
HACKTRACERSETUP.EXE
HBINST.EXE
HBSRV.EXE
HOTACTIO.EXE
HOTPATCH.EXE
HPSV.EXE
HTLOG.EXE
HTPATCH.EXE
HWPE.EXE
HXDL.EXE
HXIUL.EXE
IAMAPP.EXE
IAMSERV.EXE
IAMSTATS.EXE
IBMASN.EXE
IBMAVSP.EXE
ICLOADNT.EXE
ICMON.EXE
ICSUPP95.EXE
ICSUPPNT.EXE
IDLE.EXE
IEDLL.EXE
IEDRIVER.EXE
IEXPLORER.EXE
IFACE.EXE
IFW2000.EXE
INETLNFO.EXE
INFUS.EXE
INFWIN.EXE
INIT.EXE
INTDEL.EXE
INTREN.EXE
IOMON98.EXE
ISTSVC.EXE
JAMMER.EXE
JDBGMRG.EXE
JEDI.EXE
KAVLITE40ENG.EXE
KAVPERS40ENG.EXE
KAVPF.EXE
KAZZA.EXE
KEENVALUE.EXE
KERIO-PF-213-EN-WIN.EXE
KERIO-WRL-421-EN-WIN.EXE
KERIO-WRP-421-EN-WIN.EXE
KERNEL32.EXE
KILLPROCESSSETUP161.EXE
LAUNCHER.EXE
LDNETMON.EXE
LDPRO.EXE
LDPROMENU.EXE
LDSCAN.EXE
LNETINFO.EXE
LOADER.EXE
LOCALNET.EXE
LOCKDOWN.EXE
LOCKDOWN2000.EXE
LOOKOUT.EXE
LORDPE.EXE
LSETUP.EXE
LUALL.EXE
LUAU.EXE
LUCOMSERVER.EXE
LUINIT.EXE
LUSPT.EXE
MAPISVC32.EXE
MCAGENT.EXE
MCMNHDLR.EXE
MCSHIELD.EXE
MCTOOL.EXE
MCUPDATE.EXE
MCVSRTE.EXE
MCVSSHLD.EXE
MD.EXE
MFIN32.EXE
MFW2EN.EXE
MFWENG3.02D30.EXE
MGAVRTCL.EXE
MGAVRTE.EXE
MGHTML.EXE
MGUI.EXE
MINILOG.EXE
MMOD.EXE
MONITOR.EXE
MOOLIVE.EXE
MOSTAT.EXE
MOUSEBM.EXE
MOUSEMM.EXE
MOUSESYNC.EXE
MPFAGENT.EXE
MPFSERVICE.EXE
MPFTRAY.EXE
MRFLUX.EXE
MSAPP.EXE
MSBB.EXE
MSBLAST.EXE
MSCACHE.EXE
MSCCN32.EXE
MSCMAN.EXE
MSCONFIG.EXE
MSDM.EXE
MSDOS.EXE
MSIEXEC16.EXE
MSINFO32.EXE
MSLAUGH.EXE
MSMGT.EXE
MSMSGRI32.EXE
MSSMMC32.EXE
MSSYS.EXE
MSVXD.EXE
MU0311AD.EXE
MWATCH.EXE
N32SCANW.EXE
NAV.EXE
NAVAP.NAVAPSVC.EXE
NAVAPSVC.EXE
NAVAPW32.EXE
NAVDX.EXE
NAVLU32.EXE
NAVNT.EXE
NAVSTUB.EXE
NAVW32.EXE
NAVWNT.EXE
NC2000.EXE
NCINST4.EXE
NDD32.EXE
NEC.EXE
NEOMONITOR.EXE
NEOWATCHLOG.EXE
NETARMOR.EXE
NETD32.EXE
NETINFO.EXE
NETMON.EXE
NETSCANPRO.EXE
NETSPYHUNTER-1.2.EXE
NETSTAT.EXE
NETUTILS.EXE
NISSERV.EXE
NISUM.EXE
NMAIN.EXE
NOD32.EXE
NORMIST.EXE
NORTON_INTERNET_SECU_3.0_407.EXE
NOTSTART.EXE
NPF40_TW_98_NT_ME_2K.EXE
NPFMESSENGER.EXE
NPROTECT.EXE
NPSCHECK.EXE
NPSSVC.EXE
NSCHED32.EXE
NSSYS32.EXE
NSTASK32.EXE
NSUPDATE.EXE
NT.EXE
NTRTSCAN.EXE
NTVDM.EXE
NTXconfig.EXE
NUI.EXE
NUPGRADE.EXE
NVARCH16.EXE
NVC95.EXE
NVSVC32.EXE
NWINST4.EXE
NWSERVICE.EXE
NWTOOL16.EXE
OLLYDBG.EXE
ONSRVR.EXE
OPTIMIZE.EXE
OSTRONET.EXE
OTFIX.EXE
OUTPOST.EXE
OUTPOSTINSTALL.EXE
OUTPOSTPROINSTALL.EXE
PADMIN.EXE
PANIXK.EXE
PATCH.EXE
PAVCL.EXE
PAVPROXY.EXE
PAVSCHED.EXE
PAVW.EXE
PCFWALLICON.EXE
PCIP10117_0.EXE
PCSCAN.EXE
PDSETUP.EXE
PERISCOPE.EXE
PERSFW.EXE
PERSWF.EXE
PF2.EXE
PFWADMIN.EXE
PGMONITR.EXE
PINGSCAN.EXE
PKGUARD32.EXE
PLATIN.EXE
POP3TRAP.EXE
POPROXY.EXE
POPSCAN.EXE
PORTDETECTIVE.EXE
PORTMONITOR.EXE
POWERSCAN.EXE
PPINUPDT.EXE
PPTBC.EXE
PPVSTOP.EXE
PRIZESURFER.EXE
PRMT.EXE
PRMVR.EXE
PROCDUMP.EXE
PROCESSMONITOR.EXE
PROCEXPLORERV1.0.EXE
PROGRAMAUDITOR.EXE
PROPORT.EXE
PROTECTX.EXE
PSPF.EXE
PURGE.EXE
QCONSOLE.EXE
QSECUE.EXE
QSERVER.EXE
RAPAPP.EXE
RAV7.EXE
RAV7WIN.EXE
RAV8WIN32ENG.EXE
RAY.EXE
RB32.EXE
RCSYNC.EXE
REALMON.EXE
REGED.EXE
REGEDIT.EXE
REGEDT32.EXE
RESCUE.EXE
RESCUE32.EXE
RRGUARD.EXE
RSHELL.EXE
RTVSCAN.EXE
RTVSCN95.EXE
RULAUNCH.EXE
RUN32DLL.EXE
RUNDLL.EXE
RUNDLL16.EXE
RUXDLL32.EXE
SAFEWEB.EXE
SAHAGENT.EXE
SAVE.EXE
SAVENOW.EXE
SBSERV.EXE
SC.EXE
SCAM32.EXE
SCAN32.EXE
SCAN95.EXE
SCANPM.EXE
SCRSCAN.EXE
SETUP_FLOWPROTECTOR_US.EXE
SETUPVAMEEVAL.EXE
SFC.EXE
SGSSFW32.EXE
SH.EXE
SHELLSPYINSTALL.EXE
SHN.EXE
SHOWBEHIND.EXE
SMC.EXE
SMS.EXE
SMSS32.EXE
SOAP.EXE
SOFI.EXE
SPERM.EXE
SPF.EXE
SPHINX.EXE
SPOLER.EXE
SPOOLCV.EXE
SPOOLSV32.EXE
SPYXX.EXE
SREXE.EXE
SRNG.EXE
SS3EDIT.EXE
SSG_4104.EXE
SSGRATE.EXE
SSL.EXE
ST2.EXE
START.EXE
STCLOADER.EXE
STEALTH.DCOM.EXE
STEALTH.DDOS.EXE
STEALTH.EXE
STEALTH.INJECTOR.EXE
STEALTH.STAT.EXE
STEALTH.WM.EXE
SUPFTRL.EXE
SUPPORT.EXE
SUPPORTER5.EXE
SVC.EXE
SVCHOSTC.EXE
SVCHOSTS.EXE
SVSHOST.EXE
SWEEP95.EXE
SWEEPNET.SWEEPSRV.SYS.SWNETSUP.EXE
SYMPROXYSVC.EXE
SYMTRAY.EXE
SYSEDIT.EXE
SYSTEM.EXE
SYSTEM32.EXE
SYSUPD.EXE
TASKKILL.EXE
TASKLIST.EXE
TASKMG.EXE
TASKMO.EXE
TASKMON.EXE
TASKSYS.EXE
TAUMON.EXE
TBSCAN.EXE
TC.EXE
TCA.EXE
TCM.EXE
TDS-3.EXE
TDS2-NT.EXE
TEEKIDS.EXE
TFAK.EXE
TFAK5.EXE
TGBOB.EXE
TITANIN.EXE
TITANINXP.EXE
TRACERT.EXE
TRICKLER.EXE
TRJSCAN.EXE
TRJSETUP.EXE
TROJANTRAP3.EXE
TSADBOT.EXE
TVMD.EXE
TVTMD.EXE
TWUNK_65.EXE
UNDOBOOT.EXE
UPDAT.EXE
UPDATE.EXE
UPDATE.PIF
UPGRAD.EXE
USERX.EXE
UTPOST.EXE
VBCMSERV.EXE
VBCONS.EXE
VBUST.EXE
VBWIN9X.EXE
VBWINNTW.EXE
VCSETUP.EXE
VET32.EXE
VET95.EXE
VETTRAY.EXE
VFSETUP.EXE
VIR-HELP.EXE
VIRUSMDPERSONALFIREWALL.EXE
VNLAN300.EXE
VNPC3000.EXE
VPC32.EXE
VPC42.EXE
VPFW30S.EXE
VPTRAY.EXE
VSCAN40.EXE
VSCENU6.02D30.EXE
VSCHED.EXE
VSECOMR.EXE
VSHWIN32.EXE
VSISETUP.EXE
VSMAIN.EXE
VSMON.EXE
VSSTAT.EXE
VSWIN9XE.EXE
VSWINNTSE.EXE
VSWINPERSE.EXE
W32DSM89.EXE
W9X.EXE
WATCHDOG.EXE
WEBDAV.EXE
WEBSCANX.EXE
WEBTRAP.EXE
WFINDV32.EXE
WHOSWATCHINGME.EXE
WIMMUN32.EXE
WIN-BUGSFIX.EXE
WIN32.EXE
WIN32US.EXE
WINACTIVE.EXE
WINDLL2.EXE
WINDOW.EXE
WINDOWS.EXE
WINDRG32.EXE
WINHOST.EXE
WININETD.EXE
WININIT.EXE
WININITX.EXE
WINLOGIN.EXE
WINMAIN.EXE
WINNET.EXE
WINPPR32.EXE
WINRECON.EXE
WINSERVN.EXE
WINSSK32.EXE
WINSTART.EXE
WINSTART001.EXE
WINSYS.EXE
WINTBP.EXE
WINTBPX.EXE
WINTNL.EXE
WINTNPX.EXE
WINTSK32.EXE
WINUPDATE.EXE
WKUFIND.EXE
WNAD.EXE
WNT.EXE
WPA.EXE
WRADMIN.EXE
WRCTRL.EXE
WSBGATE.EXE
WUPDATER.EXE
WUPDT.EXE
WUPNP.EXE
WYVERNWORKSFIREWALL.EXE
XPF202EN.EXE
ZAPRO.EXE
ZAPSETUP3001.EXE
ZATUTOR.EXE
ZONALM2601.EXE
ZONEALARM.EXE
Modificaciones en el fichero HOSTS
El gusano es capaz de modificar el fichero HOSTS que contiene los redireccionamientos en las direcciones IP establecidos por el usuario, y que normalmente, se encuentra en alguna de las siguientes carpetas:
%System%\drivers\etc
%Windows%
(Nota: %System% Representa la carpeta del sistema de Windows, Normalmente será C:\Windows\System en Windows 98 y ME, C:\WINNT\System32 en Windows NT y 2000, y C:\Windows\System32 en Windows XP y Server 2003. %Windows% Representa la carpeta Windows, que normalmente es C:\Windows o C:\WINNT.
Las modificaciones realizadas en el fichero Hosts impedirían el acceso del sistema infectado sobre los siguientes sitios de seguridad y antivirus:
avp.com
ca.com
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
f-secure.com
kaspersky-labs.com
kaspersky.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
microsoft.com
my-etrust.com
nai.com
networkassociates.com
pandasoftware.com
rads.mcafee.com
secure.nai.com
securityresponse.symantec.com
sophos.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
us.mcafee.com
viruslist.com
virustotal.com
www.avp.com
www.ca.com
www.f-secure.com
www.grisoft.com
www.kaspersky.com
www.mcafee.com
www.microsoft.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.pandasoftware.com
www.sophos.com
www.symantec.com
www.trendmicro.com
www.viruslist.com
www.virustotal.com
www.zango.com
zango.com
Robo de Información
El gusano es capaz de utilizar un capturador de paquetes de red como Carnivore apra tratar de recuparar datos asociados a las siguientes palabras:
: auth
: id
: login
:!auth
:!hashin
:!id
:!l
:!login
:!secure
:!set
:!syn
:!x
:$auth
:$hashin
:$id
:$l
:$login
:$syn
:$x
:%auth
:%hashin
:%id
:%l
:%login
:%syn
:%x
:&auth
:&id
:&login
:'auth
:'id
:'login
:*auth
:*id
:*login
:+auth
:+id
:+login
:,auth
:,id
:,login
:-auth
:-id
:-login
:.auth
:.hashin
:.id
:.l
:.login
:.secure
:.syn
:.x
:/auth
:/login
:=auth
:=id
:=login
:?auth
:?id
:?login
:@auth
:@id
:@login
:\auth
:\id
:\login
:~auth
:~id
:~login
auth
login
240
« en: Miércoles 29 de Marzo de 2006, 19:20 »
RealNetworks ha anunciado la existencia de un total de cuatro
vulnerabilidades en sus productos RealPlayer 10.x, 8.x y RealOne
1.x y 2.x y que podrían provocar que un intruso ejecutara códigos
arbitrarios o malintencionados en un equipo ajeno.
Una vulnerabilidad permitiría a un atacante ejecutar un programa que
previamente ha sido situado en la misma ruta que RealPlayer a través
de otro ataque distinto.
La segunda vulnerabilidad se debe a ficheros swf que podrían provocar
un desbordamiento de memoria en la máquina que lo ejecutase.
El tercero de los problemas está relacionada con el hecho de alojar una
página web especialmente manipulada en un servidor atacante que podría
provocar un desbordamiento de heap en el reproductor incrustado.
Por último, la cuarta vulnerabilidad se debe a un fichero mbc que podría
provocar un desbordamiento de memoria en la víctima.
Algunos o todos los fallos se dan en múltiples plataformas y versiones.
Se recomienda actualizar el producto a través de los canales habituales
o consultar la página de alerta de RealNetworks donde se informa de la
disponibilidad de cada actualización para las diferentes versiones y
plataformas afectadas.
Más Información:
RealNetworks, Inc. lanza una actualización de seguridad para resolver puntos vulnerables
http://www.service.real.com/realplayer/sec...6_player/es-xm/
241
« en: Lunes 13 de Marzo de 2006, 00:12 »
1. ¿Como Piolin puede mantener el equilibrio en su puto columpio con esa tremenda cabezota?
La cabeza ejerce una fuerza hacia abajo de tal magnitud que simplemente lo “aplasta” contra el pasador del columpio. Lo que si no sabe ni el putas, es como vuela el maricon, ya que su contraparte, Woodstock, el pájaro amarillo en Snoopy, que también es cabezón, vuela de manera lógica, cabeza-abajo.
2. Si Popeye y Olivia son solteros y nunca tuvieron relaciones sexuales… de donde diablos salió Cocoliso y porqué se parece tanto a ambos?
El carajo es sobrino de ambos, no hijo.
3. Por qué el Coyote si tenia plata para comprar miles de mariqueras ACME para atrapar al corre-caminos, Nunca se compró un pollito asado con papitas fritas y 1 birrita?
¿No existía el KFC en el desierto? Y si algún día llegaba a un casino, por que sus andanzas lo llevasen por Las Vegas, no lo dejaban entrar por no llevar corbata….ni traje….ni zapatos….ni nada…..
4. ¿Por qué Superman, Batman, y todos en el Salón de la Justicia llevaban Los calzoncillos encima de los pantalones?
Por si se cagan del miedo en la trusa, por lo menos el calzoncillo no se embarraba y hasta tapaba la mancha. De ahí en adelante la capa se convertía en “segunda línea de defensa” para esconder mancha de “que susto tan hijueputa”.
Una segunda posibilidad es que los calzoncillos fuesen “súper-odorizados” ya que ellos seguramente se echaban SÚPER-PEDOS y la trusa no daba suficiente cover-up (enmascaramiento)….La capa nuevamente sirve para difuminar los SÚPER GASES que aun persistiesen.
5. Conociendo el efecto de las espinacas de Popeye… ¿son realmente espinacas? ¿No será marihuana esa vaina?
No, de hecho se esta estudiando el uso de la espinaca como combustible. La pendeja hierba si que es buena……mejor que una aspirina….
6. ¿Que clase de sustancia psicotrópica toman los siete enanitos, para que después de 20 horas de trabajo salgan de la mina cantando, bailando y felices los desgraciados?
Ninguna, probablemente esa felicidad sea generada por una combinación de gases que emanan las profundidades y el hecho de saber que son asquerosamente ricos…..
7. ¿No creen que la Pantera Rosa fue la primera expresión de la cultura gay que se transmitió masivamente?. La Pantera Rosa… ¿era el o ella? ¿Se habría operado o no?. ¿Porqué siempre andaba desnuda y no se le veía nada ?
Sus genitales se esconden por obvias razones…..Que es, ha quedado definido por WIKIPEDIA donde esta “casi todo” el saber:
El personaje animado
La pantera rosa se puede definir como un gentleman (caballero con clase) británico, elegante hasta en el último de sus gestos. ( http://es.wikipedia.org/wiki/La_pantera_ro...sonaje_animado)
8. ¿Por qué Caperucita Roja tuvo que pedir tantas pistas para darse cuenta Que su abuela era en realidad el Lobo?. Que Bestia!!!
No, bestia no, CIEGA la pendeja….
9. Si Pluto es un perro, ¿que Mierda es Tribilín? ¿Un engendro genético?, Una mutación?
Tribilin es un perro de características antropomórficas….un perro evolucionado….(hay que creer en Darwin)
¿Pluto es un perro color naranja?
Si y esa es la única explicación posible.
Si Mickey es su amo, verga… que ratón más grande!
y cabezón el malnacido.
10. ¿Por qué coño todos los personajes de Disney llevan guantes blancos y Sólo tienen cuatro dedos? ¿Es acaso un mensaje subliminal que confirma la vida extraterrestre?
Los dedos es por la facilidad de dibujarlos.
11. ¿Cómo puede el abuelo de Heidi mantener un chalet en las montañas, con la pensión de mierda que cobra un jubilado?
No es un Chalet, es una choza pero bajo estándares europeos….
12. ¿Porqué al Hombre increíble (Hulk) se le rompe toda su ropa excepto los pantalones? ¿Son elásticos? O es que lo tiene chiquitico?
Deben ser stretch…
13. ¿Porqué los archí-villanos quieren destruir el mundo? ¿Dónde carajo piensan vivir después? SI SON TONTOS
Destruir el mundo (quiere decir la humanidad y su civilización) es lógico……ellos no quieren destruir la tierra…excepto aquellos que viven en otro planeta o bajo el agua o bajo la tierra, estos últimos se enfocan en destruir todo lo que “atenta” contra su mundo o entorno.
14. ¿Porque Los picapiedras celebran la Navidad si ellos vivieron Antes que Cristo?
“Los orígenes de Navidad se ubican desde el amanecer de la humanidad, los días que seguían el solsticio del invierno desde el 21 de diciembre, los cuales han tenido siempre una significación particular en la adoración de los dioses del sol”.
PD. PERDON POR LA VULGARIDAD, PERO NO ME IBA A PONER A ACOMODAR CADA PALABRA 
242
« en: Domingo 12 de Marzo de 2006, 00:35 »
Así se imaginaban en 1954 como iba a ser la computadora dentro de 50 años (o sea en el año 2004)
La nota dice:
"Científicos de la RAND Corporation crearon este modelo ilustrativo de como una computadora hogareña sería en el año 2004. Sin embargo, la tecnología necesaria para contruirla no va a ser económicamente accesible para la casa promedio. Los científicos admiten que todavía no existe la tecnología necesaria para contruirla, pero que en 50 años de progreso científico se espera poder resolver estos problemas."
Por Duff
243
« en: Jueves 23 de Febrero de 2006, 00:54 »
Hola chicos de SoloCodigo, sigo con lo de la DB en DAO, ahora quisiera saber como asignar los métodos MoveFirst, MovePrevious, MoveNext y MoveLast en varios controles de texto, los mismos que la consulta anterior:
!NUM_MES = txtMes
!FECHA = dtpDate
!TIPO = txtTipo
!AUDITOR = txtAuditor
!COD_ZONA = txtZona
!EXCEPCIONES = chkExep.Value
!COD_EXEPCION = txtExcep
!VLR_AJUSTE = txtVrAjuste
!PDV = txtMostrador
!ENCARGADO = txtPDV
!COMPROMISO = txtCompro
He tratado pero se me bloquea la aplicación y no me corre, pero si lo asigno a una variable UN SOLO CAMPO si se muestra y se mueve, si es más de un campo no me muestra nada.
Ahora otra pregunta??????
Necesito un ejemplo si pueden  , si quieren o mejor me explican, de los métodos FindFirst, FindPrevious, FindNext y FindLast en un MSFlexGrid o MSHFlexGrid, para las consultas y todo y así, con los mismos campos.
PD. Don't Worry zeekel, solamente te mostraba que esa parte estaba como un comentario.
Gracias por todo, pero es que no manejo DB siempre las odie y ahora me toca...
Chao
244
« en: Viernes 17 de Febrero de 2006, 19:20 »
Hola chicos de SoloCodigo, como estan? hace rato no me paso por que hay mucho camello; tengo una duda:
Estoy trabajando sobre una DB de Access con DAO (no con ADO por que no lo manejo todavia), y al usar el método AddNew, no todas las veces me guarda el registro, por que sera, aqui les muestro el códigoPrivate Sub cmdSave_Click() On Error Resume Next Dim dbVisitas As Database Dim rsVisitas As Recordset Set dbVisitas = OpenDatabase(App.Path & "\bd1.mdb") Set rsVisitas = dbVisitas.OpenRecordset("VISITA", dbOpenDynaset) ' If txtMes.Text <> "" Or txtTipo.Text <> "" Or txtAuditor.Text <> "" Or txtMostrador.Text <> "" Or _ ' txtZona.Text <> "" Or txtPDV.Text <> "" Or txtExcep.Text <> "" Or txtCompro.Text <> "" Then ' Set rsVisitas = dbOpenDB.OpenRecordset("VISITA", dbOpenTable) With rsVisitas .AddNew !NUM_MES = txtMes !FECHA = dtpDate !TIPO = txtTipo !AUDITOR = txtAuditor !COD_ZONA = txtMostrador & " " & txtZona If chkExep.Value = 0 Then Call MsgBox("NO HAY EXCEPCIONES", vbCritical, "Advertencia") Else !EXCEPCIONES = chkExep.Value !COD_EXEPCION = txtExcep !VLR_AJUSTE = txtVrAjuste End If !PDV = txtPDV !ENCARGADO = txtPDV !COMPROMISO = txtCompro .Update .Bookmark = .LastModified End With With rsVisitas Debug.Print "Registro nuevo: " & !NUM_MES & " " & !FECHA & " " & !AUDITOR _ & " " & !PDV & " " & !COD_ZONA & " " & !ENCARGADO & " " & !COD_EXEPCION _ & " " & !VLR_AJUSTE & " " & !EXCEPCIONES & " " & !ENCARGADO & " " & !TIPO End With Call CleanText ' Else ' Call MsgBox("Favor Introducir Datos", vbCritical, "Advertencia") ' cmbMeses.SetFocus ' End If rsVisitas.Close dbVisitas.Close Call VisibleFalse End Sub
245
« en: Jueves 26 de Enero de 2006, 22:44 »
Peligrosidad: 3 - Media
Difusión: Baja
Fecha de Alta:26-01-2006
Ultima Actualización:26-01-2006
Daño: Alto
[Explicación de los criterios]
Dispersibilidad: Alto
Nombre completo: Worm.W32/Nixem.AJ@MM
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [MM] - Virus que envía masivamente mensajes de correo electrónico, habitualmente a todas las direcciones capturadas en el sistema infectado.
Tamaño comprimido (bytes): 65024
Alias:WORM_NYXEM.AJ (Trend Micro), W32/Nyxem.F@mm (PerAntivirus)
Detalles
Instalación
Cunado se instala, se copia en las siguientes rutas con los nombres indicados a continuación:
%Windows%\rundll16.exe
%System%\scanregw.exe
%System%\Update.exe
%System%\Winzip.exe
Crea la siguiente entrada en el registro indicado para ejecutarse en cada reinicio del sistema:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry" = "%System%\scanregw.exe /scan"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32
para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Propagación por Correo
Utiliza su propio motor de envío SMTP (Simple Mail Transfer Protocol) para propagarse en mensajes con las siguientes características:
Asunto: Será uno de los siguientes:
The Best Videoclip Ever
School girl fantasies gone bad
A Great Video
Fuckin Kama Sutra pics
Arab sex DSC-00465.jpg
give me a kiss
*Hot Movie*
Fw: Funny 
Fwd: Photo
Fwd: image.jpg
Fw: Sexy
Re:
Fw:
Fw: Picturs
Fw: DSC-00465.jpg
Word file
eBook.pdf
the file
Part 1 of 6 Video clipe
You Must View This Videoclip!
Miss Lebanon 2006
Re: Sex Video
My photos
Contenido:, uno de los siguientes:
Note: forwarded message attached.
Hot XXX Yahoo Groups
Fuckin Kama Sutra pics
ready to be F*CKED 
forwarded message attached.
VIDEOS! FREE! (US$ 0,00)
Please see the file.
>> forwarded message
----- forwarded message -----
i just any one see my photos. It's Free
how are you?
i send the details.
OK ?
Adjunto:uno de los siguientes nombres con una segunda extensión .ZIP:
007.pif
School.pif
04.pif
photo.pif
DSC-00465.Pif
image04.pif
677.pif
New_Document_file.pif
eBook.PIF
document.pif
DSC-00465.pIf
Aleatoriamente el gusano codifica los archivos con el formato MIME (Multi-Purpose Internet Mail Extensions) con los siguientes nombres:
Video_part.mim
Attachments00.HQX
Attachments001.BHX
Attachments[001].B64
3.92315089702606E02.UUE
SeX.mim
Sex.mim
Original Message.B64
WinZip.BHX
eBook.Uu
Word_Document.hqx
Word_Document.uu
Siendo los nombres de los archivos dentro de los codificados los siguientes:
New Video,zip .sCr
Attachments,zip .SCR
Atta[001],zip .SCR
Clipe,zip .sCr
WinZip,zip .scR
Adults_9,zip .sCR
Photos,zip .sCR
Attachments[001],B64 .sCr
392315089702606E-02,UUE .scR
SeX,zip .scR
WinZip.zip .sCR
ATT01.zip .sCR
Word.zip .sCR
Las direcciones sobre las que se propaga son obtenidas desde los ficheros con las siguientes extensiones:
htm
dbx
eml
msg
oft
nws
vcf
mbx
imh
txt
msf
Evitando enviarse a las direcciones que tengan las siguientes cadenas:
symantec
mcafee
virus
trend
panda
secur
spam
norton
anti
cillin
ca.com
kasper
trust
avg
groups.msn
nomail.yahoo.com
scribe
eeye
microsoft
@hotmail
@hotpop
@yahoogroups
Al siguiente inicio del equipo ejecuta su rutina de envío de mensajes de correo y deshabilita los siguientes programas, en caso estar presentes, al borrar los valores de sus llaves de registro:
NPROTECT
ccApp
ScriptBlocking
MCUpdateExe
VirusScan Online
MCAgentExe
VSOCheckTask
McRegWiz
CleanUp
MPFExe
MSKAGENTEXE
MSKDetectorExe
McVsRte
PCClient.exe
PCCIOMON.exe
pccguide.exe
Pop3trap.exe
PccPfw
PCCIOMON.exe
tmproxy
McAfeeVirusScanService
NAV Agent
PCCClient.exe
SSDPSRV
rtvscn95
defwatch
vptray
ScanInicio
APVXDWIN
KAVPersonal50
kaspersky
TM Outbreak Agent
AVG7_Run
AVG_CC
Avgserv9.exe
AVGW
AVG7_CC
AVG7_EMC
Vet Alert
VetTray
OfficeScanNT Monitor
avast!
DownloadAccelerator
BearShare
Las claves modificadas son:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
Adicionalmente el gusano borra los archivos de las sub-carpetas de la carpeta \Archivos de programa:
\DAP\*.dll
\BearShare\*.dll
\Symantec\LiveUpdate\*.*
\Symantec\Common Files\Symantec Shared\*.*
\Norton AntiVirus\*.exe
\Alwil Software\Avast4\*.exe
\McAfee.com\VSO\*.exe
\McAfee.com\Agent\*.*
\McAfee.com\shared\*.*
\Trend Micro\PC-cillin 2002\*.exe
\Trend Micro\PC-cillin 2003\*.exe
\Trend Micro\Internet Security\*.exe
\NavNT\*.exe
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
\Grisoft\AVG7\*.dll
\TREND MICRO\OfficeScan\*.dll
\Trend Micro\OfficeScan Client\*.exe
\LimeWire\LimeWire 4.2.6\LimeWire.jar
\Morpheus\*.dll
El gusano lee además la ubicación de determinados programas ubicados en el registro de Windows y procede a borrar los siguientes:
VirusProtect6
Norton AntiVirus
Kaspersky Anti-Virus Personal
Iface.exe
Panda Antivirus 6.0 Platinum
Cierra también las ventanas de de las aplicaciones con cualquiera de las siguientes cadenas:
SYMANTEC
SCAN
KASPERSKY
VIRUS
MCAFEE
TREND MICRO
NORTON
REMOVAL
FIX
El gusano altera las siguientes llaves de registro:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState]
"FullPath" = dword:00000001
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden" = dword:00000000
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"WebView" = dword:00000000
Modifica los archivos del Escritorio Activo para ejecutar una copia de sí mismo de nombre WinZip_Tmp.exe usando los Controles ActiveX.
Para propagarse en las carpetas con recursos compartidos intenta copiarse a sí mismo a las rutas y con los nombres:
\Admin$\WINZIP_TMP.exe
\c$\WINZIP_TMP.exe
\c$\Documents and Settings\All Users\Start Menu\Programs\Startup\WinZip Quick Pick.exe
Antes de propagarse verifica las computadoras remotas con una de las siguientes carpetas y de hallarlas borra todos los archivos contenidos en las mismas:
\C$\Program Files\Norton AntiVirus
\C$\Program Files\Common Files\symantec shared
\C$\Program Files\Symantec\LiveUpdate
\C$\Program Files\McAfee.com\VSO
\C$\Program Files\McAfee.com\Agent
\C$\Program Files\McAfee.com\shared
\C$\Program Files\Trend Micro\PC-cillin 2002
\C$\Program Files\Trend Micro\PC-cillin 2003
\C$\Program Files\Trend Micro\Internet Security
\C$\Program Files\NavNT
\C$\Program Files\Panda Software\Panda Antivirus Platinum
\C$\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal
\C$\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro
\C$\Program Files\Panda Software\Panda Antivirus 6.0
\C$\Program Files\CA\eTrust EZ Armor\eTrust EZ Antivirus
El gusano crea también una tarea que programa para que sea ejecutado en las computadoras remotas con privilegios, en el minuto 59 de la hora vigente.
Así mismo si la fecha es igual al día 3 de cada mes, al ejecutar el archivo UPDATE.EXE del gusano, los archivos de todas las unidades de disco con las siguientes extensiones, serán destruidos:
*.doc
*.xls
*.mdb
*.mde
*.ppt
*.pps
*.zip
*.rar
*.pdf
*.psd
*.dmp
Nombres de Ficheros Adjuntos (virus que llegan por correo)
WinZip,zip.scR
Video_part.mim
Sex.mim
SeX,zip.scR
School.pif
photo.pif
Photos,zip.sCR
New_Document_file.pif
New Video,zip
image04.pif
eBook.PIF
DSC-00465.Pif
document.pif
Clipe,zip.sCr
Attachments[001],B64.sCr
ATT01.zip.sCR
Adults_9,zip.sCR
677.pif
392315089702606E-02,.scR
007.pif
WinZip.BHX
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR
Asunto del mensaje (virus que llegan por correo)
Part 1 of 6 Video clipe
the file
eBook.pdf
Word file
Fw: DSC-00465.jpg
Fw: Picturs
Fw:
Re:
Fw: Sexy
Fwd: image.jpg
Fwd: Photo
Fw: Funny
*Hot Movie*
give me a kiss
Arab sex DSC-00465.jpg
Fuckin Kama Sutra pics
A Great Video
School girl fantasies gone bad
The Best Videoclip Ever
You Must View This Videoclip!
Miss Lebanon 2006
Re: Sex Video
My photos
246
« en: Domingo 15 de Enero de 2006, 16:06 »
Peligrosidad: 3 - Media
Difusión: Baja Fecha de Alta:14-01-2006
Última Actualización:15-01-2006
Daño: Alto
[Explicación de los criterios]
Dispersibilidad: Alto
Nombre completo: Worm.W32/Feebs.N@P2P+MM
Tipo: [Worm] - Programa que se replica copiándose entero (sin infectar otros ficheros) en la máquina infectada, y a través de redes de ordenadores
Plataforma: [W32] - Ejecutable PE (.EXE, .SCR, .DLL) que corre en Windows de 32 bits: 95, 98, Me, NT, 2000, XP, 2003
Mecanismo principal de difusión: [P2P+MM] - Se propaga por redes P2P y correo electrónico.
Tamaño comprimido (bytes): 55946
Alias:WORM_FEEBS.N (Trend Micro), WORM_FEEBS.T (Trend Micro), W32.Feebs.E@mm (Symantec), W32.Feebs.D@mm (Symantec)
Detalles
Instalación
El gusano llega hasa la máquina infectada al ser descargado desde internet por otro malware.
Cuando se ejecuta, descarga los siguientes ficheros en la carpeta del sistema de Windows:
Ms{2 letras al azar}
ms{2 letras al azar}.exe
Ms{2 letras al azar}32.dll También detectado como Feebs.N
Crea la siguiente entrada en el registro para tratar de ocultar su propio proceso ante el administrador de tareas de Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{random CLSID}\InprocServer32
@ = %System%\Ms{two random letters}32.dll
(Nota: %System% representa la carpeta del sistema de Windows. Normalmente será C:\Windows\System en Windows 98 y ME, C:\WINNT\System32 en Windows NT and 2000, o C:\Windows\System32 en Windows XP y Server 2003.)
También crea las siguientes entradas como parte de su rutina de instalación:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
MS{2 letras al azar}\dat
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
MS{2 letras al azar}\sdat
Propagación por correo
Utiliza su propio motor de envío SMTP para enviar correos con un fichero adjunto con extensión .ZIP que contiene una copia del gusano sobre todas las direcciones de correo que el gusano haya localizado en el sistema infectado.
El mensaje tendrá las siguientes características:
Asunto:Será una combinación de palabras de los siguiente grupos:
Grupo 1
Encrypted
Extended
Protected
Secure
Grupo 2
E-mail
Html
Mail
Message
Grupo 3
{Vavío}
From {Nombre de dominio falso} user
Service
Service {Nombre de dominio falso}
System
Remitente Será compuesto en una cadena de texto en la forma:
Id{número aleatorio} {alguno de los siguientes nombres de dominio}
@aol.com
@gmail.com
@hotmail.com
@msn.com
@yahoo.com
Mensaje: Será el siguiente:
Subject: happy new year
ID: {aleatorio}
Password: {aleatorio}
Message is attached.
Best Regards,
{El mismo nombre que el remitente},
{El mismo dominio que el remitente}
Adjunto:Será alguno de los siguientes nombres de fichero
data.zip
mail.zip
message.zip
msg.zip
Propagación por redes P2P
Para conseguir propagarse a través de las redes de compartición de fichero se copiará con alguno de los siguientes nombre en las carpetas compartidas de las aplicaciones P2P:
3dsmax_9_(3D_Studio_Max)_new!_full+crack.zip
ACDSee_9_new!_full+crack.zip
Adobe_Photoshop_10_(CS3)_new!_full+crack.zip
Adobe_Premiere_9_(2.0_pro)_new!_full+crack.zip
Ahead_Nero_8_new!_full+crack.zip
DivX_7.0_new!_full+crack.zip
ICQ_2006_new!_full+crack.zip
Internet_Explorer_7_new!_full+crack.zip
Kazaa_4_new!_full+crack.zip
Longhorn_new!_full+crack.zip
Microsoft_Office_2006_new!_full+crack.zip
winamp_5.2_new!_full+crack.zip
247
« en: Jueves 12 de Enero de 2006, 19:34 »
IBM ha publicado recientemente una actualización para las ramas 6.x
de Lotus Domino y para Lotus Domino Web Access (iNotes), que corrige
algunos problemas de seguridad, que no han sido del todo especificados,
en esta herramienta de gestión.
Lotus Domino es un conocido servidor de trabajo colaborativo muy
empleado en ámbitos empresariales, que abastece a aplicaciones cliente
del tipo Lotus Notes.
La actualización facilitada por IBM resuelve diversos problemas
de seguridad que en opinión del fabricante podrían facilitar la
construcción de ataques de denegación de servio (DoS), así como
otros ataques de impacto no especificado y desconocido.
El abanico de problemas documentados es bastante extenso:
* Un error sin especificar en el servidor IMAP podría causar que el
servicio quede sin posibilidad de ofrecer respuestas e iniciar nuevas
sesiones IMAP
* Un error, también sin especificar, podría provocar la caída completa
del servidor una vez que los clientes opten por realizar operaciones de
compactación de datos.
* Errores sin especificar en el directorio de servicios podrían ser
explotados para ejecutar denegaciones de servicio, por ejemplo, en las
búsquedas LDAP.
* Múltiples problemas, también sin documentar, podrían provocar ceses
inesperados de ejecución en el servidor web cuando se eliminen ficheros
adjuntos en mensajes, o bien a la hora de gestionar imágenes de bitmap
corruptas.
* Un desbordamiento de pila en la versión AIX de Lotus Domino podría ser
aprovechado para cesar la actividad del servidor, en caso de que
sometiéramos al mismo a la evaluación de fórmulas recursivas largas.
* Se han detectado problemas que podrían desembocar en un desbordamiento
de búfer en la conversión CD a MIME, debidos a errores de violación de
límites en algunas variables. Estos problemas podrían dejar el servicio
colapsado y sin ofrecimiento de respuestas de ningún tipo.
* Por último, se ha barajado la posibilidad de la existencia de
potenciales fallos de seguridad, tampoco documentados, en el componente
Agentes del servidor.
Ante la incertidumbre provocada por desconocerse la naturaleza de los
fallos, y ante la más que probable existencia de problemas colaterales
o no especificados, recomendamos a los administradores de soluciones
Domino actualicen a la versión 6.5.5, carente de problemas. Para ello,
deben seguir las instrucciones facilitadas por el fabricante. Los
problemas son en algunos casos explotables de modo remoto, con lo que
la gravedad de los mismos es digna de ser considerada, aconsejándose
la premura en las tareas de actualización.
Más Información:
Actualización a Lotus Domino 6.5.5
http://www14.software.ibm.com/webapp/downl...Domino%20server
248
« en: Jueves 29 de Diciembre de 2005, 16:36 »
Información extraida de Alerta AntiVirus
Dicho código de explotación aprovecha un problema de Windows XP y 2003 concretamente, en el componente "Visor de imágenes y fax de Windows" (shimgvw.dll) a la hora de tratar metaarchivos de Windows (WMF) para ejecutar código arbitrario.
Si la víctima utiliza Internet Explorer, puede provocarse la ejecución automática de código arbitrario al visitar la web maliciosa. Otros navegadores como Firefox preguntarán sobre si se quiere cargar la imagen en el componente vulnerable antes mencionado, si se acepta también se provocara la ejecución del código.
Este código malicioso se está utilizando para distribuir troyanos como los de la siguiente lista
Trojan-Downloader.Win32.Agent.abs
Trojan-Dropper.Win32.Small.zp,
Trojan.Win32.Small.ga
Trojan.Win32.Small.ev.
TROJ_NASCENE.A
TROJ_NASCENE.B
TROJ_NASCENE.C
TROJ_NASCENE.D
Inicialmente la lista de sistemas vulnerables es la siguiente:
Microsoft Windows XP Tablet PC Edition SP2
Microsoft Windows XP Tablet PC Edition SP1
Microsoft Windows XP Tablet PC Edition
Microsoft Windows XP Professional SP2
Microsoft Windows XP Professional SP1
Microsoft Windows XP Professional
Microsoft Windows XP Media Center Edition SP2
Microsoft Windows XP Media Center Edition SP1
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Home SP2
Microsoft Windows XP Home SP1
Microsoft Windows XP Home
Las pruebas realizadas hasta el momento con un Windows XP SP2 con todas las actualizaciones al día, incluido el parche MS05-053 que en teoría solucionaba el problema de ejecución de código mediante imágenes WMF/EMF (896424), y que fuera publicado por Microsoft en noviembre pasado dieron como resultado la infección del sistema. Más tarde se comprobó que el exploit se basa en una vulnerabilidad totalmente nueva.
Actualmente, Microsoft no ha publicado ningún parche de seguridad para esta vulnerabilidad. Como medida temporal, desregistre el el "Visor de Imágenes y Fax de Windows" o al menos evite utilizarlo para abrir imágenes WMF potencialmente maliciosas.
SOLUCION[/b] Aconsejamos precaución extrema a la hora de abrir adjuntos, páginas de Internet o carpetas compartidas por programas P2P que contengan archivos .WMF. Para usuarios con más conocimientos desregistrar temporalmente el componente "Visor de imágenes y fax de Windows" (shimgvw.dll). Una vez desregistrado el componente no se inicializara cuando el usuario haga clic en un enlace o tipo de imagen asociada con el "Visor de imágenes y fax de Windows". Procedimiento: Vaya a Inicio-->Ejecutar-->Teclee cmd, pulse 'Aceptar'. Aparecera una ventana en modo texto (shell de windows) donde deberá teclear "regsvr32 -u %windir%\system32\shimgvw.dll" (sin las comillas) y tras ello pulse 'Enter'. Nota: Donde pone %windir% tendrá que poner la ruta de su carpeta de windows. Por defecto para windows XP sería C:\WINDOWS. Un cuadro de dialogo aparecera para confirmar el proceso se ha realizado correctamente. Pulse 'Aceptar' para cerrarlo. Para restaurar el cambio una vez solucionada la vulnerabilidad vuelva a registrar el componente. Para ello siga el procedimiento que utilizo para desregistralo pero eliminando la cadena de texto "-u". Es decir, tecleando "regsvr32 %windir%\system32\shimgvw.dll" (sin las comillas) en el shell de windows. [/size]
249
« en: Viernes 23 de Diciembre de 2005, 19:22 »
Se ha anunciado la presencia de una vulnerabilidad en el servidor web
de Macromedia JRun 4 que puede ser explotada por usuarios remotos
maliciosos para provocar denegaciones de servicio o ejecutar código
arbitrario en máquinas afectadas.
Macromedia JRun 4 es un servidor de aplicaciones utilizado para el
desarrollo y despliegue de aplicaciones basadas en la plataforma Java.
La vulnerabilidad en sí está localizada en el servidor web de JRun, y
puede aparecer concretamente a la hora de tratar cadenas de peticiones
de gran longitud. Con ciertas configuraciones de la plataforma, cuando
ésta recibe una URL muy larga (de aproximadamente 64.000 caracteres),
puede provocarse un desbordamiento de búfer que, además de ser
aprovechable para crear una condición de denegación de servicio,
potencialmente puede ser explotado por un atacante para ejecutar
código arbitrario en la máquina afectada.
Para que la vulnerabilidad pueda explotarse, dicho servidor web debe
estar activo, algo que no es recomendable en sistemas orientados a
producción y que sólo debería usarse en entornos de desarrollo.
Adobe ha confirmado que la vulnerabilidad afecta al servidor web de
JRun 4 en versiones anteriores a JRun 4 Updater 5, actualización
publicada en marzo de este mismo año, por lo que si no se ha aplicado
dicha actualización, se recomienda hacerlo ahora de forma urgente.
Más Información:
Macromedia JRun 4 Web Server URL Parsing Buffer Overflow Vulnerability
http://www.idefense.com/intelligence/vulne...play.php?id=360
250
« en: Viernes 23 de Diciembre de 2005, 19:20 »
iDefense publica información sobre una vulnerabilidad que afecta a McAfee VirusScan, el antivirus de McAfee.
El problema se produce en McAfee Security Center, y permite a un atacante la creación o sobrescritura arbitraria de archivos de forma remota.
El error que provoca el fallo, se debe a que un control ActiveX usado por el programa, no restringe los dominios que pueden cargarlo y ejecutarlo.
El componente (MCINSCTL.DLL), que se incluye con McAfee Security Center, exporta un objeto para registro llamado MCINSTALL.McLog. McAfee no controla los dominios que pueden utilizar este objeto ActiveX. De ese modo, un atacante puede crear una página web maliciosa que cargue dicho control para crear archivos de forma arbitraria en el equipo afectado.
Este tipo de ataque puede llevar a la ejecución arbitraria de código de forma remota, por ejemplo creando archivos en las carpetas de inicio. Lo único que se requiere, es que la víctima visite el sitio web malicioso.
Software vulnerable:
Los siguientes productos incluyen el componente MCINSCTL.DLL 4.0.0.83, y por lo tanto son vulnerables:
- McAfee VirusScan 9.0
- McAfee VirusScan 8.0
- McAfee VirusScan 7.1
- McAfee VirusScan 7.0
- McAfee VirusScan 6.0
- McAfee VirusScan 5.0
- McAfee VirusScan 4.5.1
- McAfee VirusScan 4.5
- McAfee VirusScan 4.0.3
- McAfee VirusScan 4.0
Solución:
McAfee publicó una actualización automática para el SecurityCenter que resuelve el problema.
Para comprobar la actualización, los usuarios registrados deben hacer clic con el botón derecho en el icono del producto en la bandeja del sistema (al lado del reloj de Windows), seleccionar "Actualizaciones" (Updates), y examinar por nuevas actualizaciones (en el caso de que no se haya actualizado de forma automática).
Referencias:
ADVISORY: 12.20.05
McAfee Security Center
MCINSCTL.DLL ActiveX Control File Overwrite Vulnerability
http://www.idefense.com/intelligence/vulne...play.php?id=358
CVE-2005-3657 (Common Vulnerabilities and Exposures project)
http://www.cve.mitre.org/cgi-bin/cvename.c...e=CVE-2005-3657
McAfee VirusScan Security Center
ActiveX Control Arbitrary File Overwrite Vulnerability
http://www.securityfocus.com/bid/15986
McAfee Security Center
ActiveX Control File Overwrite Vulnerability
http://www.frsirt.com/english/advisories/2005/3006
McAfee SecurityCenter
"mcinsctl.dll" ActiveX File Overwrite Vulnerability
http://secunia.com/advisories/18169
Páginas: 1 ... 8 9 [10] 11 12 ... 26
|
|
|
Mostrar Mensajes
sino haciendo soporte, aunque si me doy a mostrar me pueden colocar como programador en PHP o JAVA, pero primero me tengo que poner a 
estos 2 L.P, estoy rehappy 