[Previo por Fecha] [Siguiente por Fecha] [Previo por Hilo] [Siguiente por Hilo]
[Hilos de Discusión] [Fecha] [Tema] [Autor]Revisa este correo!, sobre todo la sección "SOLUCION". <<Boletin ASC 002-2000>> Saludos > ---------- > From: Gustavo Echeona[SMTP:gecheona en hotmail com] > Sent: Jueves 18 de Mayo de 2000 5:36 PM > To: ayuda en linux org mx > Subject: Proteccion de mails > > Holas > Quisiera saber que medida (software) debo implementar para proteger a mis > usuarios de viruses cuando les envian attachments ... > En alguna ocasion no se si fue aqui lei que algo se hace desde el mismo > server y una vez llega un mail con un virus toma tal medida > (borrarlo,,,,advertir...limpiar..etc..en fin no se ) > Conozco de un software (corre en win) que lo hace ... > protege de melissa .. > worm explorer.... > protege de attachment con .vbs..... > si algo llega con esto en el subject bla,bla,bla haz tal cosa (esto ultimo > > a traves de reglas en el encabezado.... > > etc) > > Alguien sabe de que hablo ??? :-D > > Les escucho !!! > > Salu2, > > Gustavo. > ________________________________________________________________________ > Get Your Private, Free E-mail from MSN Hotmail at http://www.hotmail.com > > > -- > Para desuscribirse, mande correo a: ayuda-unsubscribe en linux org mx > Para comandos adicionales, envíelo a: ayuda-help en linux org mx >
--- Begin Message ---
- To: asc-avisos en asc unam mx
- Subject: Boletin ASC 002-2000
- From: Area de Seguridad en Computo <asc en conga super unam mx>
- Date: Thu, 4 May 2000 21:47:10 -0500
- Cc: gasu en asc unam mx, mx-seguridad en asc unam mx, ayuda en linux org mx, ruben en asc unam mx
- List-help: <mailto:ayuda-help@linux.org.mx>
- List-unsubscribe: <mailto:ayuda-unsubscribe@linux.org.mx>
-----BEGIN PGP SIGNED MESSAGE----- . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 'Area de Seguridad en C'omputo DGSCA- UNAM Bolet'in de Seguridad 2000-002 GUSANO LOVE LETTER . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . La madrugada del 4 de Mayo del 2000 el CERT/CC (Cert /Cordination Center)comenz'o a recibir m'ultiples reportes de un script realizado en Visual Basic, dicho script fue titulado "Love Letter", el cual comenzaba a circular por el Internet. Dichos reportes indicaban que dicho programa ten'ia la propiedad de un gusano (Programa que se autoreplica por si mismo) y que para su propagaci'on atrav'es de la red dicho programa era distribuido v'ia correo electr'onico que contienen las siguientes Caracter'isticas : ---------------------- Subject:ILove YOU Dentro del cuerpo del mensaje conten'ia lo siguiente : Un documento en forma de ATTACH inclu'ido, titulado : LOVE-LETTER-FOR-YOU.txt.vbs ----------------------- Como datos oficiales del CERT/CC uno de los Organismos de Seguridad en Los Estados unidos y a nivel Mundial, se reportaba que antes de las 3:00 PM dicho gusano habr'ia afectado cerca de 300,000 equipos distribu'idos alrededor de diversas empresas. El CERT haste ese momento ten'ia registrados m'as de 250 reportes que indicaban la prescencia de un gusano atrav'es de la red. Si deseas consultar el documento en su formato original en versi'on en ingles te recomendamos visitar : http://www.cert.org/current/current_activity.html#loveletter Dicho gusano se expandi'o no s'olo v'ia correo electr'onico, sino que encontro como otro medio de distribuci'on los IRC (Chats) como cabida para su pronta propagaci'on. Fecha de Detecci'on en los EU : Mayo 4 del 2000 Fecha de Detecci'on en M'exico : Mayo 4 del 2000 * 'Ultima Revisi'on : Mayo 4 del 2000 Sistemas Afectados : Sistema Operativo Windows, con la peculiaridad de funcionar como servidor. , , , , , , , , , , , , , , , * Descripci'on del Problema * , , , , , , , , , , , , , , , En el momento en que dicho gusano se ejecutaba era autoguardarse dentro del equipo infectado en tres diferentes lugares y con nombre distintos, MSKernel32.vbs, LOVE-LETTER-FOR-YOU.TXT.vbs y bajo el directorio windows como Win32DLL.vbs. Enseguida crea un numero de entradas al registro del Sistema Operativo Windows al ejecurtar dichos programas, que en su mayor'ia son b'asicos al momento de la instalaci'on de dicho sistema Operativo HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Win 32D$ De igual forma modifica la p'agina de inicio del Internet Explorer para que al momento de ejecutarse 'este pueda bajar un archivo binario de forma aleatoria llamado WIN-BUGSFIX.exe, el cual primordialmente lo obten'ia de las siguientes direcciones : http://www.skyinet.net/~young1s/HJKhjnwerhjkxcvytwertnMTFwetrdsfmhPnjw658734 5gv$ http://www.skyinet.net/~angelcat/skladjflfdjghKJnwetryDGFikjUIyqwerWe5467863 24h$ http://www.skyinet.net/~koichi/jf6TRjkcbGRpGqaq198vbFV5hfFEkbopBdQZnmPOhfgER 67b$ http://www.skyinet.net/~chu/sdgfhjksdfjklNBmnfgkKLHjkqwtuHJBhAFSDGjkhYUgqwer asd$ Enseguida el programa cambia las llaves del registro para que pueda ejecutarse el archivo binario reci'en obtenido y que posteriormente pueda ejecutarse. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WIN-BUGSFIX HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page about:blank Posteriormente el gusano ayuda a crear un archivo en formato html que lo ayudar'a a que se pueda expander atrav'es de la red. Dicho archivo se llama LOVE-LETTER-FOR-YOU.HTM El gusano intenta expandirse y replicarse en todas las direcciones de la libreta de direcciones del sistema WINDOWS ( Windows Address Book ), enviando el archivo recien creado LOVE-LETTER-FOR-YOU.TXT.vbs como attachment. El virus una vez que ha sido enviado y recibido del lado de su objetivo, hace una b'usqueda por discos duros, dispositivos y archivos con ciertas extensiones. A su vez sobreeescribe archivos agregandoles la terminaci'on .vbs y vbe. Los archivos detectados que renombra son aquellos que contienen las extensiones js, jse, css, wsh, sct, hta y los renombra con la extensi'on .vbs. De igual forma para los archivos con la extensi'on jpg y jpeg an~adiendole la terminaci'on .vbs. De igual forma busca por las aplicaciones mIRC windows y IRC client y sobreescribe el archivo script.ini. enseguida modifica dicho archivo para que pueda ser distribu'ido mediante la funci'on DCC del IRC el archivo LOVE-LETTER-FOR-YOU.HTM a toda la gente que entre al foro de discusi'on. - ---------- SOLUCION - --------- Se han enviado por las principales listas de Seguridad y Administraci'on tanto en los Estados Unidos y en M'exico, diversas formas para poderlo prevenir y detener en nuestros equipos. * Existe un parche simple que se agrega en el archivo sendmail.cf y que se puede encontrar en : http://www.freshmeat.net/news/2000/05/04/957464489.html Como administradores exhortamos aplicar dicho parche en el programa de Sendmail para evitar que dicho gusano se propague a traves de nuestro dominio .unam.mx y .mx. * Las 'ultimas variaciones de dicho gusano por la tarde-noche indican que dicho gusano usa como subject las cadenas "Joke" o' "fw: Joke" y el attachment es llamado VeryFunny.vbs. * Si manejas Procmail puedes usar los filtros realizados por John D. Hardin para detener el gusano y est'a disponible en ftp://ftp.rubyriver.com/pub/jhardin/antispam/procmail-security.html * Si usas sendmail a su vez ha publicado recientemente en su pagina comercial de sendmail.com una regla para filtrar el gusano que se basa en el encabezado del correo 'o subject. dicha regla trabaja para Sendmail 8.9 en adelante y es'a disponible en la siguiente direcci'on http://www2.sendmail.com/loveletter. A esta regla puede an~adirse las nuevas variaciones detectadas hasta la noche de hoy. * Para servidores Exchange se recomienda el producto Mail essentials, pero este es un producto comercial que ayuda a configurar y bloquear mensajes que pueden ser detectados en su contenido 'o incluso en su encabezado. dicho producto se encuentra en la siguiente direcci'on : http://www.gfi.com/mesindex.htm * Se recomienda actualizar la versi'on de antivirus que se este ejecutando en tu equipo. * De igual forma debido a que el virus est'a escrito en VBS, 'este requere que se ejecute la funci'on Windows Scripting Host (WSH) para poder ejecutarse. Recomendamos desactivar dicha opci'on, si no sabes como llevarlo a cabo, te recomendamos leer el siguiente documento : http://www.sophos.com/support/faqs/wsh.html * Desactivar la opci'on Active Scripting en el internet Explorer, si no sabes como llevar a cabo este paso, te recomendamos visitar : http://www.cert.org/tech_tips/malicious_code_FAQ.html#steps - ------------------------------------------- APENDICE A : Lista de principales contactos - -------------------------------------------- Anexamos una lista de posibles contactos de vendedores de antivirus a nivel muundial y que actualmente est'an estudiando las formas de protecci'on y ana~adiendolo a sus productos. Alladin: http://www.aks.com/home/csrt/valerts.asp CA: http://www.ca.com/virusinfo/virusalert.htm DrSolomon: http://www.drsolomons.com/home/extra.zip F-Secure: http://www.f-secure.com/download-purchase/updates.html Finjan: http://www.finjan.com/attack_release_detail.cfm?attack_release_id=34 McAffe: http://download.mcafee.com/extrafiles/love-4.zip NAI: http://vil.nai.com/villib/dispVirus.asp?virus_k=98617 Proland: http://www.pspl.com/virus_info/worms/loveletter.htm Sophos: http://www.sophos.com/virusinfo/analyses/vbsloveleta.html Sophos: http://www.sophos.com/virusinfo/analyses/trojloveleta.html Symantec: http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html TrendMicro: http://www.antivirus.com/vinfo/virusencyclo/default5.asp?VName=VBS_LOVELETTE R- Se informa que la 'ultima versi'on del Norton antivirus detiene la propagaci'on del gusano, ya que lo confunde con el virus VBS.BubbleBoy, por lo que no lo deja autoreplicarse. ________________ INFORMACI'ON ________________ Para Mayor Informaci'on o Detalles de este bolet'in contactar a: 'Area de Seguridad en C'omputo DGSCA- UNAM Tel : 56 22 81 69 Fax : 56 22 80 43 E-Mail : asc en asc unam mx http://www.asc.unam.mx/boletines - --- Juan Carlos Guel L'opez Area de Seguridad en C'omputo E-mail: asc en conga super unam mx DGSCA, UNAM Tel.: 5622-81-69 Fax: 5622-80-43 Circuito Exterior, C. U. WWW: http://www.asc.unam.mx/ 04510 Mexico D. F. PGP: finger asc en ds5000 super unam mx -----BEGIN PGP SIGNATURE----- Version: PGP 6.5.1i iQEVAwUBORI2Qj6HeEeO/+C1AQGIXgf+L9XqC/kqqWhpnV3wtOqGgbpgWaEdK0dI bgbWGO4yhlB+YCYZs7UvN+WWwQ6clTd+/MmBetSY2/QVS5n5FR7ijvHL/qMP6Wc9 iQCj1I5Vd5Dxt0yQtmbEEyGzX/GVbRA7eghQa5Nwskr0OoEGFGtLlzh+Y28N8L+7 Oa0E3uYaGo1IwPOMTG37MaT/bzTLyZVxsian2HSj+KfpKr/+sGoM4tKlcpvENjy7 ElBHKdJGSmrPByEmrRpmUZ7tOtEKqsIMU1iYlFEsrb3itpkZyDhL6znYC0rvi9Tm z98rEptybJf1u5WOh2ZAeGFOIWAVGYutHdfVmL5rVi5ssAVrRtLihQ== =NxJw -----END PGP SIGNATURE----- -- Para desuscribirse, mande correo a: ayuda-unsubscribe en linux org mx Para comandos adicionales, envíelo a: ayuda-help en linux org mx
--- End Message ---
-- Para desuscribirse, mande correo a: ayuda-unsubscribe en linux org mx Para comandos adicionales, envíelo a: ayuda-help en linux org mx