Virus y Troyanos

Sasser inauguró una serie de programas maliciosos que aprovechaban la vulnerabilidad en el proceso LSASS que Microsoft dio a conocer en abril de 2004. Desde que Sasser se encumbró a lo más alto de todas las listas de virus informáticos, han aparecido muchos otros que siguen idéntica forma de infección pero muy distintas consecuencias.

03-06-2004 - Cycle fue de los primeros en aparecer tras la masiva infección de Sasser. Incorporaba como novedad la posibilidad de utilizar sistemas operativos Windows 9x y Me como amplificadores, aunque no los infectara. También intentaba destruir los procesos de otros virus que conviviesen en la misma máquina, como Sasser o Netsky. Su máximo inconveniente y síntoma inequívoco, era la constante aparición de una pantalla que avisa de que el sistema será reiniciado en pocos segundos.

Bobax también se ha aprovechado del desbordamiento de memoria intermedia en el proceso LSASS. Ha llegado a tener hasta hoy diferentes variantes, muchas de ellas con fines más allá de la pura infección. En concreto, las versiones B, C y D instalan un proxy en el sistema que permite a un atacante remoto tomar el control de la víctima, aunque se sospecha que esta capacidad es utilizada para el envío de correo basura encubierto.

Korgo es el último virus hasta ahora que aprovecha el desafortunado fallo de Microsoft. Ya va por su versión F, que ha ganado en sofisticación. Esta última, es capaz de desactivar varios servicios de seguridad del sistema, como antivirus y sistemas de actualizaciones automáticas. También instala servicios en varios puertos probablemente a la espera de órdenes de máquinas remotas. Korgo es capaz de conectarse a distintos canales de red IRC, probablemente para notificar a sus moradores de las máquinas infectadas y que poder de esta forma aprovecharse de ellas.

Cabe recordar que la infeccción de todos estos virus puede venir por el simple hecho de conectarse a Internet con el sistema operativo de Microsoft sin las medidas básicas de protección, por lo que no requiere de ningún movimiento activo por parte del usuario.

Más información y referencias:

Korgo Worm Targets LSASS Flaw
www.internetnews.com/dev-news/article.php/3359681

Bobax
www.vsantivirus.com/bobax-b.htm

W32/Cycle.A. Se propaga usando vulnerabilidad LSASS
www.vsantivirus.com/cycle-a.htm

Sergio de los Santos
http://www.forzis.com