[INFO] Ataque DoS con certificados en Mozilla y Firefox

Hola socios. Aunque este software es de terceros y dado que algunos se han
empeñado en promoverlo en estos Grupos, haciendo parecer que no son
vulnerables, he pensado que es sensato poner esto en la palestra, dado que
no faltarán ingenuos que se crean todo lo que sobre esas aplicaciones han
dicho algunos, puede que esté fuera de tema en Windows XP, pero lo creo
prudente como prevención.

_____________________________________________________________

1 - Ataque DoS con certificados en Mozilla y Firefox
_____________________________________________________________

http://www.vsantivirus.com/vul-cert...ozilla.htm

Ataque DoS con certificados en Mozilla y Firefox

Por Angela Ruiz
angela@videosoft.net.uy

Se han reportado vulnerabilidades en Mozilla y Firefox, que
pueden ser explotadas maliciosamente para causar ataques de
denegación de servicio (DoS).

Certificados raíz seleccionados arbitrariamente, pueden ser
importados silenciosamente, sin mostrar al usuario ninguna
ventana de diálogo, cuando se utiliza un MIME type
"application/x-x509-email-cert".

MIME (Multipurpose Internet Mail Extensions), es un protocolo
que permite el envío y recepción de contenidos complejos
tales como programas ejecutables, sonidos, imágenes, o
cualquier información que no sea en esencia solo texto, sino
de contenido binario. MIME clasifica los contenidos que se
incluyen en los mensajes de correo según su naturaleza. En la
cabecera del mensaje se añaden dos etiquetas (MIME-Version y
de la clasificación se incluiría el código contenido en el
cuerpo del mensaje.

Además de otros problemas, esto puede ser explotado por
sitios Web maliciosos o mediante mensajes electrónicos
basados en formato HTML, para evitar que usuarios confiados
puedan acceder a sitios SSL válidos, colocando un certificado
raíz inválido con el mismo nombre DN (Distinguished Name), en
el almacén de certificados del usuario, haciéndolo pasar como
válido.

SSL (Secure Socket Layer), es un protocolo que utiliza
criptografía para cifrar los datos que se intercambian con un
servidor seguro. Proporciona privacidad para datos y
mensajes, y permite autenticar los datos enviados.
Básicamente se utiliza para transmitir información personal o
relacionada con tarjetas de crédito de los usuarios a través
de Internet. Las direcciones de páginas Web que utilizan
conexiones SSL, comienzan con 'https:' en lugar del estándar
'http:'.

Un posible escenario para explotar esta vulnerabilidad es el
siguiente: un usuario se encuentra con contenido mantenido
por algún pirata, o recibe un correo electrónico
especialmente modificado que cree verdadero (utilizando otras
técnicas del tipo "phising", para suplantar la identidad de
otros, o métodos de spamming -envío masivo de correo no
solicitado-, etc.)

El contenido malicioso es capaz de cambiar la configuración
del almacén local de certificados del usuario, agregando
certificados maliciosos.

Existen diversas formas de hacer esto, una es mediante el
mime-type mencionado, y presentando la menor cantidad posible
de información al usuario para que éste no sospeche.

Este tipo de ataque, podría llevar a una negación de servicio
(DoS) cuando se visita el sitio verdadero, y explotado para
la utilización de técnicas "phishing", con el objetivo de
obtener información de tarjetas de crédito o cuentas
bancarias, etc.

La vulnerabilidad ha sido reportada en Mozilla 1.6, 1.7, y
1.7.1 para Windows y Linux, y en Mozilla Firefox 0.8 y 0.9.2.
Otras versiones también podrían ser afectadas.

La solución por el momento, es no visitar sitios dudosos.

Examine el almacén de certificados y borre los certificados
no seguros, si aparece un error del tipo 8182 ("certificado
presentado por [dominio] es inválido o corrupto"), cuando se
intenta acceder a sitios web basados en SSL.

Esto se logra de la siguiente manera:

En Mozilla:

Edit, Preferences, Privacy & Security, Certificates, Manage
Certificates..., Authorities.

En Firefox:

Tools, Options..., Advanced, Certificates, Manage
Certificates..., Authorities.


* Créditos: Marcel Boesch

* Relacionados:

Marcel Boesch:
https://banquo.inf.ethz.ch:8080/

Mozilla Bug Tracking System:
http://bugzilla.mozilla.org/show_bug.cgi?id$9004

Mozilla / Firefox Certificate Store Corruption Vulnerability
http://secunia.com/advisories/12076/


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

2 - Troj/Wallimage.A. Espía la actividad del usuario
_____________________________________________________________

http://www.vsantivirus.com/troj-wallimage-a.htm

Nombre: Troj/Wallimage.A
Tipo: Caballo de Troya
Alias: Wallimage, Win32/Wallimage.A, TROJ_WALLIMAGE.A
Fecha: 6/jul/04
Plataforma: Windows 32-bit
Tamaño: 565,918 bytes

Caballo de Troya que espía toda la actividad del usuario
infectado, cuando éste navega en Internet.

El troyano no se propaga por si mismo. Puede llegar a nuestro
PC al ser copiado manualmente en el sistema, o al ser
descargado intencionalmente o mediante engaños de algún sitio
malicioso, o de redes de intercambio de archivos P2P.

Un usuario malintencionado, también podría enviar el troyano
a su víctima en un mensaje electrónico individual o
masivamente por medio de spam a otros usuarios.

Cuando se ejecuta, crea una carpeta llamada "8549" y se copia
dentro de ella como TASKIMGR.EXE en la siguiente ubicación:

c:\windows\system\8549\taskimgr.exe

No importa la versión de Windows instalada, la ubicación
mencionada se encuentra especificada en el código del
troyano.

Crea la siguiente entrada para ejecutarse en cada reinicio de
Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WallPaper = c:\windows\system\8549\taskimgr.exe

También crea la siguiente clave, para almacenar información
propia:

HKLM\Software\Tchltwo


* Reparación manual

* Sobre el componente troyano

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Deshabilitar cualquier conexión a Internet o una red

Es importante desconectar cada computadora de cualquier
conexión a Internet, o red local, antes de proceder a su
limpieza.


* Antivirus

Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.

3. Borre los archivos detectados como infectados.


* Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre la carpeta
"8549" y su contenido:

c:\windows\system\8549\

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

WallPaper

4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Tchltwo

5. Pinche en la carpeta "Tchltwo" y bórrela.

6. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Información adicional

* Cambio de contraseñas

En el caso de haber sido infectado con este troyano, se
recomienda llevar a cabo las acciones necesarias a fin de
cambiar todas las claves de acceso, así como toda otra
información que comprometa la información relacionada con
cualquier clase de transacción bancaria, incluidas sus
tarjetas electrónicas y cuentas bancarias.


* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).

2. Pinche con el botón derecho sobre las distintas conexiones
disponibles para conectarse a Internet, y en "Conexión de Red
de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.

4. Seleccione Aceptar, etc.


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

3 - Troj/Windang.B. Sobrescribe archivos del disco duro
_____________________________________________________________

http://www.vsantivirus.com/troj-windang-b.htm

Nombre: Troj/Windang.B
Tipo: Caballo de Troya e infector de archivos
Alias: Windang.B, Win32:VB-1 [Trj], Worm/Darby.G.2, VB.G,
Trojan.Win32.VB.gq, Trojan.Mejida, Generic, Trojan.Vb.Gq,
Trojan Horse, Win32/VB.GQ, W32/Loulod.A.worm, PE_WINDANG.B,
Trojan:Win32/VB.GQ, Troj/VB-EJ, Win32.VB.H, ~NEW_VIRUS,
Trojan.VB.BK, PE_WINDANG.B-O
Plataforma: Windows 32-bit
Tamaño: 49,152 bytes
Fecha: 22/abr/04

Se trata de un troyano escrito en Visual Basic, que luego de
ejecutarse, queda residente en memoria. Puede propagarse a
través de disquetes.

Infecta todos los archivos .DOC del disco duro, agregando su
código al comienzo de los mismos. Luego, cambia el nombre de
los documentos infectados a .EXE.

Se copia a si mismo con el siguiente nombre y ubicación:

c:\windows\lsass.exe

NOTA: La carpeta "c:\windows" puede variar de acuerdo al
sistema operativo instalado ("c:\winnt" en NT, "c:\windows",
en 9x, Me, XP, etc.).

También crea la siguiente entrada en el registro para
autoejecutarse en cada reinicio de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Winlogon = c:\windows\lsass.exe

IMPORTANTE: No confunda este archivo con
C:\WINDOWS\SYSTEM32\LSASS.EXE, que es un archivo legítimo de
algunas versiones de Windows, presente en la carpeta
SYSTEM32.

Si existe un disquete en la unidad A:, y el mismo no tiene
habilitada la protección contra escritura, el troyano
intentará copiarse en dicho disquete.

Note que al estar renombrado a .EXE, al hacer doble clic
sobre un documento infectado, no se abre el programa asociado
(Word por ejemplo) sino que se ejecuta el troyano, el cuál
extrae el documento original en el directorio actual y lo
vuelve a renombrar como .DOC. El troyano abre este .DOC y
luego queda residente en memoria.

Después de unas pocas horas activo en memoria sin realizar
ninguna otra acción, el virus intenta sobrescribir todos los
archivos en todas las unidades de disco locales, incluyendo
las disqueteras, con el siguiente texto:

Virus MlourdesHReloaded II ha atakdo esta computadora
Virus 100% Méxicano, no es muy peligroso que digamos
Pero tu has sido el rival más débil ¡Adios!
Saludos a Ana Paty de Sinaloa y a Gedzac Labs
Espero y se hallan pasado una feliz Navidad y un próspero año nuevo
Feliz 2004 para todos
Para mayor información enviar un e-mail a tips @ esmas .com
donde hablamos de computación en tu idioma

*-Dime solo esta vez, que has pensado... solo esta vez -*

El troyano puede crear también el siguiente archivo:

c:\MLHR_Corporation_GeDzAc.htm

Este archivo HTML, contiene un texto en español, y si se
despliega, muestra un texto deslizante en varios colores (una
marquesina), con el siguiente contenido:

Grupo GeDZac

También crea un archivo llamado GEDZAC.MLH, que parece servir
de contador interno para las rutinas del troyano.


* Reparación manual

IMPORTANTE: Note que estas instrucciones de limpieza se dan
únicamente como una guía de referencia, ya que la
recuperación de los archivos sobrescritos, dependerá del daño
causado por el troyano desde el momento de ocurrida la
infección, hasta el momento de su detección.

* Preparación

1. Descarga de PROCEXP.EXE

Antes de eliminar este troyano, es necesario detener su
ejecución en memoria. Puede usarse el administrador de tareas
de Windows, pero en Windows 95, 98 y Me, no todas las tareas
en ejecución son visibles. Por ello se sugiere la herramienta
de uso gratuito "Process Explorer" (100 Kb), que puede ser
descargada del siguiente enlace:

http://www.sysinternals.com/ntw2k/f...cexp.shtml

Una vez descargada dicha herramienta, cree una nueva carpeta,
copie allí el contenido del archivo .ZIP descargado y ejecute
el archivo PROCEXP.EXE.

2. Busque en la lista de procesos el que se llame
"lsass.exe".

3. Pulse el botón derecho sobre ese proceso, y compruebe que
el camino (path) indicado sea el siguiente:

C:\WINDOWS\lsass.exe

Nota: el verdadero LSASS.EXE está en
"C:\WINDOWS\system32\lsass.exe" (carpeta SYSTEM32). Si es así
NO LO BORRE.

4. Si en cambio el path mostrado es "C:\WINDOWS\lsass.exe",
en la misma ventana pulse en el botón "Kill Process" para
matar este proceso.


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

Winlogon = c:\windows\lsass.exe

4. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los
siguientes archivos:

c:\windows\lsass.exe

IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\LSASS.EXE, ya que es
un archivo legítimo de Windows.


* En Windows 95/98/Me/NT/2000

1. Seleccione Inicio, Buscar, y seleccione "Archivos o
carpetas".

2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de
tener seleccionada la opción "Incluir subcarpetas"

3. En "Nombre" ingrese (o corte y pegue), lo siguiente:

GeDzaC.mlh; MLHR_Corporation_GeDzAc.htm

4. Haga clic en "Buscar ahora" y borre todos los archivos
encontrados

5. Cierre la ventana de búsqueda

6. Pinche con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".

* En Windows XP

1. Seleccione Inicio, Buscar

2. Seleccione "Todos los archivos y carpetas"

3. En "Todo o parte del nombre de archivo" ingrese (o corte y
pegue), lo siguiente:

GeDzaC.mlh; MLHR_Corporation_GeDzAc.htm

4. Verifique que en "Buscar en:" esté seleccionado "C:"

5. Pinche en "Más opciones avanzadas"

6. Seleccione "Buscar en carpetas del sistema"

7. Seleccione "Buscar en subcarpetas"

8. Haga clic en "Búsqueda" y borre todos los archivos
encontrados

9. Cierre la ventana de búsqueda

10. Pinche con el botón derecho sobre el icono de la
"Papelera de reciclaje" en el escritorio, y seleccione
"Vaciar la papelera de reciclaje".


* Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
4. Reitere estos pasos en cada disquete previamente utilizado

Después de una limpieza, deberá renombrar los archivos .DOC
modificados por el troyano como .EXE


* Información adicional

* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

Pautas generales para mantenerse alejado de los virus
_____________________________________________________________

Recuerde estas pautas para mantener alejado de su computadora
cualquier riesgo de virus o troyanos:

1) Use regularmente un programa antivirus (nosotros siempre
recomendamos no confiar en uno solo, pero usar más de uno no
significa que debamos tenerlos a todos instalados,
simplemente ejecutamos esos antivirus en su opción de
escaneo, sobre la carpeta que contenga los archivos a
revisar). Y por supuesto, de nada vale usar algún antivirus
si no lo mantenemos actualizado con los upgrades, updates o
add-ons correspondientes. Actualmente, las actualizaciones
son diarias (AVP, Panda y otros) o al menos semanales. No
existen los "virus demasiados nuevos y sin antídotos", la
reacción de las casas de antivirus es inmediata en todos los
casos. Pero mejor pregúntese, si la suya también lo es a la
hora de actualizarse.

2) No abrir ningún mensaje ni archivo recibido a través del
correo electrónico de fuentes desconocidas o muy poco
conocidas. En el caso de personas conocidas, se deben
igualmente tomar las precauciones correspondientes.
Asegurarse con esa persona del envío ("Melissa" y otros
pueden ser enviados por conocidos que ignoran estar mandando
el virus en sus mensajes), y nunca ejecutarlos, sino
guardarlos en una carpeta temporal y pasarle a esa carpeta
dos o tres antivirus actualizados antes de tomar la opción de
ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante
cualquier duda, simplemente se debe optar por borrar el
mensaje (y archivos adjuntos). Como se dice vulgarmente, "la
confianza mata al hombre", en este caso a la PC.

3) Estar informado de cómo operan los virus, y de las
novedades sobre estos, alertas y anuncios críticos, en sitios
como el nuestro.

4) No bajar nada de sitios Web de los que no tenga
referencias de seriedad, o que no sean medianamente
conocidos. Y si se bajan archivos, proceder como los archivos
adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres
antivirus actualizados antes de optar por ejecutarlos o
abrirlos.
_____________________________________________________________

Sobre este boletín
_____________________________________________________________

La distribución de este boletín es gratuita, y está amparada
bajo los derechos de Copyright registrados por Video Soft
(también los artículos publicados directamente en nuestra
página). Si usted desea usar esta información en cualquier
medio escrito o electrónico, puede hacerlo sin solicitarnos
el permiso respectivo, con la única condición de mencionar su
origen, y remitirnos un e-mail o ejemplar con la ubicación
donde se haga referencia al material usado que haya sido
sacado de este boletín o de la página de VSAntivirus.

Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas
registradas.

Los artículos de otros autores han sido incluidos de acuerdo
a la política de Copyright adoptada por cada uno de ellos, y
su inclusión en nuestro boletín se rige por dichas políticas,
sin embargo, para su uso en otro medio, se deberá solicitar
la debida autorización.-
_____________________________________________________________

Visite diariamente nuestra página. Puede bajar de allí las
versiones de evaluación actualizadas de los antivirus más
usados o que consideramos por nuestra experiencia más
confiables. El criterio de selección solo pasa por nuestra
experiencia diaria con usuarios y clientes, a los que
asesoramos y damos servicio técnico.
_____________________________________________________________

Cualquier duda o comentario sobre esta lista de correo, envíe
un e-mail a cualquiera de estas direcciones:

jllopez@nativo.com
videosoft@videosoft.net.uy
_____________________________________________________________

VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com
_____________________________________________________________

Altas: http://listas.vsantivirus.com/lista...virus/alta
Bajas: http://listas.vsantivirus.com/lista...virus/baja

También puede enviar un mensaje vacío a estas direcciones:

Altas: vsantivirus-alta@listas.vsantivirus.com
Bajas: vsantivirus-baja@listas.vsantivirus.com
_____________________________________________________________

VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________

VSantivirus No. 1472 Año 8, sábado 17 de julio de 2004


_____________________________________________________________

Este boletín es enviado a: alq2000@racsa.co.cr





Saludos.
Jorge Zeledon :.