Shell Security - Seguridad informática Noticias diarias de seguridad informática, foros, vulnerabilidades, antivirus, documentación, auditorías, consultorías …

Swen es un destructivo gusano de propagación masiva a través mensajes de correo con asuntos, contenidos y archivos anexados aleatorios. Alguno de ellos simulan ser enviados por Microsoft y contener parches para sus sistemas operativos.

Se difunde además vía la red Peer to Peer Kazaa, redes con recursos compartidos y el IRC (Internet Chat Relay). Deshabilita antivirus, firewalls y sistemas de control.

Asimismo, este gusano infecta con tan sólo pre-visualizar el mensaje, aprovechando las vulnerabilidades MIME (Multipurpose Internet Mail Extensions) e iFrame de algunas versiones de Microsoft Outlook y Outlook Express que permiten que el archivo anexado sea ejecutado automáticamente, con la opción de Vista Previa.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Microsoft Visual C++ con una extensión de 104 KB.

Usa su propio servidor SMTP (Simple Mail Transfer Protocol) y se auto-envía a los buzones de correo extraídos de diversas fuentes contenidas en los sistemas infectados, como la Libreta de Direcciones de MS Outlook o las extraídas de otros ficheros.

[ . . . ]

Para propagarse por el IRC (Internet Chat Relay) el gusano sobre-escribe el SCRIPT.INI del software mIRC con su código viral en la carpetas C:\mIRC y C:\Archivos de programa\mIRC e infectará a todos los usuarios que se conecten a una misma sesión.

Para infectar a través de las Redes con recursos compartidos, el gusano se auto-copia en la carpeta de Inicio (Startup) de estas unidades de red.

El parche para tanto el iFRAME exploit y el MIME exploit puede ser descargado de:

http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

El gusano tiene los siguientes payloads:

- Se propaga masivamente a través de su propio Servidor de Correo SMTP, extrayendo direcciones de diversas fuentes del sistema infectado y con una diversidad de formatos de mensajes.
- También usa aleatoriamente algunos servidores SMTP o uno extraído del sistema infectado.
- Algunos de sus mensajes simulan contener actualizaciones o parches correctivos de Microsoft.
- Se difunde además vía la red Kazaa y los canales de Chat.
- Explota las vulnerabilidades MIME e iFrame que permiten infectar los sistemas con tan solo visualizar el mensaje.
- Termina los procesos de los antivirus y software de seguridad, dejando a los sistemas totalmente vulnerables a los virus y a ataques de intrusos.
- Se activa cada vez que se ejecutan archivos con extensiones .BAT, .COM, .EXE, .PIF, .REG, y .SCR
- Bloquea la ejecución del REGEDIT (editor de registros de Windows).
- Se propaga a través de unidades de Red con recursos compartidos.
- Captura la información digitada en un falso formulario y la envía a una dirección de correo, la misma que se encuentra cifrada o a servidores remotos vía HTTP.

Más información en http://www.perantivirus.com/sosvirus/virufamo/swen.htm