Virus Blaster – Información y limpieza de su ordenador.
Descripción.
Se trata de un virus con una capacidad de propagación muy elevada. Esto lo consigue porque hace uso de una vulnerabilidad de los sistemas Windows NT, 2000 XP y 2003 (que son los únicos afectados) conocida como "Desbordamiento de búfer en RPC DCOM ".
Se trata de una vulnerabilidad para la que hay parche desde Junio de 2003, todos los usuarios que no hayan actualizado su sistema desde esa fecha deberían hacerlo inmediatamente. Por otra parte se propaga usando el puerto TCP 135, que no debería estar accesible en sistemas conectados a Internet con un cortafuegos correctamente configurado.
Los efectos destructivos consisten en lanzar ataques de denegación de servicio con el web de Microsoft "windows update" y quizás provocar inestabilidad en el sistema infectado.
Detalles.
Vulnerabilidad Windows en "RPC DCOM "
Este gusano explota la vulnerabilidad conocida como "Desbordamiento de Búfer en RPC DCOM", una vulnerabilidad en llamadas a procedimiento remoto (RPC) mediante el modelo de objetos distribuidos (DCOM). Esta vulnerabilidad permite que un atacante remoto obtenga acceso total al sistema atacado y ejecute sobre él código arbitrario.
Método de propagación
El gusano está constamente escaneando subredes IP de clase C; empieza por una dirección x.y.z.0, donde x,y,z son valores aleatorios, y barre el rango de direcciones incrementando de uno en uno el cuarto octeto. Si en alguna de estas direcciones IP se encuentra con un sistema vulnerable que aún no ha sido infectado, entonces le enviará datos al puerto 135 con el fin de provocar el desbordamiento de búfer. Este desbordamiento permite al gusano abrir en el sistema atacado una shell remota. A esa shell se le envían los comandos correspondientes para que el sistema, mediante protocolo TFTP, descarge el fichero msblast.exe en el directorio de sistema de Windows.
¿Cómo desinfectar nuestro sistema?.
W32/Blaster-A se puede eliminar de los ordenadores con Windows 95/98/Me/NT/2000/XP automáticamente utilizando RESOLVE.
1. Descargar aquí el archivo RESOLVE W32/Blaster-A self-extractor y hacer doble clic en él. El contenido se extrae en C:\SOPHTEMP, en esta dirección
http://www.uclm.es/blaster/blastsfx.exe
2. En ese directorio ejecutar el archivo RESOLVE.com (Aplicación MS-DOS) y aceptar.
3. Después de haber realizado los dos pasos anteriores (ya se ha eliminado el gusano), se debe instalar los siguientes parches: para Windows XP, para Windows 2000.
El parche para Windows Xp se encuentra en
http://www.uclm.es/blaster/WindowsXP-KB823980-x86-ESN.exe
, y el parche para Windows 2000 se encuentra en
http://www.uclm.es/blaster/Windows2000-KB823980-x86-ESN.exe
para descargar estos ficheros de estas tres direcciones bastará con que usted seleccione el texto que comienza en http... y termina en ...exe, posteriormente en Edición, copiar y por último abre una nueva ventana de Internet Explorer y en la barra de direcciones, aquella en la que siempre vemos el hppt:// hacemos un clic, y cuando la dirección que muestre se vea en azul, seleccionada, hacemos Edición, Pegar, y por último, pulsar Enter, Return, Aceptar o como cada uno quiera llamar a la tecla en cuestión para acceder por fin a cada uno de estos ficheros.
Para más información sobre el virus y su eliminación puede acceder a la siguiente dirección http://www.uclm.es/blaster/
www.uclm.es/blaster/
