Llegó el gusano informático más rápido de toda la historia

El 12 de agosto se reconoció una nueva vulnerabilidad del sistema operativo y, como sucede en estos casos, los usuarios son quienes deben pagar.

Sólo 4 días después de este anuncio se propagaba por el mundo el gusano llamado Zotob. Junto a sus distintas variantes, aprovechó esta debilidad y afectó a casi dos millones de usuarios, estableciéndose de este modo una nueva marca récord en ataque, indica un informe de la empresa de seguridad Trend Argentina.

Hasta ahora, el virus más rápido había sido el Sasser. Aparecido en mayo del 2004, afectó en poco tiempo a millones de usuarios recién a los 18 días de declarado la falla de seguridad del sistema operativo Windows.

Asimismo, de acuerdo a Trend Argentina, de los últimos 5 alertas mundiales el promedio de aparición era de 93 días.

"La vertiginosidad de los ataques demanda una rápida respuesta por parte de los especialistas y una aún mayor reacción por parte de las compañías a la hora de actualizar e instalar los parches correspondientes?, dijo Sebastián Stranieri, gerente de Ventas Enterprise de Trend Argentina.

Cómo actúa
De acuerdo a un informe de esa empresa de seguridad, este gusano genera direcciones IP de forma aleatoria para contactar al destino. Chequea si el puerto 445 esta abierto en los equipos destinos. Si el puerto esta abierto, intenta explotar la vulnerabilidad en el sistema destino.

Si la rutina de explotar la vulnerabilidad falla, o si el puerto 445 esta cerrado, genera otra dirección IP como destino. Al explotar satisfactoriamente la vulnerabilidad instala un shell remoto en el port 7778. Luego inicia un servicio de FTP para luego bajar y ejecutar un archivo en los sistemas explotados. Luego de la ejecución del archivo bajado y luego de que realiza su rutina maliciosa, este gusano crea un script batch file para borrar el archivo depositado en el sistema.

Este método de propagación solo funciona en sistemas Windows NT, 2000, XP y 2003, debido a que el servicio "Microsoft Windows Plug and Play" que es explotado solo existe en estas plataformas.

Adicionalmente, este gusano cuenta con características de backdoor. Abre puertos de forma aleatoria y se conecta a un servidor de IRC, donde un usuario remoto puede realizar operaciones maliciosas en el equipo infectado, incluyendo robar información. Esta rutina provee al usuario malicioso total control virtual de los equipos afectados.

Parte de las características de backdoor de este gusano, son para recolectar información del equipo afectado como, información del sistemas, velocidad del procesador y tamaño de la memoria RAM, entre otros, concluye Trend Argentina.