Repito "cmdow.exe" no es un virus!

Todavía ocurre que algunos programas antivirus (Norton Internet Security en este caso) detectan al cmdow.exe como un virus o como una amenaza para la seguridad del ordenador donde se encuentra. Si han tenido este problema recientemente, les recomiendo leer este post del año 2008, donde se les van a aclarar todas las preguntas. Por las dudas, aclaro, yo elijo siempre IGNORAR en este caso.

Virus informáticos en "guerra"

El New York Times reveló un ataque informático de EE.UU. e Israel a Irán

(leer nota original) Nuevas guerras se avecinan, donde nadie se moverá de su casa... sino, pregunten a los chinos (leer más)...

El virus informático Stuxnet, que dañó a finales de 2010 gran parte de las plantas nucleares iraníes, fue diseñado por Estados Unidos e Israel en una central atómica de este último, reveló hoy el diario The New York Times.

El gusano Stuxnet fue creado y probado en Dimona, una planta nuclear fuertemente custodiada en el desierto de Neguev, sostuvo el diario estadounidense, según un despacho de la agencia alemana DPA.

Las bombas centrífugas que enriquecen uranio en Dimona, en el sur de Israel, son prácticamente idénticas a las de la central atómica de Natan en Irán, agregó la nota periodística.

"Para poder probar el gusano hay que conocer las máquinas", señaló un experto nuclear estadounidense citado por el "Times". "Los israelíes lo probaron, ése es el motivo por el que el gusano era tan efectivo".

Irán reconoció en octubre que miles de computadoras de sus plantas nucleares estaban infectadas por Stuxnet.

El New York Times señaló que el ataque con el virus paralizó una quinta parte de las centrífugas de uranio iraníes y significó un revés para el programa nuclear del gobierno de Teherán.

Virus FakeAlert-BF = Falsa Alarma

No hay nada más dañino que una "falsa alarma" por varias razones; una de ellas es que asustan, hacen que uno obre en consecuencia, y cuando uno se da cuenta que todo es falso, la bronca hace que cambiemos nuestra forma de actuar ante la próxima emergencia similar. Ya lo decía el cuento del lobo...

Pero el tema de las falsas alarmas en Internet es cosa seria por otras razones que se acercan al robo, al engaño deshonesto, y al aprovecharse de la ignorancia del usuario, mucho más que en el cuento del lobo. Cuando el que da el falso aviso es un programa o software (como el Malwarebytes) que, supuestamente debería protegernos del malware circulante, entonces la bronca es mayúscula y todo se convierte en una gran estafa.

Ahora McAfee ha detectado hace unos meses un Virus que genera una falsa alarma "Virus FakeAlert-BF.dr" que nos "asusta" con falsos mensajes de "infección" para que compremos la versión full del Rapid Antivirus. Ni se les ocurra hacerlo!

La descripción completa del Virus que genera la falsa alarma está (en inglés) en el sitio de McAfee, por eso no la pongo acá, en todo caso despué amplio.-

Alerta! Internet Explorer y un Zero Day Exploit

La verdad es que ésto no sorprende a nadie, y mucho menos a la comunidad usuaria de Firefox, por lo que no voy a extenderme mucho en el tema. Lo concreto es que Microsoft ha reconocido una falla muy grave en su explorador (navegador) Internet Explorer 7 (también se encontraría en el flamante Internet Explorer 8 beta y en versiones anteriores) que permitiría a hackers, piratas informáticos y malintencionados en general (con los conocimientos suficientes), apoderarse de las contraseñas y claves tipeadas durante una sesión. El mencionado agujero de seguridad que ha sido llamado/apodado "zero day exploit" ya que todavía no existe manera de protegerse de él; se produce por un error en las llamadas “etiquetas XML”, una parte del lenguaje web con el que se programan muchos sitios. El fallo permite que se descargue y autoejecute (en la máquina víctima) software dañino o espía, sin que el usuario lo sepa (obvio), lo que lo vuelve extremadamente peligroso. Se sabe de muchas páginas web que han sido modificadas para que el usuario desprevenido, sin saberlo, descargue un troyano que explotaría dicha vulnerabilidad y lo dejaría a merced de los hackers, piratas informáticos y todos sus amigos (con conocimientos suficientes) (1). Al parecer ya son miles las páginas adulteradas, la mayoría de china; y no pregunten por qué, porque no lo sé.

Lo importante de todo esto es, que por unos días, todos aquellos que usamos Internet naveguemos (por estos mares de eter) en un navegador seguro como el Firefox, ya mencionado; el Opera, o el flamante Chrome de Google (es muy nuevo, no lo recomendaría). Cuando haya salido el parche de Microsoft, y luego de instalarlo, será "seguro" volver a usar el Internet Explorer. No digan que no les avisé!


(1) Perdonen que tome como chiste estas últimas palabras, pero me da gracia que siempre se tenga que usar el término hacker, cuando en realidad lo correcto sería decir "personas malintencionadas con conociminetos suficientes"... ya que personas malintencionadas hay millones y muchas no saben ni escribir.

NOTA: Gente de INFOBAE, si usan mis palabras, porfa, hagan un link hacia aquí. Gracias.-

224 - Conceptos Básicos en Seguridad

El año está por terminar y eso me lleva a querer, por un lado descansar; y por el otro hacer un cierre, un balance. Es justo, desde este blog, querer y poder hacer un cierre con la mirada puesta en la seguridad informática, que es de lo que hemos tratado de hablar desde el post Nº1, allá por el año 2004.
Las cosas han cambiado desde ese día, y ni hablar si tomamos como punto de inicio la aparición de los primeros virus informáticos. En esos tiempos se los llamaba virus y había que explicarle a la gente que no eran virus como los que nos afectan a nosotros, que eran "virus informáticos", y que se los llamaba así por la similitud que había entre la forma de propagarse de éstos y la manera de propagarse de aquellos.
Ahora, unos cuantos años después, las amenazas son tantas y tan variadas, que tuvimos que inventar otro término (malware) para englobar a los (viejos) virus y tanta otra "peste" que anda molestando, y causando daño y pérdidas, a los usuarios finales, las empresas y a todos en general. Sí, a todos en general, ya que queramos o no, muchas veces somos agentes de propagación del malware por desconocimiento, o por ignorancia para ser más estricto.
Antes, los virus se propagaban a través de los diskettes; ahora el malware usa pen-drives con una capacidad nunca soñada por aquellos tiempos; y por Internet, la vía más grande de "contagio", ya sea por el e-mail tan difundido, o por páginas "enfermas" preparadas para causar daño. Estas dos vías tan grandes de propagación pueden ser medianamente "controladas" si usamos el sentido común, que es a donde quería llegar.

E-Mails: En estos días, los e-mails se han convertido en una de las maneras más faciles de enfermar la red y los ordenadores de los usuarios incautos o desprotegidos. Es por eso que vamos a revisar algunas medidas básicas de seguridad.

(1) El punto de partida será tener un programa anti-virus actualizado, como primera medida (y como mínimo), aunque sabemos que esto solo no alcanza.
(2) Aunque se haga todo más lento, el anti-virus DEBE estar residente, es decir controlar en todo momento nuestro ordenador.
(3) Conviene tener algún programa que controle el Registro de Windows para que no pueda ser adulterado sin nuestro consentimiento.

Ahora entonces, podemos leer nuestros mails:
(4) El sentido común nos dice que si vemos un mail de un desconocido no debemos abrirlo; lo mejor es eliminarlo sin dudar.
(5) A veces nos puede llegar malware desde o en el mail de un conocido. En ese caso lo más probable es que venga en un archivo adjunto; debemos prestar atención a eso antes de abrir uno o cualquier mail.
(6) Supongamos que lo abrimos (al mail), si vemos que el adjunto tiene doble extensión (a) de inmediato cerrar el mail y eliminarlo.
(7) Supongamos que no tiene doble extensión, entonces ¿qué hacemos? lo bajamos a nuestro ordenador para luego pasarle el Programa AntiVirus. No abrirlo directamente, ya que de contener codigo malicioso habremos iniciado su ejecución.

Links peligrosos: (8) También puede ocurrir que un mail traiga un link a un sitio o página. Si hemos seguido los 7 pasos anteriores, estaremos frente a un link enviado por un conocido, lo que disminuye la posibilidad de que nos lleve a un sitio corrupto o malicioso. Muchos sitios, son originalmente "sanos" e inofensivos hasta que son hackeados para convertirlos en propagadores de troyanos (fundamentalmente).
(9) El sentido común nos dirá (con el tiempo) si determinado link es peligroso o nó, o si determinado sitio es peligroso o nó. La conducta del usuario es una de las primeras causas de propagación.
(10) La elección de un navegador seguro, como el Firefox, al que se le pueden instalar plug-ins para hacerlo aún más seguro, bloqueando codigo JavaScript, o ventanas emergentes, es una muy buena medida de seguridad.

Esto da para mucho más. En el próximo post seguimos.-



(a) La doble extensión
La extensión de un archivo es lo que lo define, o lo que define su función. Es lo que está después del punto en el nombre del archivo. Un archivo ejecutable podrá tener, entre otras, las extensiones ".exe" o ".bat", por ejemplo. Un archivo de imagen podrá tener entre otras, una extensión ".jpg" o ".bmp". En realidad son abreviaturas que nos indican qué es o qué hace ese archivo (bmp = bitmap o mapa de bits). De modo que un archivo llamado "carla.jpg" es muy probable que sea una foto de "Carla"; un archivo "install.exe" será entonces un archivo ejecutable para instalar algo.
La doble extensión es, entonces, algo como "carla.jpg.bat". Pero ¿existe la doble extensión? no se puede ser una imagen y un ejecutable a la vez. En este caso, el archivo es un ejecutable que se quiere esconder (ante los usuarios desprevenidos) como si fuera una imagen. Muchas veces la configuración del ordenador, navegador, o lo que sea, oculta las extensiones (las reales), entonces en el caso del ejemplo veremos "carla.jpg" pensando que se trata de una imagen, cuando en realidad es un ejecutable que, si tiene la necesidad de ocultarse así, es o debe ser porque no es del todo benigno. Si llegamos a hacer doble clic sobre él (pensando ver la imagen), habremos dado la orden para que se ejecute el codigo.
Entonces, atención con las dobles extensiones en el momento de descargar un archivo!

Otro Falso Positivo? = El mejor virus

La verdad es que debí imaginarlo. En el diseño teórico del virus perfecto siempre consideré la posibilidad de que éste pudiera camuflarse o hacerse pasar por un programa legítimo por un tiempo, hasta que finalmente, luego de recibir una orden predeterminada y específica, todo el daño del codigo maligno pudiera desplegarse. Pero se me escapó la "genial idea" de hacer que el soft encargado de protegernos nos indicara borrar soft legítimo e imprescindible, cosa que al hacerlo inutilizáramos el S.O. o alguna otra cosa.

Como en la película "The Happening" de M. Night Shyamalan donde "algo", no viene al caso qué, hace que las personas se autodestruyan (suiciden), ese podría ser un ataque perfecto. En el caso del (Falso Positivo) Trojan Horse PSW.Banker4.APSA, que afectó a tantos ordenadores hace unas semanas, nosotros mismos eramos o fuimos los agentes del daño al S.O., borrando el archivo user32.dll de su ubicación original.

Pero aquí no termina el asunto. Hoy, esta mañana, instalé y ejecuté el Malwarebytes Anti-Malware con la idea de eliminar alguno de los "bichos" que, por las dudas, el Ad-Aware y el SpyBot Search & Destroy, o el NOD32, o incluso el AVG pudieron no haber detectado. Me llevé una sorpresa al ver que dicho programa detectaba dos troyanos y algo más (como se ve en la captura). Pero ¿son realmente una amenaza como lo indica el soft? No lo creo.

¿Acaso el svchost.exe no es un archivo legítimo de Windows que se encarga de manejar los procesos o servicios? (leer (1) (2) (3)); o ¿el taskmgr.exe (Task Manager) (leer (4) (5))no es el conocido Administrador de Tareas de Windows?; o ¿el winlogon.exe (leer (6))no es otro archivo indispensable para el normal funcionamiento del S.O? Entonces ¿por qué el Malwarebytes los muestra como una amenaza? Quizás nos encontremos frente a una nueva "broma" del soft de protección, que nos da otro FALSO POSITIVO. Quizás nos encontremos frente a una nueva moda, donde el soft anti-virus nos muestre a archivos legítimos como malware, para que nosotros mismos los eliminemos y provoquemos el colapso del S.O.

Trojan Horse PSW.Banker4.APSA

El asunto es este: AVG 8.0 Free - un programa antivirus que posee una versión gratuita, por lo que está instalado en miles de ordenadores; el día 11 de noviembre de 2008 produjo/realizó un falso positivo. ¿Qué es un falso positivo? Bueno, sería como una falsa alarma, una detección positiva de la presencia de un virus (un troyano en este caso) que en realidad es falsa; un falso positivo que no es lo mismo que "negativo" pero es parecido (ver *).

El asunto es que mucha gente advertida de la presencia del (falso) troyano con cartelitos de este tipo (ver imagenes arriba) borró o eliminó de alguna manera el (supuesto) archivo infectado, el "user32.dll", ocasionando el "colapso" instantáneo de Windows XP. El Sistema Operativo empezó a reiniciarse una y otra vez en busca del archivo ahora ausente, que es vital para el arranque. Le ocurrió a muchísima gente, no hay que asustarse. Tampoco hay que preocuparse porque tiene "cura" y no se pierde nada de lo que uno tiene guardado en el disco duro.

La solución es más simple de lo que parece. Si todavía nuestro Windows XP inicia o arranca normalmente, por favor no eliminar la (supuesta) amenaza, eligiendo en todos los casos "IGNORE" como lo muestra la figura de arriba. Si nuestro S.O. ya ha colapsado, entonces debemos copiar (recuperar) los archivos dañados (el C:\WINDOWS\system32\USER.dll y el C:\WINDOWS\system32\dllcache\USER32.dll) o borrados, trayéndolos de una instalación de Windows sana y limpia, y pegarlos en su lugar, o reemplazar los que tenemos en nuestra instalación (ver capturas):

Quizás sea necesario (recomendado) poner como esclavo nuestro disco en otro ordenador para hacerlo más rapido y luego al volver todo a su lugar. Luego de restaurar esos archivos, ponemos el HD (disco duro) en su lugar e inmediatamente conectamos el ordenador "enfermo" a internet y actualizamos el antivirus AVG para que quede reparado (fixeado) y no vuelva a mostrarnos esas alertas falsas.

AVG, por su parte, envió un mail (arriba) en donde recomendaba usar un fix para reparar el daño hecho por ellos. Nunca encontré el fix en el sitio de AVG... Evidentemente AVG estaba con algunos problemitas ya que (miren abajo) la cantidad de mails (iguales) que me envió.

(*) Un falso positivo no es lo mismo que un negativo y mucho menos que un positivo. Veamos este ejemplo: blanco es blanco. No blanco es/son todos los otros colores. Contrario/opuesto de blanco es negro. Entonces positivo es positivo; negativo es negativo; pero falso positivo no es ni positivo ni negativo.

AVG y el PSW.Banker4

Hace unos días que, en algunos ordenadores y sin aún saber por qué, el programa anti-virus AVG 8.0 free Edition viene detectando a un tal "Trojan Horse PSW.Banker4.APSA" que posiblemente sea, no un troyano como parece ser, sino (nada más ni nada menos) que una falsa alarma de AVG. Estoy tratando de recopilar toda la información posible, ya que he encontrado muchos casos en la red y en mi entorno (amigos, familiares), y luego veremos qué pasa.
Se dice que el Ad-Aware lo elinima, pero no es cierto; se dice que el SpyBot Search & Destroy lo elimina y también es mentira. Por ahora solo queda poner "Ignorar" cuando AVG lo detecta ya que si borramos o eliminamos los archivos "user32.dll" o el "user.exe" de la carpeta "system" o la "system32" la cosa se complica, al punto que Windows deja de funcionar.
Cuidado, precaución, y a no borrar o eliminar nada a menos que estemos muy seguros de lo que hacemos.

Los 10 Virus Informáticos más populares

En los últimos tiempos ha aparecido una gran variedad de virus, y otros tipos de malware que muchas veces son más peligrosos que muchos virus. No obstante vamos a listar a los diez virus que más vimos por el planeta tierra en los últimos 10 años (hay más obvio):

Melissa (1999) abre la agenda del Outlook y del Outlook Express y se expande a través de e-mails.

Loveletter (2000) se propaga muy rápidamente. Borra el HD y también sobrescribe la BIOS.

Code Red (2001) infectó en pocas horas cerca de 250.000 ordenadores y causó daños por más de 2000 millones de dólares.

Nimda (2001) mezcla de virus y gusano. Accedió a servidores y ordenadores, y causó daños por un valor cercano a los 500 millones de dólares.

Kletz (2001) se aprovecha de las fallas de protección del Outlook. El gusano se activa cuando se lee un mail o cuando se está en la vista previa.

SOL Slammer (2003) paralizó Internet durante varias horas usando fallas de seguridad de un servidor.

Blaster (2003) en pocas horas infectó millones de ordenadores en todo el mundo, haciendo que se apagaran una y otra vez.

MyDoom (2004) causó daños por miles de millones de dólares. Colapsó las cuentas de correo y espió datos personales.

Sasser (2004) infectó millones de PCs a través de puntos débiles de Windows, e hizo que los ordenadores se paralizaran.

Zhelatin (2007) el parásito se esconde en los e-mails y hace que los ordenadores infectados se integren en una red de delincuentes.

La peligrosidad de algunos de estos virus sigue vigente, al punto que las "herramientas de eliminación de software mal intencionado de Windows" que aparecen mensualmente los incluyen.

Fuente: Revista Computer Hoy Nº245

Virus MSN - Primera Parte

La verdad es que no debería estar escribiendo esto. Lo hago para disfrutar un poco (soy "un poco" malvado)... No les puedo dar detalles, pero resulta que alguien cercano... digamos alguien que veo casi todos los dias, se tuvo que enfrentar con el Virus MSN (comunmente llamado así) y... bueno, espero que (a su manera) lo haya podido "quitar" de la PC infectada.
"¿Por qué el Panda? ¿Qué tiene el Panda?" preguntó esa personita, "buscá en los foros y vas a ver..." Por las dudas, hice una captura en un foro (a modo de muestra)...

CONTINUARÁ...