Tip Of The Day! - Prevent USB Drives from Spreading Viruses

When you stick a thumb drive infected with a worm like Conficker/Downadup into a clean system, the normally handy AutoPlay feature launches the worm and spreads the infection. 

You can prevent this by flipping the master switch. 

Here's how:

1. Click on the "Start" button and pick "Run."
2. Enter the text GPEDIT.MSC and press Enter. After a moment, the Group Policy editor window will open.
3. In the left panel, double-click on "Computer Configuration."
4. Double-click on "Administrative Templates."
5. Double-click on "System."
6. In the right panel near the bottom of the list, double-click on "Turn off autoplay."/
7. The default setting is the "Not configured." Put a bullet in "Enabled."
8. Make sure "Turn off Autoplay on:" is set to "All drives."
9. Click on "Apply," and then "OK".
10. Close the Group Policy editor window.

Source: http://www.sans.org/tip_of_the_day.php#1257

Nuevo Troyano Nelly!!!!

Actualmente existe una nueva variante de troyano que se copia con diferentes nombres, y se oculta con el nombre de SVCHOST.EXE para que se confunda en las tareas activas  del sistema, se empezó a detectar y controlar a partir de la nueva version del hoy del EliStarA.EXE 20.75

Actualmente solo es detectado por un 50 % de los antivirus  (VirusTotal), y Kaspersky, NOD32, Sophos o Symantec aun no lo detectan:

Kaspersky 7.0.0.125 2010.04.15 - 

McAfee 5.400.0.1158 2010.04.15 Generic.dx!qfj 

McAfee-GW-Edition 6.8.5 2010.04.15 Heuristic.LooksLike.Trojan.PSW.Zapchast.H 

Microsoft 1.5605 2010.04.15 - 

NOD32 5030 2010.04.15 - 

Sophos 4.52.0 2010.04.15 - 

Sunbelt 6179 2010.04.15 Trojan.Win32.Generic!BT 

Symantec 20091.2.0.41 2010.04.15 - 

File size: 150830 bytes 

MD5...: 1fb1c0e38e92e2536fb82cc9e73c5038 

SHA1..: 8117c39eb8a4b26f5953bd62542541340fa9c377 

Principales caracteristicas :

- Queda residente.

- Deshabilita el Administrador de Tareas, las Opciones de Carpeta y la Restauración del Sistema.

- Como icono tiene el de una Carpeta.

- Como Label de las unidades pone ":. Nelly .:"

- Cambia el formato de la hora "HH:mm ::"

y crea los siguientes ficheros 

%WinDir%\ Fonts\ SVCHOST.EXE

%WinDir%\ Tasks\ At1.job

%WinDir%\ Temp\ BT6052.BAT

El EXE es una compilacion del BAT, donde se ve todas sus acciones.

Conficker muta nuevamente, ahora es Conficker.D

A través de un comunicado de un experto en seguridad de Microsoft, se informó la existencia de una variante del conocido virus Conflicker, esta variante es la 4ta versión del virus, y como si de una saga se tratara, a este paso vamos a completar el abecedario, pues esto ya pasa de trilogía!

La actual versión "Conflicker.D" es una ligera mutación de la versión "Conflicker.C", y únicamente sufre algunas modificaciones en la forma de propagación, pues ahora, no sólo retoma la explotación de una vulnerabilidad ya corregida por Microsoft el pasado año 2008, en su boletín MS08/067, si no que aunado a eso, incluye la propiedad de distribuirse, no solo a través de dispositivos pendrive (como lo hacian sus versiones anteriores), si no también a través de recursos compartidos de una red, dejando una puerta abierta para un fácil acceso a otros malwares.

A continuación expongo algunas recomendaciones:

• Actualización de seguridad MS08-067(Kb958644): http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx
  

• Eliminación el gusano Win32/Conficker.B (Kb962007): http://support.microsoft.com/default.aspx/kb/962007

• Instalación de un antivirus que reconozca alguna versión de este virus.

• Instalación del del parche de Panda: http://panda-usb-vaccine.uptodown.com/

• Deshabilitación del Autorun en los equipos, a través de: [gpedit.msc\Conf. Usuario\Plantillas Administrativas\Sistema\Impedir reproducción automática]
  

Por lo que podemos ver, protegerse de este virus es sencillo, lo realmente complicado es eliminarlo. La Seguridad depende de Dos....

Fuente de la noticia: TechBlogs!
http://blogs.technet.com/risco/archive/2009/03/27/informa-es-sobre-nova-variante-do-conficker-conficker-d.aspx