GUSANO
Chlade
| El
gusano residente en memoria utiliza una vulnerabilidad
presente en ese tipo de servidores de bases de datos SQL 7 de
Microsoft para instalarse. Luego busca a través de Internet
otros servidores, espiando el puerto TCP 1433, y cuando los
encuentra envía un paquete de comandos que desarrollan un
procedimiento XP_CMDSHELL, lo que le permite ejecutar las
instrucciones en el entorno DOS dentro del servidor SQL.
Luego, desde DOS se conecta por FTP al site "philamuseum.netreach.net" donde se registra con el nombre de usuario ftp y la contraseña foo.com, pero conviene advertir que esta página ya no permanece en actividad. Después, vuelve a utilizar FTP para descargarse el archivo DNSSERVICE.EXE que permanece residente en memoria como servicio invisible en el administrador de tareas. Como muchos otros, Chlade crea también una entrada en el registro del sistema: "HKLM\Software\Microsoft\Windows\CurrentVersion\Run Las investigaciones coinciden en que el peligro máximo de este gusano se encuentra en la capacidad que posee para realizar ataques distribuidos de denegación de servicio (DDoS) para lo que conecta los servidores SQL infectados con un servidor IRC donde se recibirán las instrucciones del atacante. No obstante, primero busca servidores DNS incluidos en el dominio bots.kujikiri.net, éstos enviarán las seis direcciones IP de servidores IRC: 65.161.40.1 Entonces, de manera aleatoria Chlade selecciona una de estas IP y, utilizando nombres de usuario al azar, se conectará a ella a través del puerto 6669. Cuando esto ocurre, el servidor SQL sólo tiene que esperar a recibir las órdenes del intruso. El primer paso que se debe tomar para evitar la infección por este gusano es modificar la contraseña de administrador que este tipo de servidores instala por defecto. Además, también conviene recordar la necesidad de parchear todos los programas vulnerables y extremar al máximo las medidas de seguridad tanto en redes corporativas como en PC´s domésticos. |
