Conficker ha ocupado los primeros lugares en los índices de propagación en los últimos dos meses. Como ya hemos visto se trata de un gusano que explota la vulnerabilidad MS08-067 de Microsoft.
Luego de su detección inicial han aparecido nuevas variantes que explotan distintos métodos de propagación.
Una de ellas es la transmisión vía dispositivos de almacenamiento removibles, utilizando el archivo Autorun.
Otro de los métodos explotados por el gusano es la propagación a través de recursos compartidos de Windows. Ambas variantes, detectadas por ESET NOD32 como Win32/Conficker.AA/AE, intentan contactar con el recurso compartido ADMIN$ en el resto de los equipos de la red.
Dicho recurso ofrece acceso a unidades del sistema en el equipo remoto, sólo para usuarios administradores. Para tal fin, el gusano intenta utilizar la identidad local del equipo infectado y, de no resultar exitoso el acceso, obtiene una lista de usuarios en el equipo a infectar y prueba acceder con una lista de más de 200 contraseñas comunes, entre las que se encuentran “123456“, “admin“, “password“, “login” o “default“, entre otras. Es decir, el gusano prueba una por una las contraseñas del listado para verificar si alguna de ellas es la que permite acceder al equipo.
Cabe destacar que este no es el primer código malicioso que utiliza estas técnicas de propagación a través de contraseñas débiles en recursos compartidos. Algunos de los casos que utilizaron esta técnica previamente son el el Win32/Nimda (del año 2002), Win32/IRCBot (del año 2005) o el Win32/Vanbot (del año 2007). Como se puede observar, una técnica con varios años de utilización sigue siendo efectiva, producto de la gran cantidad de usuarios que continúan utilizando contraseñas débiles.
Las consecuencias de utilizar contraseñas débiles son extensas, y la propagación de malware a través de la red es una de ellas. En entornos corporativos, los administradores deben tomar control de las cuentas de todos los sistemas, tanto cuentas de dominio como cuentas locales. Proteger todas las cuentas con contraseñas fuertes es indispensable para mitigar los riesgos de propagación del Conficker.
Por lo tanto, como protección, el usuario debe utilizar siempre contraseñas fuertes y modificar especialmente cualquier contraseña simple o con palabras comúnmente utilizadas.
Se recomienda especialmente consultar la lista de contraseñas utilizadas por Conficker en el informe de Microsoft (pestaña Analysis) y, en caso de estar utilizando alguna de ellas, cambiarlas a la brevedad.
Herramientas para eliminar Conficker
Saludos Amigos Hasta la Proxima
No hay comentarios:
Publicar un comentario