ALCUNI SUGGERIMENTI DA NETWORK ASSOCIATES PER CONTRASTARE L´ULTIMO ATTACCO DEL WORM W32/BUGBEAR.B
Milano, 9 giugno 2003 - W32 Bugbear.b è un worm mass-mailer, che utilizza il proprio motore Smtp per diffondersi via e-mail. Gli allegati infetti, che possono avere estensioni Exe, Scr o Pif, si auto eseguono su macchine non protette che sono esposte alla vulnerabilità Ms01-020. Il worm falsifica il campo ´From´ per nascondere il punto di origine e utilizza vari testi nell´oggetto della mail e differenti nomi per gli allegati: Si diffonde utilizzando condivisioni di rete aperte. - E´ un virus polimorfico complesso che infetta i file Exe, presentandosi ogni volta in modo differente. Include un key logger Dll che cattura ogni battuta sulla tastiera effettuata dall´utente. Ha un componente Trojan di accesso remoto che intercetta i comandi sulla porta 1080 che potrebbero consentire a un hacker remoto di prendere il controllo della macchina infetta. Chiude i processi di sicurezza, nel tentativo di non essere individuato. Quali protezioni offre Network Associates contro Bugbear.b? Groupshield e le appliance gateway possono bloccare le email sulla base della tipologia o del nome dell´allegato. Desktop Firewall blocca la porta Smtp 25 a tutte le applicazioni non autorizzate. Threatscan evidenzia le condivisioni di rete aperte, i computer esposti alla vulnerabilità Ms01-020 e le porte aperte [in questo caso la porta 1080]. Un filtro Sniffer rintraccia il worm atraverso la rete. La funzione ´Exploit-mime.gen´ di rilevamento generico di Mcafee [disponibile da Novembre 2001] fornisce una Protezione Avanzata sul gateway Internet contro le infezioni causate da Bugbear.b che utilizzano la vulnerabilità Ms01-020. Lo Stinger fornitor da Avert offre funzionalità ´find-and-fix´ per la minaccia. E non è tutto. Se un utente ha bisogno di supporto per le fasi di pulizia delle macchine infette, può rivolgersi ai Servizi Esperti Network Associates che si fanno carico dell´attività e proteggono la rete dell´utente da future minacce. Ulteriori informazioni e i suggerimenti dei laboratori Avert sono reperibili agli indirizzi: http://vil.Nai.com/vil/content/v_100358.htmhttp://www.Mcafeeb2b.com/naicommon/avert/virus-alerts/avert-risk-assessment.asp
