W32/Nimda, más vale prevenir que curar

Nimda es capaz de infectar sistemas Windows, tanto clientes cómo
servidores, y aprovecha vulnerabilidades en los productos de
Microsoft para hacerlo de forma automática, sin necesidad de
intervención por parte del usuario. En esta entrega haremos especial
hincapié en la prevención, ya que algunos medios y casas antivirus
están proporcionando métodos y enlaces que pueden provocar la
reaparición de antiguos agujeros de seguridad.
Cada vez son más los gusanos que aprovechan vulnerabilidades en el
software y utilizan auténticas técnicas de «hacking» para propagarse
de forma automática, sin necesidad de que el usuario tenga que abrir
o ejecutar un archivo. Una vez más insistimos en la importancia de
mantener los sistemas puntual y correctamente actualizados.

En el caso concreto de Nimda los afectados, cómo suele ser habitual,
son productos de Microsoft, pero esta vez por partida doble.

Clientes Win9x/NT/2000/ME (Internet Explorer y Outlook/Outlook Express)

En clientes Windows, Nimda explota una vulnerabilidad de Internet
Explorer a través de la cual es posible forzar la ejecución automática
de un binario adjunto en un mensaje de correo (.EML). Para lograrlo
modifica la cabecera MIME que hace referencia al archivo de forma que
simula ser un formato confiable, en el caso que nos ocupa un archivo
de audio. Esto provoca que Internet Explorer lo abra sin preguntar al
usuario. Esta vulnerabilidad es heredada por los clientes de correo
Outlook y Oulook Express, ya que utilizan el componente de Internet
Explorer para visualizar los mensajes HTML.

En definitiva, la visualización de una página web, o la simple
recepción y previsualización de un mensaje de correo HTML, puede
provocar la ejecución de un archivo sin la intervención del usuario,
en el caso que nos ocupa el archivo «readme.exe».

Esta vulnerabilidad fue descubierta en marzo de 2001 por nuestro
colega Juan Carlos García Cuartango, si me permiten la cuña
publicitaria, uno de los creadores y docentes del curso Seguridad
Internet en Windows 2000 (http://www.hispasec.com/formacion/intro.htm)

Microsoft facilitó el correspondiente parche el 29 de marzo de 2001,
que deberían aplicar los usuarios de Internet Explorer 5.01 y 5.5,
disponible en:
http://www.microsoft.com/windows/ie/download/critical/Q290108/default.asp

En vez de esta actualización, recomendamos instalar un segundo parche
distribuido el 16 de mayo de 2001 que corrige la vulnerabilidad
comentada junto a otros problemas posteriores, disponibles según
versión en:

Internet Explorer 5.01
http://www.microsoft.com/windows/ie/download/critical/q295106/default.asp

Internet Explorer 5.5
http://www.microsoft.com/windows/ie/download/critical/q299618/default.asp

Es importante instalar la última actualización acumulativa disponible,
o Service Pack (según configuración), para evitar que reaparezcan
antiguas vulnerabilidades al instalar parches anteriores.

Servidores Web NT/2000 (Internet Information Server)

En servidores Windows, Nimda explota una vulnerabilidad que Microsoft
denominó «Web Server Folder Traversal», que permite ejecutar archivos
en el servidor a través de una URL especialmente formada en
codificación Unicode.

El gusano aprovecha esta vulnerabilidad para ejecutar una sesión de
TFTP y descargar en el servidor web el archivo ADMIN.DLL, y así
infectarlo de forma que rastrea IPs en busca de otros servidores
web que poder infectar. Asimismo, busca y modifica los archivos con
nombre DEFAULT, INDEX, MAIN o README y extensión HTM, HTML o ASP
para incluir código JavaScript. De esta forma incluye el código que
explota la vulnerabilidad del Internet Explorer, comentada al
principio, con lo que provoca la infección de clientes que visiten
sus páginas web.

Microsoft facilitó una actualización de seguridad para esta
vulnerabilidad en octubre de 2000, disponible en la dirección:

http://www.microsoft.com/technet/security/bulletin/ms00-078.asp

Las actualizaciones, según versión del Internet Information Server:

Microsoft IIS 4.0:
http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp

Microsoft IIS 5.0:
http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp

Sin embargo, de nuevo no recomendamos utilizar estas actualizaciones
que se están difundiendo en la mayoría de los avisos, en su lugar
debería instalarse la última actualización acumulativa del 17 de
agosto de 2001:

http://www.microsoft.com/technet/security/bulletin/MS01-044.asp

Según versión:

IIS 4.0
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=32061

IIS 5.0
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=32011

Es muy importante guardar el orden al parchear (Service Packs,
acumulativos y específicos), evitando instalar actualizaciones
posteriores que pueden generar la reaparición de vulnerabilidades
ya corregidas con anterioridad.

En la próxima entrega nos centraremos en el análisis del virus y
procedimientos para su eliminación.

Más información:

Virus I-Worm.Nimda – Un poco de todo
http://www.avp-es.com/virus/nimda.html

«Nimda» Worm A High Risk Threat
http://www3.ca.com/Press/PressRelease.asp?id=1762

Nimda
http://www.f-secure.com/v-descs/nimda.shtml

W32/Nimda@MM
http://vil.nai.com/vil/virusSummary.asp?virus_k=99209

Nimda
http://service.pandasoftware.es/enciclopedia/ficha.jsp?Virus=Nimda

W32.Nimda.A@mm
http://www.sarc.com/avcenter/venc/data/w32.nimda.a@mm.html

Nimda worm hits net
http://www.securityfocus.com/templates/article.html?id=253

W32/Nimda
http://www.sophos.com/virusinfo/analyses/w32nimdaa.html

TROJ_NIMDA.A
http://www.antivirus.com/vinfo/virusencyclo/default5.asp?VName=TROJ_NIMDA.A