Exploit para vulnerabilidad del MS06-040

Se han detectado dos exploit aprovechando la vulnerabilidad corregida en el el boletín MS06-040 de Microsoft. El mismo se aprovecha de sistemas Windows 2000 que aún no han sido patcheados por lo que se recomienda la actualización inmediata o soluciones alternativas como filtrar los puertos 135 y 445 sobre los cual puede ser ejecutada la vulnerabilidad.
Actualemente se ha detectado un gusano variante de MOCBOT (que se aprovechaba de la vulnerabilidad corregida en MS05-039) y ciertos antivirus detectan la amenaza con diferentes nombres como puede verse en la lista que sigue (gentileza de www.virustotal.com). El archivo que llega via mail recibe el nombre de " .exe" y luego es renombrado en el sistema como "wgareg.exe" o "wgavm.exe"

Scan results
File: wgareg.exe
Date: 08/13/2006 03:03:43 (CET)
----
AntiVir 6.35.1.0/20060812 found [HEUR/Crypted.Layered]
Authentium 4.93.8/20060812 found [Possibly a new variant of W32/Threat-HLLIM-based!Maximus]
BitDefender 7.2/20060813 found [Generic.Malware.IXdld.658BDD6B]
CAT-QuickHeal 8.00/20060812 found [(Suspicious) - DNAScan]
F-Prot 3.16f/20060811 found [Possibly a new variant of W32/Threat-HLLIM-based!Maximus]
F-Prot4 4.2.1.29/20060811 found [W32/Threat-HLLIM-based!Maximus]
NOD32v2 1.1704/20060811 found [a variant of Win32/IRCBot.OO]
Norman 5.90.23/20060811 found [W32/Suspicious_M.gen]
Panda 9.0.0.4/20060812 found [Suspicious file]

Más información:
http://seguinfo.blogspot.com/2006/08/actualizacin-limitaciones-del-posible.html
http://seguinfo.blogspot.com/2006/08/exploit-para-vulnerabilidad-del-ms06.html
http://seguinfo.blogspot.com/2006/08/habemus-malware-para-ms06-040.html

Fuentes:
http://www.lurhq.com/mocbot-ms06040.html
http://isc.sans.org/diary.php?storyid=1592
http://isc.sans.org/diary.php?storyid=1593
___

Suscríbete a nuestro Boletín