Página de inicio de INTECO-CERT, Centro de Respuesta a Incidentes en TI para PYMEs y Ciudadanos

Enlace a la red social de Facebook Enlace a la red social de Twitter Enlace al canal de Inteco-Cert en el portal de videos YouTube

Enlace al canal de Inteco-Cert en Scribd Enlace al canal de Inteco-Cert en Slideshare

Encuesta de Calidad de INTECO-CERT

  • 1.- ¿Ha encontrado en el portal de INTECO-CERT la información que buscaba? *
  • 2.- ¿Dicha información le ha resultado útil / interesante? *

Detalle de virus

Exploit que aprovecha una vulnerabilidad de día 0 en el producto MS Excel. Cuando se ejecuta descarga la puerta trasera Agent.FAX en el sistema.

Detalles técnicos

  • Difusión: Baja
  • Daño: Bajo
  • Dispersibilidad: Baja
  • Fecha de alta: 25/02/2009
  • Última actualización: 09/12/2009

Arriba

Propagación

Capacidad de autopropagación: No

Carece de rutina propia de propagación.

Arriba

Infección/Efectos

Cuando MDropper.XR se ejecuta, realiza las siguientes acciones:

Resto de acciones
Método de infección

Fichero de MS Excel especialmente manipulado y que explota una vulnerabilidad de día cero, las siguientes versiones de Office son vulnerables a este exploit:

  • Microsoft Office 2000 Service Pack 3
  • Microsoft Office 2003 Service Pack 1 o Service Pack 2
  • Microsoft Office XP Service Pack 3

Cuando se ejecuta descarga el siguiente fichero en el sistema:

  • %Temp%\d11host.exe

Nota: %User Temp% es una variable que representa la carpeta temporal de Windows.
Por defecto es C:\Windows\temp (Windows 95/98/Me/XP), C:\Winnt\temp (Windows NT/2000) o C:\documents and settings\{nombre de usuario}\local settings\temp (Windows XP).

El fichero descargado es el troyano Agent.FAX

ACTUALIZADO 26/02/2009: La vulnerabilidad ha sido dada de alta con el CVE-2009-0238

Otros detalles

Varios de los hashes SHA-1 con los que se presenta este ficheros Excel manipulado son:

  • 968ad6a8259ddf5f9705fef2ba2eaa3b63b1626f
  • 7fe5481b1edc4df99488f5cc0f65f70fa35978d6
  • 675b12b1e50c9463576061cf5181a3f58dc30e59
  • 6605bf6aee31f0cb2370d684aa32e5a588d4aaf4
  • 46181cf01e08b1760cecac95bbd486dd3b808988
  • df65a0ab441d21dac7a59d61178cdc5eac9c7ad5

Puede encontrar más información de estos hashes en:

Puede encontrar un listado más completo de los alias asignados por los diferentes antivirus en los siguientes enlaces de Virustotal:

Arriba

Contramedidas

Desinfección

  • Si utiliza Windows Me , XP o Vista, y sabe cuándo se produjo la infección, puede usar la característica de ´Restauración del Sistema´ para eliminar el virus volviendo a un punto de restauración anterior a la infección (tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración). Si tiene alguna duda o problema sobre el funcionamiento de esta opción puede consultar nuestras guías sobre la Restauración en Windows XP o la Restauración en Windows Vista .

  • En caso de que no pueda volver a un punto de Restauración anterior o no le funcione, es recomendable que desactive temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea Deshabilitar restauración del sistema en Vista, XP y Me . A continuación siga estos pasos para la eliminación del virus:

    1. Reinicie su ordenador en Modo Seguro o Modo a Prueba de Fallos. Si no sabe cómo se hace siga las instrucciones que se indican en este manual de Cómo iniciar su computadora en Modo a prueba de fallos .

    2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus gratuitos .

      Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.

    3. Elimine todos los archivos temporales del ordenador, incluidos los archivos temporales del navegador, vacíe también la Papelera de reciclaje.

    4. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla. Cree un punto de restauración, le resultará útil para recurrir a él en caso de posibles infecciones o problemas en el futuro.

Debido a que el exploit descarga la puerta trasera Agent.FAX, siga las instrucciones de eliminación del troyano Agent.FAX .

Para prevenir quedarse infectado, no ejecute ningún documento Excel sospechoso.

Arriba