Alerta de virus acerca del gusano Nachi

El 18 de agosto de 2003, el grupo de seguridad de los Servicios de soporte técnico de Microsoft publicó una alerta para informar a los clientes acerca de un nuevo gusano. Un gusano es un tipo de virus informático que generalmente se extiende sin intervención del usuario y que distribuye en las redes (como Internet) copias completas de sí mismo (normalmente modificadas). Conocido generalmente con el nombre de "Nachi", este nuevo gusano explota las vulnerabilidades tratadas por Microsoft en los boletines de seguridad MS03-026 (823980) y MS03-007 (815021) para extenderse por las redes utilizando puertos de llamada a procedimiento remoto (RPC) abiertos o el protocolo Creación y control de versiones distribuidos en Web (WebDAV), que es compatible con Internet Information Server (IIS) 5.0.

Este artículo contiene información, destinada a administradores de red y profesionales de IT, para prevenir y recuperarse de una infección del gusano Nachi. El gusano Nachi también es conocido como W32/Nachi.worm (Network Associates), Lovsan.D (F-Secure), WORM_MSBLAST.D (Trend Micro) y W32.Welchia.Worm (Symantec).

Los equipos que ejecutan cualquiera de los productos que se enumeran al principio de este artículo son vulnerables si no estaban instaladas las revisiones de seguridad 823980 (MS03-026) y 815021 (MS03-007) antes del 18 de agosto de 2003 (la fecha en la que se descubrió este gusano).

Nota: no se ha confirmado que versiones actuales de este gusano hayan infectado equipos que ejecutan Windows Server 2003 o Windows NT 4.0.

Para obtener información adicional acerca de la recuperación tras este gusano, póngase en contacto con su proveedor de software antivirus. Para obtener información adicional acerca de los proveedores de software antivirus, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base: Para obtener información adicional acerca de las revisiones de seguridad 823980 (MS03-026) y 815021 (MS03-007), haga clic en los números de artículo siguientes para verlos en Microsoft Knowledge Base:

Síntomas de la infección

Si su equipo está infectado con este gusano, puede experimentar los mismo síntomas que se documentaron en el artículo 826955 de Microsoft Knowledge Base para el gusano Blaster y sus variantes. Para obtener información adicional, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base: Además, puede existir el archivo Dllhost.exe o el archivo Svchost.exe en la carpeta %windir%\System32\Wins.

Nota: Dllhost.exe o Svchost.exe son archivos de Windows válidos, pero están ubicados en la carpeta %windir%\System32, no en la carpeta %windir%\System32\Wins. Además, el archivo Svchost.exe que copia este gusano en la carpeta %windir%\System32\Wins es una copia del archivo Tftpd.exe de Windows. El archivo Dllhost.exe que copia este gusano en la carpeta %windir%\System32\Wins es una copia del virus. La versión que hace el virus del archivo suele tener un tamaño de más de 10.000 bytes. El archivo Dllhost.exe válido de Windows tiene un tamaño de 5.632 bytes (Windows Server 2003), 4.608 bytes (Windows XP) o 5.904 bytes (Windows 2000).

Detalles técnicos

Este gusano, que es similar al gusano Blaster y sus variantes, también explota la vulnerabilidad que trata Microsoft en el boletín de seguridad MS03-026. El gusano instruye a los equipos de destino para que descarguen una copia del gusano desde un sistema afectado utilizando el programa TFTP.

Además de explotar la vulnerabilidad RPC que se trata en el boletín de seguridad MS03-026 de Microsoft, este gusano se extiende utilizando la vulnerabilidad previamente tratada en el boletín de seguridad MS03-007 de Microsoft. Esta explotación se dirige al puerto 80 en IIS 5.0.

Al lograr la infección, el gusano instala indebidamente en los equipos infectados la revisión de seguridad 823980 (MS03-026), determinando primero el sistema operativo y descargando después la revisión de seguridad correspondiente a ese sistema operativo. La instalación indebida de los archivos y las configuraciones del Registro asociadas con la revisión de seguridad 823980 (MS03-026) pueden generar en los equipos infectados las vulnerabilidades descritas en el Boletín de seguridad de Microsoft MS03-026 y causar problemas al intentar instalar la versión de Microsoft de la revisión de seguridad 823980 (MS03-026). Los siguientes síntomas pueden indicar que la revisión de seguridad 823980 (MS03-026) fue instalada por el gusano Nachi:

• No existe ninguna entrada de la revisión de seguridad 823980 (MS03-026) en la herramienta Agregar o quitar programas. Por ejemplo, Windows XP Hotfix - KB823980 no aparece en la lista de Agregar o quitar programas. Este problema permanece incluso después de instalar la versión de Microsoft de la revisión de seguridad 823980 (MS03-026). Este problema se produce porque el gusano instala la revisión de seguridad 823980 (MS03-026) en el modo "no archivar". Un administrador puede instalar la revisión de seguridad 823980 (MS03-026) en modo "no archivar" utilizando el modificador /n.
• La siguiente entrada aparece en el registro de sucesos del sistema:

  Origen: NtServicePack
  Categoría: Ninguna
  Id. de suceso: 4359
  Usuario: NT AUTHORITY\SYSTEM
  Descripción: Sistema operativo Se instaló el hotfix del sistema operativo KB823980.

  Nota: para ordenar el registro de sucesos del sistema por su origen, haga clic en el encabezado de la columna Origen del Visor de sucesos.

Prevención

Para prevenir que este virus infecte su equipo, siga estos pasos:

1. Habilite la característica Servidor de seguridad de conexión a Internet (ICF) en Windows XP, en Windows Server 2003, Standard Edition y en Windows Server 2003, Enterprise Edition; o use Servidor de seguridad básico, Microsoft Internet Security and Acceleration (ISA) Server 2000 o un servidor de seguridad de terceros para bloquear los puertos TCP 135, 139, 445 y 593; los puertos UDP 69 (TFTP), 135, 137 y 138; y el puerto TCP 80.
   
   Para habilitar ICF en Windows XP o Windows Server 2003, siga estos pasos:
   1. Haga clic en Inicio y, después, en Panel de control.
   2. En el Panel de control, haga doble clic en Conexiones de red e Internet y, a continuación, haga clic en Conexiones de red.
   3. Haga clic con el botón secundario del mouse (ratón) en la conexión en la que quiere habilitar ICF y, a continuación, haga clic en Propiedades.
   4. Haga clic en la ficha Avanzadas y, luego, active la casilla de verificación Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet.
   Nota: algunas conexiones de acceso telefónico pueden no aparecer en la carpeta Conexiones de red. Por ejemplo, pueden no aparecer las conexiones de acceso telefónico de AOL y MSN. A veces podrá usar el siguiente procedimiento para habilitar ICF para una conexión que no aparece en la carpeta Conexiones de red. Si estos pasos no funcionan, póngase en contacto con su proveedor de servicios Internet (ISP) para obtener información acerca del servidor de seguridad y la conexión de Internet.
   1. Inicie Internet Explorer.
   2. En el menú Herramientas, haga clic en Opciones de Internet.
   3. Haga clic en la ficha Conexiones, haga clic en la conexión de acceso telefónico que usa para conectar con Internet y, después, haga clic en Configuración.
   4. En el área Configuración de acceso telefónico, haga clic en Propiedades.
   5. Haga clic en la ficha Avanzadas y, luego, active la casilla de verificación Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet.
   Para obtener información adicional acerca de cómo habilitar el Servidor de seguridad de conexión a Internet en Windows XP o en Windows Server 2003, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   283673  (http://support.microsoft.com/kb/283673/ ) CÓMO: Habilitar o deshabilitar la función Servidor de seguridad de conexión a Internet en Windows XP
   Nota: ICF sólo está disponible en Windows XP, en Windows Server 2003, Standard Edition y en Windows Server 2003, Enterprise Edition. Servidor de seguridad básico es un componente de Enrutamiento y acceso remoto que puede habilitar para cualquier interfaz pública en cualquier equipo que ejecute Enrutamiento y acceso remoto y que además sea miembro de la familia Windows Server 2003.
2. Este gusano utiliza dos vulnerabilidades anunciadas anteriormente como parte de su método de infección. Por ello debe asegurase de haber instalado las revisiones de seguridad 823980 y 815021 en todos los equipos para tratar la vulnerabilidad identificada en los boletines de seguridad de Microsoft MS03-026 y MS03-007. La revisión de seguridad 824146 reemplaza a la revisión de seguridad 823980. Microsoft recomienda instalar la revisión de seguridad 824146. Esta revisión de seguridad también incluye las soluciones de problemas descritas en el Boletín de seguridad de Microsoft MS03-026 (823980). Para obtener información adicional acerca de la revisión de seguridad 824146, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   824146  (http://support.microsoft.com/kb/824146/ ) Un desbordamiento del búfer en RPCSS podría permitir que un atacante ejecute programas malintencionados
   Para obtener información adicional acerca de la revisión de seguridad 823980 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   823980  (http://support.microsoft.com/kb/823980/ ) MS03-026: Un desbordamiento de búfer en la interfaz RPC podría permitir la ejecución de código
   Para obtener información adicional acerca de la revisión de seguridad 815021 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   815021  (http://support.microsoft.com/kb/815021/ ) MS03-007: Un búfer sin comprobar en un componente de Windows puede poner en peligro el servidor Web
3. Use la firma de detección de virus más reciente de su proveedor de antivirus para detectar nuevos virus y sus variantes.

Recuperación

Las prácticas de seguridad recomendadas sugieren una instalación "limpia" completa en un equipo previamente comprometido para quitar cualquier explotación sin descubrir que pueda comprometer la seguridad en el futuro. Para obtener más información, visite el siguiente sitio Web de CERT Coordination Center (CERT/CC) Advisory: Sin embargo, muchas compañías antivirus proporcionan herramientas para quitar la explotación conocida asociada con este gusano particular. Para descargar de su proveedor antivirus la herramienta de quitar, use uno de los procedimientos siguientes, dependiendo de su sistema operativo.

Recuperación para Windows XP, Windows Server 2003, Standard Edition y Windows Server 2003, Enterprise Edition

1. Habilite la característica Servidor de seguridad de conexión a Internet (ICF) en Windows XP, en Windows Server 2003, Standard Edition y en Windows Server 2003, Enterprise Edition; o use Servidor de seguridad básico, Microsoft Internet Security and Acceleration (ISA) Server 2000 o un servidor de seguridad de terceros.
   
   Para instalar ICF, siga estos pasos:
   1. Haga clic en Inicio y, después, en Panel de control.
   2. En el Panel de control, haga doble clic en Conexiones de red e Internet y, a continuación, haga clic en Conexiones de red.
   3. Haga clic con el botón secundario del mouse (ratón) en la conexión en la que quiere habilitar ICF y, a continuación, haga clic en Propiedades.
   4. Haga clic en la ficha Avanzadas y, luego, active la casilla de verificación Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet.
   Notas
   • Si el equipo se apaga o se reinicia repetidamente cuando intenta seguir estos pasos, desconéctese de Internet antes de habilitar el servidor de seguridad. Si conecta a Internet en una conexión de banda ancha, busque el cable que sale del módem DSL externo o módem de cable y, a continuación, desconecte el cable del módem o de la toma de teléfono. Si usa una conexión de acceso telefónico, busque el cable de teléfono que va desde el módem que está en el interior del equipo a la toma de teléfono y, a continuación, desconéctelo de la toma de teléfono o del equipo. Si no puede desconectarse de Internet, utilice el siguiente comando para configurar RPCSS para que no reinicie el equipo cuando el servicio falle:
     sc failure rpcss reset= 0 actions= restart
     Para restablecer RPCSS a la configuración de recuperación predeterminada después de completar estos pasos, utilice el siguiente comando:
     sc failure rpcss reset= 0 actions= reboot/60000
   • Si tiene más de un equipo que comparte la conexión a Internet, use un servidor de seguridad sólo en el equipo directamente conectado a Internet. No use servidor de seguridad en los otros equipos que comparten la conexión a Internet. Si está ejecutando Windows XP, use el Asistente para configuración de red para habilitar ICF.
   • El uso de un servidor de seguridad no afectará a su servicio de correo electrónico o a la exploración del Web, pero un servidor de seguridad puede deshabilitar algunas características, servicios o software de Internet. Si se produce este comportamiento, quizá tenga que abrir algunos puertos del servidor de seguridad para que funcione alguna característica de Internet. Para determinar los puertos que debe abrir, consulte la documentación que se incluye con el servicio de Internet que no está funcionando. Para determinar cómo abrir estos puertos, vea la documentación que se incluye con su servidor de seguridad. Para obtener información adicional, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
     308127  (http://support.microsoft.com/kb/308127/ ) Cómo abrir puertos manualmente en el Servidor de seguridad de conexión a Internet de Windows XP
   • A veces podrá usar el siguiente procedimiento para habilitar ICF para una conexión que no aparece en la carpeta Conexiones de red. Si estos pasos no funcionan, póngase en contacto con su proveedor de servicios Internet (ISP) para obtener información acerca del servidor de seguridad y la conexión de Internet.
     1. Inicie Internet Explorer.
     2. En el menú Herramientas, haga clic en Opciones de Internet.
     3. Haga clic en la ficha Conexiones, haga clic en la conexión de acceso telefónico que usa para conectar con Internet y, después, haga clic en Configuración.
     4. En el área Configuración de acceso telefónico, haga clic en Propiedades.
     5. Haga clic en la ficha Avanzadas y, luego, active la casilla de verificación Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet.
   Para obtener información adicional acerca de cómo habilitar ICF en Windows XP o en Windows Server 2003, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   283673  (http://support.microsoft.com/kb/283673/ ) CÓMO: Habilitar o deshabilitar la función Servidor de seguridad de conexión a Internet en Windows XP
   Nota: ICF sólo está disponible en Windows XP, en Windows Server 2003, Standard Edition y en Windows Server 2003, Enterprise Edition. Servidor de seguridad básico es un componente de Enrutamiento y acceso remoto que puede habilitar para cualquier interfaz pública en cualquier equipo que ejecute Enrutamiento y acceso remoto y que además sea miembro de la familia Windows Server 2003.
2. Busque y elimine la siguiente clave del Registro, si existe:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB823980
   Para ello, siga estos pasos:
   1. Haga clic en Inicio, en Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.
   2. Busque la siguiente clave del Registro:
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB823980
   3. Haga clic con el botón secundario del mouse en la clave KB823980 y, a continuación, haga clic en Eliminar.
3. Descargue e instale las revisiones de seguridad 824146 y 815021 en todos los equipos para tratar las vulnerabilidades que se identifican en los boletines de seguridad de Microsoft MS03-039, MS03-026 y MS03-007. Para obtener información adicional acerca de la revisión de seguridad 824146 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   824146  (http://support.microsoft.com/kb/824146/ ) Un desbordamiento del búfer en RPCSS podría permitir que un atacante ejecute programas malintencionados
   Para obtener información adicional acerca de la revisión de seguridad 823980 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   823980  (http://support.microsoft.com/kb/823980/ ) MS03-026: Un desbordamiento de búfer en la interfaz RPC podría permitir la ejecución de código
   Para obtener información adicional acerca de la revisión de seguridad 815021 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   815021  (http://support.microsoft.com/kb/815021/ ) MS03-007: Un búfer sin comprobar en un componente de Windows puede poner en peligro el servidor Web
4. Instale o actualice el software de signatura de antivirus y ejecute después un examen completo del sistema.
5. Descargue de su proveedor de antivirus y ejecute después la herramienta para quitar el gusano.

Recuperación para Windows 2000 y Windows NT 4.0

La característica Servidor de seguridad de conexión a Internet no está disponible en Windows 2000 o Windows NT 4.0. Si Microsoft Internet Security and Acceleration (ISA) Server 2000 o un servidor de seguridad de terceros no están disponibles para bloquear los puertos TCP 135, 139, 445 y 593; los puertos UDP 69 (TFTP), 135, 137 y 138; y el puerto TCP 80, siga estos pasos para ayudar a bloquear los puertos afectados de las conexiones de la red de área local (LAN). No hay un filtro TCP/IP disponible para las conexiones de acceso telefónico. Si utiliza una conexión de acceso telefónico para conectarse a Internet, debería habilitar un software de servidor de seguridad.

1. Configurar la seguridad de TCP/IP. Para ello, use el procedimiento correspondiente a su sistema operativo.
   
   Windows 2000
   1. En el Panel de control, haga doble clic en Conexiones de red y acceso telefónico.
   2. Haga clic con el botón secundario del mouse (ratón) en la interfaz que usa para el acceso a Internet y, después, haga clic en Propiedades.
   3. En el cuadro Esta conexión utiliza los componentes seleccionados, haga clic en Protocolo de Internet (TCP/IP) y, a continuación, haga clic en Propiedades.
   4. En el cuadro de diálogo Propiedades de Protocolo Internet (TCP/IP), haga clic en Opciones avanzadas.
   5. Haga clic en la ficha Opciones.
   6. Haga clic en Filtrado TCP/IP y, después, en Propiedades.
   7. Haga clic para seleccionar la casilla de verificación Habilitar filtrado TCP/IP (todos los adaptadores).
   8. Hay tres columnas con las etiquetas siguientes:
      • Puertos TCP
      • Puertos UDP
      • Protocolos IP
      En cada una de las columnas, haga clic en la opción Permitir sólo.
      
      Para obtener información adicional acerca qué puertos deberían abrirse para los dominios y relaciones de confianza, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
      179442  (http://support.microsoft.com/kb/179442/ ) Cómo configurar un servidor de seguridad para dominios y relaciones de confianza
   9. Haga clic en Aceptar.
      
      Notas
      • Si el equipo se apaga o se reinicia repetidamente cuando intenta seguir estos pasos, desconéctese de Internet antes de habilitar el servidor de seguridad. Si conecta a Internet en una conexión de banda ancha, busque el cable que sale del módem DSL externo o de cable y, a continuación, desconecte el cable del módem o de la toma de teléfono. Si usa una conexión de acceso telefónico, busque el cable de teléfono que va desde el módem que está en el interior del equipo a la toma de teléfono y, a continuación, desconéctelo de la toma de teléfono o del equipo.
      • Si tiene más de un equipo que comparte la conexión a Internet, use un servidor de seguridad sólo en el equipo directamente conectado a Internet. No use servidor de seguridad en los otros equipos que comparten la conexión a Internet.
      • El uso de un servidor de seguridad no afectará a su servicio de correo electrónico o a la exploración del Web, pero un servidor de seguridad puede deshabilitar algunas características, servicios o software de Internet. Si se produce este comportamiento, quizá tenga que abrir algunos puertos del servidor de seguridad para que funcione alguna característica de Internet. Para determinar los puertos que debe abrir, consulte la documentación que se incluye con el servicio de Internet que no está funcionando. Para determinar cómo abrir estos puertos, vea la documentación que se incluye con su servidor de seguridad.
      • Estos pasos se basan en un extracto modificado del artículo 309798 de Microsoft Knowledge Base. Para obtener información adicional, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
        309798  (http://support.microsoft.com/kb/309798/ ) Cómo configurar el Filtrado TCP/IP en Small Business Server 2003
   Windows NT 4.0
   1. En el Panel de control, haga doble clic en Red.
   2. Haga clic en la ficha Protocolo, en Protocolo TCP/IP y, a continuación, en Propiedades.
   3. Haga clic en la ficha Dirección IP y, después, en Avanzadas.
   4. Active la casilla de verificación Habilitar seguridad y, a continuación, haga clic en Configurar.
   5. En las columnas Puertos TCP, Puertos UDP y Protocolos IP, seleccione el valor Permitir sólo.
   6. Haga clic en Aceptar y luego cierre la herramienta Red.
2. Descargue e instale las revisiones de seguridad 824146 y 815021 en todos los equipos para tratar las vulnerabilidades que se identifican en los boletines de seguridad de Microsoft MS03-039, MS03-026 y MS03-007. La revisión de seguridad 824146 reemplaza a la revisión de seguridad 823980. Microsoft recomienda instalar la revisión de seguridad 824146. Esta revisión de seguridad también incluye las soluciones de los problemas descritos en el boletín de seguridad de Microsoft MS03-026 (823980). Para obtener información adicional acerca de la revisión de seguridad 824146, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   824146  (http://support.microsoft.com/kb/824146/ ) Un desbordamiento del búfer en RPCSS podría permitir que un atacante ejecute programas malintencionados
   Para obtener información adicional acerca de la revisión de seguridad 823980 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   823980  (http://support.microsoft.com/kb/823980/ ) MS03-026: Un desbordamiento de búfer en la interfaz RPC podría permitir la ejecución de código
   Para obtener información adicional acerca de la revisión de seguridad 815021 y los prerrequisitos (como un Service Pack para su versión de Windows), haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
   815021  (http://support.microsoft.com/kb/815021/ ) MS03-007: Un búfer sin comprobar en un componente de Windows puede poner en peligro el servidor Web
3. Instale o actualice el software de signatura de antivirus y ejecute después un examen completo del sistema.
4. Descargue de su proveedor de antivirus y ejecute después la herramienta para quitar el gusano.
   Network Associates
   http://vil.nai.com/vil/content/v_100559.htm (http://vil.nai.com/vil/content/v_100559.htm)
   
   Trend Micro
   http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MSBLAST.D (http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MSBLAST.D)
   
   Symantec
   http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html (http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html)
   Para obtener información acerca de Microsoft Virus Information Alliance (VIA), visite el siguiente sitio Web de Microsoft:
   http://www.microsoft.com/technet/security/topics/virus/via.mspx (http://www.microsoft.com/technet/security/topics/virus/via.mspx)

Para obtener más información, visite el siguiente sitio Web de Microsoft: