Protección frente al gusano Conficker

Los síntomas de infección por Conficker incluyen lo siguiente:

• Se bloquea el acceso a los sitios relacionados con la seguridad
• Se bloquea el acceso del usuario al directorio
• El tráfico se envía a través del puerto 445 en los servidores distintos de Directory Service (DS)
• Se deniega el acceso a unidades compartidas del administrador
• Los archivos autorun.inf se mueven al directorio de reciclado o a la papelera

Conficker.C es la variante más reciente del gusano Conficker. El riesgo de contraer Conficker.C se limita a los sistemas que aún están infectados por las variantes anteriores, Conficker.A y Conficker.B, que aprovechan la vulnerabilidad MS08-067 de Microsoft Windows Server Service. En caso de lograr aprovechar la vulnerabilidad, puede permitir la ejecución de código remoto cuando se habilita el uso compartido de archivos. Conficker combate los esfuerzos por erradicarlo creando tareas programadas o utilizando los archivos autorun.inf para reactivarse.

McAfee ha identificado miles de archivos binarios con la carga del Conficker. Según la variante concreta, el gusano se puede propagar por redes LAN y WAN, la Web o unidades extraíbles y aprovechando contraseñas sencillas. Conficker desactiva varios servicios del sistema y productos de seguridad importantes y descarga archivos arbitrarios. Los ordenadores infectados por el gusano pasan a formar parte de un “ejército” de ordenadores afectados que se podrían utilizar para lanzar ataques contra sitios web, distribuir spam, alojar sitios web de phishing o llevar a cabo otras actividades maliciosas.

Recomendamos a los clientes que sigan estos pasos para eliminar el gusano W32/Conficker.worm y evitar que se propague:

1. Instale la actualización de seguridad de Microsoft MS08-067: http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx
2. Limpie los sistemas infectados y reinicie
   Utilice soluciones antimalware, como McAfee VirusScan Plus o ToPS for Endpoint, para limpiar la infección. Utilice técnicas de detección de comportamientos, como la protección de desbordamiento de búfer de Host IPS, para evitar futuras infecciones. Esto es importante, porque Conficker se puede propagar por soporte portátiles, como las unidades USB infectadas. Al acceder a los soportes, el sistema procesa autorun.inf y ejecuta el ataque. Para más información, lea el documento de los laboratorios McAfee Labs^TM “Cómo combatir el gusano Conficker.”
3. Identifique otros sistemas con riesgo de infección
   Necesita identificar qué sistemas corren peligro. La lista incluye los sistemas a los que no se ha aplicado el parche contra la vulnerabilidad de Microsoft MS08-067 o que carecen de controles de protección preventiva para reducir la vulnerabilidad. McAfee Vulnerability Manager y McAfee ePolicy Orchestrator pueden identificar los sistemas que son vulnerables y que no están protegidos.
4. Limite la capacidad de la amenaza para propagarse
   El uso de IPS de red en puntos estratégicos de su red limitará rápidamente la capacidad de la amenaza para propagarse. Esto le da tiempo para actualizar las firmas antivirus de los equipos cliente o para modificar las directivas de forma que se bloquee la amenaza mediante los controles de comportamiento.