Os reenvio un correo que puede ser interesante sobre esto que se esta tratando. Por cierto, el cacharro este que tengo aqui, que tiende a desaparecer, feisimo y con lenguajes de programacion del jurasico, no sabe lo que es un virus. �Como se lo explico?
Un saludo. Carlos -----BEGIN PGP SIGNED MESSAGE----- ------------------------------------------------------------------- Hispasec - una-al-d�a 27/01/2003 Todos los d�as una noticia de seguridad www.hispasec.com ------------------------------------------------------------------- Lecciones del gusano MS-SQL --------------------------- La historia se repite. Tal y como ocurriera con "Code Red", de nuevo un gusano que aprovecha una vulnerabilidad en un producto de Microsoft provoca el colapso en Internet. Con respecto a los antivirus, en esta ocasi�n tampoco han podido detenerlo, ni siquiera a posteriori, ya que la tecnolog�a que utilizan en sus productos les impide desarrollar firmas de detecci�n contra este tipo de gusanos que no se escriben en disco. �Cuando ser� la pr�xima? Como ya adelantamos el s�bado en Hispasec, "SQLSlammer", "Sapphire", "SQLExp", o cualquiera de los otros nombres con que ha sido bautizado este nuevo gusano para MS-SQL/MSDE 2000, aprovecha una vulnerabilidad de julio de 2002, y su prevenci�n pasa por haber aplicado el parche espec�fico, alguno de los acumulativos posteriores, o el Service Pack 3 de MS-SQL. Otras medidas proactivas pasan por establecer reglas correctas a nivel de tr�fico, impidiendo el acceso indiscriminado a los servicios de MS-SQL, en esta ocasi�n especialmente al puerto UDP/1434. En caso de que el sistema ya se encontrara infectado y colapsado por el bombardeo de paquetes del gusano, las buenas pr�cticas recomiendan la desconexi�n de la red (para evitar que se reinfecte mientras aplicamos el parche), reiniciar el sistema (para que desaparezca de memoria el c�digo del gusano), aplicar la actualizaci�n (que impide que vuelva a infectarse), y volver a iniciar el sistema conect�ndolo a la red para restaurar sus servicios. Una vez pasada la crisis que provoc� la rutina de propagaci�n del gusano, cuyos efectos m�s notables duraron unas horas el s�bado (ni se trataba de un ciberataque a EE.UU., ni Internet se va a venir abajo en las pr�ximas horas), podemos sacar algunas conclusiones a bote pronto: * Internet: el gusano ha puesto de manifiesto la debilidad de la Red, si bien esta misma infraestructura ha permitido una r�pida reacci�n coordinada de forma espont�nea por parte de todos y corregir en horas un problema de tal envergadura (no hab�a m�s que ver el s�bado la avalancha de mensajes en los foros de seguridad donde pr�cticamente en tiempo real se analizaba el gusano y se propon�an soluciones y medidas preventivas). * Antivirus: en este caso no han podido proteger a sus clientes, ni antes ni despu�s, ya que la inmensa mayor�a basan su tecnolog�a en la identificaci�n de firmas en objetos del disco (archivos, sectores...). El gusano, al infectar directamente a trav�s de un desbordamiento de buffer y situarse en memoria, sin necesidad de hospedarse en el sistema de archivos, queda fuera del alcance de estos productos. Eso explica que, pese a que s� han lanzado avisos sobre el gusano, las empresas antivirus no han podido actualizar sus motores de detecci�n para parar a este gusano. No tienen responsabilidad directa en este incidente, en cualquier caso han intentado ayudar con avisos p�blicos, si bien debemos ser conscientes de sus limitaciones como soluci�n de seguridad. * Microsoft: Si con "Code Red" fue Internet Information Server, en este caso ha sido MS-SQL, de nuevo una vulnerabilidad en un producto de Microsoft pone en peligro no ya s�lo a sus clientes, sino al resto de Internet. Vulnerabilidades tienen todos los sistemas, no es un problema en exclusiva de Microsoft, pero este caso viene a poner el dedo en la llaga cuando ya hace m�s de un a�o del lanzamiento de su iniciativa de seguridad STPP. "Strategic Technology Protection Program (STPP)" tiene como principal misi�n acelerar la actualizaci�n de los sistemas de Microsoft, intentando disminuir el tiempo que transcurre desde que es descubierta la vulnerabilidad hasta que el sistema del cliente es actualizado. La vulnerabilidad aprovechada por el gusano de MS-SQL data de julio del 2002. * Productos de terceros: La vulnerabilidad no se ha limitado a MS-SQL/MSDE 2000, sino que se extiende a muchos m�s productos de otros fabricantes que utilizan estos componentes de Microsoft como parte de sus soluciones. El resultado es que el servicio vulnerable se ha encontrado en sistemas en los que a priori los administradores de sistemas desconoc�an que deb�a aplicarse las actualizaciones. En una de las alertas sobre el gusano MS-SQL, que Hispasec emiti� a los suscriptores del servicio SANA, se listaban m�s de 50 soluciones que pod�an instalar el componente afectado y como comprobar su existencia para evaluar si era necesario parchearlos. Para prevenir estas situaciones, una buena medida en lo sucesivo ser�a que esas casas de software avisaran a sus clientes cuando se publica una actualizaci�n que afecta a uno de los componentes que integra sus soluciones. * Parches: La disponibilidad de un parche no asegura la protecci�n de los sistemas, es necesario que los administradores o usuarios lo apliquen. Si bien es cierto que en algunos casos puede ser un problema por dejadez, falta de tiempo o simple desconocimiento, existe tambi�n ciertas reticencias a su instalaci�n inmediata en ambientes en producci�n. No es que los administradores tengan man�as, sino todo lo contrario, es por experiencia propia: parches que se superponen, regresiones de vulnerabilidades, problemas de estabilidad o incompatibilidad con otros componentes. Para ejemplos, vamos a ver algo referente a esta vulnerabilidad: Existe un parche para MS-SQL 2000 de cara a corregir un problema que bajo ciertas circunstancias puede derivar en consumos de memoria no recuperables por el sistema, hasta poder llegar a la denegaci�n de servicios (Q317748): http://support.microsoft.com/default.aspx?scid=KB;EN-US;q317748 Este parche no hab�a sido incluido en el parche espec�fico para la vulnerabilidad que aprovecha el gusano, ni en los siguientes acumulativos de seguridad aplicables a MS-SQL con Service Pack 2. De forma que si un administrador quer�a aplicar el parche para evitar las posibles p�rdidas de memoria, deb�a aplicar la actualizaci�n disponible en Q317748. El problema es que si se aplica despu�s de algunos de los parches de seguridad, el sistema se vuelve vulnerable, ya que esta actualizaci�n intenta instalar una versi�n anterior de la biblioteca ssnetlib.dll, sobreescribiendo la ya parcheada que evita la acci�n del gusano. Dado que el primer parche de seguridad de la vulnerabilidad que aprovecha el gusano data de julio de 2002, y este parche para evitar p�rdidas de memoria es de octubre de ese mismo a�o, es bastante probable que m�s de un sistema hubiera sido parcheado correctamente en julio y que en octubre volviera a ser vulnerable por la instalaci�n de este segundo parche. Esto no es un caso aislado en las actualizaciones de Microsoft. Para evitar este contratiempo, ya el domingo 26, Microsoft lanz� un nuevo parche acumulativo para Service Pack 2 que incluye las correcciones de seguridad anteriores y el parche Q317748. De forma que sus recomendaciones son, bien utilizar este nuevo parche (MS02-061) sobre SP2: http://www.microsoft.com/technet/security/virus/alerts/slammer.asp Bien instalar directamente el Service Pack3, que es lo que recomend�bamos desde Hispasec el s�bado: http://www.microsoft.com/sql/downloads/2000/sp3.asp * Administradores: Queda claro que parte de la responsabilidad de las incidencias causadas por este gusano la tienen los administradores de sistemas que no han actualizado puntualmente sus servidores. En cualquier caso, como acabamos de ver, no todo se limita a instalar parches de forma indiscriminada (se ve muy f�cil desde la barrera), y en ocasiones los problemas han podido venir por otras causas ajenas a su responsabilidad m�s directa (regresi�n de vulnerabilidades por problemas de los parches de Microsoft, o instalaci�n de esos componentes por parte de aplicaciones de terceros). De todas formas, bien es cierto que a nivel de administraci�n/configuraci�n deben de tomar medidas m�s proactivas, y evitar el acceso indiscriminado a los servicios que no requieran ser p�blicos, lo que tambi�n habr�a evitado la mayor�a de infecciones. * Comunidad GNU: sale reforzada de este incidente. Adem�s del hecho de que haya sido una vulnerabilidad de un producto de Microsoft la que ha causado el incidente, lo que podr� ser para algunos simple casualidad y para otros una evidencia m�s, si es cierto que las primeras reacciones vinieron del mundo GNU, tanto a nivel de detecciones como medidas preventivas. Por ejemplo, cuando aun no hab�a comunicado de Microsoft, ni avisos de las casas antivirus, ya estaban disponibles en Internet las primeras reglas para identificar al gusano a trav�s de Snort, el popular IDS que se distribuye gratuito y con acceso p�blico a su c�digo fuente. La propia coordinaci�n de los administradores en los primeros momentos, a trav�s de los foros de Internet, fue m�s propia de este tipo de movimientos, m�s que de iniciativas privadas. * Sistemas de Alertas: En este caso la utilidad de un sistema de alerta en tiempo real sobre nuevas amenazas e incidentes se presenta vital. As� como sistemas de monitorizaci�n, que avisen e informen a los administradores, a cualquier hora y en cualquier momento, sobre los problemas y actuaciones que ata�en a sus sistemas. * Seguridad Proactiva: Queda patente que la seguridad reactiva, como la instalaci�n de parches o la actualizaci�n de firmas una vez se detecta un incidente, no es efectiva contra las nuevas amenazas que aprovechan el potencial de Internet. Tenemos que hacer hincapi� en el concepto de seguridad de partida, tanto a la hora de configurar correctamente un sistema como al desarrollar una aplicaci�n, y solicitar soluciones de seguridad m�s gen�ricas, que vayan m�s all� de la mera identificaci�n de un incidente conocido. Opina sobre esta noticia: http://www.hispasec.com/unaaldiacom.asp?id=1555 M�s informaci�n: 18/02/2002 Microsoft lanza en Espa�a su iniciativa STPP http://www.hispasec.com/unaaldia.asp?id=1212 19/02/2002 Microsoft STPP, �estrategia tecnol�gica o lavado de cara? http://www.hispasec.com/unaaldia.asp?id=1213 30/12/2002 Actualizaciones de Microsoft, un arma de doble filo http://www.hispasec.com/unaaldia.asp?id=1527 SANA. Servicio de An�lisis, Notificaci�n y Alertas http://www.hispasec.com/sana/ Alerta: Gusano para MS-SQL http://www.hispasec.com/unaaldia.asp?id=1554 Bernardo Quintero [EMAIL PROTECTED] ------------------------------------------------------------------- Claves PGP en http://www.hispasec.com/email.asp ------------------------------------------------------------------- Bajas: mailto:[EMAIL PROTECTED]?subject=unsubscribe Altas: mailto:[EMAIL PROTECTED]?subject=subscribe ------------------------------------------------------------------- (c) 2003 Hispasec http://www.hispasec.com/copyright.asp ------------------------------------------------------------------- -----BEGIN PGP SIGNATURE----- Version: PGP 6.5.2 iQCVAwUBPjWPsOtaAupcB1VZAQFsZAQAthjBIttYq5wsiqwCHkCaodREeg5pdVr/ 5m+sLHc7+N9UWNnfCucTCKzx1kbBj1M7N/wbLDLVXhOV+4Dh9FRftOt1lhAf75YU ggPeFRIgmycDMs9OLMofgYAdSmcDZlynPxyToYFccB74RYk5YUSmuyqaqs7ElQCU KTCA+AOfPC4= =T/sQ -----END PGP SIGNATURE----- _____________________________________________________ Forum.HELP400 es un servicio m�s de NEWS/400. � Publicaciones Help400, S.L. - Todos los derechos reservados http://www.help400.es _____________________________________________________ Para darte de baja, env�a el mensaje resultante de pulsar mailto:[EMAIL PROTECTED]?body=LEAVE
