Mas Variantes de Conficker, aunque parece que va de baja, pero esta vez descargando un .JPG

Tras 15 meses de la aparición del primer Conficker, dado el gran numero de servidores que infectan a los ordenadores que se conectan sin el parche MS08-067, o via pendrive infectados, o por incluir en su red un ordenador infectado y propagarse por comparticiones administrativas, han logrado infectar mas de 20 millones de máquinas, y parece que el numero de nuevas variantes que aparecen periodicamente está disminuyendo, si bien en cualquier momento pueden volver a las andadas…

Hoy hemos recibido una nueva variante, aun no controlada por algun “famoso” como Microsoft, que como dato curioso es que el fichero descargado es un .JPG, wfoykfm[1].jpg, lo cual hace confiar al usuario al no parecer sospechoso dada la extension, si bien es ejecutado con el REGSRV32 ya que como EXE no es una aplicacion válida, y con ello inicia la infeccion y propagacion del virus.

Se recuerda que es un RootKit, que oculta ficheros, procesoos y claves, y que se propaga en los pendrives no protegidos con el nombre de jwgkvsq.vmx, cualquiera que sea la variante del Conficker.

Tal como informamos en el artículo del 13 de Enero 2009 para eliminacion de dicho virus, la herramienta clave es nuestro USB445.EXE, que prepara el ordenador para actualizar con un windowsupdate y luego (acto seguido) arrancando en modo seguro, permite que el antivirus elimine dicho virus.

La comprobacion de que ya no se tiene virus se hace rápidamente con el COMPROBADOR.EXE, por aquello de “POR SUS HECHO LOS CONOCEREIS”, gracias a la caracteristica de que no permite acceder a webs de casas antivirus como McAfee ni a las que empiecen por VIRUS como VirusTotal.

Logicamente hemos tenido decenas de miles de casos de infección con dicha familia, pero todos y cada uno se han solucionado satisfactoriamente, si bien en funcion del parque de ordenadores de ciertas empresas o entidades públicas, el trabajo de desinfección de dicho virus ha sido superior.

Esperemos que vaya de baja como parece…

saludos

ms, 23-3-2010