-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

-------------------------------------------------------------------
Hispasec - una-al-día 16/09/2008
Todos los días una noticia de seguridad www.hispasec.com
-------------------------------------------------------------------

Intento de "revival" de los virus de macro
------------------------------------------

Se está detectando en Europa un tímido intento de revivir los virus de
macro, a través de un documento en Microsoft Word que está siendo
enviado a través de spam. El virus no representa ninguna evolución del
concepto y no se le espera repercusión alguna, pero supone un renovado y discreto interés por este tipo de malware, prácticamente extinto desde
finales de los 90.

El espécimen se trata de un virus de macro "de toda la vida". Las macros
en Microsoft Office permiten ejecutar código VBA (Visual Basic for Applications) incrustado dentro de documentos cuando son abiertos con
esta aplicación. Hasta la versión Office 2000, esto se hacía de forma automática con todas las macros contenidas en los documentos, lo que
ayudó a popularizar lo que se llamarían los "virus de macro". Virus como Melissa y sucesivas variantes dotaron a esta forma de ejecución
automática gran popularidad.

El archivo en concreto se ha difundido por algunos países europeos con
el nombre de Rechnung.doc. Lleva dentro incrustado un ejecutable, y la
macro se encarga de copiarlo al disco duro y ejecutarlo. Las casas
antivirus han tenido que rescatar del olvido el prefijo W97M y OF97para denominar a Fordo, como se ha dado en llamar. La detección general por
parte de los antivirus ha aumentado en los últimos días, aunque desde un principio ha sido muy efectiva.

http://www.virustotal.com/analisis/d67fcf69c3b2218dba79f4b154e6b930

La única novedad de Fordo es que en vez de ejecutar su payload
directamente desde la macro, como habitualmente se venía haciendo,
contiene en su interior un ejecutable. La macro lo copia al disco duro y
lo ejecuta. Se trata entonces de un dropper tradicional que en principio
no recurre a un servidor para descargar su componente principal.

La detección de la muestra del ejecutable contenido que hemos analizado
es aceptable. Se trata de un spyware tradicional, que intentará
conectarse a diferentes páginas.

http://www.virustotal.com/es/analisis/def454a819753c1549253844a6249708

Desde Word 2000 las macros no se ejecutan de forma automática por
defecto, a no ser que estén firmadas por alguien de confianza para el
equipo. Fordo ni siquiera usa vulnerabilidades conocidas o no para
saltarse esta restricción, simplemente confía en que el usuario o bien
use Word 97 o tenga las macros activadas en modo de seguridad "bajo" y
se ejecuten automáticamente. En caso contrario simplemente la macro será ignorada. De ahí a que su difusión se espere muy discreta. En cualquier
caso el virus, una vez ejecutado, modifica esta opción y marca como
"bajo" el nivel de seguridad de las macros. Con esto puede llegar a
conseguir que otros virus de macro se ejecuten en el futuro.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3615/comentar

Más información:

Blast from the future?
http://isc.sans.org/diary.php?storyid=5029


Sergio de los Santos
ssantos@hispasec.com


Tal día como hoy:
-----------------

16/09/2007: Actualización del Kernel para Red Hat Enterprise Linux 5
http://www.hispasec.com/unaaldia/3249

16/09/2006: Múltiples vulnerabilidades en el VLAN Trunking Protocol (VTP) de Cisco IOS
http://www.hispasec.com/unaaldia/2884

16/09/2005: Jornada de Análisis Forense
http://www.hispasec.com/unaaldia/2519

16/09/2004: Tegam vs. Guillermito, segundo asalto
http://www.hispasec.com/unaaldia/2154

16/09/2003: Grave vulnerabilidad en OpenSSH
http://www.hispasec.com/unaaldia/1787

16/09/2002: Desbordamiento de búfer en Apple QuickTime ActiveX
http://www.hispasec.com/unaaldia/1422

16/09/2001: Hoax: Falsa profecía de Nostradamus sobre el ataque a EE.UU.
http://www.hispasec.com/unaaldia/1057

16/09/2000: Graves problemas en la GLIBC
http://www.hispasec.com/unaaldia/692

16/09/1999: Vulnerabilidad en Compaq Management Agents
http://www.hispasec.com/unaaldia/324


-------------------------------------------------------------------
Claves PGP en http://www.hispasec.com/directorio/hispasec
-------------------------------------------------------------------
Bajas: mailto:unaaldia-request@hispasec.com?subject=unsubscribe
Altas: mailto:unaaldia-request@hispasec.com?subject=subscribe
-------------------------------------------------------------------
(c) 2008 Hispasec http://www.hispasec.com/copyright
-------------------------------------------------------------------

--- SoupGate-DOS v1.05
* Origin: Pasarela FTN-INet telnet://pucelabbs.dyndns.org:4000 (2:341/201.99)