Gusanos Korgo: ¿un peligroso
experimento?
Su autor parece estar experimentando
continuamente con el objetivo de conseguir nuevas variantes
que, en un momento dado, puedan sorprender a los usuarios
y provocar una gran epidemia
En un principio, el gusano Korgo.A fue considerado como
una réplica más del famoso gusano Sasser.
Sin embargo, el hecho de que en poco tiempo hayan aparecido
12 variantes hace pensar que tras él se esconde algún
oscuro propósito, que podría traducirse en
un grave peligro para la integridad de los sistemas informáticos.
Los gusanos Korgo, al igual que Sasser, aprovechan
la vulnerabilidad LSASS para propagarse rápidamente
a través de Internet e infectar los equipos. Sin
embargo, a diferencia de ellos, trata de pasar desapercibido
ya que, por ejemplo, evita que los equipos afectados se
reinicien continuamente. Además de ello, y según
la variante de la que se trate, los gusanos Korgo borran
algún que otro archivo, abren puertos de comunicaciones,
y tratan de conectarse a distintos servidores de IRC.
Otro dato a destacar es que algunos de los
gusanos Korgo utilizan mutex, una técnica que permite
controlar el acceso a recursos del sistema y evitar que
más de un proceso utilice el mismo recurso al mismo
tiempo. Uno de los mutex que crean estos códigos
maliciosos lleva por nombre utermXX (siendo XX un número)
y -por lo que parece- están siendo numerados de manera
secuencial. Así, mientras que Korgo.C usa el mutex
uterm 7, Korgo.J, emplea uterm12. Esto indicaría
la existencia de al menos 12 versiones del virus, si entendemos
por nueva versión aquellos ejemplares que presentan
cambios muy significativos respecto a los anteriores. A
estas versiones hay que sumar otras variantes menores, que
difieren muy poco con respecto a la correspondiente versión
original. Ese sería el caso de Korgo.K y Korgo.L,
que han sido creadas introduciendo leves modificaciones
en el código de algunas de las primeras versiones
del gusano.
Por otra parte, estos códigos maliciosos
modifican el registro de Windows, de forma que cada nueva
variante deshace los cambios introducidos por sus predecesoras
e introduce otros nuevos. De esta manera, puede conocerse
la secuencia en la que los gusanos están siendo creados.
Por ejemplo, Korgo.D borra las entradas creadas por Korgo.F.
Con ello puede deducirse que Korgo.D ha sido creado en fecha
más reciente.
El objetivo que persigue el autor de estos
códigos maliciosos sigue siendo una incógnita.
Según Luis Corrons, director de PandaLabs: “Desde
luego el creador de los gusanos Korgo está trabajando
demasiado como para pensar que se trata de un mero divertimento.
Por otra parte”, añade, “tampoco responde
a la estrategia típica de poner muchos virus similares
en circulación para infectar el mayor número
de equipos posible, ya que se preocupa de que su última
creación anule a las anteriores”.
Todo parece indicar que este escritor de
virus está poniendo a punto algún código
malicioso especialmente dañino que pueda sorprender
a los usuarios. Sin embargo, sería una epidemia “silenciosa”,
ya que una de las características de los gusanos
Korgo es que llevan a cabo sus acciones de forma oculta
para el usuario.
Un dato que puede parecer contradictorio,
frente a tanto alarde técnico, es el hecho de que
los gusanos Korgo emplean la vulnerabilidad LSASS de Windows,
condenada a morir a medida que los usuarios instalan los
parches necesarios para corregirla. Sin embargo, en opinión
de Luis Corrons, “esto no supone mayor problema. En
cualquier momento, el autor de los gusanos Korgo podría
aprovechar otra vulnerabilidad que se descubra. Por ello,
conviene no perder de vista a las nuevas variantes que,
sin duda, van a seguir apareciendo. Lo mejor que podría
ocurrir es que se localizase y detuviese cuanto antes al
creador de estos códigos maliciosos”, concluye.
Ante la posibilidad de un encuentro con cualquiera
de los gusanos Korgo, Panda Software recomienda extremar
las precauciones y mantener actualizado el software antivirus.
Los clientes de Panda Software ya tienen a su disposición
las correspondientes actualizaciones para la detección
y desinfección de estos códigos maliciosos.
Asimismo, para evitar los ataques de Korgo o sus variantes
es necesario aplicar el parche
de Microsoft para corregir la vulnerabilidad LSASS.
Fuente: Panda Software www.pandasoftware.es
