Actualización técnica sobre el gusano Sasser Mayo 7, 2004 Marco A. Estrada Corella / TECHNICAL ACCOUNT MANAGER Microsoft Mexico Ignacio Rauda / TECHNICAL ACCOUNT MANAGER Ventura Perez / TECHNICAL ACCOUNT MANAGER Microsoft Caribe y Centro America

Lo que vamos a cubrir Descripción general de la situación Gusano Sasser Lo que usted debe hacer Lo que estamos haciendo Recursos Preguntas y respuestas

Descripción general de la situación El 13 de abril Microsoft publicó MS04-011 Esta guía de Microsoft se publicó para llevar a cabo su implementación lo más pronto posible El viernes 30 de abril, el gusano Sasser atacó Internet

MS04-011: Descripción general Actualización de seguridad para Microsoft Windows (KB 835732) Impacto: Ejecución del código remoto Gravedad máxima: Crítica Software afectado: Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003, NetMeeting No es critico para Windows 98, Windows 98 Second Edition, Windows Millennium Edition

Sasser: Descripción general Explota la vulnerabilidad LSASS - CAN-2003-0533 que se arregló en MS04-011 Afecta únicamente a Windows XP y Windows 2000 No se ve afectado Windows Server 2003 Ejecución del código remoto El código se ejecuta en el contexto del Sistema local El sistema infectado intentará contactar a otros sistemas e infectar otros sistemas vulnerables El gusano se propaga a través del puerto TCP 445

Pasos clave de protección contra Sasser Active un servidor de seguridad Instale MS04-011 Ya se han descargado más de 150 millones a través de las actualizaciones automáticas, las cuales ya están protegidas Utilice la herramienta de detección y eliminación de http://www.microsoft.com/latam/technet/seguridad/alerta/sasser.asp o del centro de descarga (www.microsoft.com/downloads/search.aspx?displaylang=es ) Actualizado para Sasser A, B, C y D Actualice las firmas antivirus Revise los pasos PYPC en http://www.microsoft.com/latam/seguridad/proteccion/default.asp

Lo que deben hacer las empresas Utilice un servidor de seguridad para proteger sus intranets Bloquee el trafico entrante en todos los puertos no utilizados, específicamente el puerto 445 La mayoría de los productos de servidor de seguridad deben bloquear el tráfico de manera predeterminada o mediante la configuración del administrador Internet Security and Acceleration (ISA) Server genera secuencias de comandos que bloquean el trafico relacionado con Sasser http://isatools.org y obtenga la siguiente secuencia de comandos: ISA 2000: block_sasser.vbs ISA 2004: block_sasser_2k4.vbs Servidor de seguridad personal, como Windows XP Internet Connection Firewall, para PCs remotas y portátiles

Lo que deben hacer las empresas (2) Instale la actualización de seguridad MS04-011 Utilice la herramienta Limpiador en www.microsoft.com/sasser o del centro de descarga para eliminar el código malicioso Instale las firmas AV actualizadas Revise la alerta de seguridad PSS contra Sasser en http://www.microsoft.com/latam/technet/seguridad/alerta/sasser.asp Revise los pasos para la mitigación y recuperación Filtros TCP / Bloqueo de puertos Cree un archivo Dcpromo.log de sólo lectura en el directorio %windir%\debug Detenga el servicio del servidor

Lo que estamos haciendo Nuestro proceso de respuesta de emergencia se moviliza en toda la empresa Alerta de virus VIA inmediatamente Pagina Sasser con guías y pasos manuales dentro de las primeras horas de existencia del gusano Se contacta a los clientes empresariales a nivel mundial durante las primeras horas Se alerta a los clientes por correo electrónico Se alerta a los profesionales de informática por correo electrónico Transmisiones técnicas por el Web hoy y el lunes para profesionales de informática

Lo que estamos haciendo (2) Trabajar con las agencias de aplicación de la ley Northwest CyberCrime Taskforce, FBI y el Servicio Secreto de Estados Unidos, Interpol Alerta DHS y CERTs alertados a nivel mundial Trabajar con los socios de negocios VIA, GIAIS, canal minorista, OEMs con la guía y herramienta del limpiador automatizado Promover las líneas de seguridad de PCs

Recursos Información sobre el gusano Sasser: Clientes – www.microsoft.com/sasser Profesionales de informática - http://www.microsoft.com/latam/technet/seguridad/alerta/sasser.asp Declaraciones públicas, externas: http://www.microsoft.com/latam/Prensa/ Boletín de seguridad de Microsoft MS04-011 - http://www.microsoft.com/latam/seguridad/boletines/ms04-011.asp Regístrese para la transmisión por el Web del Boletín de Seguridad de mayo (12 de mayo): http://go.microsoft.com/fwlink/?LinkId=27513

Recordatorio: Siguiente publicación del Boletín de seguridad Martes, 11 de mayo de 2004 www.microsoft.com/technet/security/current.aspx Transmisión por el Web de los Boletines de seguridad técnica el miércoles 12 de mayo de 2004, de 10:00 a 11:00 AM hora del Pacífico (PT) http://go.microsoft.com/fwlink/?LinkId=27513