Mostrando mensaje 1228     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 2175 Año 10, martes 27 de junio de 2006 Fecha: Miercoles, 28 de Junio, 2006  01:21:19 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 2175 Año 10, martes 27 de junio de 2006 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Los consejos de seguridad del hacker más famoso 2 - RiskWare.Monitor.SysKL. Recoge información del PC 3 - TrojanDownloader.Banload.AVB. Descarga otro troyano 4 - PSW.VB.NAM. Envía información a sitio pornográfico 5 - Scano.AJ. Se propaga por e-mail, abre backdoor _____________________________________________________________ 1 - Los consejos de seguridad del hacker más famoso _____________________________________________________________ http://www.vsantivirus.com/mm-consejos-mitnick.htm Los consejos de seguridad del hacker más famoso Por Mercè Molist (*) colaboradores@videosoft.net.uy Nada parece broma cuando lo cuenta el hacker norteamericano Kevin Mitnick. Que alguien entre en nuestro ordenador, husmee en nuestra vida privada o nos llene el equipo de virus es una amenaza real que conoce de primera mano, pues lo hizo con frecuencia en el pasado. Podemos ser el objetivo final o sólo un enlace, un punto intermedio que usará el criminal para saltar de un ordenador a otro, para lanzar un ataque de correo basura o para obtener una pieza de información que en su puzzle final tendrá sentido, aunque nos parezca que nada nuestro pueda interesarle. Todo es fácilmente asaltable para el llamado "hacker más famoso del mundo". Nadie está a salvo. Conoce el poder de la informática y las telecomunicaciones y sabe que con ellos se puede conseguir casi todo, si se tienen los conocimientos. Así lo enseña en las demostraciones prácticas que cuajan sus cursos y conferencias, los dedos volando sobre el teclado del ordenador o el teléfono, mostrando lo fácil que es engañar a la gente, entrar en sus sistemas, robarles lo que sea. El mundo ha cambiado desde que Kevin Mitnick, un joven autodidacta, fue el azote de grandes empresas que tenían cosas, normalmente programas propietarios, que él anhelaba. Hoy, el objeto de deseo de los cibercriminales es más materialista: contraseñas y números de cuentas que llevan al preciado dinero ajeno. Desde su nueva vida, pagadas ya las deudas con la justicia, Mitnick se encarga de avisar a la gente, usuarios y empresas, sobre los peligros que tan bien conoce y cómo evitarlos. En sus tiempos, el arma más temible de Mitnick contra las empresas fue la llamada "ingeniería social", el arte de persuadir con engaño a los empleados para que, casi sin darse cuenta, den informaciones vitales a un desconocido. Informaciones que, hilvanándose la una con la otra, permiten llegar al objetivo: "Con sólo diez llamadas puedes asaltar una empresa. La ingeniería social funciona mejor con las grandes compañías, porque los empleados no se conocen entre sí y puedes hacerte pasar por ellos. En general, la "ingeniería social" es una técnica más rápida que ponerte a buscar vulnerabilidades en sus ordenadores", explica. Hoy, esta técnica sigue siendo el principal talón de Aquiles de la seguridad empresarial. La razón es, asegura, "la estupidez de la gente. Se hizo una prueba en una estación de metro de Londres, donde se regalaba un bolígrafo a quien revelase la contraseña de su ordenador del trabajo. El 70% de personas aceptaron el cambio". Otras razones que enumera son: "La gente se cree invulnerable, que a ella no la van a engañar. También tiene tendencia a confiar en los otros, querer ayudarles y evita tanto como puede quedar mal. Además, no suelen entender el valor de la información que manejan ni las consecuencias de sus acciones". Para evitar este serio peligro, Mitnick recomienda a las empresas: "Tomarse en serio a sus empleados, implicando también a los directivos, crear protocolos de actuación con normas sencillas, fáciles de recordar y cumplir, implicar a la gente, mostrándoles qué puede pasar si se dejan engañar y, sobre todo, enseñarles que está bien negarse a hacer o decir algo si no lo ven claro". Además, el experto aconseja no tirar a la basura información importante, que alguien pueda encontrar rebuscando en los contenedores; ni publicar datos en Internet, como directorios de teléfonos internos, muy valiosos para un atacante. La "ingeniería social" es también una de las principales amenazas con que se enfrentan los usuarios de a pie, que cada vez más frecuentemente reciben mensajes de correo donde se les quiere persuadir para que visiten una web fraudulenta e introduzcan sus datos bancarios, llamen a un teléfono que simula ser el de su banco y tecleen su contraseña, o pinchen en un archivo adjunto que en realidad instala un virus en el ordenador. Además de estar atentos a los intentos de engañarles, Mitnick tiene otros consejos para los usuarios: "Hacer copias de seguridad, que son muy útiles en caso de desastre como cuando se borra algún programa, se estropea el sistema operativo, ataques de virus, etc.". Además, recomienda: "Usar siempre un programa antivirus, otro que detecte los programas espía y un cortafuegos que controle tanto el tráfico que sale como el que entra en el ordenador". También es de vital importancia tener siempre los programas actualizados y aplicar con celeridad los parches de seguridad que vayan apareciendo: "No dejarlo para dentro de tres meses", avisa. Mitnick recomienda también: "Minimizar el número de servicios abiertos en el ordenador, tener sólo los programas necesarios". Y añade importantes recomendaciones para las personas que utilizan el sistema operativo Windows: "No usen el navegador Internet Explorer, es mejor y más seguro el navegador libre Firefox. Y, en caso de usar Internet Explorer, desactiven los controles ActiveX, excepto cuando visiten sitios confiables. Además, habiliten el servicio DEP (Data Execution Prevention), una prevención que Windows lleva de fábrica para evitar la ejecución de datos en su ordenador". El experto tiene también un buen consejo para las personas que usan conexiones inalámbricas, por ejemplo para comunicar un portátil con su enrutador casero: "No utilicen el sistema de cifrado WEP (Wireless Encryption Protocol), pensando que así están protegidos. WEP es fácilmente atacable, puede romperse en diez minutos, no vale la pena ni activarlo. Es mejor usar otro sistema de protección: WPA (Wireless Protected Access)". En cuanto a los ordenadores portátiles, recomienda encarecidamente no dejarlos en el coche, pues son objetos altamente codiciables. * Kevin Mitnick o cómo la curiosidad casi mató al gato Aunque se han escrito múltiples libros, artículos e incluso una película sobre la vida de Kevin Mitnick, su biografía está llena de medias verdades y mentiras. A ello han contribuido dos libros: "Takedown", de John Markoff y Tsunomu Shimomura, y "The Fugitive Game", de Jonathan Littman. Escritos ambos a principios de la década de los 90, "Takedown" narra los esfuerzos del FBI por cazar a Mitnick, pintándolo como un criminal sin escrúpulos. Por contra, "The Fugitive Game", una recopilación de conversaciones con el hacker mientras escapaba de la justicia, muestra su lado más humano, el joven tímido y solitario. Kevin Mitnick nació en un pueblo del sur de California en 1963. Hijo de padres divorciados, creció como un chico retraído y curioso. Su primer "hack" no tuvo nada que ver con la informática sino con el sistema de transportes de Los Ángeles: descubrió un fallo en la validación de los billetes de autobús y se dedicaba a viajar gratuitamente por la ciudad. En el instituto conoció a un chico experto en telefonía, que jugaba a hacer llamadas gratuitas y a saltar de centralita en centralita. Mitnick destacó pronto en este campo. El siguiente paso natural fue hacer lo mismo con ordenadores. Son incontables los sistemas informáticos que ha asaltado Kevin Mitnick, gracias especialmente a su mejor arma: la "ingeniería social", el arte de manipular a las personas para que den información sensible a un desconocido. La habilidad de Mitnick, apodado "El Cóndor" y también "El Chacal de la Red", creció al mismo tiempo que sus frecuentes estancias en correccionales, a veces producto de delaciones de sus propios compinches. A los 25 años, era procesado por intentar robar el código fuente de un sistema operativo de la Digital Equipment Corporation. Este arresto le encumbró como hacker de leyenda, los periódicos le llamaban terrorista electrónico y aseguraban que era capaz de provocar un holocausto nuclear sólo con un teléfono. Estuvo en prisión ocho meses, aislado en una celda de máxima seguridad. Su abogado consiguió reducir la pena, aduciendo que no era un criminal sino un adicto a los ordenadores, y Mitnick pasó un año en un centro de rehabilitación de drogadictos. Al salir, volvió a frecuentar las viejas amistades, que le llevaron otra vez a las andadas: Motorola, Nokia, Sun, Fujitsu, ninguna empresa digital estaba a salvo de la curiosidad de Mitnick. En 1992, se emitía una orden de búsqueda contra el joven, por romper la libertad condicional, al haber accedido supuestamente a un ordenador de la Pacific Bell. Empezó entonces un juego del ratón y el gato, con Mitnick viajando de una ciudad a otra, cambiando de empleo y de identidad. Finalmente, el FBI le detenía en febrero de 1995. Pasaría más de cuatro años en prisión, sin juicio ni fianza, lo que provocó una amplia campaña en Internet a favor de su liberación. Salió en el año 2000, con la condición de no tocar ningún equipo informático ni teléfonos móviles, hasta 2003. Actualmente, Kevin David Mitnick tiene su propia empresa de seguridad informática, da cursos y conferencias por todo el mundo, participa regularmente en programas de radio y televisión en Estados Unidos, escribe artículos y libros e incluso aparece como personaje en los videojuegos "Grand Theft Auto" y "Vampire". (*) Copyleft 2006 Mercè Molist. Verbatim copying, translation and distribution of this entire article is permitted in any medium, provided this notice is preserved. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - RiskWare.Monitor.SysKL. Recoge información del PC _____________________________________________________________ http://www.vsantivirus.com/riskware-monitor-syskl.htm Nombre: RiskWare.Monitor.SysKL Nombre NOD32: Win32/RiskWare.Monitor.SysKL Tipo: Aplicación potencialmente peligrosa Alias: Monitor.SysKL, RiskWare.Monitor.SysKL, Keylog/SysKL, Not-A-Virus.Monitor.Win32.SysKL.12, SYS_KEYLOG, Win32/RiskWare.Monitor.SysKL Fecha: 16/jun/06 Actualizado: 27/jun/06 Plataforma: Windows 32-bit Las aplicaciones potencialmente peligrosas, son aquellas que en si mismas no son maliciosas, pero que pueden ser utilizadas clandestinamente para tareas que ponen en riesgo la seguridad del usuario y del sistema. Se trata de la detección de una herramienta capaz de realizar acciones como las siguientes: - Captura lo tecleado por los usuarios - Captura pantallas y ventanas activas - Envía la información recogida a una dirección electrónica - Graba toda actividad del PC, de todos los usuarios - Impide su desinstalación con contraseña - Muestra u oculta información de Windows - Oculta el Administrador de tareas de Windows - Protege la información obtenida con contraseña - Se protege a si misma con contraseña (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - TrojanDownloader.Banload.AVB. Descarga otro troyano _____________________________________________________________ http://www.vsantivirus.com/trojandownloader-banload-avb.htm Nombre: TrojanDownloader.Banload.AVB Nombre NOD32: Win32/TrojanDownloader.Banload.AVB Tipo: Caballo de Troya Alias: Banload.AVB, Downloader.Banload.AVB, Downloader.Banload.avb, TR/Spy.Banker.vk.1, Trj/Nabload.FC, Trojan.Downloader.Delf.MI, Trojan/Downloader.Banload.avb, TrojanDownloader.Win32.Banload, Trojan- Downloader.Win32.Banload.avb, W32/Banker.AERF, W32/Banload.AVB!tr.dldr, Win32/TrojanDownloader.Banload.AVB, Win32:Banload-MZ Fecha: 26/jun/06 Plataforma: Windows 32-bit Tamaño: 55,624 bytes Se trata de un caballo de Troya del tipo downloader (descargador de archivos), enviado como un enlace en mensajes de MSN Messenger que simulan provenir de contactos conocidos. Si el usuario acepta el enlace y hace clic en él, entonces se descarga y ejecuta el troyano propiamente dicho. Cuando el archivo descargado es ejecutado, éste descarga a su vez, sin el conocimiento del usuario, otro determinado archivo desde un sitio Web. Este segundo archivo generalmente es un troyano capaz de robar información financiera, suplantando las páginas verdaderas de numerosos y conocidos bancos on-line. El troyano puede mostrar el siguiente mensaje: Erro - Windows FTE-233223675df55 Você no tem permiço para abrir esse arquivo acesse (http: // www .microsoft .com .br) e saiba mas. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 5 del ítem "Antivirus". 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - PSW.VB.NAM. Envía información a sitio pornográfico _____________________________________________________________ http://www.vsantivirus.com/psw-vb-nam.htm Nombre: PSW.VB.NAM Nombre NOD32: Win32/PSW.VB.NAM Tipo: Caballo de Troya Alias: PSW.VB.NAM, Logger.VB.mn, PWS.g, Spy/PWS, TR/Spy.VB.MN.33, Trojan.Hachilem, Trojan.Win32.VB.ACK, Trojan-Spy.Win32.VB.mn, Win32/PSW.VB.NAM Fecha: 26/jun/06 Plataforma: Windows 32-bit Tamaño: 331,776 bytes Caballo de Troya del tipo PSW (abreviatura de password o contraseña), capaz de obtener información del usuario y del equipo infectado. En este caso, obtiene direcciones electrónicas y las registra en un servicio de distribución de pornografía, sin el conocimiento del usuario. Cuando se ejecuta, puede crear alguno de los siguientes archivos en el sistema: c:\windows\system32\hachimitsu-lemon.exe c:\windows\system32\uvu-channel.exe c:\windows\system32\uvu-channel.bat NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). El troyano es capaz de recolectar la siguiente información: - Dirección electrónica usada por defecto - Nombre del equipo infectado - Nombre del usuario Esta información es enviada a un determinado sitio de Internet, en una conexión HTTP a través del puerto 81. Esto resulta en la registración del usuario en un servicio pornográfico. Luego, el troyano abre una ventana del navegador de Internet utilizado, mostrando dicho sitio. Crea algunas de las siguientes entradas en el registro: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run hachimitsu-lemon = "hachimitsu-lemon.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce hachimitsu-lemon = "hachimitsu-lemon.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run uvu-channel = "uvu-channel.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce uvu-channel = "uvu-channel.exe" También puede mostrar periódicamente una serie de imágenes con un texto en japonés, invitando al usuario a pagar por el servicio pornográfico. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunOnce 5. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - Scano.AJ. Se propaga por e-mail, abre backdoor _____________________________________________________________ http://www.vsantivirus.com/scano-aj.htm Nombre: Scano.AJ Nombre NOD32: Win32/Scano.AJ Tipo: Gusano de Internet Alias: Scano.AJ, Win32/Scano.AJ Fecha: 26/jun/06 Plataforma: Windows 32-bit Puede enviarse a todas las direcciones de correo obtenidas de diferentes archivos de la máquina infectada. En todos los casos el remitente que figura en el mensaje es falso. Posee además un componente de acceso por puerta trasera (backdoor). Se propaga en mensajes con las siguientes características: De: [usuario falsificado] Asunto: [uno de los siguientes] [caracteres al azar] He, where are you? Hi! I'm waiting you online today! Hi! Please write to me urgently! Hi!!! How's the mood? Hi, drop me a line!!! Hi, what's up? Re: Call me! Re: How's the mood? Re: When you're gonna answer me? Re: Where are you? Re: Where have you been? Re: write to me! When you're gonna answer me? Will you be online today? Texto del mensaje: [uno de los siguientes] [caracteres al azar] Hi!!!!! You haven't been writing for a long time. I began to worry) Where have you been? You remember, you've asked a progy from me? I've finally found it, so here it is. Check it out if this is what you've been looking for... bye Hi, what's up? Will you show up online today? Drop me a line in ICQ, ok? Btw, I'm sending you the docs you've been looking for, find them attached. Check them out, ok? Hi! I'm coming to you tomorrow, ok? When you are going to be home? You remember, you've asked some docs. Please find them attached. Check and seewhat's inside. That's it. Bye, till tomorrow... Hi! You disappeared again. If you come online, drop me a line, ok? Btw, I sent you those docs that you've been looking for. Check them out. Bye! Hi, give me a call just when you got the message! I'm tired of waiting. Btw, I'm sending that program that you've been looking for. Check it out. Appears to be that one. Bye! Hi, what's up? If you have time tomorrow, please come over. After midday. By the way, don't forget to check the enclosed documents. Bye. See you tomorrow. Hi, I got a free day tomorrow, and I'm waiting for you. Please come after midday. By the way, I'm sending you the documents that you've been asking for. Read them out... Bye! Hi, how are you? What are your plans today? If you have time, please come over, and don't forget to check the program attached. Bye! Hi, what's you gonna do today? I'll come over tonight! By the way, don't give anyone this funny program I'm sending. Check it out. Bye! Hi, I found that program you asked for. Find it attached. Bye. Hi, I saw you around today, but you didn't noticed me ( If you're gonna be at home, give a call, ok? By the way, check this file I'm sending. A very interesting program... I'm sending it out. Use it. Bye! Hi, drop me a line today, ok? And see the program I'm sending. Bye! Hi, drop me a line if you can. Btw, I have a new ICQ. Please don't forget to check the attached documents. Bye. Hi! How are you? Drop me a line if you can. I found your documents and I'm emailing them to you. Bye. Datos adjuntos: [uno de los siguientes nombres] Archive.??? backup.??? confidential.??? COOL.??? Document.??? File.??? Fotos.??? images.??? Important.??? Message.??? New.??? Passwords.??? private.??? README.??? Readme.??? secret.??? your_documents.??? Donde .??? puede ser .EXE, .HTA o .ZIP Cuando se ejecuta, crea los siguientes archivos: c:\windows\csrss.exe [TEMP]\Message.hta c:\ntldr.exe NOTA 1: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). NOTA 2: [TEMP] puede ser "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. Crea o modifica la siguiente entrada en el registro: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion \Image File Execution Options\explorer.exe Debugger = "c:\windows\csrss.exe" Al ejecutarse, intenta inyectarse en los siguientes procesos legítimos de Windows: svchost.exe services.exe Las direcciones que utiliza para propagarse, son obtenidas de archivos de la máquina infectada, de todos los discos duros, con las siguientes extensiones: .adb .asp .cfg .cgi .dbx .dhtm .dhtml .eml .htm .html .jsp .mbx .mdx .mht .mmf .mra .msg .nch .ods .oft .php .pl .sht .shtm .stm .tbb .txt .uin .wab .wsh .xls .xml Ignora direcciones de correo que contengan las siguientes cadenas: --- .00 .gif .qmail @avp. @example. @foo @iana @messagelab @microsoft @subscribe 0000 2003 2004 2005 2006 abuse admin anyone@ bsd bugs@ cafee certific contract@ feste free-av f-secur gold-certs@ google help@ icrosoft info@ kasp linux listserv local Mailer-Daemon@ news nobody@ noone@ noreply ntivi panda pgp postmaster@ rating@ root@ samples sopho spam spm111@ support torvalds@ unix update winrar winzip El gusano puede abrir una puerta trasera en un puerto TCP seleccionado al azar. Intenta conectarse a los siguientes servidores, para enviar un archivo creado en la carpeta TEMP: http: // 85 .249 .23 .35/ http: // 207 .46 .250 .119/ http: // 84 .22 .161 .192/ El archivo se encuentra en la siguiente ubicación: \TEMP\~tmp.htm NOTA: La carpeta TEMP está ubicada en "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. Luego del envío, intenta finalizar todas las instancias del Internet Explorer que se estén ejecutando. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Image File Execution Options \explorer.exe 3. Haga clic en la carpeta "explorer.exe" y bórrela. 4. Cierre el editor del registro. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Mantenga actualizado su programa antivirus. De poco vale tener un antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. De todos modos, hoy en día las actualizaciones de la mayoría de los fabricantes son diarias y automáticas. Si tiene un producto que no se actualiza automáticamente, piense seriamente en cambiarlo. 2) No abra ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Tampoco haga clic en enlaces sugeridos en aquellos correos o mensajes instantáneos que no solicitó. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Manténgase informado de cómo operan los virus, y de las novedades sobre éstos, alertas y anuncios críticos, en sitios como el nuestro. 4) No descargue nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceda como con los archivos adjuntos. Cópielos a una carpeta y revíselos con su antivirus debidamente actualizado, antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 2175 Año 10, martes 27 de junio de 2006