Mostrando mensaje 1249     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 2197 Año 10, sábado 22 de julio de 2 006 Fecha: Sabado, 22 de Julio, 2006  01:35:43 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 2197 Año 10, sábado 22 de julio de 2006 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Hoax: Huelga de Celulares (Uruguay) 2 - "Crackean" el protocolo de Skype (Mercè Molist) 3 - SpamTool.Mailbot. Envía spam, utiliza rootkit 4 - TrojanDownloader.Dadobra.MB. Descarga otro troyano 5 - Spy.Banker.BIG. Roba información de cuentas bancarias _____________________________________________________________ 1 - Hoax: Huelga de Celulares (Uruguay) _____________________________________________________________ http://www.vsantivirus.com/hoax-huelga-celulares2.htm Nombre: Huelga de Celulares (Uruguay) Tipo: Leyenda urbana (SPAM en forma de cadena) Alias: Huelga Nacional para la reducción de tarifas Fecha: jul/2006 Idioma: Español Origen: Uruguay El siguiente mensaje se ha estado divulgando en forma de spam (correo no solicitado), y su única intención es generar más SPAM. El mensaje, proveniente de una dirección creada especialmente en un servidor de correo gratuito, es una copia prácticamente idéntica (salvo las referencias a las compañías telefónicas y la fecha de la "huelga"), a un hoax similar, que publicamos en nuestras páginas en enero de 2004 (ver "Hoax: Huelga de Celulares (México)", http://www.vsantivirus.com/hoax-huelga-celulares.htm). Ambos tienen bastante similitud con otra cadena generada en España por esos días, donde se incitaba a una huelga de características más o menos similares (ver "Hoax: Atraco de las operadoras de telefonía móvil", http://www.vsantivirus.com/hoax-atraco-moviles.htm). En todo caso, tanto el mensaje original como éstas y otras copias, se basan en información de diferentes fuentes, pero ninguna de ellas con alguna clase de referencia comprobable. Hacen aseveraciones que no son ciertas, mezcladas con algunos hechos reales, pero ocurridos en otros escenarios, y en épocas diferentes, de tal modo que lo afirmado carece totalmente de fundamento. Eso, sin siquiera mencionar que es totalmente improbable que hoy día, la gente que los utiliza, por propia voluntad y sin razones reales para hacerlo, acepte dejar de usarlos por el tiempo sugerido. El único resultado al reenviar este tipo de mensaje, es llegar a saturar servidores de correo, y a difundir por la red las direcciones electrónicas de los usuarios que se han visto involucrados en la cadena de distribución. La única acción a realizar contra la difusión masiva de este tipo de correo no solicitado (spam), es ignorarlo, borrándolo directamente, y por supuesto no reenviar dicho mensaje. [NOTA: El siguiente texto se reproduce respetando literalmente el mensaje original, incluyendo sus errores gramaticales, ortográficos y de sintaxis.] --- Texto del HOAX original --- De: "bajen los costos" <bajenloscostos @ montevideo .com .uy> Asunto: huelga por dos dias Usuarios de Telefonía Celular MOVISTAR, CTI Y Ancel: Dejemos de darles de comer durante un tiempo, sin trabajo y que se den cuenta de que si esto sigue así, nosotros somos los que mandamos. Pone tu granito de arena y lo conseguiremos. LAS EMPRESAS DE TELEFONÍA CELULAR NOS ESTÁN ROBANDO....URGENTE...!!POR FAVOR PRESTE ATENCIÓN A LA EXPLICACIÓN AL FINAL PARA REENVIAR ESTE MAIL. En USA una compañía de celulares ofrece a sus clientes 2.000 minutos libres (SI, DOS MIL, LEYERON BIEN) por solo US$ 75 ¿¿¿Quién Gasta 2.000 minutos en un mes??? Usuarios comunes, seguro que no. Si alguien lo gasta en nuestro país seguro abonará una factura de alrededor de $3.000 lo cual es muy superior a los U$S 75 que se pagan en USA. ¿¿¿CÓMO LLEGARON LOS NORTEAMERICANOS A ESTE BENEFICIO??? Mediante la UNIDAD. Si, la unidad de la comunidad; ni haciendo huelgas, ni rompiendo ni quemando nada. Solo de una manera: NO USANDO EL TELÉFONO durante 5 días, las empresas se vieron obligadas a BAJAR LAS TARIFAS O QUEBRAR. PONGÁMONOS LAS PILAS LOS USUARIOS PARA DEFENDERNOS... Un paro de los usuarios no les hará quebrar, pero si las obligará a pensar en bajar de precio los servicios que prestan. *LA PROPUESTA**: * **Envíe este e-mail a todos aquellos que conozca para que los días 1 y 2 de AGOSTO DEL 2006 todos tengamos el celular apagado. ES LA ÚNICA FORMA EN QUE PODREMOS EXPLICARLES A: ANCEL, CTI, MOVISTAR QUE NO SOMOS IGNORANTES NI VAMOS A SEGUIR PERMITIÉNDOLES QUE NOS METAN LA MANO EN EL BOLSILLO. ENTRE TODOS LOS OBLIGAREMOS A QUE BAJEN LAS TARIFAS, Y MEJOREN EL SERVICIO. SI NO NOS DEFENDEMOS NOSOTROS, NADIE MÁS LO VA A HACER. *Datos: En 1999 en Argentina los ciudadanos obligaron a TELECOM y MOVISTAR a poner una tarifa reducida a INTERNET por medio de DESCOLGAR los teléfonos durante 15 minutos . En USA actualmente lograron que las compañías proveedoras de Internet absorban el costo de la llamada, como comunicarse a un 0800 en vez de a un 0610.* ¿¿¿Por qué nosotros no lo intentamos con los servicios de celulares???? APAGUEN SUS CELULARES EL MAYOR TIEMPO POSIBLE LOS DÍAS 1 Y 2 DE AGOSTO DEL 2006 Y si lo necesitan por negocios eviten las llamadas que puedan. Usuarios y clientes convocamos a un paro nacional por 48 horas. Porque somos los que mantienen el sistema, apagamos los Teléfonos celulares el 1 Y 2 DE AGOSTO DEL 2006 *Recuerden ENVIAR este mensaje a la mayor cantidad de Gente posible.** --- Final del HOAX --- Evitando la distribución de este tipo de mensajes, se previene la saturación de servidores de correo, y se evita la propagación de direcciones electrónicas. * Regla de tres simple para NO enviar correo basura Cuando esté a punto de enviar un mensaje, hágase estas tres preguntas: 1. ¿Escribió alguien más este mensaje? 2. ¿Está enviándolo a una lista larga de personas? 3. ¿Es un chiste, advertencia de cualquier clase que le llegó por correo, llamada de atención, poesía?. ¡Si la respuesta es SI a cualquiera de ellas, NO lo envíe! * Referencias: Hoax: Huelga de Celulares (México) http://www.vsantivirus.com/hoax-huelga-celulares.htm Hoax: Atraco de las operadoras de telefonía móvil http://www.vsantivirus.com/hoax-atraco-moviles.htm * Más hoaxes Puede encontrar una lista de las falsas alarmas más comunes, en nuestra dirección: http://www.vsantivirus.com/hoaxes.htm, o puede consultarnos a nuestra dirección e-mail: videosoft@videosoft.net.uy cuando reciba uno de estos mensajes. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - "Crackean" el protocolo de Skype (Mercè Molist) _____________________________________________________________ http://www.vsantivirus.com/mm-skype-cracked.htm "Crackean" el protocolo de Skype (Mercè Molist) Por Mercè Molist (*) colaboradores@videosoft.net.uy Investigadores de una empresa china podrían haber roto el protocolo que usan los programas cliente de Skype para comunicarse entre ellos. Skype es la aplicación más popular de Voz IP (Internet Protocol) o telefonía por Internet, con unos 100 millones de usuarios en todo el mundo, que lo usan para llamar gratuitamente. Los programas que utiliza son propietarios, lo que significa que nadie sabe cómo funcionan exactamente y, por tanto, hasta ahora no podían ser copiados. La técnica que han usado los investigadores chinos para descubrir cómo funciona Skype se llama "ingeniería inversa" y consiste en estudiar muy atentamente el comportamiento de un programa para deducir su funcionamiento, sin tener acceso al código fuente. Su descubrimiento, después de ocho meses de trabajo, se ha dado a conocer a través del blog "VoIP Wiki", del norteamericano Charlie Paglee. A falta de más pruebas que lo confirmen, un representante de la empresa Skype lo ha negado: "No tenemos ninguna evidencia que sugiera que sea verdad. Y, aunque lo sea, este hecho no significa que Skype deje de ser seguro o que se puedan escuchar las conversaciones de las personas que lo usan". Efectivamente, los ingenieros chinos han roto el protocolo de funcionamiento de los programas cliente de Skype -las aplicaciones con las que los usuarios se conectan a esta red- no los algoritmos criptográficos con que se cifran las llamadas para asegurar su privacidad. La intención de la empresa china es crear un programa cliente propio, que podría usarse en la red Skype si esta no lo bloquea, con características diferentes de los programas estándares, por ejemplo no mostrar anuncios. Aseguran tener listo un prototipo del nuevo cliente, que lanzarán a finales de agosto. Prometen entonces vender licencias para que otras empresas puedan crear sus propios clientes para Skype. De aquí a la revelación pública del código podría haber un paso, que llevaría a la creación de clientes con "software" libre. Según Charlie Paglee, no es una casualidad que el "cracking" se haya hecho en China: "eBay, propietaria de Skype, no podrá demandarles por romper su código porque no está protegido por ninguna patente y, además, Skype no es visto como "legal" en China. Las autoridades de aquel país ya habían intentado bloquear Skype en algunas regiones y los gigantes de las telecomunicaciones no estaban contentos con que les quitase beneficios. Apoyarán sin fisuras a una compañía china que haya podido romper Skype. No sería sorprendente que alguna gran operadora china acabe licenciando esta tecnología para producir un cliente que compita con Skype en aquel país". Por otra parte y con pocas horas de diferencia, se daba a conocer un nuevo "crack", realizado por científicos de la Universidad de Cornell contra los códigos criptográficos que usa el satélite europeo para GPS (Global Positioning System) Galileo. A diferencia del sistema GPS norteamericano, la señal del Galileo no es gratuita. Con este "crack", los consumidores europeos pueden disfrutar de acceso gratuito al satélite, hasta que se cambien los códigos "crackeados". Antes de dar a conocer su hazaña, los investigadores se informaron sobre si podía constituir un delito contra el "copyright": "Lo sería si hubiésemos roto contenido creativo, como música o una película, pero el cifrado usado en las señales GPS no entra en esta categoría". * Relacionados: Skype Protocol Has Been Cracked http://www.voipwiki.com/blog/?p=16 Galileo codes cracked http://www.theregister.com/2006/07/12/galileo_codes_cracked/ (*) Copyleft 2006 Mercè Molist. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - SpamTool.Mailbot. Envía spam, utiliza rootkit _____________________________________________________________ http://www.vsantivirus.com/spamtool-mailbot.htm Nombre: SpamTool.Mailbot Nombre NOD32: Win32/SpamTool.Mailbot Tipo: Caballo de Troya Alias: SpamTool.Mailbot, Adware/SpySheriff, Backdoor.Rustock.A, Not-A-Virus.SpamTool.Win32.Mailbot.az, SpamTool.EH, SpamTool.Win32.Mailbot.az, TR/Drop.Small.ape.2, Trojan.CL.Costrat.J, Trojan.Dropper.Small-147, Trojan.MulDrop.3957, W32/Mailbot.AZ!tr, Win32/SpamTool.Mailbot, Win32:Small-YJ Fecha: 7/dic/05 Actualizado: 22/jul/06 Plataforma: Windows 32-bit Tamaño: 63,488 bytes (variable) Caballo de Troya que utiliza el equipo infectado como servidor proxy, actuando como intermediario entre Internet y un grupo de usuarios. Esto le permite recibir peticiones de un atacante remoto, y redirigirlas a Internet desde el equipo infectado, en este caso para el envío masivo de spam. Utiliza técnicas de rootkit para ocultar sus archivos y entradas en el registro. Un rootkit es una herramienta que permite acceder a un sistema como un usuario con todos los permisos (root), que en estos casos es utilizada para ocultar las actividades de un atacante dentro del sistema, después que éste ha logrado ingresar a él. Además, para dificultar su detección y eliminación, utiliza las propiedades de almacenamiento de datos proporcionadas por el sistema de archivo NTFS (disponible en Windows NT, 2000 y XP). En estos sistemas, los archivos pueden contener diferentes "flujos" de datos. A esto se le llama "file stream". Puede compararse esto a tener varios archivos comprimidos dentro de un solo .ZIP. Cada stream es accesible como un archivo individual llamado ADS (Alternate Data Stream). Al ejecutarse, el troyano puede crear los siguientes archivos (los nombres pueden variar según las variantes): \TEMP\pe386.sys NOTA: La carpeta TEMP está ubicada en "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. Puede crear el siguiente ADS (Alternate Data Stream) oculto: c:\windows\system32:????? Donde "?????" son números al azar. También crea un servicio de dispositivo oculto, con las siguientes características: Nombre de servicio: pe386 Nombre para mostrar: pe386 Ruta de acceso al ejecutable: c:\windows\system32:????? Tipo: Automático NOTA: El nombre "pe386" puede variar si varía el nombre del ejecutable. Para habilitar dicho servicio, la siguiente entrada en el registro es creada: HKLM\SYSTEM\CurrentControlSet\Services\pe386 NOTA: Todas las entradas mencionadas, son ocultadas al usuario por la característica de rootkit mencionada antes. También intenta ocultarse de determinadas herramientas especializadas en la detección de rootkits, en concreto de aquellas que contengan algunas de las siguientes cadenas: BlackLight Rkdetector RootkitRevealer El troyano también intenta descargar e instalar otros programas, como el ICQ. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services 3. Haga clic en la carpeta "Services" y busque y borre la carpeta cuyo nombre haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus" (por ejemplo "pe386"). 4. Cierre el editor del registro. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - TrojanDownloader.Dadobra.MB. Descarga otro troyano _____________________________________________________________ http://www.vsantivirus.com/trojandownloader-dadobra-mb.htm Nombre: TrojanDownloader.Dadobra.MB Nombre NOD32: Win32/TrojanDownloader.Dadobra.MB Tipo: Caballo de Troya Alias: Dadobra.MB, Downloader-ABU, Trojan.DownLoader.10999, Trojan.Downloader.Delf.ZH, Trojan- Downloader.Win32.Dadobra.mb, Win32/TrojanDownloader.Dadobra.MB Fecha: 21/jul/06 Plataforma: Windows 32-bit Tamaño: 41,472 bytes Caballo de Troya que descarga y ejecuta otro archivo desde Internet. Al momento de esta descripción, el archivo descargado es una variante del Win32/Spy.Banker.BIG, troyano de la familia de los "Spy.Banker". El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. Cuando se ejecuta, se copia en la siguiente ubicación: c:\imgrt.scr Luego, descarga y ejecuta un archivo desde el siguiente sitio: http: // modulonovo .ubbihp .com .br/ El archivo (originalmente con extensión .JS), es copiado en la siguiente ubicación, sobrescribiendo al propio troyano que lo descargó: c:\imgrt.scr IMGRT.SCR es detectado por NOD32 como una variante de Win32/Spy.Banker.BIG (http://www.vsantivirus.com/spy-banker-big.htm) El troyano también puede crear una de las siguientes entradas en el registro para autoejecutarse en cada reinicio: HKCU\Software\Microsoft\Windows\CurrentVersion\Run [valor] = [camino y nombre del ejecutable del troyano] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [valor] = [camino y nombre del ejecutable del troyano] Para no ejecutarse más de una vez en memoria, crea el siguiente mutex: EuZZdHx8 * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - Spy.Banker.BIG. Roba información de cuentas bancarias _____________________________________________________________ http://www.vsantivirus.com/spy-banker-big.htm Nombre: Spy.Banker.BIG Nombre NOD32: Win32/Spy.Banker.BIG Tipo: Caballo de Troya Alias: Spy.Banker.BIG, BACKDOOR.Trojan, PWS-Banker.gen.b, Trojan-Spy.Win32.Banker.bpo, Win32/Bancos.Variant!Trojan, Win32/Spy.Banker.BIG Fecha: 1/jun/06 Actualizado: 21/jul/06 Plataforma: Windows 32-bit Tamaño: 493,568 bytes (variable) Se trata de un troyano que intenta robar información relacionada con las transacciones comerciales y bancarias del usuario infectado. Puede ser descargado por otros troyanos. Cuando se ejecuta, examina si ya ha sido instalado en la máquina actual. Si no existe, se copia con uno de los siguientes nombres (entre otros): cmrss.exe csrss.exe imgrt.exe msbcs.exe Puede copiarse en la carpeta raíz, en la de Windows, o en la del sistema, o crear una subcarpeta dentro de ésta última. NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). Crea la siguiente entrada en el registro de Windows, para autoejecutarse en cada reinicio del sistema: HKLM\Software\Microsoft\Windows\CurrentVersion\Run [valor] = [camino y nombre del ejecutable] El troyano permanece en memoria y monitorea las ventanas del navegador abiertas por el usuario. Cuando éste accede a determinadas páginas, pertenecientes a instituciones bancarias, captura la salida del teclado, capturando datos críticos, como por ejemplo nombre de usuario, datos de tarjetas de créditos, números de cuentas bancarias, y todo lo que el usuario ingrese en cualquier formulario dentro de varios sitios. La información capturada es almacenada en un archivo que luego será enviado a una dirección electrónica predeterminada. Esta versión, también intenta específicamente finalizar la ejecución de Norton Anti-virus. El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. * Reparación manual * Deshabilitar cualquier conexión a Internet o una red Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Mantenga actualizado su programa antivirus. De poco vale tener un antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. De todos modos, hoy en día las actualizaciones de la mayoría de los fabricantes son diarias y automáticas. Si tiene un producto que no se actualiza automáticamente, piense seriamente en cambiarlo. 2) No abra ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Tampoco haga clic en enlaces sugeridos en aquellos correos o mensajes instantáneos que no solicitó. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Manténgase informado de cómo operan los virus, y de las novedades sobre éstos, alertas y anuncios críticos, en sitios como el nuestro. 4) No descargue nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceda como con los archivos adjuntos. Cópielos a una carpeta y revíselos con su antivirus debidamente actualizado, antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 2197 Año 10, sábado 22 de julio de 2006