Mostrando mensaje 1268     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 2216 Año 10, lunes 14 de agosto de 2006 Fecha: Domingo, 13 de Agosto, 2006  22:30:43 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 2216 Año 10, lunes 14 de agosto de 2006 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Troyano que explota vulnerabilidad MS06-040 2 - Estrategias de privacidad para las empresas 3 - Tiny.NAA. Abre una línea de comandos a un atacante 4 - PSW.Eyon.B. Almacena direcciones y contraseñas 5 - PSW.Sinowal.AE. Captura el teclado y roba información 6 - Locksky.BM. Acceso remoto, se propaga por e-mail 7 - Medbot.BI. Compromete la seguridad del sistema _____________________________________________________________ 1 - Troyano que explota vulnerabilidad MS06-040 _____________________________________________________________ http://www.vsantivirus.com/13-08-06.htm Troyano que explota vulnerabilidad MS06-040 Por Jose Luis Lopez (*) videosoft@videosoft.net.uy Tal como se estaba advirtiendo (ver VSAntivirus 2214, "Aumenta la alerta por posible gusano de Windows", http://www.vsantivirus.com/11-08-06.htm), en las últimas horas del sábado (12/08/06) y primeras del domingo, se empezó a reportar la propagación de un troyano que saca ventaja de la vulnerabilidad que Microsoft describe en su boletín MS06- 040. Según el servicio VirusTotal de Hispasec, dos variantes fueron conocidas, detectándose las primeras muestras como enviadas a las 22:23 GMT (23:23 CET, Central European Time), y a las 23:16 GMT (00:16 CET). En ese momento, solo 9 antivirus las detectaron, todos ellos de forma proactiva (o sea, sin agregarlo a sus bases de firmas), tal como lo indica el siguiente resumen: Date: 08/12/2006 23:23:51 (CET) Original file name: .exe Already detected as: - HEUR/Crypted.Layered (AntiVir) - Possibly a new variant of W32/Threat-HLLIM-based!Maximus (Authentium) - Generic.Malware.IXdld.77C2258A (BitDefender) - (Suspicious) - DNAScan (CAT-QuickHeal) - Possibly a new variant of W32/Threat-HLLIM-based!Maximus (F-Prot) - W32/Threat-HLLIM-based!Maximus (F-Prot4) - a variant of Win32/IRCBot.OO (NOD32v2) - W32/Suspicious_M.gen (Norman) - Suspicious file (Panda) Date: 08/13/2006 00:16:00 (CET) Original file name: 9928a1e6601cf00d0b7826d13fb556f0. Already detected as: - HEUR/Crypted.Layered (AntiVir) - Possibly a new variant of W32/Threat-HLLIM-based!Maximus (Authentium) - Generic.Malware.IXdld.658BDD6B (BitDefender) - (Suspicious) - DNAScan (CAT-QuickHeal) - Possibly a new variant of W32/Threat-HLLIM-based!Maximus (F-Prot) - W32/Threat-HLLIM-based!Maximus (F-Prot4) - a variant of Win32/IRCBot.OO (NOD32v2) - W32/Suspicious_M.gen (Norman) - Suspicious file (Panda) El troyano que ESET NOD32 detectó sin necesidad de actualización, como una variante de Win32/IRCBot.OO, pertenece a la familia de los IRC/Bot, o sea troyanos que reciben instrucciones a través de canales de IRC para realizar tareas automatizadas en los equipos infectados. Generalmente, esto sirve para crear verdaderes redes de máquinas zombis, también conocidas como botnets, capaces de llevar a cabo acciones maliciosas a gran escala. No es nuevo que este troyano se aproveche de nuevas vulnerabilidades para propagarse, intentando sacar partido de los tiempos de reacción de los usuarios (o sea, antes que los parches, que ya fueron liberados por Microsoft, sean instalados). Otras variantes de este IRCBot lo han hecho así antes. Esta versión, se copia en el directorio del sistema con el nombre de WGAREG.EXE (aunque puede llegar con un nombre en blanco y solo la extensión .EXE), y luego crea un servicio en Windows con el nombre de "Windows Genuine Advantage Registration Service", para simular ser parte del sistema de autenticación de "Windows genuino" de Microsoft. La descripción de este falso servicio, advierte -en inglés-, que detenerlo o inhabilitarlo, puede dejar inestable el sistema, además de afirmar que su función es asegurarse que la versión de Windows actual sea genuina y esté registrada. La segunda variante crea un servicio similar, pero con el siguiente nombre: "Windows Genuine Advantage Validation Monitor", y utiliza el archivo WGAVM.EXE. Lo que caracteriza a esta versión, como dijimos antes, es que puede aprovechar la vulnerabilidad que Microsoft corrigió en su parche MS06-040, la cuál se produce por un desbordamiento de búfer en el servicio servidor de Windows. Sin embargo, el exploit actual, parece no funcionar en Windows XP SP2 ni en Windows 2003 SP1. Los demás sistemas que el parche cubre, en cambio si son vulnerables (incluyendo Windows XP y XP SP1). Una vez que el troyano está en el equipo infectado, el mismo puede buscar equipos vulnerables a través del puerto TCP 445, e infectarlos. Pero además de ello, el troyano tiene la capacidad de enviar mensajes a través del AOL Messenger, si el mismo está instalado en el equipo infectado. De esta manera, podría crear mensajes falsos, para incitar a otros usuarios a descargar el BOT de otros enlaces, y de esa forma favorecer su propagación, eludiendo otras restricciones como las de los cortafuegos (se trata de la descarga de un archivo común y corriente de Internet). En este caso específico, comprobamos que la protección de ESET NOD32 impidió la descarga de dicho archivo, protegiendo al usuario de la infección también por esa vía. Sin embargo, es bueno recordar lo peligroso que puede ser el uso de la mensajería instantánea, sobre todo en ambientes corporativos. En este caso, el parche de Microsoft protege al usuario de la infección vía puerto TCP 445 (o el firewall que proteja la red interna del exterior), pero no lo protege de la descarga de un archivo de Internet. El troyano intenta conectarse a los siguientes servidores (ambos en China), por un puerto no estándar: bniu .househot .com:18067 ypgw .wallloan .com:18067 También es notorio un aumento de tráfico de salida por el puerto TCP 445, cuando el troyano busca otros equipos vulnerables para infectarlos. Es importante tener en cuenta, que si un equipo es infectado, al tratarse básicamente de un programa capaz de recibir instrucciones remotas y realizar acciones de acuerdo a ello, no hay una solución que nos asegure completamente que los equipos han sido limpiados. Cualquier otra clase de software malicioso podría ser descargado mientras tanto, o se podrían haber hecho modificaciones críticas que podrían haber dejado el camino libre a otras amenazas, de modo que eliminar el troyano no resuelve totalmente el problema. En casos como estos, no quedan muchas más opciones que "derribar y reconstruir", sobre todo cuando se trata de redes corporativas, ya que nunca podríamos estar seguros de que clase de "regalos" pueden haber quedado en el sistema. Además, la eliminación manual no resulta nada trivial, debido a las modificaciones que puede realizar el troyano. Es por todas esas razones, que debemos tener siempre en cuenta, que la mejor protección es la prevención. Según el servicio ThreatSense.net de ESET NOD32, esta variante se ubica al momento de este artículo (cuando aún no han pasado 24 horas de la primera detección), en el puesto número 33 de los códigos maliciosos más de detectados en las últimas 24 horas. * Respuestas rápidas: Alerta Virus (ESET NOD32) Nombre del Código Malicioso: variante de IRCBot.OO Fecha de detección: 12 de agosto de 2006 1. ¿Cuál es el método de infección? El troyano puede explotar una vulnerabilidad reciente en Windows XP, 2000 y 2003 para copiarse directamente a un equipo; también puede recibirse a través del mensajero instantáneo AOL IM. 2. ¿Cuál es el número estimado de equipos infectados? ThreatSense.net ha detectado alrededor de 2000 equipos infectados en las últimas 24 horas, lo cual es una cantidad importante para un troyano de este tipo. 3. ¿En qué posición del ranking se encuentra la amenaza? Actualmente está en la posición 33 y subiendo 9 posiciones en las últimas dos horas (20:00 GMT). 4. ¿Cuáles son los efectos dañinos del código malicioso? El troyano puede ser usado para obtener información del equipo infectado, además de realizar ataques de denegación de servicios. 5. ¿Cómo fue el impacto del malware en el rendimiento del equipo? De acuerdo a los métodos que utiliza para mantenerse en memoria, puede notarse un mayor uso de memoria. También puede ser notorio el aumento de tráfico por el puerto TCP 445. 6. ¿Hay otras variantes del código malicioso? Si, la familia de troyanos IRCBot tiene una gran cantidad de ejemplos, que son utilizados para crear botnets (redes de máquinas zombis). 7. ¿Cómo se puede remover la amenaza? La amenaza puede removerse automáticamente con NOD32, o eliminando el archivo WGAREG.EXE o WGAVM.EXE. Nota VSA: Tenga en cuenta que debido a las características del troyano, una limpieza completa del sistema puede ser requerida. 8. ¿Qué comportamiento lo llevó a ESET a detectar y bloquear la amenaza? El troyano fue detectado automáticamente a través de nuestra heurística avanzada, y por ello comenzamos a recibir reportes a través de nuestro sistema de alerta temprana ThreatSense.net. 9. ¿Cómo cuadra este código malicioso en la tendencia actual de los malware? Este troyano es otro de los varios miles de bots que están actualmente en circulación, los cuales son uno de los tipos de códigos maliciosos más detectados en la actualidad. * Relacionados: Aumenta la alerta por posible gusano de Windows http://www.vsantivirus.com/11-08-06.htm MS06-040 Vulnerabilidad en servicio Servidor (921883) http://www.vsantivirus.com/vulms06-040.htm Sistema comprometido: "derribar y reconstruir" http://www.vsantivirus.com/derribar-reconstruir.htm Troyano que intenta crear una red de máquinas zombis http://www.vsantivirus.com/25-10-05.htm (*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director técnico y gerente general de NOD32 Uruguay. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Estrategias de privacidad para las empresas _____________________________________________________________ http://www.vsantivirus.com/na-estrategias-privacidad.htm Estrategias de privacidad para las empresas Por Nela Adans nela@videosoft.net.uy A pesar de que es básico tener una política de privacidad, para proteger su organización, son muy pocas las compañías que la tienen formalmente estipulada. Debe explícitamente expresar: - Como se protege a todas las partes, tanto al empleado, como los datos del cliente, y del socio del negocio. - Las medidas que se toman para asegurar el secreto de las partes. - Dejar en claro bajo que circunstancias la información proporcionada puede ser dada a conocer, y a quien. Los encargados de la red deben prestar especial atención a cómo la política afecta potencialmente la transmisión de datos sitio-a-sitio, pues los impactos podrían ser de gran alcance. Dependiendo de su política, puede necesitar implementar el cifrado sitio-a-sitio o "end-to-end" (de principio a fin); o restringir los servicios basado en la administración de identidades o su localización. Finalmente, tener en cuenta que además del derecho nacional, su organización está bajo regulaciones locales, regionales o industriales. Cerciórese de que su política esté acorde al ambiente regulador en cada región y país en los cuales esté haciendo negocios. Esto significa la ejecución de un análisis de las diferencias entre su política y las leyes del país. ¿Están sus medidas de protección de datos del cliente conforme a lo que se requiere, por ejemplo, en la Unión Europea, Canadá, Japón y otros países con requisitos rigurosos de privacidad? ¿Su política para proporcionar información privada a los gobiernos, es acorde con las leyes locales y regionales? Si no es así, ¿cómo la compañía planea racionalizar la diferencia? Necesita requerir a las empresas de telecomunicaciones y a otros abastecedores de servicios globales, que detallen sus políticas de privacidad con respecto a lo antedicho. Es particularmente importante, para evitar poner a la compañía en peligro legal o exponerse a pleitos, clarificar bajo qué circunstancias se dará información confidencial a los gobiernos locales, o se permitirá interceptar las comunicaciones, si bajo orden judicial o autorización legal. Además, debe saber específicamente cómo las empresas de telecomunicaciones se encargan de monitorear el tráfico, y la forma de esa supervisión. Si están siguiendo los datos del cliente para los propósitos del tráfico que supervisan, por ejemplo, puede verse restringida la privacidad según cuánto tiempo se lleve a cabo esta actividad y a quien se expone esta información. Requerir a las empresas de telecomunicaciones y a los proveedores revelar sus prácticas de privacidad. Por ejemplo, si su política es mantener en secreto los datos del cliente, ¿cómo es que los datos se asegurarán? ¿Qué formas de encriptación se despliegan, y donde? ¿Qué entidad está proporcionando certificados de autorización? Tenga presente que la mejor época de hacer esto es durante las negociaciones del contrato; cuando usted puede solicitar tal información de servicios, como parte del acuerdo. Llevar a cabo estas discusiones al principio, dejando en claro a todas las partes sobre qué esperar, puede evitar pleitos. Es mejor prevenir que curar. * Fuente: How to implement corporate data privacy policies www.networkworld.com/columnists/2006/080706johnson.html (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Tiny.NAA. Abre una línea de comandos a un atacante _____________________________________________________________ http://www.vsantivirus.com/tiny-naa.htm Nombre: Tiny.NAA Nombre NOD32: Win32/Tiny.NAA Tipo: Caballo de Troya Alias: Tiny.NAA, BackDoor.Generic.RII, BackDoor.Tiny.3072, Backdoor.Tiny.b, Backdoor.Tiny.BO, Backdoor.Tiny.C, Backdoor.Tiny.c, Backdoor.Trojan, Backdoor.Win32.Tiny.c, Backdoor/Tiny.c, BackDoor-IQ.b, Bck/Tiny.B, BDS/Tiny.C.3, Tiny.B!tr.bdr, Troj/Cmdoor-A, Trojan.Tini, W32/Threat-HLLSI- based!Maximus, W32/Tiny.I, Win32/Tiny.NAA, Win32:Trojan- gen.{Other} Fecha: 11/ago/06 Plataforma: Windows 32-bit Tamaño: 3,073 bytes Se trata de un caballo de Troya que al ejecutarse permite a un usuario remoto el acceso al equipo infectado, utilizando un shell (línea de comandos). El troyano intenta ejecutar una copia de CMD.EXE o COMMAND.COM, y abre un puerto determinado para que el atacante pueda ingresar sus comandos. El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - PSW.Eyon.B. Almacena direcciones y contraseñas _____________________________________________________________ http://www.vsantivirus.com/psw-eyon-b.htm Nombre: PSW.Eyon.B Nombre NOD32: Win32/PSW.Eyon.B Tipo: Caballo de Troya Alias: PSW.Eyon.B, Infostealer.Eyoni, PSW.Eyon.B, PSW.Generic.DVT, PWS-EyeOnIE, TR/PSW.Eyon.B, Trj/Eyon.A, Trojan.Eyon.b, Trojan.PSW.Win32.Eyon.8485, Trojan.PWS.Eyon.A, Trojan.Pws.Eyon.B, Trojan.PWS.Sina, Trojan/PSW.Eyon.b, TrojanPSW.Eyon.b, Trojan-PSW.Win32.Eyon.b, W32/EyeOnIE.B!tr.pws, W32/Eyon.B, W32/Trojan.EBR, Win32/PSW.Eyon.B, Win32:Trojan-gen.{Other} Fecha: 2/feb/06 Actualizado: 11/ago/06 Plataforma: Windows 32-bit Tamaño: 77,312 bytes Caballo de Troya capaz de robar direcciones de sitios (URLs) y contraseñas que el usuario ingresa al navegar con el Internet Explorer. El troyano se integra al Internet Explorer como un objeto del tipo BHO (Browser Helper Object). Un objeto BHO es un DLL que se adjunta a si mismo a cada nueva instancia del Internet Explorer, pudiendo ejecutar eventos predeterminados. Para ello, crea las siguientes entradas en el registro: HKCR\BhoPlugin.EyeOnIE HKCR\BhoPlugin.EyeOnIE.1 HKCR\CLSID\{DDDC947A-43F1-446A-A257-632F3ABDC212} HKCR\Interface\{259C7FDA-02C2-4E14-ACD9-93FE5AA69B92} HKCR\TypeLib\{8CC52A5E-678C-441A-9F3A-7359DAE29EEE} La información obtenida, es almacenada en los siguientes archivos: c:\windows\system32\drivers\??????url.sys c:\windows\system32\drivers\??????pwd.sys Donde "??????" son 6 dígitos que representan la fecha de la captura. NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Borre también los siguientes archivos: c:\windows\system32\drivers\??????url.sys c:\windows\system32\drivers\??????pwd.sys Donde "??????" son 6 dígitos que representan la fecha de la captura. NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT 3. Busque y borre las siguientes subcarpetas: \BhoPlugin.EyeOnIE \BhoPlugin.EyeOnIE.1 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT \CLSID \{DDDC947A-43F1-446A-A257-632F3ABDC212} 5. Haga clic en la carpeta "{DDDC947A-43F1-446A-A257- 632F3ABDC212}" y bórrela 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT \Interface \{259C7FDA-02C2-4E14-ACD9-93FE5AA69B92} 7. Haga clic en la carpeta "{259C7FDA-02C2-4E14-ACD9- 93FE5AA69B92}" y bórrela 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT \TypeLib \{8CC52A5E-678C-441A-9F3A-7359DAE29EEE} 9. Haga clic en la carpeta "{8CC52A5E-678C-441A-9F3A- 7359DAE29EEE}" y bórrela 10. Cierre el editor del registro. 11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - PSW.Sinowal.AE. Captura el teclado y roba información _____________________________________________________________ http://www.vsantivirus.com/psw-sinowal-ae.htm Nombre: PSW.Sinowal.AE Nombre NOD32: Win32/PSW.Sinowal.AE Tipo: Caballo de Troya Alias: Sinowal.AE, JA!tr.pws, PSW.Generic2.EGM, PWS-JA, TR/PSW.Sinowal.D.32, Troj/Torpig-BE, Trojan.Anserin, Trojan.PSW.Win32.Sinowal.460C, Trojan.Sinowal.ae, Trojan.Sinowal.Gen.4, Trojan.Spy.Sinowal-33, Trojan.Torpig.F, Trojan-PSW.Win32.Sinowal.ae, W32/Sinowal.QF, Win32/Anserin.7gv!DLL!Trojan, Win32/PSW.Sinowal.AE, Win32:Trojano-P Fecha: 27/jul/06 Actualizado: 11/ago/06 Plataforma: Windows 32-bit Tamaño: 61,440 bytes Se trata de un "keylogger" (capturador de la salida del teclado), del tipo PSW (abreviatura de password o contraseña), capaz de obtener información del usuario y del equipo infectado. Ello incluye contraseñas, nombres de usuario, y cualquier información confidencial que la víctima haya ingresado en cualquier página o documento a través del teclado. Esta información suele estar relacionada con ciertos sitios bancarios. Cuando se ejecuta, el troyano crea los siguientes archivos: [Carpeta Web Folders]\ibm?????.dll [Carpeta Web Folders]\ibm?????.exe [Carpeta Web Folders]\ibm?????.dll [Carpeta Web Folders]\ibm?????.exe [Carpeta Web Folders]\tmp.tmp Donde "?????" son cinco dígitos al azar (por ejemplo: 00001). [Carpeta Web Folders] puede ser una de las siguientes: C:\Archivos de programa\Archivos comunes \Microsoft Shared\Web Folders C:\Program files\Common files \Microsoft Shared\Web Folders También se crean o modifican las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema: HKCU\Software\Microsoft\Windows\CurrentVersion\Run shell = [Camino completo]\ibm?????.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell = explorer.exe [Camino completo]\ibm?????.exe Para no ejecutarse más de una vez en memoria, el troyano crea el siguiente mutex: MSARCH_MUTEX_NAME Un mutex (mutual exclusion object), es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones, etc.) y evitar que más de un proceso acceda al mismo tiempo a él. El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 5. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, busque la siguiente entrada bajo la columna "Nombre": Shell 6. Modifique el valor de "Shell" para que aparezca solo esto: Shell = Explorer.exe 7. Cierre el editor del registro. 8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 6 - Locksky.BM. Acceso remoto, se propaga por e-mail _____________________________________________________________ http://www.vsantivirus.com/locksky-bm.htm Nombre: Locksky.BM Nombre NOD32: Win32/Locksky.BM Tipo: Caballo de Troya y gusano de Internet Alias: Locksky.BM, I-Worm.Locksky, Trojan.Small, W32/Loosky.gen@MM, Win32/Locksky.BM Fecha: 3/jul/06 Actualizado: 13/ago/06 Plataforma: Windows 32-bit Caballo de Troya del tipo multicomponentes, que puede propagarse como gusano a través del correo electrónico. Cuando se ejecuta, se mantiene en memoria, habilitando un servidor clandestino con una puerta trasera que puede permitir a un usuario remoto tomar el control total del equipo infectado. El troyano intenta descargar varios archivos de un determinado servidor HTTP. Crea las siguientes entradas en el registro, la primera para autoejecutarse en cada reinicio del sistema: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run sysvx = [nombre ejecutable del troyano] HKLM\SYSTEM\CurrentControlSet\Services\Tcpip TcpNumConnections = [valor] Utiliza el comando NETSH de Windows, para intentar eludir el firewall integrado de Windows XP (el parámetro "firewall" solo funciona en SP2): netsh firewall set allowedprogram [nombre troyano] enable El troyano monitorea la apertura de ciertas ventanas de Internet relacionadas con la banca on-line, etc., e intenta capturar la información desplegada y la ingresada por el usuario en ellas (contraseñas, etc.). Estos datos, y los relacionados con la configuración de la propia computadora infectada, son enviados a un usuario remoto. También puede actuar como un servidor proxy, reenviando información a Internet a través del equipo infectado. El troyano puede descargar una versión actualizada de si mismo, desde un servidor predeterminado en su código. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Tcpip 5. Haga clic en la carpeta "Tcpip" y en el panel de la derecha, bajo la columna "Datos", busque y borre la siguiente entrada: TcpNumConnections = [valor] 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 7 - Medbot.BI. Compromete la seguridad del sistema _____________________________________________________________ http://www.vsantivirus.com/medbot-bi.htm Nombre: Medbot.BI Nombre NOD32: Win32/Medbot.BI Tipo: Caballo de Troya Alias: Medbot.BI, W32/Methodbod.gen, Win32/Medbot.BI Fecha: 11/ago/06 Plataforma: Windows 32-bit Caballo de Troya que permite a un atacante remoto acceder al sistema infectado para realizar acciones que comprometen la seguridad del sistema, actuando como un servidor proxy. Un servidor proxy es un equipo o programa que actúa como intermediario entre Internet y un grupo de usuarios. Lo que hace un "TrojanProxy" es recibir peticiones de usuarios (en este caso del atacante remoto) y redirigirlas a Internet desde el equipo infectado, en lugar de hacerlo desde su propio equipo. Esto le permite (por ejemplo), utilizar el equipo de su víctima para lanzar ataques o enviar spam sin ser identificado. También puede enviar información del sistema a un atacante remoto. Descarga y ejecuta otros archivos desde determinados sitios de Internet, incluyendo una actualización de si mismo. Cuando se ejecuta, puede crear los siguientes archivos (todos son copias de si mismo): [TEMP]\tmp1.tmp c:\windows\SYSTEM\smss.exe c:\windows\system32\nvsvcd.exe NOTA: [TEMP] puede ser "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. NOTA: La carpeta "c:\windows" en c:\windows\SYSTEM\, puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000). Crea el siguiente servicio: Nombre de servicio: Windows Log Nombre para mostrar: Windows Log Ruta de acceso al ejecutable: [camino y nombre] Tipo: Automático Para ello, crea la siguiente entrada en el registro de Windows: HKLM\SYSTEM\CurrentControlSet\Services\Windows Log También crea la siguiente entrada para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run .nvsvc = "c:\windows\System\smss.exe /w" * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Windows Log 5. Haga clic en la carpeta "Windows Log" y bórrela. 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Mantenga actualizado su programa antivirus. De poco vale tener un antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. De todos modos, hoy en día las actualizaciones de la mayoría de los fabricantes son diarias y automáticas. Si tiene un producto que no se actualiza automáticamente, piense seriamente en cambiarlo. 2) No abra ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Tampoco haga clic en enlaces sugeridos en aquellos correos o mensajes instantáneos que no solicitó. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Manténgase informado de cómo operan los virus, y de las novedades sobre éstos, alertas y anuncios críticos, en sitios como el nuestro. 4) No descargue nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceda como con los archivos adjuntos. Cópielos a una carpeta y revíselos con su antivirus debidamente actualizado, antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 2216 Año 10, lunes 14 de agosto de 2006