Mostrando mensaje 1254     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 2202 Año 10, viernes 28 de julio de 20 06 Fecha: Viernes, 28 de Julio, 2006  02:47:33 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 2202 Año 10, viernes 28 de julio de 2006 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Atacan las últimas vulnerabilidades de Windows 2 - Miti.B. Se copia en todos los archivos .ZIP y .RAR 3 - Spy.FormSpy.B. Se instala como extensión de Firefox 4 - PcClient.NAI. Permite acceso remoto, instala rootkit 5 - Medbot.BC. Compromete la seguridad del sistema _____________________________________________________________ 1 - Atacan las últimas vulnerabilidades de Windows _____________________________________________________________ http://www.vsantivirus.com/28-07-06.htm Atacan las últimas vulnerabilidades de Windows Por Moisés López mlopez@videosoft.net.uy Investigadores de seguridad detectaron al menos tres exploits activos, para vulnerabilidades que Microsoft corrigió en julio de 2006 con sus últimos parches. Dos de estos exploits fueron clasificados como críticos por la compañía. El primero, se aprovecha de un defecto en el componente servidor de Windows que podría permitir que un atacante tome el control de un sistema. Expertos advirtieron que los delincuentes informáticos podrían explotar el agujero para lanzar algún tipo de gusano. El segundo exploit se aprovecha de una vulnerabilidad en el servicio de cliente DHCP que podría conducir a un desbordamiento de búfer, y que puede ser utilizado por un atacante para tomar el control completo del sistema. El problema afecta varias versiones de Windows incluyendo XP y Server 2003. DHCP es el protocolo estándar que asigna configuraciones de Protocolo de Internet (IP) a los equipos. El tercero y último hasta ahora, está referido a un defecto en Microsoft Internet Information Services (IIS), el servidor de Microsoft para algunas versiones de Windows. La vulnerabilidad podía permitir que atacantes puedan tomar control de un sistema a través de un archivo ASP (Active Server Page). Las actualizaciones lanzadas por Microsoft para los tres agujeros que los piratas ahora intentan aprovechar para sus objetivos (MS06-034, MS06-035 y MS06-036), forman parte de los parches de seguridad de julio, mes en que la compañía solucionó un total de 18 vulnerabilidades. * Relacionados: MS06-034 Vulnerabilidad en servidor IIS (ASP) (917537) http://www.vsantivirus.com/vulms06-034.htm MS06-035 Vulnerabilidad en servicio Servidor (917159) http://www.vsantivirus.com/vulms06-035.htm MS06-036 Vulnerabilidad crítica en DHCP (914388) http://www.vsantivirus.com/vulms06-036.htm * Fuente: NEWSFACTOR MAGAZINE http://www.newsfactor.com/story.xhtml?story_title=Hackers_Tar get_Latest_Windows_Flaws&story_id=121004668XT7 * Glosario: EXPLOIT - Programa o método concreto que saca provecho de una falla o agujero de seguridad de una aplicación o sistema, generalmente para un uso malicioso de dicha vulnerabilidad. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Miti.B. Se copia en todos los archivos .ZIP y .RAR _____________________________________________________________ http://www.vsantivirus.com/miti-b.htm Nombre: Miti.B Nombre NOD32: Win32/Miti.B Tipo: Gusano de Internet Alias: Miti.B, IRC/Tutiam.A!worm, IRC-Worm.Win32.Tutiam.a, W32.Miti@mm, W32/Tutiam@MM, Win32/Miti.B, Worm.Tutiam.A, Worm/Tutiam.A, WORM_TUTIAM.A Fecha: 21/jul/06 Plataforma: Windows 32-bit Tamaño: 143,360 bytes Gusano que se propaga a través del correo electrónico y de canales de IRC (Internet Relay Chat). Utiliza mensajes con enlaces a un archivo INDEX.HTM con una copia de si mismo, o adjuntos que contienen al gusano. Los mensajes pueden estar en alemán o inglés. Para propagarse vía IRC, utiliza determinados servidores y canales de IRC, enviando mensajes privados a todos los usuarios conectados. Los mensajes contienen un enlace a un sitio web, desde donde se descarga una copia del gusano. En los equipos infectados, agrega una copia de si mismo en todos los archivos .ZIP y .RAR que encuentre, y que no tengan contraseña. Los mensajes con enlaces, tienen las siguientes características: Asunto: [vacío] Texto del mensaje: [uno de los siguientes + el enlace] Adios Amigos! Also, schreib mir was du denkst... Bis denne.. Byea... Creating a homepage is so much fun! Cya.. Du solltest auch ne Homepage machen ;) Eine Homepage zu machen ist echt fun! Gimme feedback what you think about my homepage! Gut heh? ;D Gute page, oder?! Ich arbeite weiter dran... Hab eine einfache Homepage erstellt Hab ne website gebastelt :) Hallo Have a nice day!! Hello Hey Dude! Hey Kumpel!! Heya, I build a website ;) I create a simple homepage!!! I played a little bit, and look what i have made: Ich hab eine Webseite erstellt! Sind zwar nur ein paar Bilder, aber ich arbeite dran ;) Ich hab mal ein bisschen gebastelt, und schau was draus geworden ist: Ich hab ne Webseite gemacht... I've made a homepage! Just some pictures, but i keep on working ;) I've made a website... Ja Man! Meine persoehnliche Website!!!!! Let's do more stuff for my homepage ;D... Look at my first homepage! Man sieht sich! Much fun with my page! Next time.. Nice heh!?!? ;D Nice page, or not?! I keep on working... Noch nich viel aber... Not much but... Sag mir was du von meiner allerersten Homepage haelst! Schau dir meine erste Homepage an! So, answer what you think... So, ich bastel jetzt noch ne Runde weiter... Tschau Viel Spass noch mit der Page! Was geht... Whassup... Yeah man! My personal website!!! You should create a website too ;) Los mensajes con archivos adjuntos, tienen las siguientes características: Asunto: [uno de los siguientes] Message from: Nachricht von Re: Sweetheart ;) Texto del mensaje: [uno de los siguientes] Archiv Check_it_out_now Datei Deine_Datei DeinFile Der Hammer :D... Funny stuff :] check it! Funny stuff in the archive, i luv it ;D FunnyStuff Guten Tag h0t_shit Hehe, die Bilder im Archiv gefallen mir so richtig gut ;)) Here is your file... Heya... Hi, how are you, Hier is ja deine Datei... Hoy Hoy ;) Ich sag nur Anhang :] Na... was los? Nerv mal nich so, schau dir den Anhang an! No words, just look at it, hrhr. Schau dir das einfach mal an, da wird man doch crazy, oder??? Schau_es_dir_an The file you asked for is attached!! Was geht?! Whats up?! YourFile Datos adjuntos: [nombre variable] Los mensajes que utiliza en los canales de IRC, están formados por los siguientes componentes: [1]+[2]+[3]+[4] Donde [1] es una de las siguientes cadenas: ahoy, hello, heya hoy, [2] es el nick del participante [3] es uno de los siguientes textos: can you help me making a better website? i have only this: ehehehehe, my little page, just some pictures on it: grrr, look wich stupid website i have found: HAHAHAHAHAHAHA, check this biatch out: hehe, i made a little site, tell me what you think... i am now into webpage programming, check this: maybe you can help, i need some better template for my webpage. check this shit :D my small website, j ust great ... Please check out my new site: some crazy pictures on this website >> Y [4] es un enlace a una copia del gusano. Cuando se ejecuta, crea los siguientes archivos: c:\windows\strangler.exe c:\windows\tamiami.vbs c:\windows\tamiami.wrd c:\windows\tamver.sys c:\windows\tamweb\bilder.exe c:\windows\tamweb\index.htm c:\windows\tamweb\pictures.exe NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). También crea o modifica las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows, y para deshabilitar el servicio del cortafuego de Windows XP: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Tamiami = "c:\windows\strangler.exe" HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess Start = "4" El gusano busca archivos con extensiones .ZIP y .RAR en los discos del equipo infectado, y agrega en cada uno de ellos una copia de si mismo, con alguno de los siguientes nombres: Addons.exe Addons_ENG.exe Bilder.exe Install.exe Installation.exe Licence.exe LiesMich.exe Lizenz.exe Pictures.exe Quellcode.exe ReadMe.exe SourceCode.exe El gusano intenta conectarse a los siguientes servidores de IRC: eu.undernet.org irc.dal.net irc.efnet.org irc.fr.ircnet.ne irc.ircnet.ee irc.quakenet.org irc.rizon.net irc.us.ircnet.ne random.ircd.de us.undernet.org Además, crea el siguiente mutex para no ejecutarse más de una vez en memoria: Worm.Tamiami v1.3.2 by DiA/RRLF * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run", y en el panel de la derecha, busque y borre la siguiente entrada: Tamiami = "c:\windows\strangler.exe" 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 5. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Spy.FormSpy.B. Se instala como extensión de Firefox _____________________________________________________________ http://www.vsantivirus.com/spy-formspy-b.htm Nombre: Spy.FormSpy.B Nombre NOD32: Win32/Spy.FormSpy.B Tipo: Caballo de Troya Alias: Spy.FormSpy.B, DLOADER.Trojan, FormSpy, FormSpy!tr, PE_Virus!Maximus, TR/Dldr.Banker.GA.3, Trojan.Agent.SN, Win32/Spy.FormSpy.B Fecha: 27/jul/06 Plataforma: Windows 32-bit Tamaño: 42,496 bytes Caballo de Troya capaz de robar información del equipo infectado, utilizando para ello el Mozilla Firefox. Puede ser descargado por otros troyanos. Cuando se ejecuta, el siguiente archivo es creado: c:\windows\system32\138762763.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). Las siguientes entradas son creadas en el registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run stup = "c:\windows\system32\138762763.exe" HKCU\Software\keys\k1 HKCU\Software\keys\k2 El troyano busca la presencia de alguna versión instalada de Mozilla Firefox. Si existe alguna, entonces crea los siguientes archivos para registrarse y ejecutarse como una extensión de Firefox: En la carpeta de instalación de Mozilla Firefox, por ejemplo: C:\Archivos de programa\Mozilla Firefox Crea los siguientes archivos: \components\AppInterConn.dll \components\AppInterConn.xpt En la carpeta con los perfiles del usuario del programa, por ejemplo: C:\Documents and Settings\[usuario]\Datos de programa \Mozilla\Firefox\Profiles\[caracteres al azar].default Crea los siguientes archivos: \chrome\chrome.rdf \chrome\overlayinfo\browser\content\overlays.rdf \extensions\{1d58a41c-b1a5-4c8f-94bf-6350f2809b06}\chrome.manifest \extensions\{1d58a41c-b1a5-4c8f-94bf-6350f2809b06}\install.rdf \extensions\{1d58a41c-b1a5-4c8f-94bf-6350f2809b06}\chrome\numberedlinks.jar Una vez instalado, podrá monitorear los hábitos del usuario mientras este navega en Firefox, y robar información que el usuario ingrese en formularios web, incluyendo contraseñas, etc. Para ello, monitorea el tráfico que se realice a través de los siguientes protocolos: FTP ICQ IMAP POP3 La información robada, es enviada al siguiente servidor remoto vía http: http: // 81 .95 .147 .107/cgi-bin/ Para no ejecutarse más de una vez en memoria, crea el siguiente mutex: kjhskdhkjshfd_Mutex * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \keys 3. Haga clic en la carpeta "keys" y bórrela. 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - PcClient.NAI. Permite acceso remoto, instala rootkit _____________________________________________________________ http://www.vsantivirus.com/pcclient-nai.htm Nombre: PcClient.NAI Nombre NOD32: Win32/PcClient.NAI Tipo: Caballo de Troya Alias: PcClient.NAI, BackDoor.PcClient, BackDoor-CKB.dr, TrojanDropper.Win32.Agent, Win32/PcClient.NAI Fecha: 26/jul/06 Plataforma: Windows 32-bit Caballo de Troya que abre una puerta trasera en el equipo infectado, permitiendo el acceso de un atacante remoto. También posee un rootkit que hace invisible su actividad en el equipo, así como oculta las carpetas, archivos, entradas en el registro y procesos activos creados por él mismo. Cuando se ejecuta, crea las carpetas "@@@", "@@@\plugins" y los siguientes archivos: [carpeta de windows]\@@@\plugins [carpeta de windows]\@@@\___.exe [carpeta de windows]\@@@\mydll.exe [carpeta de windows]\@@@\win32.exe [carpeta de windows]\win32log.dat [carpeta del sistema]\[nombre variable].d1l [carpeta del sistema]\drivers\[nombre variable].sys [TEMP]\~$~MS?????.doc [TEMP]\~MS?????.doc También puede crear los siguientes archivos: [Archivos de programa]\[nombre variable].dll [Archivos de programa]\[nombre variable].dl1 [Archivos de programa]\[nombre variable].sys Donde [nombre variable] es un nombre de 8 caracteres al azar, y "?????" también son caracteres al azar. NOTA 1: [carpeta de windows] puede ser una de las siguientes: "c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc. NOTA 2: [carpeta del sistema] puede ser "c:\windows\system32" en Windows XP y Windows Server 2003, "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME. NOTA 3: [TEMP] puede ser "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. NOTA 4: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files" Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Microsoft = "[carpeta de windows]\@@@\win32.exe" HKLM\SYSTEM\CurrentControlSet\Services\dmserver\Parameters ServiceDll = "[carpeta del sistema]\[nombre variable].d1l" También crea un servicio con el mismo [nombre variable]. Para ello genera las siguientes entradas en el registro: HKLM\SYSTEM\CurrentControlSet \Services\[nombre variable] HKLM\SYSTEM\CurrentControlSet \Enum\Root\LEGACY_[nombre variable] También inyecta el archivo "[nombre variable].d1l" en el mismo proceso del Internet Explorer. Inicia el archivo "[nombre variable].sys", que es el rootkit que oculta la presencia del troyano (archivos, carpetas, entradas en el registro y lista de procesos). El troyano puede capturar los títulos de las ventanas abiertas por el usuario, e interceptar todas los datos ingresados a través del teclado. Esta información es guardada en el siguiente archivo: [carpeta de windows]\@@@\[fecha].txt Abre una puerta trasera por determinados puertos TCP, quedando luego a la espera de instrucciones de un usuario remoto. El atacante podrá realizar cualquiera de las siguientes acciones entre otras, sin el conocimiento del usuario: - Abrir un shell a través de CMD.EXE o COMMAND.COM - Abrir y cerrar la bandeja de la lectora de CD - Acceder a la información guardada por el propio troyano - Descargar, subir a Internet y ejecutar archivos - Enviar correo electrónico - Obtener información de la red - Obtener información del sistema También puede acceder a un servidor remoto vía HTTP. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \dmserver \Parameters 5. Haga clic en la carpeta "Parameters" y asegúrese que la entrada "ServiceDll" tenga el siguiente valor: ServiceDll = "%SystemRoot%\System32\dmserver.dll" 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - Medbot.BC. Compromete la seguridad del sistema _____________________________________________________________ http://www.vsantivirus.com/medbot-bc.htm Nombre: Medbot.BC Nombre NOD32: Win32/Medbot.BC Tipo: Caballo de Troya Alias: Medbot.BC, W32/Methodbod.gen, Win32/Medbot.BC Fecha: 27/jul/06 Plataforma: Windows 32-bit Tamaño: 55,296 bytes Caballo de Troya que permite a un atacante remoto acceder al sistema infectado para realizar acciones que comprometen la seguridad del sistema, actuando como un servidor proxy. Un servidor proxy es un equipo o programa que actúa como intermediario entre Internet y un grupo de usuarios. Lo que hace un "TrojanProxy" es recibir peticiones de usuarios (en este caso del atacante remoto) y redirigirlas a Internet desde el equipo infectado, en lugar de hacerlo desde su propio equipo. Esto le permite (por ejemplo), utilizar el equipo de su víctima para lanzar ataques o enviar spam sin ser identificado. También puede enviar información del sistema a un atacante remoto. Descarga y ejecuta otros archivos desde determinados sitios de Internet, incluyendo una actualización de si mismo. Cuando se ejecuta, puede crear los siguientes archivos (todos son copias de si mismo): [TEMP]\tmp1.tmp c:\windows\SYSTEM\smss.exe c:\windows\system32\nvsvcd.exe NOTA: [TEMP] puede ser "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. NOTA: La carpeta "c:\windows" en c:\windows\SYSTEM\, puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000). Crea el siguiente servicio: Nombre de servicio: Windows Log Nombre para mostrar: Windows Log Ruta de acceso al ejecutable: [camino y nombre] Tipo: Automático Para ello, crea la siguiente entrada en el registro de Windows: HKLM\SYSTEM\CurrentControlSet\Services\Windows Log También crea la siguiente entrada para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run .nvsvc = "c:\windows\System\smss.exe /w" * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Windows Log 5. Haga clic en la carpeta "Windows Log" y bórrela. 6. Cierre el editor del registro. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Mantenga actualizado su programa antivirus. De poco vale tener un antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. De todos modos, hoy en día las actualizaciones de la mayoría de los fabricantes son diarias y automáticas. Si tiene un producto que no se actualiza automáticamente, piense seriamente en cambiarlo. 2) No abra ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Tampoco haga clic en enlaces sugeridos en aquellos correos o mensajes instantáneos que no solicitó. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Manténgase informado de cómo operan los virus, y de las novedades sobre éstos, alertas y anuncios críticos, en sitios como el nuestro. 4) No descargue nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceda como con los archivos adjuntos. Cópielos a una carpeta y revíselos con su antivirus debidamente actualizado, antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 2202 Año 10, viernes 28 de julio de 2006