Mostrando mensaje 1379     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No 2327 Año 10, jueves 21 de diciembre de 2006 Fecha: Jueves, 21 de Diciembre, 2006  06:54:56 (-0200) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No 2327 Año 10, jueves 21 de diciembre de 2006 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Skype, gusanos, troyanos, y el enemigo de siempre 2 - Semail.NAF. Baja los niveles de seguridad del IE 3 - Mytob.VL. Se propaga por e-mail e instala BOT 4 - Adware.Toolbar.SearchColours. Modifica el sistema 5 - Flooder.ICMP.ICMPBomb.A. Herramienta para ataques _____________________________________________________________ 1 - Skype, gusanos, troyanos, y el enemigo de siempre _____________________________________________________________ http://www.vsantivirus.com/21-12-06.htm Skype, gusanos, troyanos, y el enemigo de siempre Por Jose Luis Lopez (*) videosoft@videosoft.net.uy Esta semana se han publicado algunas noticias respecto a una nueva amenaza que afectaría a usuarios del popular Skype, la aplicación VoIP (Voice Over IP) que permite conexiones vía voz, webcam, mensajería instantánea, chat, etc. entre usuarios del propio programa. Sin embargo, en algunos casos se ha creado alguna confusión respecto a la naturaleza de la amenaza, ya que específicamente no se trata de un malware que se propague utilizando vulnerabilidades o características específicas de Skype, al menos no de forma automática. Algunos investigadores incluso han preferido catalogarlo como troyano en lugar de gusano, justamente por su falta de "auto propagación". El tema es que el gusano (detectado como Win32/Skyperise.A desde octubre de 2006 por ESET NOD32 y otros productos antivirus), requiere la acción específica del usuario para poder realizar su acción. Su comportamiento es muy similar al de otros gusanos o troyanos que se aprovechan de programas de mensajería instantánea, como los famosos Banker (entre otros), que se presentan como enlaces en mensajes que llegan a esas aplicaciones (Messenger, AOL y otros). Hasta que el usuario no haga clic sobre el enlace y descargue y ejecute el archivo ofrecido, no se produce la infección. En el caso del gusano de Skype, la confusión se originó por una alerta de la empresa de seguridad Websense, donde se especificaba que el malware utilizaba el chat de la aplicación para propagarse automáticamente. Se aconsejaba a los usuarios a ser cuidadosos con los mensajes recibidos, ya que podían descargar un archivo llamado SP.EXE (este es el primer nombre reportado). SP.EXE es detectado como Win32/Elife.A por NOD32, aunque el sitio de descarga ya ha sido clausurado. Esta noticia fue ampliada por otros medios, donde se llegó a aventurar que se trataba de un gusano que utilizaba las características de Skype para propagarse automáticamente. El propio Websense corrigió su alerta poco después, catalogando la amenaza como troyano, y no como gusano. El nuevo aviso especifica que luego de consultas con el equipo de seguridad de Skype, se llegó a la conclusión que el malware en realidad no utiliza ninguna vulnerabilidad o característica no deseada del programa para propagarse. El usuario final recibe la notificación de que un ejecutable está solicitando acceso, y por lo tanto debe ser específicamente autorizado para ejecutarse. Claramente, es un clásico problema de usuario, uno grande por cierto, pero que afecta no solo a un programa sino a toda la informática. Por más barreras de seguridad que se coloquen, si el usuario acepta una solicitud para recibir o ejecutar un archivo (sea un adjunto o un enlace no solicitado), está dejando poco o ningún margen para que su software de seguridad lo proteja. De todos modos, es importante recordar que la tecnología de "Voz sobre IP", que permite la transmisión de la voz a través de redes IP (Internet Protocol), utilizando paquetes de datos, tiene las mismas probabilidades que otros medios más tradicionales (como el correo electrónico), para ser afectada por ataques específicos. De hecho, tiene las mismos problemas de seguridad que presenta la mensajería instantánea, sobre todo en entornos corporativos, y esto es muy importante recordarlo. Es en esos escenarios, en que la educación al usuario debe ser una de las estrategias más importantes a tener en cuenta, a la hora de planificar las políticas de seguridad más eficientes. Y la primera regla de esas políticas, debería ser la de no abrir adjuntos no solicitados, ni hacer clic sobre enlaces que no han sido pedidos, sin importar en ningún caso el remitente. * Referencias: Skyperise.A. Se propaga a través de mensajes de Skype http://www.vsantivirus.com/skyperise-a.htm Elife.A. Usa ingeniería social y el programa Skype http://www.vsantivirus.com/elife-a.htm * Relacionados: No descuidemos la seguridad en los sistemas VoIP http://www.vsantivirus.com/04-12-04.htm VoIPhreaking, nueva amenaza a la seguridad en VoIP http://www.vsantivirus.com/na-voiphreaking.htm "Crackean" el protocolo de Skype (Mercè Molist) http://www.vsantivirus.com/mm-skype-cracked.htm El "phishing" se extiende al teléfono (Mercè Molist) http://www.vsantivirus.com/mm-phishing-telefonico.htm (*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director ejecutivo de ESET NOD32 Uruguay. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Semail.NAF. Baja los niveles de seguridad del IE _____________________________________________________________ http://www.vsantivirus.com/semail-naf.htm Nombre: Semail.NAF Nombre NOD32: Win32/Semail.NAF Tipo: Gusano de Internet y caballo de Troya Alias: Semail.NAF, Email-Worm.Win32.Semail.a, Trojan.DownLoader.14864, Trojan.Semail.C, Trojan.Win32.Delf.CN, W32/Semail.A.worm, W32/Semail.A@mm, W32/Semail.C, W32/Semail-A, Win32/Semail.NAF, Win32/Temrisc.B!Worm, Win32:Delf-CBG, Worm.Semail.a, Worm.Semail.A@mm Fecha: 20/dic/06 Plataforma: Windows 32-bit Tamaño: 69,936 bytes (UPX) Pone en peligro el equipo infectado, al bajar el nivel de la configuración de seguridad del Internet Explorer para permitir el acceso a determinados sitios de Internet. También intenta modificar la configuración de acceso telefónico del usuario, para discar silenciosamente a un número determinado indicado en su código, sin que la víctima se percate de la conexión. Cuando se ejecuta puede crear la carpeta "Winsystens" y el siguiente archivo: c:\windows\system32\Winsystens\gratis-tutto.exe También crea la carpeta "$hf_mig$" y los siguientes archivos: c:\windows\$hf_mig$\KB090545\semail.exe c:\windows\$hf_mig$\KB090545\semail.tpl c:\windows\$hf_mig$\KB090545\target.dat NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). También crea accesos directos al archivo GRATIS-TUTTO.EXE, con el siguiente nombre en el escritorio y otras carpetas del usuario: Foto.lnk Crea las siguientes entradas en el registro: HKCU\software\freeware \{491A5872-C30F-4E54-8FF1-BF31CC73DC4B} HKLM\SOFTWARE\Microsoft\Internet Explorer \Extensions\{491A5872-C30F-4E54-8FF1-BF31CC73DC4B} HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Winsystem = [camino y nombre del ejecutable] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion \Uninstall\{8757D640-6754-4A39-B542-64E04BD74053} Modifica el archivo HOSTS de Windows, agregando la siguiente entrada para redirigir las búsquedas por defecto del Internet Explorer a otro sitio: 205 .214 .67 .212 auto .search .msn .com Cambia la página de inicio del Internet Explorer. El archivo SEMAIL.EXE es utilizado para capturar direcciones electrónicas de la libreta de direcciones del usuario. SEMAIL.TPL es una plantilla con el mensaje que luego envía a las direcciones recolectadas. El mensaje tiene el siguiente adjunto, y un enlace para descargar al propio troyano. target.dat Puede arribar en un correo electrónico con las siguientes características: Para: [Nombre del destinatario] Asunto: [uno de los siguientes] Le nostre foto [Nombre del destinatario] d Le foto che volevi [Nombre del destinatario] d Texto del mensaje: Bacini! Ti voglio bene! Mi hai fatto fare la porcellina ieri sera. Appena hai tempo aggiungi le foto nel book del mio sito [sitio Web] [Nombre del destinatario] d Archivo adjunto: ierifoto.zip * Reparación manual IMPORTANTE: Compruebe la configuración de todas sus Accesos telefónicos a redes en Mi PC (Windows 95, 98), o en Panel de control (Windows Me). En Windows XP, bajo el ítem Conexiones de red del Panel de control. Si fuera necesario, elimine el número telefónico no deseado, o elimine el Acceso telefónico y vuelva a crearlo. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \software \freeware 3. Haga clic sobre la carpeta "freeware" y bórrela 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Internet Explorer \Extensions \{491A5872-C30F-4E54-8FF1-BF31CC73DC4B} 5. Haga clic sobre la carpeta "{491A5872-C30F-4E54-8FF1- BF31CC73DC4B}" y bórrela 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 7. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Uninstall \{8757D640-6754-4A39-B542-64E04BD74053} 9. Haga clic sobre la carpeta "{8757D640-6754-4A39-B542- 64E04BD74053}" y bórrela 10. Cierre el editor del registro. 11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Restaurar la configuración por defecto del Internet Explorer: 1. Seleccione Herramientas, Opciones de Internet en el IE. 2. Seleccione la lengüeta "Programas". 3. Haga clic en "Restablecer configuración Web..." 4. Haga clic en "Aceptar". * Restaurar "Zonas de seguridad" al nivel predeterminado. 1. Seleccione en el Panel de control, el icono "Opciones de Internet". 2. Pinche en la lengüeta "Seguridad", y luego en "Internet". 3. Haga clic en el botón "Nivel predeterminado", y luego en el botón "Aplicar" 4. Reitere el paso "3" en "Intranet local", "Sitios de confianza" y "Sitios restringidos". 5. Haga clic en "Aceptar". NOTA: Se recomienda luego, configurar el Internet Explorer como se explica en el siguiente artículo: Configuración personalizada para hacer más seguro el IE http://www.vsantivirus.com/faq-sitios-confianza.htm * Cambiar la página de inicio del Internet Explorer Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o haga clic en "Página en blanco"). O navegue hacia una página de su agrado, haga clic en Herramientas, Opciones de Internet, General, y finalmente haga clic en "Usar actual". * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Mytob.VL. Se propaga por e-mail e instala BOT _____________________________________________________________ http://www.vsantivirus.com/mytob-vl.htm Nombre: Mytob.VL Nombre NOD32: Win32/Mytob.VL Tipo: Gusano de Internet Alias: Mytob.VL, Backdoor.Delf.vn, Email-Worm.Mydoom.27, Email-Worm.Win32.Mydoom.bg, SuspiciousR-Mytob3, W32/Mytob@mm, W32/Mytob-JO, Win32.HLLM.MyDoom, Win32.Mydoom.BG@mm, Win32/Mytob.MH!Worm, Win32/Mytob.RA@mm, Win32/Mytob.VL, Win32:Mytob-QQ, Worm.Mytob.UE Fecha: 20/dic/06 Plataforma: Windows 32-bit Tamaño: 94,208 bytes (MoleBox) Gusano que se propaga masivamente por correo electrónico. Utiliza las funcionalidades de un troyano del tipo BOT para controlar el PC infectado vía IRC. También modifica el archivo HOSTS para evitar que el usuario pueda acceder a determinadas páginas y sitios de actualizaciones de determinados antivirus, y es capaz de finalizar determinadas tareas relacionadas con varias aplicaciones de seguridad. Cuando el gusano se ejecuta, crea el siguiente archivo: c:\windows\system32\kernel_runtime.exe Agrega las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run KernelRuntime = c:\windows\system32\kernel_runtime.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices KernelRuntime = c:\windows\system32\kernel_runtime.exe El gusano comprueba continuamente la existencia de estas claves y las vuelve a crear si son borradas con el virus todavía en memoria. NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). También modifica la siguiente entrada para deshabilitar el Administrador de tareas de Windows: HKCU\Software\Microsoft\Windows \CurrentVersion\Policies\System DisableTaskMgr = "4" El gusano se propaga por correo electrónico enviándose a todas las direcciones de email encontradas en diferentes archivos de la máquina infectada. Para ello utiliza su propio motor SMTP. Los mensajes tendrán las siguientes características: Asunto: Account Alert Texto del mensaje: Dear Valued Member, According to our terms of services, you will have to confirm your e-mail by the following link or your account will be suspended within 24 hours for security reasons. [enlace] After following the instructions in the sheet, your account will not be interrupted and will continue as normal. Thanks for your attention to this request. We apologize for any inconvenience. Sincerely, [dominio] Abuse Department El enlace descarga una copia del gusano desde Internet. El componente BOT intenta conectarse a un determinado canal de IRC. Esta conexión permite que un usuario remoto pueda acceder al sistema infectado y realizar acciones como las siguientes: - Actualizarse a si mismo - Borrar archivos - Descargar archivos - Ejecutar archivos - Ejecutar otros comandos de IRC - Obtener información del equipo infectado - Reiniciar la computadora Modifica el archivo HOSTS con el siguiente texto, para que los sitios indicados allí no puedan ser accedidos desde una máquina infectada: 127 .0 .0 .1 antivir .com 127 .0 .0 .1 avast .com 127 .0 .0 .1 avg .com 127 .0 .0 .1 avira .com 127 .0 .0 .1 avp .com 127 .0 .0 .1 bitdefender .com 127 .0 .0 .1 ca .com 127 .0 .0 .1 cert .org 127 .0 .0 .1 clamav .net 127 .0 .0 .1 customer .symantec .com 127 .0 .0 .1 dispatch .mcafee .com 127 .0 .0 .1 download .mcafee .com 127 .0 .0 .1 drweb .com 127 .0 .0 .1 fortinet .com 127 .0 .0 .1 fortinet .net 127 .0 .0 .1 f-prot .com 127 .0 .0 .1 free .grisoft .com 127 .0 .0 .1 free-av .com 127 .0 .0 .1 f-secure .com 127 .0 .0 .1 grisoft .com 127 .0 .0 .1 housecall .trendmicro .com 127 .0 .0 .1 kaspersky .com 127 .0 .0 .1 kaspersky-labs .com 127 .0 .0 .1 mast .mcafee .com 127 .0 .0 .1 mcafee .com 127 .0 .0 .1 my-etrust .com 127 .0 .0 .1 nai .com 127 .0 .0 .1 networkassociates .com 127 .0 .0 .1 nod32 .com 127 .0 .0 .1 norton .com 127 .0 .0 .1 pandasoftware .com 127 .0 .0 .1 quickheal .com 127 .0 .0 .1 rads .mcafee .com 127 .0 .0 .1 ravantivirus .com 127 .0 .0 .1 sarc .com 127 .0 .0 .1 secure .nai .com 127 .0 .0 .1 securityresponse .symantec .com 127 .0 .0 .1 service .symantec .com 127 .0 .0 .1 service1 .symantec .com 127 .0 .0 .1 sophos .com 127 .0 .0 .1 symantec .com 127 .0 .0 .1 trendmicro .com 127 .0 .0 .1 us .mcafee .com 127 .0 .0 .1 vil .nai .com 127 .0 .0 .1 viruslist .com 127 .0 .0 .1 virustotal .com 127 .0 .0 .1 www .antivir .com 127 .0 .0 .1 www .avast .com 127 .0 .0 .1 www .avg .com 127 .0 .0 .1 www .avira .com 127 .0 .0 .1 www .avp .com 127 .0 .0 .1 www .bitdefender .com 127 .0 .0 .1 www .ca .com 127 .0 .0 .1 www .cert .org 127 .0 .0 .1 www .clamav .net 127 .0 .0 .1 www .drweb .com 127 .0 .0 .1 www .fortinet .com 127 .0 .0 .1 www .fortinet .net 127 .0 .0 .1 www .f-prot .com 127 .0 .0 .1 www .free-av .com 127 .0 .0 .1 www .f-secure .com 127 .0 .0 .1 www .grisoft .com 127 .0 .0 .1 www .kaspersky .com 127 .0 .0 .1 www .kaspersky-labs .com 127 .0 .0 .1 www .mcafee .com 127 .0 .0 .1 www .my-etrust .com 127 .0 .0 .1 www .nai .com 127 .0 .0 .1 www .networkassociates .com 127 .0 .0 .1 www .nod32 .com 127 .0 .0 .1 www .norton .com 127 .0 .0 .1 www .pandasoftware .com 127 .0 .0 .1 www .quickheal .com 127 .0 .0 .1 www .ravantivirus .com 127 .0 .0 .1 www .sarc .com 127 .0 .0 .1 www .sophos .com 127 .0 .0 .1 www .symantec .com 127 .0 .0 .1 www .trendmicro .com 127 .0 .0 .1 www .viruslist .com 127 .0 .0 .1 www .virustotal .com El gusano intenta finalizar los siguientes procesos, algunos de ellos relacionados con determinadas aplicaciones de seguridad: _avp32.exe _avpcc.exe _avpm.exe ackwin32.exe ad-aware.exe advxdwin.exe agentsvr.exe agentw.exe alertsvc.exe alevir.exe alogserv.exe amon9x.exe anti-trojan.exe antivirus.exe ants.exe apimonitor.exe aplica32.exe apvxdwin.exe arr.exe atcon.exe atguard.exe atro55en.exe atupdater.exe atwatch.exe au.exe aupdate.exe autodown.exe auto-protect.nav80try.exe autotrace.exe autoupdate.exe avconsol.exe ave32.exe avgcc32.exe avgctrl.exe avgnt.exe avgserv.exe avgserv9.exe avguard.exe avgw.exe avkpop.exe avkserv.exe avkservice.exe avkwctl9.exe avltmain.exe avnt.exe avp.exe avp32.exe avpcc.exe avpdos32.exe avpm.exe avptc32.exe avpupd.exe avsched32.exe avsynmgr.exe avwinnt.exe avwupd.exe avwupd32.exe avwupsrv.exe avxmonitor9x.exe avxmonitornt.exe avxquar.exe backweb.exe bargains.exe bd_professional.exe beagle.exe belt.exe bidef.exe bidserver.exe bipcp.exe bipcpevalsetup.exe bisp.exe blackd.exe blackice.exe blss.exe bootconf.exe bootwarn.exe borg2.exe bpc.exe brasil.exe bs120.exe bundle.exe bvt.exe ccapp.exe ccevtmgr.exe ccpxysvc.exe cdp.exe cfd.exe cfgwiz.exe cfiadmin.exe cfiaudit.exe cfinet.exe cfinet32.exe claw95cf.exe clean.exe cleaner.exe cleaner3.exe cleanpc.exe click.exe cmesys.exe cmgrdian.exe cmon016.exe connectionmonitor.exe cpd.exe cpf9x206.exe cpfnt206.exe ctrl.exe cv.exe cwnb181.exe cwntdwmo.exe datemanager.exe dcomx.exe defalert.exe defscangui.exe defwatch.exe deputy.exe divx.exe dllcache.exe dllreg.exe doors.exe dpf.exe dpfsetup.exe dpps2.exe drwatson.exe drweb32.exe drwebupw.exe dssagent.exe dvp95.exe dvp95_0.exe ecengine.exe efpeadm.exe emsw.exe ent.exe esafe.exe escanhnt.exe escanv95.exe espwatch.exe ethereal.exe etrustcipe.exe evpn.exe exantivirus-cnet.exe exe.avxw.exe expert.exe explore.exe fameh32.exe fast.exe fch32.exe fih32.exe findviru.exe firewall.exe fnrb32.exe fprot.exe f-prot.exe f-prot95.exe fp-win.exe fp-win_trial.exe frw.exe fsaa.exe fsav.exe fsav32.exe fsav530stbyb.exe fsav530wtbyb.exe fsav95.exe fsgk32.exe fsm32.exe fsma32.exe fsmb32.exe f-stopw.exe gator.exe gbmenu.exe gbpoll.exe generics.exe gmt.exe guard.exe guarddog.exe hacktracersetup.exe hbinst.exe hbsrv.exe hotactio.exe hotpatch.exe htlog.exe htpatch.exe hwpe.exe hxdl.exe hxiul.exe iamapp.exe iamserv.exe iamstats.exe ibmasn.exe ibmavsp.exe icloadnt.exe icmon.exe icsupp95.exe icsuppnt.exe idle.exe iedll.exe iedriver.exe iexplorer.exe iface.exe ifw2000.exe inetlnfo.exe infus.exe infwin.exe init.exe intdel.exe intren.exe iomon98.exe istsvc.exe jammer.exe jdbgmrg.exe jedi.exe kavlite40eng.exe kavpers40eng.exe kavpf.exe kazza.exe keenvalue.exe kerio-pf-213-en-win.exe kerio-wrl-421-en-win.exe kerio-wrp-421-en-win.exe kernel32.exe killprocesssetup161.exe launcher.exe ldnetmon.exe ldpro.exe ldpromenu.exe ldscan.exe lnetinfo.exe loader.exe localnet.exe lockdown.exe lockdown2000.exe lookout.exe lordpe.exe lsetup.exe luall.exe luau.exe lucomserver.exe luinit.exe luspt.exe mapisvc32.exe mcagent.exe mcmnhdlr.exe mcshield.exe mctool.exe mcupdate.exe mcvsrte.exe mcvsshld.exe md.exe mfin32.exe mfw2en.exe mfweng3.02d30.exe mgavrtcl.exe mgavrte.exe mghtml.exe mgui.exe minilog.exe mmod.exe monitor.exe moolive.exe mostat.exe mpfagent.exe mpfservice.exe mpftray.exe mrflux.exe msapp.exe msbb.exe msblast.exe mscache.exe msccn32.exe mscman.exe msconfig.exe msdm.exe msdos.exe msiexec16.exe msinfo32.exe mslaugh.exe msmgt.exe msmsgri32.exe mssmmc32.exe mssys.exe msvxd.exe mu0311ad.exe mwatch.exe n32scanw.exe nav.exe navap.navapsvc.exe navapsvc.exe navapw32.exe navdx.exe navlu32.exe navnt.exe navstub.exe navw32.exe navwnt.exe nc2000.exe ncinst4.exe ndd32.exe nec.exe neomonitor.exe neowatchlog.exe netarmor.exe netd32.exe netinfo.exe netmon.exe netscanpro.exe netspyhunter-1.2.exe netstat.exe netutils.exe nisserv.exe nisum.exe nmain.exe nod32.exe normist.exe norton_internet_secu_3.0_407.exe notstart.exe npf40_tw_98_nt_me_2k.exe npfmessenger.exe nprotect.exe npscheck.exe npssvc.exe nsched32.exe nssys32.exe nstask32.exe nsupdate.exe nt.exe ntrtscan.exe ntxconfig.exe nui.exe nupgrade.exe nvarch16.exe nvc95.exe nvsvc32.exe nwinst4.exe nwservice.exe nwtool16.exe ollydbg.exe onsrvr.exe optimize.exe ostronet.exe otfix.exe outpost.exe outpostinstall.exe outpostproinstall.exe padmin.exe panixk.exe patch.exe pavcl.exe pavproxy.exe pavsched.exe pavw.exe pcfwallicon.exe pcip10117_0.exe pcscan.exe pdsetup.exe periscope.exe persfw.exe perswf.exe pf2.exe pfwadmin.exe pgmonitr.exe pingscan.exe platin.exe pop3trap.exe poproxy.exe popscan.exe portdetective.exe portmonitor.exe powerscan.exe ppinupdt.exe pptbc.exe ppvstop.exe prizesurfer.exe prmt.exe prmvr.exe procdump.exe processmonitor.exe procexplorerv1.0.exe programauditor.exe proport.exe protectx.exe pspf.exe purge.exe qconsole.exe qserver.exe rapapp.exe rav7.exe rav7win.exe rav8win32eng.exe ray.exe rb32.exe rcsync.exe realmon.exe reged.exe regedit.exe regedt32.exe rescue.exe rescue32.exe rrguard.exe rshell.exe rtvscan.exe rtvscn95.exe rulaunch.exe run32dll.exe rundll.exe rundll16.exe ruxdll32.exe safeweb.exe sahagent.exe save.exe savenow.exe sbserv.exe sc.exe scam32.exe scan32.exe scan95.exe scanpm.exe scrscan.exe setup_flowprotector_us.exe setupvameeval.exe sfc.exe sgssfw32.exe sh.exe shellspyinstall.exe shn.exe showbehind.exe smc.exe sms.exe smss32.exe soap.exe sofi.exe sperm.exe spf.exe sphinx.exe spoler.exe spoolcv.exe spoolsv32.exe spybotsd.exe spysweeper.exe spywareblaster.exe spyxx.exe srexe.exe srng.exe ss3edit.exe ssg_4104.exe ssgrate.exe st2.exe start.exe stcloader.exe supftrl.exe support.exe supporter5.exe svc.exe svchostc.exe svchosts.exe svshost.exe swdoctor.exe sweep95.exe sweepnet.sweepsrv.sys.swnetsup.exe symproxysvc.exe symtray.exe sysedit.exe system.exe system32.exe sysupd.exe taskmg.exe taskmgr.exe taskmo.exe taskmon.exe taumon.exe tbscan.exe tc.exe tca.exe tcm.exe tds2-nt.exe tds-3.exe teatimer.exe teekids.exe tfak.exe tfak5.exe tgbob.exe titanin.exe titaninxp.exe tracert.exe trickler.exe trjscan.exe trjsetup.exe trojantrap3.exe tsadbot.exe tvmd.exe tvtmd.exe undoboot.exe updat.exe update.exe upgrad.exe utpost.exe vbcmserv.exe vbcons.exe vbust.exe vbwin9x.exe vbwinntw.exe vcsetup.exe vet32.exe vet95.exe vettray.exe vfsetup.exe vir-help.exe virusmdpersonalfirewall.exe vnlan300.exe vnpc3000.exe vpc32.exe vpc42.exe vpfw30s.exe vptray.exe vscan40.exe vscenu6.02d30.exe vsched.exe vsecomr.exe vshwin32.exe vsisetup.exe vsmain.exe vsmon.exe vsstat.exe vswin9xe.exe vswinntse.exe vswinperse.exe w32dsm89.exe w9x.exe watchdog.exe webdav.exe webscanx.exe webtrap.exe wfindv32.exe whoswatchingme.exe wimmun32.exe win32.exe win32us.exe winactive.exe win-bugsfix.exe window.exe windows.exe wininetd.exe wininit.exe wininitx.exe winlogin.exe winmain.exe winnet.exe winppr32.exe winrecon.exe winservn.exe winssk32.exe winstart.exe winstart001.exe wintsk32.exe winupdate.exe wkufind.exe wnad.exe wnt.exe wradmin.exe wrctrl.exe wsbgate.exe wupdater.exe wupdt.exe wyvernworksfirewall.exe xpf202en.exe zapro.exe zapsetup3001.exe zatutor.exe zonalm2601.exe zonealarm.exe Evita enviarse a direcciones electrónicas que contengan las siguientes cadenas: abuse antivir avast avg avira bitdefender clamav drweb etrust ewido fcnz fortinet f-prot ikarus kaspersky mcafee nod32 norman panda secur sophos spm symantec thehacker vba32 www * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Policies \System 3. Haga clic en la carpeta "System" y en el panel de la derecha, busque y borre la siguiente entrada: DisableTaskMgr = "4" 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. Cierre el editor del registro. 9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Adware.Toolbar.SearchColours. Modifica el sistema _____________________________________________________________ http://www.vsantivirus.com/adware-toolbar-searchcolours.htm Nombre: Adware.Toolbar.SearchColours Nombre NOD32: Win32/Adware.Toolbar.SearchColours Tipo: Caballo de Troya (adware) Alias: Adware.Toolbar.SearchColours, Adware.Agent.AT, Adware/Agent.at, Adware/VSToolbar, Application/VSToolbar, not-a-virus:AdWare.Win32.Agent.at, TR/Agent.ACL.1, Trojan.Agent.ACL, Trojan.Agent.gzu, Trojan.Win32.Agent.4910, Trojan/Worm, W32/Smalltroj.NYS, Win32/Adware.Toolbar.SearchColours, Win32/Toy.A!Trojan Fecha: 20/nov/06 Actualizado: 19/dic/06 Plataforma: Windows 32-bit Tamaño: 88,340 bytes (variable) Se trata de un adware que despliega anuncios publicitarios y modifica la configuración de seguridad de la zona de Sitios de confianza y otras del Internet Explorer, sin el consentimiento del usuario. Los cambios en el sistema, incluyen barras de herramientas y agregados al canal Winsock Layered Service Provider. LSP (Layered Service Provider o Proveedor de Servicio por Niveles), es un controlador del sistema que está íntimamente relacionado con los servicios de red de Windows. Tiene acceso a todos los datos que entran y salen de la computadora, así como la posibilidad de modificarlos. Si bien es normal su utilización para permitir que Windows se conecte a otros equipos, incluyendo Internet, existen parásitos (spywares y adwares como éste), que también pueden instalarse como un LSP, obteniendo así acceso a toda la información que se transmite. Esto permite redirigir todas las conexiones de red y otros cambios que repercuten en la estabilidad y rendimiento de la conexión a Internet y del propio sistema operativo. Los siguientes archivos pueden ser creados en el sistema (entre otros): [nombre al azar].exe buxmjoal.exe dalacsof.exe hootpeap.exe kvbbhncy.exe mjifagpv.exe mlqavbws.exe petwxbtk.exe xnuankjy.exe No se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. * Reparación manual * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. Seleccione el menú desplegable "Edición", "Buscar", y escriba en la ventana "Buscar" que será desplegada el nombre del archivo .EXE detectado en el punto 3 del ítem "Antivirus"). 3. Haga clic en el botón "Buscar siguiente". La búsqueda puede darle el siguiente resultado: (Predeterminado) = [nombre y camino del troyano] 4. En este caso, tome nota de la clave CLSID relacionada anterior a dicha entrada (la clave CLSID es la carpeta con un nombre del tipo {????????-????-????-????-????????????}, donde los ???? representan caracteres hexadecimales). Por ejemplo: HKEY_CLASSES_ROOT \CLSID \{5526B4C6-63D6-41A1-9783-0FABF529859A} \InProcServer32 (Predeterminado) = [nombre y camino del troyano] 5. Tome nota de la carpeta {????????-????-????-????- ????????????} y luego bórrela (en el ejemplo {5526B4C6-63D6- 41A1-9783-0FABF529859A}). 6. En el editor del registro haga clic en "Mi PC" de la ventana de la izquierda. 7. Seleccione el menú desplegable "Edición", "Buscar", y escriba en la ventana "Buscar" que será desplegada la clave CLSID obtenida en el punto anterior: {????????-????-????-????-????????????} 8. Haga clic en el botón "Buscar siguiente" y borre todas las apariciones de dicha clave (borre todas las carpetas y otras entradas que se llamen {????????-????-????-????- ????????????}, donde los ???? representan caracteres hexadecimales. 9. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Internet Settings \ZoneMap \Domains 10. Haga clic en la carpeta "Domains", y busque y borre la siguiente subcarpeta: searchcolours.com 11. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 12. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 13. Cierre el editor del registro. 14. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar la configuración por defecto del Internet Explorer: 1. Seleccione Herramientas, Opciones de Internet en el IE. 2. Seleccione la lengüeta "Programas". 3. Haga clic en "Restablecer configuración Web..." 4. Haga clic en "Aceptar". * Restaurar "Zonas de seguridad" al nivel predeterminado. 1. Seleccione en el Panel de control, el icono "Opciones de Internet". 2. Pinche en la lengüeta "Seguridad", y luego en "Internet". 3. Haga clic en el botón "Nivel predeterminado", y luego en el botón "Aplicar" 4. Reitere el paso "3" en "Intranet local", "Sitios de confianza" y "Sitios restringidos". 5. Haga clic en "Aceptar". NOTA: Se recomienda luego, configurar el Internet Explorer como se explica en el siguiente artículo: Configuración personalizada para hacer más seguro el IE http://www.vsantivirus.com/faq-sitios-confianza.htm * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer 1. Cierre todas las ventanas del Internet Explorer abiertas 2. Seleccione "Mi PC", "Panel de control". 3. Haga clic en el icono "Opciones de Internet". 4. Seleccione la lengüeta "Programas". 5. Haga clic en el botón "Restablecer configuración Web" 6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI. 7. Haga clic en "Aceptar". * Cambiar la página de inicio del Internet Explorer Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o haga clic en "Página en blanco"). O navegue hacia una página de su agrado, haga clic en Herramientas, Opciones de Internet, General, y finalmente haga clic en "Usar actual". * Cambiar las páginas de búsqueda del Internet Explorer 1. Inicie el Internet Explorer. 2. Haga clic en el botón "Búsqueda" de la barra de herramientas. 3. En el panel que se despliega (Nuevo, Siguiente, Personalizar), seleccione "Personalizar". 4. Asegúrese de marcar "Utilizar el asistente de búsqueda" (Use Search Assistant). 5. Haga clic en el botón "Reiniciar" (Reset). 6. Haga clic en el botón "Configuración de Autosearch" (Autosearch Settings). 7. Elija un proveedor de búsquedas en el menú (Search Provider). 8. Seleccione "Aceptar" hasta salir de todas las opciones. * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - Flooder.ICMP.ICMPBomb.A. Herramienta para ataques _____________________________________________________________ http://www.vsantivirus.com/flooder-icmp-icmpbomb-a.htm Nombre: Flooder.ICMP.ICMPBomb.A Nombre NOD32: Win16/Flooder.ICMP.ICMPBomb.A Tipo: Caballo de Troya Alias: Flooder.ICMP.ICMPBomb.A, DDoS:Win16/ICMPBomb.A, DoS.ICMP.Bomber, FDOS.IcmpBomb.65280, FDoS-Icmp, FDoS- IcmpBomb, Not-A-Virus.NetTool.Win32.ICMPPing, TR/ICMP- Bomber.A, Trj/FDoS.ICMPbomb, Troj.FDoS-IcmpBomb, Troj/ICMPBomb-A, Trojan.ICMPBomb.A, W16/ICMPBomber!tr, Win16.Trojan.Icmp, Win16/Flooder.ICMP.ICMPBomb.A Actualizado: 20/dic/06 Plataforma: 16 y 32-bit Tamaño: 65,280 bytes Herramienta utilizada por usuarios maliciosos para provocar ataques de denegación de servicio (DoS) a blancos específicos. El programa, puede enviar cantidades masivas de paquetes ICMP (Internet Control Message Protocol o Protocolo de mensajes de control de Internet), durante un tiempo indeterminado, hasta provocar que el equipo o equipos atacados dejen de responder. ICMP es una extensión del Protocolo de Internet (IP), y permite generar mensajes de error, paquetes de prueba y mensajes informativos relacionados con IP. Básicamente, se usa para comprobar la existencia de la máquina consultada. Pueden disminuirse las consecuencias de este tipo de ataque con el uso de cortafuego configurado para bloquear este tipo de solicitud. Los siguientes archivos pueden indicar la presencia de esta herramienta: icmp.exe icmp bomber.exe * Reparación manual NOTA: Este tipo de troyano no infecta ni realiza modificaciones en el equipo en que se ejecuta. De todos modos, puede ser utilizado por otros malwares. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm http://www.vsantivirus.com/za.htm * Antivirus Actualice su antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute su antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Borrar archivos temporales 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar Archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Información adicional * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Mantenga actualizado su programa antivirus. De poco vale tener un antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. De todos modos, hoy en día las actualizaciones de la mayoría de los fabricantes son diarias y automáticas. Si tiene un producto que no se actualiza automáticamente, piense seriamente en cambiarlo. 2) No abra ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Tampoco haga clic en enlaces sugeridos en aquellos correos o mensajes instantáneos que no solicitó. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Manténgase informado de cómo operan los virus, y de las novedades sobre éstos, alertas y anuncios críticos, en sitios como el nuestro. 4) No descargue nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceda como con los archivos adjuntos. Cópielos a una carpeta y revíselos con su antivirus debidamente actualizado, antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No 2327 Año 10, jueves 21 de diciembre de 2006