Inicio > Mis eListas > vsantivirus > Mensajes
 Índice de Mensajes 
 Mensajes 16 al 35 
AsuntoAutor
VSantivirus No. 96 VSAntivi
VSantivirus No. 96 VSAntivi
VSantivirus No. 96 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 97 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
VSantivirus No. 98 VSAntivi
 << 16 ant. | 20 sig. >>
 
VSAntivirus
Página principal    Mensajes | Enviar Mensaje | Ficheros | Datos | Encuestas | Eventos | Mis Preferencias

Mostrando mensaje 32     < Anterior | Siguiente >
Responder a este mensaje
Asunto: VSantivirus No. 983 - Año 7 - Lunes 17 de marzo de 2003
Fecha:Lunes, 17 de Marzo, 2003  09:52:35 (-0300)
Autor:VSAntivirus.com <vsantivirus @...........com>


VSantivirus No. 983 - Año 7 - Lunes 17 de marzo de 2003
_____________________________________________________________

El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________

1 - Posibles ataques de denegación de servicio en Java
2 - W32/P2P.Tanked. Usa KaZaa e iMesh. Acceso remoto vía IRC
3 - VBS/Fourcourse. Intenta hacer una conexión telefónica
4 - W32/Pitchfork. Troyano de control remoto
_____________________________________________________________

1 - Posibles ataques de denegación de servicio en Java
_____________________________________________________________

http://www.vsantivirus.com/vul-java-null.htm

Posibles ataques de denegación de servicio en Java

Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy

Numerosas distribuciones de Java, como la versión JDK 1.4.1
JRE de Sun, poseen graves vulnerabilidades en algunos de sus
componentes que podrían ser explotados maliciosamente para
provocar al menos denegación de servicio, o sea, bloqueo de
la computadora afectada.

Aunque las fallas no son fáciles de explotar, el hecho que
las mismas sean de conocimiento público, aumentan los riesgos
de su implementación a través de código creado en forma
específica, o incluso distribuido a través de troyanos o
gusanos.

En teoría, estas fallas pueden ser explotadas en cualquier
entorno que posea activas las facilidades del uso de Java,
aunque presenta ciertas restricciones para llevarlas a cabo.

A pesar de ello, un atacante puede insertar un código que
cause el cuelgue de la máquina virtual Java instalada. Esto
puede hacerse también en el entorno de un servidor de
Internet, causando que éste quede fuera de servicio.

El applet conteniendo el código del exploit, también puede
reproducirse en cualquier navegador con las facilidades Java
activas. Eso incluye al Internet Explorer, Netscape
Navigator, Opera, etc.

Java DK 1.4.1 posee puntos de entradas a librerías nativas.
Estos puntos de entrada pueden ser llamados por medio de
parámetros. Si el valor de un objeto es puesto como nulo
(null), y la rutina nativa no prevé un control apropiado de
los valores nulos, la máquina Java puede entrar en un estado
indefinido que generalmente causa su cuelgue. En algunos
entornos, esto también puede colgar o volver inestable a todo
el sistema.

Una prueba de concepto de estas fallas han sido debatidas en
la reciente conferencia "Blackhat Windows Security 2003".

Aunque pueden ser llamadas desde una aplicación Java, en
principio su implementación podría estar restringida, al
requerirse el acceso local al sistema de archivos.

Sin embargo, en ocasiones las diferentes "classes" pueden ser
cargadas dinámicamente desde la red, y los archivos .JAR
estar infectados con el exploit en un Java servlet o una
página Java de un servidor. Aunque para esto último se
requiere el acceso al webroot, después de insertar el código
un atacante podría llamarlo vía http, causando la caída de la
máquina virtual.

Lo mencionado fue probado con éxito bajo Tomcat 4.1.18.
Incluso las restricciones vistas, podrían llegar a eludirse
mediante la acción de un troyano por ejemplo, al menos dentro
de algunos entornos.

A nivel de navegadores, utilizando Java Plugins con JDK 1.4.1
JRE e incluso JDK 1.3.1 de Sun, se ha causado en todas las
pruebas hechas, tanto bajo Linux como en Windows 32-bit, en
plataformas como Internet Explorer 5 y 6, Mozilla y
Konqueror, el cuelgue del software del navegador.


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

2 - W32/P2P.Tanked. Usa KaZaa e iMesh. Acceso remoto vía IRC
_____________________________________________________________

http://www.vsantivirus.com/tanked.htm

Nombre: W32/P2P.Tanked
Tipo: Gusano de Internet (P2P)
Alias: Worm.P2P.Tanked, Win32.Tank.14, W32.Kwbot.C.Worm,
Win32/Tank.Worm, Trojan.Win32.Pac
Variantes: Tanked.11, Tanked.13, Tanked.14
Fecha: 13/mar/03
Plataforma: Windows 32-bit
Tamaño: 100 Kb aprox.

Este gusano utiliza la red KaZaa de intercambio de archivos
entre usuarios (P2P, Peer-To-Peer), así como el iMesh.

Además, utiliza una rutina de acceso remoto vía una puerta
trasera (backdoor trojan), que se conecta a un canal de IRC
(Internet Relay Chat), y queda a la escucha de los comandos
enviados por el atacante, identificado como "master".

El gusano es un archivo en formato PE (Portable Executable)
de 32-bit, de 100 Kb, escrito en Microsoft Visual C++,
comprimido con la herramienta UPX, y encriptado con la
utilidad conocida como "Krypton".

Su código está basado en el "Troj/Slacker" (SDBot), ver:
http://www.vsantivirus.com/slacker-a.htm, y es similar a
"W32/Kwbot.C", ver: http://www.vsantivirus.com/kwbot-c.htm.

Si el usuario ejecuta un archivo infectado, descargado por
medio de alguna de las utilidades P2P mencionadas, el gusano
se activa y ejecuta su rutina de instalación.

Primero se copia a si mismo en el directorio System de
Windows con diferentes nombres, y luego se agrega al registro
para asegurarse su ejecución en cada nuevo reinicio de
Windows.

Los archivos copiados son:

  C:\Windows\System\cmd32.exe
  C:\Windows\System\system32.exe
  C:\Windows\System\winsys.exe

Y de acuerdo a la versión del gusano, crea también uno de los
siguientes archivos:

  C:\Windows\System\Tanked.11
  C:\Windows\System\Tanked.13
  C:\Windows\System\Tanked.14

"C:\Windows\System" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows
9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y
"C:\Windows\System32" en Windows XP).

Las claves agregadas al registro, de acuerdo al archivo
dependen de la versión del gusano:

Tanked.11:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  SystemSAS = system32.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  SystemSAS = system32.exe

Tanked.13:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  WinSys = winsys.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  WinSys = winsys.exe

Tanked.14:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  CMD = cmd32.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  CMD = cmd32.exe

El gusano se copia también en el directorio compartido del
KaZaa con los siguientes nombres:

  ACDSee 5.5.exe
  Ad-aware 6.5.exe
  Age of Empires 2 crack.exe
  Animated Screen 7.0b.exe
  Anno 1503_crack.exe
  AOL Instant Messenger.exe
  AquaNox2 Crack.exe
  Audiograbber 2.05.exe
  BabeFest 2003 ScreenSaver 1.5.exe
  Babylon 3.50b reg_crack.exe
  Battlefield1942_bloodpatch.exe
  Battlefield1942_keygen.exe
  Business Card Designer Plus 7.9.exe
  C&C Generals_crack.exe
  C&C Renegade_crack.exe
  Clone CD 5.0.0.3 (crack).exe
  Clone CD 5.0.0.3.exe
  Coffee Cup Free HTML 7.0b.exe
  Cool Edit Pro v2.55.exe
  Diablo 2 Crack.exe
  DirectDVD 5.0.exe
  DirectX Buster (all versions).exe
  DirectX InfoTool.exe
  DivX Video Bundle 6.5.exe
  Download Accelerator Plus 6.1.exe
  DVD Copy Plus v5.0.exe
  DVD Region-Free 2.3.exe
  FIFA2003 crack.exe
  Final Fantasy VII XP Patch 1.5.exe
  Flash MX crack (trial).exe
  FlashGet 1.5.exe
  FreeRAM XP Pro 1.9.exe
  GetRight 5.0a.exe
  Global DiVX Player 3.0.exe
  Gothic 2 licence.exe
  GTA 3 Crack.exe
  GTA 3 patch (no cd).exe
  Guitar Chords Library 5.5.exe
  Hitman_2_no_cd_crack.exe
  Hot Babes XXX Screen Saver.exe
  ICQ Lite (new).exe
  ICQ Pro 2003a.exe
  ICQ Pro 2003b (new beta).exe
  iMesh 3.6.exe
  iMesh 3.7b (beta).exe
  IrfanView 4.5.exe
  KaZaA Hack 2.5.0.exe
  KaZaA Lite (New).exe
  KaZaA Speedup 3.6.exe
  Links 2003 Golf game (crack).exe
  Living Waterfalls 1.3.exe
  Mafia_crack.exe
  Matrix Screensaver 1.5.exe
  MediaPlayer Update.exe
  mIRC 6.40.exe
  mp3Trim PRO 2.5.exe
  MSN Messenger 5.2.exe
  NBA2003_crack.exe
  Need 4 Speed crack.exe
  Nero Burning ROM crack.exe
  Netfast 1.8.exe
  Network Cable e ADSL Speed 2.0.5.exe
  Neverwinter_Nights_licence.exe
  NHL 2003 crack.exe
  Nimo CodecPack (new) 8.0.exe
  PalTalk 5.01b.exe
  Popup Defender 6.5.exe
  Pop-Up Stopper 3.5.exe
  QuickTime_Pro_Crack.exe
  Serials 2003 v.8.0 Full.exe
  SmartFTP 2.0.0.exe
  SmartRipper v2.7.exe
  Space Invaders 1978.exe
  Splinter_Cell_Crack.exe
  Steinberg_WaveLab_5_crack.exe
  Trillian 0.85 (free).exe
  TweakAll 3.8.exe
  Unreal2_bloodpatch.exe
  Unreal2_crack.exe
  UT2003_bloodpatch.exe
  UT2003_keygen.exe
  UT2003_no cd (crack).exe
  UT2003_patch.exe
  WarCraft_3_crack.exe
  Winamp 3.8.exe
  WindowBlinds 4.0.exe
  WinOnCD 4 PE_crack.exe
  WinZip 9.0b.exe
  Yahoo Messenger 6.0.exe
  Zelda Classic 2.00.exe

El gusano genera además un troyano de acceso remoto que se
conecta a través del IRC, y que permite que un atacante tome
el control de la máquina infectada. Abre para ello dos
puertos TCP y UDP al azar para conectarse con el atacante.

Queda entonces a la espera de comandos, utilizando su propio
canal de IRC. No es necesario que exista un cliente de IRC en
la máquina infectada.

Los comandos recibidos permiten al atacante remoto realizar
cualquiera de las siguientes acciones (se requiere
autentificación por contraseña):

1. Actualizar el virus descargándose una nueva versión
2. Enviar información acerca del equipo infectado (la
   velocidad de la CPU, memoria, sistema operativo, tipo de
   conexión a Internet, la IP local etc....)
3. Enviar información acerca de los programas instalados
4. Ejecutar comandos específicos de IRC, incluyendo ataques
   de otros usuarios en el servidor de chat.
5. Controlar el cliente IRC implementado en el propio gusano.
6. Enviar el troyano a través de otros canales de IRC,
   infectando a otros usuarios.
7. Descargar y ejecutar cualquier otra clase de archivos,
   incluso virus.
8. Realizar ataques de denegación de servicio (D.o.S) a un
   blanco seleccionado por el atacante.
9. Desinstalarse a si mismo del sistema infectado.

Cada variante del código del gusano, contiene uno de los
siguientes textos:

Tanked.11:

  T~Drone.11
  t69 [sd]v0.5b TankEd.11
  [sd]v0.5b TankEd.11 by [sd]

Tanked.13:

  T~Drone.13
  t69 [sd]v0.5b TankEd.13
  [sd]v0.5b TankEd.13 by [sd]

Tanked.14:

  T~Drone.14
  t69 [sd]v0.5b TankEd.14
  [sd]v0.5b TankEd.14 by [sd]


* Reparación manual

* Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este
programa, hasta haber quitado el gusano del sistema, para
prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: "Tools" >
"Options".

3. Deshabilite las carpetas compartidas (Shared Kazaa
folders) bajo la lengüeta "Traffic".

4. Pinche en "Aceptar", etc.


* Deshabilitar las carpetas compartidas en iMesh

1. Ejecute iMesh

2. Seleccione "Options" del menú "Preferences".

3. En la ventana de "Category" seleccione "Share" y desmarque
la casilla "Allow other users to view my shared files
option".

4. Seleccione el menú "Media Manager" y busque en la lista de
carpetas, todas las que tengan una casilla grisácea a la
derecha del nombre. Márquelas para que dejen de estar
grisáceas, y luego desmárquela para que quede en blanco.
Repítalo con todas las carpetas y subcarpetas que allí
encuentre.

5. Pinche en "Aceptar", etc.


* Antivirus

Para reparar la infección provocada por este virus, proceda
de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros

3. Borre los archivos detectados como infectados por el virus

4. Con el Explorador de Windows, borre los siguientes
archivos (no todos aparecen):

  C:\Windows\System\cmd32.exe
  C:\Windows\System\system32.exe
  C:\Windows\System\winsys.exe
  C:\Windows\System\Tanked.11
  C:\Windows\System\Tanked.13
  C:\Windows\System\Tanked.14
  C:\Windows\UserTemp\  [borre la carpeta "UserTemp"]

5. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

7. Pinche en la carpeta "RunServices" y en el panel de la
derecha busque y borre las siguientes entradas (aparece
normalmente una u otra):

  SystemSAS
  WinSys

8. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

9. Pinche en la carpeta "Run" y en el panel de la derecha
busque y borre las siguientes entradas (aparece normalmente
una u otra):

  SystemSAS
  WinSys

10. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \Software
  \krypton

11. Pinche en la carpeta "krypton" y bórrela.

12. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Kazaa
  \LocalContent

13. Pinche en la carpeta "LocalContent" y borre todos las
entradas del tipo:

  dir0 = 012345:C:\Windows\UserTemp
  dir1 = 012345:C:\Windows\UserTemp

14. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \iMesh
  \Client
  \LocalContent

15. Pinche en la carpeta "LocalContent" y borre todos las
entradas del tipo:

  dir0 = 012345:C:\Windows\UserTemp
  dir1 = 012345:C:\Windows\UserTemp

16. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

17. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Información adicional

* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

3 - VBS/Fourcourse. Intenta hacer una conexión telefónica
_____________________________________________________________

http://www.vsantivirus.com/fourcourse.htm

Nombre: VBS/Fourcourse
Tipo: Caballo de Troya en Visual Basic Script
Alias: Fourcourse, Trojan.VBS/Fourcourse
Fecha: 11/mar/03
Tamaño: 1586 bytes (dropper), 595 bytes (sysw32.vbs)

Consiste en dos scripts de Visual Basic. Cuando el principal
se ejecuta, el mismo actúa como dropper, liberando otro
archivo en VBS en el directorio raíz:

  C:\sysw32.vbs

Un archivo "dropper" tiene la capacidad de crear un virus e
infectar el sistema del usuario al ejecutarse. Cuando un
"dropper" es escaneado por un antivirus, generalmente no se
detectará un virus, porque el código viral no ha sido creado
todavía. El virus se crea en el momento que se ejecuta el
"dropper".

Una vez creado el archivo "sysw32.vbs", el troyano modifica
el registro de Windows para poder autoejecutarse en cada
reinicio del sistema:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  sys32 = C:\sysw32.vbs

Este archivo intenta discar a un número telefónico utilizando
en forma directa un puerto COM, siempre que la fecha actual
sea anterior al 1 de abril de 2003.

La propagación de este troyano está limitada, ya que no se
propaga automáticamente, aunque puede ser descargado de
alguna de las siguientes fuentes: correo electrónico, listas
de noticias (newsgroups), canales de IRC, y redes P2P como
KaZaa y otros.


* Reparación manual

* Deshabilitar las carpetas compartidas por programas P2P

Si utiliza un programa de intercambio de archivos entre
usuarios (KaZaa, Morpheus, iMesh, etc.), siga antes estas
instrucciones:

Cómo deshabilitar compartir archivos en programas P2P
http://www.vsantivirus.com/deshabilitar-p2p.htm


* Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


* Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el siguiente
archivo:

  C:\sysw32.vbs

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  sys32

4. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Información adicional

* Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus
no podrá ejecutarse. Para deshabilitar el WSH y para ver las
extensiones verdaderas de los archivos, recomendamos el
siguiente artículo:

Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script
Defender, utilidad que nos protege de la ejecución de
archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF,
.WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y
gusanos escritos en Visual Basic Script por ejemplo, ya no
nos sorprenderán.

Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".

3. Seleccione la lengüeta "Ver".

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".

En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema
operativo".

6. Pinche en "Aplicar" y en "Aceptar".


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

4 - W32/Pitchfork. Troyano de control remoto
_____________________________________________________________

http://www.vsantivirus.com/pitchfork.htm

Nombre: W32/Pitchfork
Tipo: Caballo de Troya
Alias: IRC-Pitchfork, Trojan.W32/Pitchfork@IRC
Tamaño: 29,336 bytes (944,968 bytes)
Plataforma: Windows 32-bit
Fecha: 9/mar/03

Este troyano se propaga a través de los canales de IRC,
instalado por un componente liberado por el gusano
W32/Deloder (ver: http://www.vsantivirus.com/deloder.htm).
Abre el puerto 6667 y queda a la espera de instrucciones de
un atacante remoto.

Cuando el instalador se ejecuta, el troyano se copia a sí
mismo en las carpetas "System" y "Fonts" de Windows:

  c:\windows\system\cygwin1.dll (944,968 bytes)
  c:\windows\fonts\rundll32.exe (29,336 bytes)

También crea una entrada en el registro de Windows para
autoejecutarse en próximos reinicios del sistema:

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  TaskMan = c:\windows\fonts\rundll32.exe

Una vez activo, el troyano intentará conectarse a los
siguientes servidores de IRC:

  cocket.bounceme.net
  cocket.dyn.nicolas.cx
  cocket.dynup.net
  cocket.getmyip.com
  cocket.gotdns.com
  cocket.ma.cx
  cocket.minidns.net
  cocket.mooo.com
  cocket.nailed.org
  cocket.orgdns.org
  cocket.phathookups.com
  cocket.pokemonfan.org
  cocket.staticcling.org

Una vez conectado, el troyano intentará infectar a todos
quienes se conecten a los mismos canales de IRC que frecuente
el usuario infectado.


* Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


* Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los
siguientes archivos:

  c:\windows\system\cygwin1.dll
  c:\windows\fonts\rundll32.exe

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".

Borre también los mensajes electrónicos similares al
descripto antes.


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  TaskMan

4. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Información adicional

* Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus
no podrá ejecutarse. Para deshabilitar el WSH y para ver las
extensiones verdaderas de los archivos, recomendamos el
siguiente artículo:

Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script
Defender, utilidad que nos protege de la ejecución de
archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF,
.WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y
gusanos escritos en Visual Basic Script por ejemplo, ya no
nos sorprenderán.

Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm


* El IRC y los virus

Se recomienda precaución al recibir archivos a través de los
canales de IRC. Sólo acepte archivos que usted ha pedido,
pero aún así, jamás los abra o ejecute sin revisarlos antes
con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar
respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su
configuración, funciones como "send" o "get" y comandos como
"/run" y "/dll". Si su software soporta cambiar la
configuración de "DCC" para transferencia de archivos,
selecciónelo para que se le pregunte siempre o para que
directamente se ignoren los pedidos de envío o recepción de
éstos.

Vea también:

Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".

3. Seleccione la lengüeta "Ver".

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".

En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema
operativo".

6. Pinche en "Aplicar" y en "Aceptar".


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

Pautas generales para mantenerse alejado de los virus
_____________________________________________________________

Recuerde estas pautas para mantener alejado de su computadora
cualquier riesgo de virus o troyanos:

1) Use regularmente un programa antivirus (nosotros siempre
recomendamos no confiar en uno solo, pero usar más de uno no
significa que debamos tenerlos a todos instalados,
simplemente ejecutamos esos antivirus en su opción de
escaneo, sobre la carpeta que contenga los archivos a
revisar). Y por supuesto, de nada vale usar algún antivirus
si no lo mantenemos actualizado con los upgrades, updates o
add-ons correspondientes. Actualmente, las actualizaciones
son diarias (AVP, Panda y otros) o al menos semanales. No
existen los "virus demasiados nuevos y sin antídotos", la
reacción de las casas de antivirus es inmediata en todos los
casos. Pero mejor pregúntese, si la suya también lo es a la
hora de actualizarse.

2) No abrir ningún mensaje ni archivo recibido a través del
correo  electrónico de fuentes desconocidas o muy poco
conocidas. En el caso de personas conocidas, se deben
igualmente tomar las precauciones correspondientes.
Asegurarse con esa persona del envío ("Melissa" y otros
pueden ser enviados por conocidos que ignoran estar mandando
el virus en sus mensajes), y nunca ejecutarlos, sino
guardarlos en una carpeta temporal y pasarle a esa carpeta
dos o tres antivirus actualizados antes de tomar la opción de
ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante
cualquier duda, simplemente se debe optar por borrar el
mensaje (y archivos adjuntos). Como se dice vulgarmente, "la
confianza mata al hombre", en este caso a la PC.

3) Estar informado de cómo operan los virus, y de las
novedades sobre estos, alertas y anuncios críticos, en sitios
como el nuestro.

4) No bajar nada de sitios Web de los que no tenga
referencias de seriedad, o que no sean medianamente
conocidos. Y si se bajan archivos, proceder como los archivos
adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres
antivirus actualizados antes de optar por ejecutarlos o
abrirlos.
_____________________________________________________________

Sobre este boletín
_____________________________________________________________

La distribución de este boletín es gratuita, y está amparada
bajo los derechos de Copyright registrados por Video Soft
(también los artículos publicados directamente en nuestra
página). Si usted desea usar esta información en cualquier
medio escrito o electrónico, puede hacerlo sin solicitarnos
el permiso respectivo, con la única condición de mencionar su
origen, y remitirnos un e-mail o ejemplar con la ubicación
donde se haga referencia al material usado que haya sido
sacado de este boletín o de la página de VSAntivirus.

Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas
registradas.

Los artículos de otros autores han sido incluidos de acuerdo
a la política de Copyright adoptada por cada uno de ellos, y
su inclusión en nuestro boletín se rige por dichas políticas,
sin embargo, para su uso en otro medio, se deberá solicitar
la debida autorización.-
_____________________________________________________________

Visite diariamente nuestra página. Puede bajar de allí las
versiones de evaluación actualizadas de los antivirus más
usados o que consideramos por nuestra experiencia más
confiables. No mantenemos ninguna relación comercial con
ninguna empresa productora de antivirus. El criterio de
selección solo pasa por nuestra experiencia diaria con
usuarios y clientes, a los que asesoramos y damos servicio
técnico.
_____________________________________________________________

Cualquier duda o comentario sobre esta lista de correo, envíe
un e-mail a cualquiera de estas direcciones:

jllopez@nativo.com
videosoft@videosoft.net.uy
_____________________________________________________________

VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com
_____________________________________________________________

Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta
Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja

También puede enviar un mensaje vacío a estas direcciones:

Altas: vsantivirus-alta@listas.vsantivirus.com
Bajas: vsantivirus-baja@listas.vsantivirus.com
_____________________________________________________________

VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________

VSantivirus No. 983 - Año 7 - Lunes 17 de marzo de 2003




 


Sitio creado y diseñado por VideoSoft
© 1996-2014

VSAntivirus y VSAyuda son servicios gratuitos de VideoSoft Computación
Bergalli 462, Maldonado - Uruguay - Tels. (598)4222 2935, (598)4223 5177