Mostrando mensaje 307     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1258 Año 8, miércoles 17 de diciembre de 2003 Fecha: Miercoles, 17 de Diciembre, 2003  03:18:40 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1258 Año 8, miércoles 17 de diciembre de 2003 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Fallo en Mensajero: más peligroso de lo pensado 2 - W32/Cayam.A. Asunto: Verify your eBay account information 3 - Back/UpRootKit.A. Recibe paquetes con comandos ocultos 4 - W32/Randex.BE. Se propaga por redes, se controla por IRC _____________________________________________________________ 1 - Fallo en Mensajero: más peligroso de lo pensado _____________________________________________________________ http://www.vsantivirus.com/17-12-03.htm Fallo en Mensajero: más peligroso de lo pensado Por Angela Ruiz angela@videosoft.net.uy Para Symantec, un potencial exploit para un agujero en el servicio Mensajero de Windows (Microsoft Windows Messenger Service), puede tener consecuencias mucho más severas de lo que se esperaba. Mientras que el gusano Slammer tuvo que atacar a cada sistema en forma individual, el exploit del Mensajero, permite a los piratas informáticos enviar un solo paquete para atacar a todos los sistemas en una red. El servicio de Mensajero es parte de Windows (NT, 2000, XP, Server 2003), y permite que los usuarios envíen un mensaje en una ventana emergente a otra computadora en la misma red. Esto también puede hacerse a cualquier otra máquina conectada a Internet con los mismos sistemas operativos. Existe una vulnerabilidad en este servicio, que puede permitir la ejecución arbitraria de código en el sistema afectado, por un desbordamiento de búfer. Según los investigadores de Symantec, se han encontrado gran cantidad de métodos, todos diferentes, que cualquiera podría utilizar para explotar dicho fallo. Esto lo hace mucho más severo de cómo fue catalogado al principio. Oliver Friedrichs, encargado del equipo de respuesta de seguridad de Symantec, dice que cada sistema vulnerable en una red, podría potencialmente ser atacado o infectarse, si se desarrolla y utiliza el exploit en la forma de un gusano. El exploit en el servicio Mensajero, podría utilizarse para atacar servidores de bases de datos, como sucedió con el Slammer, así como cualquier equipo con Windows 2000, XP, NT y Server 2003. Para explotar el agujero, un pirata debe conectarse con cualquier sistema vulnerable a través de Internet, o de cualquier red. Mensajero utiliza los puertos TCP 135, 139, 445 y 593; UDP 135, 137 y 138; y otros puertos UDP en el rango de 1025 a 1035. Symantec recomienda cuatro maneras de protegerse contra esta vulnerabilidad. a. Un parche puede ser descargado de Microsoft (ver "MS03-043 Ejecución de código con el Mensajero (828035)", http://www.vsantivirus.com/vulms03-043.htm). b. Los administradores de redes, pueden bloquear los puertos afectados, que se indican más arriba. c. Los usuarios individuales pueden instalar un cortafuegos para uso personal, como el que incorpora Windows XP, u otro como ZoneAlarm, Outpost, etc. d. Se puede deshabilitar el servicio Mensajero como se indica a continuación: * Windows XP 1. Pinche Inicio, Panel de control (o Rendimiento y mantenimiento) 2. Seleccione las Herramientas administrativas 3. Haga doble clic sobre Servicios 4. Busque y seleccione "Messenger" o "Mensajero" 5. Seleccione botón derecho, Propiedades 6. Pinche en el botón de detener 7. Seleccione deshabilitarlo o dejarlo manual 8. Acepte los cambios * Windows 2000 1. Pinche en Inicio, Programas, Herramientas administrativas, Servicios 2. Busque y señale "Messenger" o "Mensajero" 3. Pinche con el botón derecho y seleccione Propiedades 4. Pinche en STOP o DETENER 5. Seleccione la opción para deshabilitarlo o ponerlo manual 6. Acepte los cambios * Windows NT 1. Pinche Inicio, Panel de control 2. Seleccione Servicios 3. Busque y señale "Messenger" o "Mensajero" 4. Seleccione botón derecho, Propiedades 5. Pinche en el botón de detener 6. Seleccione deshabilitarlo o dejarlo manual 7. Acepte los cambios * Relacionados: Microsoft quitará el servicio "Mensajero" de Windows http://www.vsantivirus.com/ev31-10-03.htm MS03-043 Ejecución de código con el Mensajero (828035) http://www.vsantivirus.com/vulms03-043.htm El nuevo SPAM ya es un gran negocio ("Message from ORLANDO FLORIDA") http://www.vsantivirus.com/spam-mensajeria.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - W32/Cayam.A. Asunto: Verify your eBay account information _____________________________________________________________ http://www.vsantivirus.com/cayam-a.htm Nombre: W32/Cayam.A Tipo: Gusano de Internet Alias: W32.HLLW.Cayam@mm Fecha: 16/dic/03 Plataforma: Windows 32-bit Tamaño: 35,840 bytes Puertos: TCP/25, TCP/80 Gusano escrito en Microsoft Visual Basic y comprimido con la utilidad UPX, que se envía en forma masiva a través del correo electrónico, a todos los contactos de la libreta de direcciones del Outlook y Outlook Express. También se propaga a través del KaZaa y del eMule, por las redes de intercambio de archivos P2P. El mensaje enviado tiene las siguientes características: Asunto: Verify your eBay account information Datos adjuntos: eBayVerify.exe Texto: Dear Ebay user, Dear valued eBay member, It has come to our attention that your eBay Billing Information records are out of date. That requires you to update the Billing Information If you could please take 5-10 minutes out of your online experience and update your billing records, you will not run into any future problems with eBay's online service. However, failure to update your records will result in account termination. Please update your records in maximum 24 hours. Once you have updated your account records, your eBay session will not be interrupted and will continue as normal. Failure to update will result in cancellation of service, Terms of Service (TOS) violations or future billing problems. Please open attachment to update your billing records. Thank you for your time! Marry Kimmel, Cuando se ejecuta, se copia en las siguientes ubicaciones: c:\windows\msfind32.exe c:\ebayverify.exe Crea las siguientes entradas en el registro, para autoejecutarse en cada reinicio del sistema: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run MSFind32 = c:\windows\msfind32.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce MSFind32 = c:\windows\msfind32.exe También se copia en las carpetas compartidas por defecto del KaZaa y del eMule (generalmente en c:\archivos de programa o c:\program files): \kazaa\my shared folder\mayacrack.exe \emule\incoming\3dsmaxcrack.exe Cuando se ejecuta, el gusano despliega una ventana falsa, en donde se le solicita al usuario ingresar datos como nombre de usuario (eBay User ID) y contraseña de acceso. Si acepta y pulsa en el botón [Sign], abre una página HTML también falsa, con un formulario y el logo de eBay. Allí se le pide al usuario ingresar sus datos personales, número de tarjeta de crédito, código de seguridad (CVV2, un código adicional de tres dígitos impreso en el reverso de algunas tarjetas, que no es registrado durante las transacciones), PIN, etc. Toda la información obtenida es enviada a determinadas direcciones de Internet. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro malware con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar las carpetas compartidas de programas P2P Es necesario deshabilitar la opción que permite compartir archivos del o los programas P2P instalados en su computadora, o podría fallar la limpieza del sistema. Para ello, siga las instrucciones del siguiente artículo: Cómo deshabilitar compartir archivos en programas P2P http://www.vsantivirus.com/deshabilitar-p2p.htm * Antivirus 1. Actualice sus antivirus con las últimas definiciones 2. Ejecútelos en modo escaneo, revisando todos sus discos 3. Borre los archivos detectados como infectados * Borrar los archivos creados por el gusano. * En Windows 95/98/Me/NT/2000 1. Seleccione Inicio, Buscar, Archivos o carpetas 2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas" 3. En "Nombre" ingrese (o corte y pegue), lo siguiente: msfind32.exe; ebayverify.exe; mayacrack.exe; 3dsmaxcrack.exe 4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados 5. Cierre la ventana de búsqueda 6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * En Windows XP 1. Seleccione Inicio, Buscar 2. Seleccione "Todos los archivos y carpetas" 3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente: msfind32.exe; ebayverify.exe; mayacrack.exe; 3dsmaxcrack.exe 4. Verifique que en "Buscar en:" esté seleccionado "C:" 5. Pinche en "Más opciones avanzadas" 6. Seleccione "Buscar en carpetas del sistema" 7. Seleccione "Buscar en subcarpetas" 8. Haga clic en "Búsqueda" y borre todos los archivos encontrados 9. Cierre la ventana de búsqueda 10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: MSFind32 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunOnce 5. Pinche en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: MSFind32 6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Habilitando la protección antivirus en KaZaa Desde la versión 2.0, KaZaa ofrece la opción de utilizar un software antivirus incorporado, con la intención de proteger a sus usuarios de la proliferación de gusanos que utilizan este tipo de programas. Habilitando la protección antivirus en KaZaa http://www.vsantivirus.com/kazaa-antivirus.htm * Sobre las redes de intercambio de archivos Si usted utiliza algún software de intercambio de archivos entre usuarios (P2P), debe ser estricto para revisar con dos o más antivirus actualizados, cualquier clase de archivo descargado desde estas redes antes de ejecutarlo o abrirlo en su sistema. En el caso que el programa incorpore alguna protección antivirus (como KaZaa), habilitarla es una opción aconsejada, pero los riesgos de seguridad en el intercambio de archivos siempre estarán presentes, por lo que se deben tener en cuenta las mismas precauciones utilizadas con cualquier otro medio de ingreso de información a nuestra computadora (correo electrónico, descargas de programas desde sitios de Internet, etc.). De cualquier modo, recuerde que la instalación de este tipo de programas, puede terminar ocasionando graves problemas en la estabilidad del sistema operativo. Debido a los riesgos de seguridad que implica, se desaconseja totalmente su uso en ambientes empresariales, donde además es muy notorio e improductivo el ancho de banda consumido por el programa. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Back/UpRootKit.A. Recibe paquetes con comandos ocultos _____________________________________________________________ http://www.vsantivirus.com/back-uprootkit-a.htm Nombre: Back/UpRootKit.A Tipo: Caballo de Troya Alias: Backdoor.Uprootkit, Backdoor.UpRootKit, Win32/UpRootKit.A, Back/UpRootKit.A, Backdoor.Uprootkit.cli Fecha: 13/dic/03 Plataforma: Windows 32-bit Tamaño: 49,152 bytes (servidor), 45,056 bytes (cliente) Caballo de Troya que permite a un atacante remoto, tomar el control total del equipo infectado. La existencia de un archivo llamado UPROOTKIT.EXE, puede indicar una posible infección. Cuando el troyano se ejecuta por primera vez (el servidor), se copia en la siguiente ubicación, y luego se ejecuta desde allí: c:\windows\system\uprootkit.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows como un servicio: HKLM\SYSTEM\CurrentControlSet\Services\UpRootKit Luego, permanece en memoria, permitiendo que un atacante se conecte al equipo infectado con el componente cliente, para realizar cualquiera de las siguientes acciones, entre otras posibles: º Listar todos los procesos en ejecución º Eliminar cualquier proceso que se esté ejecutando º Crear un shell remoto (una consola para ingresar otros comandos) º Iniciar o detener ataques de denegación de servicio (DoS), enviando paquetes SYN a un sitio Web determinado º Reiniciar o apagar el sistema El troyano es capaz de eludir cortafuegos que solo bloquean conexiones basados en los puertos, ya que envía y recibe paquetes ICMP, TCP, y UDP con comandos ocultos. Aunque no posee un mecanismo de propagación, debemos considerar que el mismo podría ser enviado en forma premeditada o accidental, por correo electrónico, o descargado de sitios maliciosos, o a través de redes P2P. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar cualquier conexión a Internet o una red Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza. * Buscar y detener el servicio (Windows XP): 1. Desde Inicio, Ejecutar, escriba SERVICES.MSC y pulse Enter. 2. En la lista de servicios busque "UpKiller's RootKit". 3. Haga doble clic sobre ese servicio, y pinche en el botón "Detener" si corresponde. 4. Cambie el "Tipo de inicio" a Manual. 5. Pinche en "Aceptar" y cierre la ventana de Servicios. 6. Reinicie la computadora. * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \UpRootKit 3. Pinche en la carpeta "UpRootKit" y bórrela. 4. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Antivirus Para la limpieza de este troyano, actualice sus antivirus con las últimas definiciones, y ejecútelos en modo escaneo, revisando todos sus discos. Luego borre los archivos detectados como infectados. Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores. Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora. En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras. Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el troyano. * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre los siguientes archivos: c:\windows\system\uprootkit.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - W32/Randex.BE. Se propaga por redes, se controla por IRC _____________________________________________________________ http://www.vsantivirus.com/randex-be.htm Nombre: W32/Randex.BE Tipo: Gusano de Internet Alias: W32.Randex.BE, W32/Sdbot.worm.gen.b, Backdoor.SdBot.gen Tamaño: 34,304 bytes Plataforma: Windows 32-bit Fecha: 15/dic/03 Puertos: TCP/20, TCP/113, TCP/445, TCP/1024, TCP/55808 NOTA: Debido a que los distintos fabricantes de antivirus, han añadido cada variante en diferentes momentos, suelen haber discrepancias respecto al nombre dado a cada versión. Esta versión del gusano, está programada con Microsoft Visual C++ y comprimida con la utilidad UPX. Se propaga a través de redes, copiándose a si mismo en los siguientes caminos: \admin$\system32\cecauia.exe \c$\winnt\system32\cecauia.exe Tiene capacidades de troyano, y puede recibir instrucciones desde un canal de IRC (Internet Relay Chat) específico. Una de esas instrucciones es la que ocasiona la propagación a través de los recursos mencionados. Cuando se ejecuta por primera vez, se copia en la siguiente ubicación: c:\windows\system\bmqnzkg.exe NOTA: "c:\windows\system" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x y ME, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system32" en Windows XP y Windows Server 2003). Un usuario remoto puede realizar las siguientes acciones: 1. NTSCAN: calcula direcciones IP al azar para seleccionar la computadora a infectar. Intenta autenticarse en cada dirección IP creada, usando diferentes contraseñas. Luego se copia a si mismo en las computadoras cuyas contraseñas de administrador sean débiles en la siguiente ubicación, donde [IP] es la dirección IP autenticada: \\[IP]\Admin$\system32\cecauia.exe \\[IP]\c$\winnt\system32\cecauia.exe 2. SYN: Realiza ataques del tipo "syn flood" utilizando paquetes SYN de 55808 bytes. 3. SYSINFO: Obtiene información de su víctima, tales como velocidad de la CPU, memoria disponible, etc. También intenta robar las llaves de registro de algunos conocidos juegos. Para ejecutar el gusano, crea una tarea programada, y también agrega las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Casdvqwa = bmqnzkg.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Casdvqwa = bmqnzkg.exe También agrega la siguiente entrada en el registro: HKLM\SOFTWARE\Microsoft\Ole EnableDCOM = "N" Finalmente se conecta a un canal de IRC específico para recibir instrucciones remotas. Entre ellas las que le permiten propagarse a otros recursos compartidos como vimos al principio. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar los recursos compartidos Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Antivirus 1. Actualice sus antivirus con las últimas definiciones 2. Ejecútelos en modo escaneo, revisando todos sus discos 3. Borre los archivos detectados como infectados * Borrar los archivos creados por el gusano. * En Windows 95/98/Me/NT/2000 1. Seleccione Inicio, Buscar, Archivos o carpetas 2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas" 3. En "Nombre" ingrese (o corte y pegue), lo siguiente: bmqnzkg.exe; cecauia.exe 4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados 5. Cierre la ventana de búsqueda 6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * En Windows XP 1. Seleccione Inicio, Buscar 2. Seleccione "Todos los archivos y carpetas" 3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente: bmqnzkg.exe; cecauia.exe 4. Verifique que en "Buscar en:" esté seleccionado "C:" 5. Pinche en "Más opciones avanzadas" 6. Seleccione "Buscar en carpetas del sistema" 7. Seleccione "Buscar en subcarpetas" 8. Haga clic en "Búsqueda" y borre todos los archivos encontrados 9. Cierre la ventana de búsqueda 10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Casdvqwa 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Casdvqwa 6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Ole 7. Pinche en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: EnableDCOM 8. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1258 Año 8, miércoles 17 de diciembre de 2003