Inicio > Mis eListas > vsantivirus > Mensajes
 Índice de Mensajes 
 Mensajes 636 al 655 
AsuntoAutor
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 15 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
VSantivirus No. 16 VSAntivi
 << 20 ant. | 20 sig. >>
 
VSAntivirus
Página principal    Mensajes | Enviar Mensaje | Ficheros | Datos | Encuestas | Eventos | Mis Preferencias

Mostrando mensaje 611     < Anterior | Siguiente >
Responder a este mensaje
Asunto: VSantivirus No. 1562 Año 8, sábado 16 de octubre de 2004
Fecha:Sabado, 16 de Octubre, 2004  04:48:09 (-0200)
Autor:VSAntivirus.com <vsantivirus @...........com> 


VSantivirus No. 1562 Año 8, sábado 16 de octubre de 2004
_____________________________________________________________

El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________

1 - El Darby se propaga por MSN Messenger, AIM, Yahoo e ICQ
2 - W32/Flooder.VB.AB. Se disfraza de carpeta
3 - Adware/SearchAid. Modifica páginas de Inicio y búsqueda
4 - W32/Forbot.NBK. Se copia como "mvsecn.exe"
5 - W32/Forbot.BJ. Se copia como "windowsupdate.exe"
6 - W32/Forbot.BI. Se copia como "systemproc.exe"
_____________________________________________________________

1 - El Darby se propaga por MSN Messenger, AIM, Yahoo e ICQ
_____________________________________________________________

http://www.vsantivirus.com/16-10-04.htm

El Darby se propaga por MSN Messenger, AIM, Yahoo e ICQ

Por Jose Luis Lopez
videosoft@videosoft.net.uy

Algunos usuarios nos han estado reportando en las últimas
horas, la aparición de extraños mensajes recibidos mientras
utilizan programas de mensajería instantánea, como MSN
Messenger, AOL Instant Messenger, Yahoo Messenger o ICQ.

Estos mensajes piden al usuario que visite un sitio o enlace
determinado. Los siguientes son algunos ejemplos de los
mismos:

  Mira esta foto [dirección] capaz te interese

  Mira esta pagina [dirección] capaz te interese

  Mira esta web [dirección] capaz te interese

Sin embargo, no se trata de un nuevo gusano, sino del Darby.M
(y sus variantes posteriores), que poseen la capacidad de
propagarse a través de mensajes enviados desde sitios
infectados en forma de spam, o a través de las aplicaciones
de mensajería instantánea mencionadas antes.

Si el usuario hace clic en el enlace ofrecido, corre el
riesgo de descargar un troyano de IRC, que es grabado  como
GEDBOT.EXE (o SVHOST.EXE), en la carpeta de Windows y luego
ejecutado.

El sitio indicado en el mensaje, puede ser alguno de los
siguientes:

  http:/ /hosting .mixcat .com/interserv7
  http:/ /interserv1 .thefreebizhost .com
  http:/ /interserv10 .i-networx .de
  http:/ /interserv5 .thefreebizhost .com
  http:/ /interserv6 .mysitespace .com
  http:/ /interserv9 .t35 .com
  http:/ /n .1asphost .com/interserv8
  http:/ /www .iespana .es/interserv4

Los usuarios deben tener en cuenta que JAMAS se debe hacer
clic sobre enlaces recibidos en mensajes que no hayan sido
solicitados, sin importar su remitente. Esto incluye no solo
el correo electrónico, sino también las aplicaciones de
mensajería instantánea, programas de chat, etc.

Darby.M (detectado como Darby.G por algunos antivirus), fue
detectado por primera vez el 5 de octubre de 2004. Las
variantes N, O, NAA y P, con ligeras modificaciones para
intentar eludir la detección de algunos antivirus, fueron
reportadas todas durante la semana siguiente a dicha fecha.

Más información sobre el gusano Darby:

W32/Darby.M. Gusano con mensajes en español
http://www.vsantivirus.com/darby-m.htm

W32/Darby.N. Gusano con mensajes en español
http://www.vsantivirus.com/darby-n.htm

W32/Darby.O. Gusano con mensajes en español
http://www.vsantivirus.com/darby-o.htm

W32/Darby.NAA. Gusano con mensajes en español
http://www.vsantivirus.com/darby-naa.htm

W32/Darby.P. Gusano con mensajes en español
http://www.vsantivirus.com/darby-p.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

2 - W32/Flooder.VB.AB. Se disfraza de carpeta
_____________________________________________________________

http://www.vsantivirus.com/flooder-vb-ab.htm

Nombre: W32/Flooder.VB.AB
Nombre Nod32: Win32/Flooder.MailSpam.VB.AB
Tipo: Gusano de Internet
Alias: Win32:Trojan-gen. {VB}, TR/Flood.VB.f,
Flooder.MailSpam.VB.f, Trojan.Flooder.MailSpam.VB.F,
FDOS.Liammap, Generic FDoS.b, Trojan.Malware.Flooder,
Hacktool, Flooder/Liammap.A, Flooder:MailSpam.VB.F, Troj/VB-
F, W32/Traxg-B, WORM_VB.F
Fecha: 15/oct/04
Plataforma: Windows 32-bit
Tamaño: 57,344 bytes

Gusano que se propaga por correo electrónico. Su ejecutable
se muestra con un icono similar al de las carpetas de
Windows, lo que hace más fácil que un usuario haga doble clic
sobre él, al intentar ver su contenido.

Al ejecutarse, crea varias copias de si mismo, en numerosas
ubicaciones, y con nombres generados al azar.

Modifica las siguientes entradas en el registro para
autoejecutarse en cada reinicio de Windows:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  TempCom = [Nombre del archivo]

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  TempCom = C:\Windows\Fonts\[Nombre aleatorio].com

El gusano también modifica las siguientes entradas del
registro, para ocultar su presencia en el sistema:

  HKCU\Software\Microsoft\Windows
  \CurrentVersion\Explorer\Advanced
  Hidden = 0
  HideFileExt = 1
  Hidden = dword:00000000
  SuperHidden = dword:00000001
  HideFileExt = dword:00000001

  HKCU\Software\Microsoft\Windows
  \CurrentVersion\Explorer\CabinetState
  FullPath = dword:00000001

Crea también el siguiente archivo:

  c:\folder.htt

El gusano se envía a direcciones de correo obtenidas de la
máquina infectada, utilizando el Microsoft Outlook y Outlook
Express.


* Reparación manual

* Antivirus

Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:

  Cómo iniciar su computadora en Modo a prueba de fallos.
  http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.

3. Borre los archivos detectados como infectados.


* Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \Explorer
  \Advanced

3. Pinche en la carpeta "Advanced", y en el panel de la
derecha, modifique las siguientes entradas para que contengan
los siguientes valores:

  Hidden = 1
  HideFileExt = 0
  Hidden = dword:00000001
  SuperHidden = dword:00000000
  HideFileExt = dword:00000000

4. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \Explorer
  \CabinetState

5. Pinche en la carpeta "CabinetState", y en el panel de la
derecha, modifique la siguiente entrada para que contenga el
siguiente valor:

  FullPath = dword:00000000

6. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

7. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  TempCom

8. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

9. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Información adicional

* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y haga clic en
'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.

6. Haga clic en 'Aplicar' y en 'Aceptar'.


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

3 - Adware/SearchAid. Modifica páginas de Inicio y búsqueda
_____________________________________________________________

http://www.vsantivirus.com/searchaid.htm

Nombre: Adware/SearchAid
Nombre Nod32: Win32/Adware.SearchAid (varios)
Tipo: Parásito, Caballo de Troya (Adware)
Alias: SearchAid, AdvWare.WinShow.a, AdvWare.WinShow.b,
Adware.Iefeats, Adware.MainSearch, Adware.NetOptimizer,
Adware.Searchaid.A, Adware.Searchaid.C, Adware.Searchaid.E,
Adware.Winshow, Adware/SearchAid, Adware/SearchHook,
Adware/ShowSearch, Adware-SearchAid, Adware-Showsearch,
Bck/Agent.J, Clicker.AC, Download.Adware, Download.Trojan,
Downloader.Agent.2.AT, Downloader.Agent.2.AU,
Downloader.Agent.2.E, Downloader.Agent.2.G,
Downloader.Agent.2.H, Downloader.Agent.2.I,
Downloader.Agent.2.J, Downloader.Agent.2.Q,
Downloader.Agent.2.X, Downloader.Agent.2.Y,
Downloader.Agent.2.Z, Downloader.Agent.BA,
Downloader.Agent.BF, Downloader.Agent.BG,
Downloader.Agent.BH, Downloader.Agent.BI,
Downloader.Agent.BJ, Downloader.Agent.BK,
Downloader.Agent.BM, Downloader.Agent.BN,
Downloader.Agent.BO, Downloader.Agent.BQ,
Downloader.Agent.BT, Downloader.Esepor.AA,
Downloader.Petrolin.C, Downloader.Small.4.A,
Downloader.Small.6.BJ, Downloader.Small.7.BE,
Downloader.Small.7.BG, Downloader.Winshow.AA,
Downloader.Winshow.AB, Downloader.Winshow.AC,
Downloader.Winshow.AD, Downloader.Winshow.AE,
Downloader.Winshow.AF, Downloader.Winshow.AG,
Downloader.Winshow.AI, Downloader.Winshow.AK,
Downloader.Winshow.AL, Downloader.Winshow.AO,
Downloader.Winshow.AS, Downloader.Winshow.AT,
Downloader.Winshow.N, Downloader.Winshow.P,
Downloader.Winshow.Q, Downloader.Winshow.R,
Downloader.Winshow.S, Downloader.Winshow.T,
Downloader.Winshow.V, Downloader.Winshow.W,
Downloader.Winshow.X, Downloader.Winshow.Y,
Downloader.Winshow.Z, Downloader.Wintrim.2.H,
Downloader.Wintrim.2.J, JS.Winshow.U, PMS/stroyIn, StartPage-
CM, TR/Click.Exploide.L, TR/Dldr.Agent.AN,
TR/Dldr.Agent.AN.1, TR/Dldr.Agent.AN.2, TR/Dldr.Agent.AN.3,
TR/Dldr.Agent.AP, TR/Dldr.Agent.AP.1, TR/Dldr.Agent.AP.2,
TR/Dldr.Agent.AP.3, TR/Dldr.Agent.Z, TR/Dldr.Agent.Z.1,
TR/Dldr.Agent.Z.2, TR/Dldr.Agent.Z.4, TR/Dldr.WinSh.AC.03,
TR/Dldr.WinSh.AC.07, TR/Dldr.WinSh.AC.09,
TR/Dldr.WinSho.AF.3, TR/Dldr.WinSho.AF.4,
TR/Dldr.WinShow.R.1, TR/Dldr.WinShow.R.2,
TR/Dldr.WinShow.R.3, TR/Dldr.WinShw.AC.2, TR/Dldr.Wintrim.BE,
TR/Esepor.r, TR/IstBar.AM.5, TR/IstBar.AM.6,
TR/SPY.IcooLoader, TR/WinShow.n.Drp2, TR/WinShow.P.DLer,
TR/WinShow.T, Trj/Clicker.K, Trj/Downloader.FG,
Trj/Downloader.HV, Trj/Krepper.A, Trj/StartPage.IO, Troj/CWS-
B, Troj/Dloader-AB, Troj/Dloader-AC, Troj/Dloader-AE,
Troj/Dloader-AQ, Troj/Iefeat-A, Troj/Iefeat-H, Troj/Iefeat-I,
TROJ_AGENT.AE, TROJ_AGENT.AR, TROJ_AGENT.AS, TROJ_AGENT.BQ,
TROJ_AGENT.PA, TROJ_AGENT.RM, TROJ_AGENT.Z2, TROJ_AGENT.Z3,
TROJ_EMT.A, TROJ_ESEPOR.R, TROJ_ICOOL.A, TROJ_IEFEATS.A,
TROJ_POUTER.A, TROJ_STRTPAGE.RN, TROJ_WINSHOW.AG,
TROJ_WINSHOW.G, TROJ_WINSHOW.U, TROJ_WINSHOW.W,
TROJ_WINSHOW.Y, Trojan.Agent.Z, Trojan.Azat,
Trojan.Clicker.Exploider.L, Trojan.Clk.Exploider.C,
Trojan.DL.Agent.AY, Trojan.DL.Agent.AZ, Trojan.DL.Agent.BA,
Trojan.DL.Agent.BB, Trojan.DL.Agent.BD, Trojan.DL.Agent.BG1,
Trojan.DL.Agent.BH, Trojan.DL.Agent.BP, Trojan.DL.Agent.BQ,
Trojan.DL.Agent.BR, Trojan.DL.Agent.CC, Trojan.DL.Agent.CD,
Trojan.DL.Agent.CE, Trojan.DL.Small.JT1, Trojan.DL.Winshow.I,
Trojan.DL.WinShow.K, Trojan.DL.WinShow.L,
Trojan.DL.WinShow.M, Trojan.DL.WinShow.N,
Trojan.DL.WinShow.O, Trojan.DL.WinShow.P,
Trojan.Download.Feat, Trojan.DownLoader.20480,
Trojan.DownLoader.235, Trojan.DownLoader.374,
Trojan.DownLoader.468, Trojan.DownLoader.500,
Trojan.Downloader.Agent.AN, Trojan.Downloader.Agent.AP,
Trojan.Downloader.Agent.Ap, Trojan.Downloader.Agent.AQ,
Trojan.Downloader.Agent.Aw, Trojan.Downloader.Agent.Z,
Trojan.Downloader.Feat, Trojan.Downloader.Feats,
Trojan.Downloader.Geami, Trojan.Downloader.HQFeat.A,
Trojan.Downloader.IeFear.A, Trojan.Downloader.Small.LB,
Trojan.Downloader.Winjj.A, Trojan.Downloader.WinShow.AC,
Trojan.Downloader.WinShow.AF, Trojan.Downloader.WinShow.B,
Trojan.Downloader.WinShow.N, Trojan.Downloader.Winshow.Shp,
Trojan.Downloader.Wintrim.BE, Trojan.Esepor.R, Trojan.Feat,
Trojan.Feat.2, Trojan.Feats, Trojan.IeFear,
Trojan.StartPage.171, Trojan.Startpage.Conf.D,
Trojan.Startpage.Iesh, Trojan.Startpage.Inlr,
Trojan.Startpage.Q25, Trojan.Startpage.Shp,
Trojan.Trojandownloader.Agent.Al,
Trojan.Trojandownloader.Agent.Ap,
Trojan.Trojandownloader.Agent.Z,
Trojan.Trojandownloader.Small.Dq,
Trojan.Trojandownloader.Small.Lb,
Trojan.Trojandownloader.Small.Lb,
Trojan.Trojandownloader.Winshow.Ac,
Trojan.Trojandownloader.Winshow.Ae,
Trojan.Trojandownloader.Winshow.Af,
Trojan.Trojandownloader.Winshow.O,
Trojan.Trojandownloader.Winshow.P,
Trojan.Trojandownloader.Winshow.R,
Trojan.Trojandownloader.Winshow.T,
Trojan.Trojandownloader.Winshow.U,
Trojan.Trojandownloader.Winshow.Y,
Trojan.Trojandownloader.Winshow.Z,
Trojan.Trojandownloader.Wintrim.Be, Trojan.Vax,
Trojan.Win32.Small.ae, Trojan.Winshow, Trojan.Wintrim,
Trojan:Win32/IeFear, TrojanClicker.Win32.Exploider.l,
TrojanDownloader.Esepor, TrojanDownloader.Schaid,
TrojanDownloader.Win32.Agent.al,
TrojanDownloader.Win32.Agent.an,
TrojanDownloader.Win32.Agent.AN,
TrojanDownloader.Win32.Agent.ap,
TrojanDownloader.Win32.Agent.AP,
TrojanDownloader.Win32.Agent.aq,
TrojanDownloader.Win32.Agent.AQ,
TrojanDownloader.Win32.Agent.aw,
TrojanDownloader.Win32.Agent.bc,
TrojanDownloader.Win32.Agent.BC,
TrojanDownloader.Win32.Agent.z,
TrojanDownloader.Win32.Agent.Z,
TrojanDownloader.Win32.Esepor.r,
TrojanDownloader.Win32.Petrolin.a,
TrojanDownloader.Win32.Small.dq,
TrojanDownloader.Win32.Small.lb,
TrojanDownloader.Win32.Small.LB,
TrojanDownloader.Win32.WinShow,
TrojanDownloader.Win32.WinShow.ab,
TrojanDownloader.Win32.WinShow.ac,
TrojanDownloader.Win32.WinShow.ae,
TrojanDownloader.Win32.WinShow.af,
TrojanDownloader.Win32.WinShow.ag,
TrojanDownloader.Win32.WinShow.ah,
TrojanDownloader.Win32.WinShow.ai,
TrojanDownloader.Win32.WinShow.n,
TrojanDownloader.Win32.WinShow.o,
TrojanDownloader.Win32.WinShow.p,
TrojanDownloader.Win32.WinShow.q,
TrojanDownloader.Win32.WinShow.r,
TrojanDownloader.Win32.WinShow.t,
TrojanDownloader.Win32.WinShow.T,
TrojanDownloader.Win32.Winshow.u,
TrojanDownloader.Win32.WinShow.U,
TrojanDownloader.Win32.Winshow.v,
TrojanDownloader.Win32.WinShow.w,
TrojanDownloader.Win32.WinShow.W,
TrojanDownloader.Win32.WinShow.x,
TrojanDownloader.Win32.WinShow.y,
TrojanDownloader.Win32.WinShow.Y,
TrojanDownloader.Win32.WinShow.z,
TrojanDownloader.Win32.Wintrim.be,
TrojanDownloader.Win32.Wintrim.BE, TrojanDownloader.Winshow,
TrojanDownloader:Win32/Agent.AL,
TrojanDownloader:Win32/Agent.AN,
TrojanDownloader:Win32/Agent.AP,
TrojanDownloader:Win32/Agent.AQ,
TrojanDownloader:Win32/Agent.BC,
TrojanDownloader:Win32/Agent.Z,
TrojanDownloader:Win32/Esepor.R,
TrojanDownloader:Win32/IeFear,
TrojanDownloader:Win32/Petrolin.A,
TrojanDownloader:Win32/Small.LB,
TrojanDownloader:Win32/WinShow,
TrojanDownloader:Win32/WinShow.AC,
TrojanDownloader:Win32/WinShow.AG,
TrojanDownloader:Win32/WinShow.F,
TrojanDownloader:Win32/WinShow.G,
TrojanDownloader:Win32/WinShow.N,
TrojanDownloader:Win32/Winshow.P,
TrojanDownloader:Win32/WinShow.Q,
TrojanDownloader:Win32/WinShow.R,
TrojanDownloader:Win32/Winshow.U,
TrojanDownloader:Win32/WinShow.U1,
TrojanDownloader:Win32/WinShow.V,
TrojanDownloader:Win32/WinShow.X,
TrojanDownloader:Win32/WinShow.Z, W32/Agent.G,
W32/Agent.K@dl, W32/Agent.L@dl, W32/Agent.P@dl,
W32/Agent.R@dl, W32/Agent.U@dl, W32/Agent.V@dl,
W32/Agent.W@dl, W32/DLoader.AM, W32/DLoader.AN,
W32/DLoader.AV, W32/DLoader.BA, W32/DLoader.BC,
W32/SearchAid, W32/Sillydl.EK, W32/Sillydl.EQ, W32/Winshow.K,
W32/Winshow.L, Win32/Adware.SearchAid.C,
Win32/Adware.SearchAid.D, Win32.Shinwow!downloader,
Win32.Winshow, Win32.Winshow!downloader, Win32.Winshow.B,
Win32.Winshow.C, Win32.Winshow.D, Win32.Winshow.E,
Win32.Winshow.F, Win32.Winshow.G, Win32.Winshow.H,
Win32.Winshow.I, Win32.Winshow.J, Win32.Winshow.K,
Win32.Winshow.L, Win32.Winshow.M, Win32.Winshow.N,
Win32.Winshow.O, Win32.Winshow.Q, Win32.Winshow.R,
Win32.Winshow.T, Win32/Shinvow.Downloader.Trojan,
Win32/StartPage.IH, Win32/TrojanDownloader.Agent.AL1,
Win32/TrojanDownloader.Agent.AN,
Win32/TrojanDownloader.Agent.AN1,
Win32/TrojanDownloader.Agent.AN2,
Win32/TrojanDownloader.Agent.AN4,
Win32/TrojanDownloader.Agent.AN5,
Win32/TrojanDownloader.Agent.AP,
Win32/TrojanDownloader.Agent.AP1,
Win32/TrojanDownloader.Agent.AP2,
Win32/TrojanDownloader.Agent.BC,
Win32/TrojanDownloader.Agent.NAC,
Win32/TrojanDownloader.Agent.NAE,
Win32/TrojanDownloader.Agent.NAH,
Win32/TrojanDownloader.Agent.NAI,
Win32/TrojanDownloader.Agent.NAJ,
Win32/TrojanDownloader.Esepor.R,
Win32/TrojanDownloader.WinShow.AC,
Win32/TrojanDownloader.WinShow.NAA,
Win32/TrojanDownloader.WinShow.NAB,
Win32/TrojanDownloader.WinShow.NAD,
Win32/TrojanDownloader.WinShow.NAE,
Win32/TrojanDownloader.WinShow.NAG,
Win32/TrojanDownloader.WinShow.P,
Win32/TrojanDownloader.WinShow.Q,
Win32/TrojanDownloader.WinShow.R,
Win32/TrojanDownloader.WinShow.T,
Win32/TrojanDownloader.WinShow.U,
Win32/TrojanDownloader.WinShow.U1,
Win32/TrojanDownloader.WinShow.W,
Win32/TrojanDownloader.WinShow.X, Win32/WinShow.6656.Trojan,
Win32/WinShow.B.Trojan, Win32/WinShow.C.DLL.Trojan,
Win32/WinShow.DLL.Trojan, Win32/Winshow.F.Trojan,
Win32/Winshow.G.Trojan, Win32/Winshow.I.DLL.Trojan,
Win32/Winshow.L.Trojan, Win32/WinShow.M.Trojan,
Win32/WinShow.N.Trojan, Win32/WinShow.Trojan,
Win32/WinTrim.BE.DLL.Trojan, Win32:IEfeat-adware [Trj],
Win32:ISTbar-H [Trj], Win32:Trojan-gen. {Other},
Win32:Trojan-gen. {UPX!}, Win32:Trojano-165 [Trj],
Win32:Trojano-173 [Trj], Win32:Trojano-180 [Trj],
Win32:Trojano-181 [Trj], Win32:Trojano-193 [Trj]
Fecha: 14/oct/04
Plataforma: Windows 32-bit
Tamaño: variable

Se trata de una familia de troyanos que modifican la página
de inicio del navegador y su configuración de búsqueda, a los
efectos de controlar la descarga de publicidad. Los cambios
realizados en el sistema, comprometen el rendimiento general
de la navegación.

Se integra al Internet Explorer como un objeto del tipo BHO
(Browser Helper Object), de modo que sus comunicaciones con
el sitio que lo crea, no son interceptadas por el cortafuegos
al ejecutarse como parte del propio navegador (un objeto BHO
es un DLL que se adjunta a si mismo a cada nueva instancia
del Internet Explorer, pudiendo ejecutar eventos
predeterminados).

Se instala manualmente, o en forma clandestina como un
componente de otro programa.

Existen una gran cantidad de variantes, cada una con
diferentes archivos. Todas las variantes requieren un
ejecutable y un DLL para realizar sus funciones.

El ejecutable principal, que es descargado de Internet, se
ejecuta una sola vez, y descarga sus otros componentes desde
diferentes sitios web, por ejemplo:

  http:/ /www .75tz .com
  http:/ /www .iefeadsl .com
  http:/ /www .v61 .com

Cuando se ejecuta, modifica la página de inicio del Internet
Explorer para que cargue siempre una página de publicidad
predeterminada.

Cambia la configuración de las opciones de búsqueda, de modo
que cualquier petición hecha por el usuario, sea redirigida a
un servidor preestablecido.

Es posible que quitando este troyano, el programa asociado
deje de funcionar.

El archivo principal descarga y ejecuta otros archivos, que
son descargados de diferentes sitios de Internet durante el
proceso de instalación, y copiados en la carpeta System (o
System32). Cada variante puede descargar de 2 a 5
componentes. Esta es una lista de algunos de ellos:

  [nombre al azar].dll
  dict.dat
  dl.dat
  f2install.exe
  feat2.dll
  image.dll
  keywords.dat
  mshp.dll
  msiesh.dll
  msiesh.new
  msits.exe
  msopt.dll
  mssearch.dll
  service.exe
  submit2.exe
  submithook.dll
  sysda32.dll
  sysda32.new
  uninstall.exe
  uninstall.ini
  update.txt

El [nombre al azar], es generado con la combinación de las
siguientes cadenas más 2 o 3 letras al azar:

  32
  add
  api
  app
  atl
  cr
  d3
  ie
  ip
  java
  mfc
  ms
  net
  nt
  sys
  win

Por ejemplo: MSIESH.DLL, ADD32EF.DLL

El troyano usualmente no requiere la presencia del ejecutable
original una vez que se ha instalado en el sistema.

Según la versión, el troyano puede crear todas o algunas de
las siguientes entradas en el registro para autoejecutarse en
cada reinicio de Windows:

  HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
  Image = rundll32 [nombre del DLL],Install

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  Image = rundll32 [nombre del DLL],Install

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  Image = rundll32 [nombre del DLL],Install
  delsubmit = [ejecutable del troyano]

También crea las siguientes entradas para modificar la página
de inicio y la configuración de búsqueda, además de otros
datos para ejecutarse automáticamente (tenga en cuenta que no
todas las versiones modifican o crean todas estas opciones):

  HCU\Software\Microsoft\Windows\CurrentVersion\Explorer
  \{????????-????-????-????-????????????}

  HKCR\CLSID\{????????-????-????-????-????????????}
  (Predeterminado) = "ViewSource Class"

  HKCR\Image.Image

  HKCR\Image.Image.1

  HKCU\Software\Microsoft\Internet Explorer\Main
  Search Page = [sitio de Internet o archivo]
  Start Page = [sitio de Internet o archivo]
  Use Search Asst = no

  HKCU\Software\Microsoft\Internet Explorer\Search
  SearchAssistant= [sitio de Internet]

  HKCU\SOFTWARE\WinShow\

  HKLM\SOFTWARE\Classes\CLSID\
  {????????-????-????-????-????????????}

  HKLM\SOFTWARE\Classes\Image.Image

  HKLM\SOFTWARE\Classes\Image.Image.1

  HKLM\Software\Microsoft\Internet Explorer\Main
  Search Page= [sitio de Internet o archivo]

  HKLM\Software\Microsoft\Internet Explorer\Search
  Default_Search_URL= [sitio de Internet o archivo]

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\Explorer\Browser Helper Objects
  \{????????-????-????-????-????????????}

Luego de ejecutarse, puede descargar actualizaciones de si
mismo desde diferentes direcciones IP.

Algunas de las acciones posibles:

- Reemplaza los banners publicitarios que muestran los sitios
visitados, por otros de su creador.

- Monitorea toda actividad del usuario en Internet.

- Cambia la página de inicio del navegador.

- Descarga otros archivos en la computadora infectada, sin el
conocimiento del usuario.


* Cómo protegernos de los parásitos

¿Qué son los parásitos?. ¿Qué tipos de parásitos existen?.
¿Cómo llegan a nuestra computadora?. ¿Cómo protegernos de
ellos?. Toda la información relacionada la encuentra en el
siguiente artículo:

Parásitos en nuestra computadora
http://www.vsantivirus.com/ev-parasitos.htm

También sugerimos la siguiente configuración para evitar la
descarga y ejecución de esta clase de parásitos:

Configuración personalizada para hacer más seguro el IE
http://www.vsantivirus.com/faq-sitios-confianza.htm


* Procedimiento sugerido de limpieza

Puede desinstalar este parásito, desde "Agregar o quitar
programas" del Panel de control de Windows. Sin embargo,
sugerimos el siguiente procedimiento de limpieza.

NOTA: Eliminar este parásito, puede ocasionar que algunos de
los programas que lo instalan, dejen de funcionar o no
funcionen correctamente.

1. Actualice su antivirus, y luego apague su computadora y
aguarde cinco segundos por lo menos, antes de reiniciarla en
modo a prueba de fallos, como se indica en el siguiente
artículo:

  Cómo iniciar su computadora en Modo a prueba de fallos
  http://www.vsantivirus.com/faq-modo-fallo.htm

2. Desde modo a prueba de fallos, ejecute su antivirus y
escanee todo su disco duro. Tome nota de los nombres de los
archivos infectados (los que deberá borrar). Generalmente
serán detectados archivos .DLL y .EXE.

3. Cierre el Internet Explorer y cualquier otra ventana
abierta

4. Desde Inicio, Ejecutar, escriba lo siguiente (más Enter):

  regsvr32  /u  [nombre]

Donde [nombre] es el nombre del archivo .DLL detectado en el
punto 1. Si son más de un archivo .DLL, deberá repetir el
punto 3 con cada archivo.

5. Se podría abrir una ventana del Internet Explorer,
ciérrela.

6. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER

7. Seleccione el menú desplegable "Edición", "Buscar", y
escriba en la ventana "Buscar" que será desplegada, el nombre
de los archivos .DLL detectados en el punto 2.

8. Tome nota de la carpeta del tipo {????????-????-????-????-
????????????} que contenga dicho nombre (los signos "????"
representan letras y números). Por ejemplo:

  {0b40a54d-bec3-4077-9a33-701bd6acdeb2}

9. Seleccione el menú desplegable "Edición", "Buscar", y
escriba en la ventana "Buscar" que será desplegada el nombre
de la carpeta detectada en el punto 8.

10. Borre todas las carpetas con ese nombre.

11. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

12. Haga clic en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre" busque y borre la siguiente
entrada:

  Image

13. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

14. Haga clic en la carpeta "Run" y en el panel de la
derecha, bajo la columna "Nombre" busque y borre la siguiente
entrada:

  Image

15. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

16. Haga clic en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre" busque y borre todas las
entradas relacionadas con alguno de los siguientes nombres:

  Image
  delsubmit

17. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CLASSES_ROOT
  \Image.Image

18. Borre la entrada "Image.Image"

19. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CLASSES_ROOT
  \Image.Image.1

20. Borre la entrada "Image.Image.1"

21. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \WinShow

22. Borre la entrada "WinShow".

23. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Classes
  \Image.Image

24. Borre la entrada "Image.Image".

25. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Classes
  \Image.Image.1

26. Borre la entrada "Image.Image.1".

27. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.

28. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).


* Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.

2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.

Nota: debe escribir también los signos "%" antes y después de
"temp".

3. Cuando se abra la ventana del Explorador de Windows, pulse
CTRL+E (o seleccione desde el menú "Edición", la opción
"Seleccionar todo").

4. Pulse la tecla SUPR y confirme el borrado de todo,
incluyendo los ejecutables.

5. haga clic con el botón derecho sobre el icono de la
"Papelera de reciclaje" en el escritorio, y seleccione
"Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo,
reinicie Windows en modo a prueba de fallos, como se indica
en el siguiente artículo, y repita todos los pasos
anteriores:

  Cómo iniciar su computadora en Modo a prueba de fallos.
  http://www.vsantivirus.com/faq-modo-fallo.htm


* Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet Haga clic en "Eliminar
archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


* Procedimiento para restaurar página de inicio y página de
búsqueda en Internet Explorer

1. Cierre todas las ventanas del Internet Explorer abiertas

2. Seleccione "Mi PC", "Panel de control".

3. Haga clic en el icono "Opciones de Internet".

4. Seleccione la lengüeta "Programas".

5. Haga clic en el botón "Restablecer configuración Web"

6. Asegúrese de tener tildada la opción "Restablecer también
la página inicio" y seleccione el botón SI.

7. Haga clic en "Aceptar".


* Cambiar la página de inicio del Internet Explorer

Cambie la página de inicio del Internet Explorer desde
Herramientas, Opciones de Internet, General, Página de
inicio, por una de su preferencia (o haga clic en "Página en
blanco"). O navegue hacia una página de su agrado, haga clic
en Herramientas, Opciones de Internet, General, y finalmente
haga clic en "Usar actual".


* Cambiar las páginas de búsqueda del Internet Explorer

1. Inicie el Internet Explorer.

2. Haga clic en el botón "Búsqueda" de la barra de
herramientas.

3. En el panel que se despliega (Nuevo, Siguiente,
Personalizar), seleccione "Personalizar".

4. Asegúrese de marcar "Utilizar el asistente de búsqueda"
(Use Search Assistant).

5. Haga clic en el botón "Reiniciar" (Reset).

6. Haga clic en el botón "Configuración de Autosearch"
(Autosearch Settings).

7. Elija un proveedor de búsquedas en el menú (Search
Provider).

8. Seleccione "Aceptar" hasta salir de todas las opciones.


* Información adicional

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).

2. Haga clic con el botón derecho sobre las distintas
conexiones disponibles para conectarse a Internet, y en
"Conexión de Red de Area Local" y seleccione Propiedades en
cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.

4. Seleccione Aceptar, etc.


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y haga clic en
'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.

6. Haga clic en 'Aplicar' y en 'Aceptar'.


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

4 - W32/Forbot.NBK. Se copia como "mvsecn.exe"
_____________________________________________________________

http://www.vsantivirus.com/forbot-nbk.htm

Nombre: W32/Forbot.NBK
Nombre Nod32: Win32/Wootbot.NBK
Tipo: Gusano y Caballo de Troya de acceso remoto
Alias: Forbot.BK, Win32/Wootbot.NBK, W32/Forbot-BK,
WORM_WOOTBOT.GEN, Backdoor.Win32.Wootbot.gen
Fecha: 15/oct/04
Plataforma: Windows 32-bit
Tamaño: variable
Puertos: TCP 6030 y 6667

Este troyano con características de gusano, puede ser
configurado para permitir el acceso a un atacante a la
máquina infectada, utilizando canales de IRC (Internet Relay
Chat).

Cuando se ejecuta, se instala en el directorio System con el
siguiente nombre:

  c:\windows\system\mvsecn.exe

NOTA: "c:\windows\system" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows 9x
y ME, como "c:\winnt\system32" en Windows NT y 2000 y
"c:\windows\system32" en Windows XP y Windows Server 2003).

Modifica algunas de las siguientes entradas en el registro:

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
  Win32 USB Driver = mvsecn.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  Win32 USB Driver = mvsecn.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  Win32 USB Driver = mvsecn.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
  Win32 USB Driver = mvsecn.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  Win32 USB Driver = mvsecn.exe

  HKLM\SYSTEM\CurrentControlSet
  \Enum\Root\LEGACY_BLARGH

El troyano permite a un atacante remoto, el control del
equipo infectado mediante BOTS vía IRC (un bot es un programa
que actúa como un usuario de IRC, y está preparado para
responder o actuar automáticamente ejecutando ciertos
comandos).

Algunas de las acciones posibles:

- Realizar ataques de denegación de servicio (DoS) mediante
envío masivo de paquetes ping, syn, udp (flooding).

- Ejecutar un servidor socks4

- Reenvío de puertos

- Acceso a la libreta de direcciones de Windows

- Eliminar recursos compartidos, incluidos IPC$ y ADMIN$

- Escaneo de puertos

- Obtención de claves (CD Keys) de populares juegos

- Descarga y ejecución de archivos vía HTTP o por conexión
directa

- Obtención de información de la computadora infectada (clave
de registro de Windows, velocidad del procesador, memoria,
usuarios, etc.)

- Agregar o quitar servicios del sistema

- Finalizar sesión, reiniciar o apagar el sistema

- Obtener nombres de usuarios de Yahoo Pager, .NET messenger
y AOL Instant Messenger

- Iniciar o detener un servidor HTTP en cualquier puerto
especificado, habilitando el acceso a determinados
directorios del sistema al usuario remoto.

- Iniciar o detener un servidor FTP que permite examinar
archivos del sistema, y cargar o descargar archivos.

- Finalizar procesos, incluyendo aquellos de conocidos
antivirus y cortafuegos, además de herramientas del propio
Windows, como los siguientes:

  _avp32.exe
  _avpcc.exe
  _avpm.exe
  ackwin32.exe
  advxdwin.exe
  agentsvr.exe
  agentw.exe
  alertsvc.exe
  alogserv.exe
  amon9x.exe
  anti-trojan.exe
  antivirus.exe
  ants.exe
  apimonitor.exe
  aplica32.exe
  apvxdwin.exe
  apvxdwin.exe
  atcon.exe
  atguard.exe
  atro55en.exe
  atupdater.exe
  atwatch.exe
  aupdate.exe
  autodown.exe
  autotrace.exe
  autoupdate.exe
  avconsol.exe
  ave32.exe
  avgcc32.exe
  avgctrl.exe
  avgnt.exe
  avgserv.exe
  avgserv9.exe
  avguard.exe
  avgw.exe
  avkpop.exe
  avkserv.exe
  avkservice.exe
  avkwctl9.exe
  avnt.exe
  avp.exe
  avp32.exe
  avpcc.exe
  avpdos32.exe
  avpm.exe
  avptc32.exe
  avpupd.exe
  avsched32.exe
  avsynmgr.avsynmgr.exe
  avwin95.exe
  avwinnt.exe
  avwupd32.exe
  avwupsrv.exe
  avxmonitor9x.exe
  avxmonitornt.exe
  avxquar.exe
  bd_professional.exe
  bidef.exe
  bidserver.exe
  bipcp.exe
  bipcpevalsetup.exe
  bisp.exe
  blackd.exe
  blackd.exe
  blackice.exe
  bootwarn.exe
  borg2.exe
  bs120.exe
  ccapp.exe
  ccevtmgr.exe
  ccpxysvc.exe
  cdp.exe
  cfgwiz.exe
  cfiadmin.exe
  cfiaudit.exe
  cfinet.exe
  cfinet32.exe
  claw95.exe
  claw95cf.exe
  claw95cf.exe
  clean.exe
  cleaner.exe
  cleaner3.exe
  cleanpc.exe
  cmgrdian.exe
  cmon016.exe
  connectionmonitor.exe
  cpd.exe
  cpf9x206.exe
  cpfnt206.exe
  ctrl.exe
  cv.exe
  cwnb181.exe
  cwntdwmo.exe
  defalert.exe
  defscangui.exe
  defwatch.exe
  deputy.exe
  doors.exe
  dpf.exe
  dpfsetup.exe
  drwatson.exe
  drweb32.exe
  dvp95.exe
  dvp95_0.exe
  ecengine.exe
  efpeadm.exe
  ent.exe
  esafe.exe
  escanh95.exe
  escanhnt.exe
  escanv95.exe
  espwatch.exe
  etrustcipe.exe
  evpn.exe
  exantivirus-cnet.exe
  exe.avxw.exe
  expert.exe
  f-agnt95.exe
  fameh32.exe
  fast.exe
  fch32.exe
  fih32.exe
  findviru.exe
  firewall.exe
  flowprotector.exe
  fnrb32.exe
  fprot.exe
  f-prot.exe
  f-prot95.exe
  fp-win.exe
  fp-win_trial.exe
  frw.exe
  fsaa.exe
  fsav.exe
  fsav32.exe
  fsav530stbyb.exe
  fsav530wtbyb.exe
  fsav95.exe
  fsgk32.exe
  fsm32.exe
  fsma32.exe
  fsmb32.exe
  f-stopw.exe
  gbmenu.exe
  gbpoll.exe
  generics.exe
  guard.exe
  guarddog.exe
  hacktracersetup.exe
  htlog.exe
  hwpe.exe
  iamapp.exe
  iamserv.exe
  iamstats.exe
  ibmasn.exe
  ibmavsp.exe
  icload95.exe
  icloadnt.exe
  icmon.exe
  icsupp95.exe
  icsuppnt.exe
  iface.exe
  ifw2000.exe
  iomon98.exe
  iparmor.exe
  iris.exe
  isrv95.exe
  jammer.exe
  jedi.exe
  kavlite40eng.exe
  kavpers40eng.exe
  kavpf.exe
  kerio-pf-213-en-win.exe
  kerio-wrl-421-en-win.exe
  kerio-wrp-421-en-win.exe
  killprocesssetup161.exe
  ldnetmon.exe
  ldpro.exe
  ldpromenu.exe
  ldscan.exe
  localnet.exe
  lockdown.exe
  lockdown2000.exe
  lookout.exe
  lsetup.exe
  luall.exe
  luau.exe
  lucomserver.exe
  luinit.exe
  luspt.exe
  mcagent.exe
  mcmnhdlr.exe
  mcshield.exe
  mctool.exe
  mcupdate.exe
  mcvsrte.exe
  mcvsshld.exe
  mfw2en.exe
  mfweng3.02d30.exe
  mgavrtcl.exe
  mgavrte.exe
  mghtml.exe
  mgui.exe
  minilog.exe
  monitor.exe
  moolive.exe
  mpfagent.exe
  mpfservice.exe
  mpftray.exe
  mrflux.exe
  msconfig.exe
  msinfo32.exe
  mssmmc32.exe
  mu0311ad.exe
  mwatch.exe
  n32scanw.exe
  nav auto-protect.nav80try.exe
  navap.navapsvc.exe
  navapsvc.exe
  navapw32.exe
  navdx.exe
  navengnavex15.navlu32.exe
  navlu32.exe
  navnt.exe
  navstub.exe
  navw32.exe
  navwnt.exe
  nc2000.exe
  ncinst4.exe
  ndd32.exe
  neomonitor.exe
  neowatchlog.exe
  netarmor.exe
  netinfo.exe
  netmon.exe
  netscanpro.exe
  netspyhunter-1.2.exe
  netstat.exe
  netutils.exe
  nisserv.exe
  nisum.exe
  nmain.exe
  nod32.exe
  normist.exe
  norton_internet_secu_3.0_407.exe
  notstart.exe
  npf40_tw_98_nt_me_2k.exe
  npfmessenger.exe  nprotect.exe
  npscheck.exe
  npssvc.exe
  nsched32.exe
  ntrtscan.exe
  ntvdm.exe
  ntxconfig.exe
  nui.exe
  nupgrade.exe
  nvarch16.exe
  nvc95.exe
  nvsvc32.exe
  nwinst4.exe
  nwservice.exe
  nwtool16.exe
  ostronet.exe
  outpost.exe
  outpostinstall.exe
  outpostproinstall.exe
  padmin.exe
  panixk.exe
  pavcl.exe
  pavproxy.exe
  pavsched.exe
  pavw.exe
  pcc2002s902.exe
  pcc2k_76_1436.exe
  pcciomon.exe
  pccntmon.exe
  pccwin97.exe
  pccwin98.exe
  pcdsetup.exe
  pcfwallicon.exe
  pcip10117_0.exe
  pcscan.exe
  pdsetup.exe
  periscope.exe
  persfw.exe
  perswf.exe
  pf2.exe
  pfwadmin.exe
  pingscan.exe
  platin.exe
  pop3trap.exe
  poproxy.exe
  popscan.exe
  portdetective.exe
  portmonitor.exe
  ppinupdt.exe
  pptbc.exe
  ppvstop.exe
  processmonitor.exe
  procexplorerv1.0.exe
  programauditor.exe
  proport.exe
  protectx.exe
  pspf.exe
  purge.exe
  pview95.exe
  qconsole.exe
  qserver.exe
  rapapp.exe
  rav7.exe
  rav7win.exe
  rav8win32eng.exe
  realmon.exe
  regedit.exe
  regedt32.exe
  rescue.exe
  rescue32.exe
  rrguard.exe
  rshell.exe
  rtvscan.exe
  rtvscn95.exe
  rulaunch.exe
  safeweb.exe
  sbserv.exe
  sbserv.exe
  scan32.exe
  scan95.exe
  scanpm.exe
  scrscan.exe
  sd.exe
  serv95.exe
  setup_flowprotector_us.exe
  setupvameeval.exe
  sfc.exe
  sgssfw32.exe
  sh.exe
  shellspyinstall.exe
  shn.exe
  smc.exe
  sofi.exe
  spf.exe
  sphinx.exe
  sphinx.exe
  spyxx.exe
  ss3edit.exe
  st2.exe
  supftrl.exe
  supporter5.exe
  sweep95.exe
  sweepnet
  sweepsrv.sys
  swnetsup.exe
  symproxysvc.exe
  symtray.exe
  sysedit.exe
  taskmon.exe
  taumon.exe
  tbscan.exe
  tc.exe
  tca.exe
  tcm.exe
  tds2-98.exe
  tds2-nt.exe
  tds-3.exe
  tfak.exe
  tfak5.exe
  tgbob.exe
  titanin.exe
  titaninxp.exe
  tracert.exe
  trjscan.exe
  trjsetup.exe
  trojantrap3.exe
  undoboot.exe
  update.exe
  vbcmserv.exe
  vbcmserv.exe
  vbcons.exe
  vbust.exe
  vbwin9x.exe
  vbwinntw.exe
  vcsetup.exe
  vet32.exe
  vet95.exe
  vet95.exe
  vettray.exe
  vfsetup.exe
  vir-help.exe
  virusmdpersonalfirewall.exe
  vnlan300.exe
  vnpc3000.exe
  vpc32.exe
  vpc42.exe
  vpfw30s.exe
  vptray.exe
  vscan40.exe
  vscenu6.02d30.exe
  vsched.exe
  vsecomr.exe
  vshwin32.exe
  vsisetup.exe
  vsmain.exe
  vsmon.exe
  vsstat.exe
  vswin9xe.exe
  vswinntse.exe
  vswinperse.exe
  w32dsm89.exe
  w9x.exe
  watchdog.exe
  webscanx.exe
  webtrap.exe
  wfindv32.exe
  wgfe95.exe
  whoswatchingme.exe
  wimmun32.exe
  winrecon.exe
  wnt.exe
  wradmin.exe
  wrctrl.exe
  wsbgate.exe
  wyvernworksfirewall.exe
  xpf202en.exe
  zapro.exe
  zapsetup3001.exe
  zatutor.exe
  zauinst.exe
  zonalm2601.exe
  zonealarm.exe

El troyano abre los siguientes puertos: TCP/6030 y TCP/6667


* Reparación manual

* Cortafuegos

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.


* Antivirus

Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:

  Cómo iniciar su computadora en Modo a prueba de fallos.
  http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.

3. Borre los archivos detectados como infectados.


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  Win32 USB Driver

4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

5. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Win32 USB Driver

6. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

7. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  Win32 USB Driver

8. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

9. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Win32 USB Driver

10. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

11. Pinche en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Win32 USB Driver

12. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SYSTEM
  \CurrentControlSet
  \Enum
  \Root
  \LEGACY_BLARGH

13. Pinche en la carpeta "LEGACY_BLARGH" y bórrela.

14. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.


* Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el siguiente
archivo:

  c:\windows\system\mvsecn.exe

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".


* Información adicional

* IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que
por su naturaleza exige ser totalmente segura, se recomienda
borrar todo el contenido del disco duro, reinstalar de cero
el sistema operativo, y recuperar sus archivos importantes de
copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros
usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte
con su administrador para tomar las acciones necesarias a fin
de cambiar todas las claves de acceso, así como reinstalar
Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad
ante los posibles cambios realizados por el gusano.


* Activar cortafuegos de Windows XP (Internet Conexión
Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos
ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos
(que posee algunas limitaciones). Si instala ZA, no active
ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e
Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de
Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet".

4. Seleccione Aceptar, etc.


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".

3. Seleccione la lengüeta "Ver".

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".

En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema
operativo".

6. Pinche en "Aplicar" y en "Aceptar".


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

5 - W32/Forbot.BJ. Se copia como "windowsupdate.exe"
_____________________________________________________________

http://www.vsantivirus.com/forbot-bj.htm

Nombre: W32/Forbot.BJ
Tipo: Gusano y Caballo de Troya de acceso remoto
Alias: Forbot.BJ, W32/Forbot-BJ, WORM_WOOTBOT.AI,
Backdoor.Win32.ForBot.o, BackDoor-CIW
Fecha: 15/oct/04
Plataforma: Windows 32-bit
Tamaño: variable
Puertos: TCP 6030 y 6667

Este troyano con características de gusano, puede ser
configurado para permitir el acceso a un atacante a la
máquina infectada, utilizando canales de IRC (Internet Relay
Chat).

Cuando se ejecuta, se instala en el directorio System con el
siguiente nombre:

  c:\windows\system\windowsupdate.exe

NOTA: "c:\windows\system" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows 9x
y ME, como "c:\winnt\system32" en Windows NT y 2000 y
"c:\windows\system32" en Windows XP y Windows Server 2003).

Modifica algunas de las siguientes entradas en el registro:

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
  MSPatch = windowsupdate.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  MSPatch = windowsupdate.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  MSPatch = windowsupdate.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
  MSPatch = windowsupdate.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  MSPatch = windowsupdate.exe

  HKLM\SYSTEM\CurrentControlSet
  \Enum\Root\LEGACY_MSPATCH

El troyano permite a un atacante remoto, el control del
equipo infectado mediante BOTS vía IRC (un bot es un programa
que actúa como un usuario de IRC, y está preparado para
responder o actuar automáticamente ejecutando ciertos
comandos).

Algunas de las acciones posibles:

- Realizar ataques de denegación de servicio (DoS) mediante
envío masivo de paquetes ping, syn, udp (flooding).

- Ejecutar un servidor socks4

- Reenvío de puertos

- Acceso a la libreta de direcciones de Windows

- Eliminar recursos compartidos, incluidos IPC$ y ADMIN$

- Escaneo de puertos

- Obtención de claves (CD Keys) de populares juegos

- Descarga y ejecución de archivos vía HTTP o por conexión
directa

- Obtención de información de la computadora infectada (clave
de registro de Windows, velocidad del procesador, memoria,
usuarios, etc.)

- Agregar o quitar servicios del sistema

- Finalizar sesión, reiniciar o apagar el sistema

- Obtener nombres de usuarios de Yahoo Pager, .NET messenger
y AOL Instant Messenger

- Iniciar o detener un servidor HTTP en cualquier puerto
especificado, habilitando el acceso a determinados
directorios del sistema al usuario remoto.

- Iniciar o detener un servidor FTP que permite examinar
archivos del sistema, y cargar o descargar archivos.

- Finalizar procesos, incluyendo aquellos de conocidos
antivirus y cortafuegos, además de herramientas del propio
Windows, como los siguientes:

  _avp32.exe
  _avpcc.exe
  _avpm.exe
  ackwin32.exe
  advxdwin.exe
  agentsvr.exe
  agentw.exe
  alertsvc.exe
  alogserv.exe
  amon9x.exe
  anti-trojan.exe
  antivirus.exe
  ants.exe
  apimonitor.exe
  aplica32.exe
  apvxdwin.exe
  apvxdwin.exe
  atcon.exe
  atguard.exe
  atro55en.exe
  atupdater.exe
  atwatch.exe
  aupdate.exe
  autodown.exe
  autotrace.exe
  autoupdate.exe
  avconsol.exe
  ave32.exe
  avgcc32.exe
  avgctrl.exe
  avgnt.exe
  avgserv.exe
  avgserv9.exe
  avguard.exe
  avgw.exe
  avkpop.exe
  avkserv.exe
  avkservice.exe
  avkwctl9.exe
  avnt.exe
  avp.exe
  avp32.exe
  avpcc.exe
  avpdos32.exe
  avpm.exe
  avptc32.exe
  avpupd.exe
  avsched32.exe
  avsynmgr.avsynmgr.exe
  avwin95.exe
  avwinnt.exe
  avwupd32.exe
  avwupsrv.exe
  avxmonitor9x.exe
  avxmonitornt.exe
  avxquar.exe
  bd_professional.exe
  bidef.exe
  bidserver.exe
  bipcp.exe
  bipcpevalsetup.exe
  bisp.exe
  blackd.exe
  blackd.exe
  blackice.exe
  bootwarn.exe
  borg2.exe
  bs120.exe
  ccapp.exe
  ccevtmgr.exe
  ccpxysvc.exe
  cdp.exe
  cfgwiz.exe
  cfiadmin.exe
  cfiaudit.exe
  cfinet.exe
  cfinet32.exe
  claw95.exe
  claw95cf.exe
  claw95cf.exe
  clean.exe
  cleaner.exe
  cleaner3.exe
  cleanpc.exe
  cmgrdian.exe
  cmon016.exe
  connectionmonitor.exe
  cpd.exe
  cpf9x206.exe
  cpfnt206.exe
  ctrl.exe
  cv.exe
  cwnb181.exe
  cwntdwmo.exe
  defalert.exe
  defscangui.exe
  defwatch.exe
  deputy.exe
  doors.exe
  dpf.exe
  dpfsetup.exe
  drwatson.exe
  drweb32.exe
  dvp95.exe
  dvp95_0.exe
  ecengine.exe
  efpeadm.exe
  ent.exe
  esafe.exe
  escanh95.exe
  escanhnt.exe
  escanv95.exe
  espwatch.exe
  etrustcipe.exe
  evpn.exe
  exantivirus-cnet.exe
  exe.avxw.exe
  expert.exe
  f-agnt95.exe
  fameh32.exe
  fast.exe
  fch32.exe
  fih32.exe
  findviru.exe
  firewall.exe
  flowprotector.exe
  fnrb32.exe
  fprot.exe
  f-prot.exe
  f-prot95.exe
  fp-win.exe
  fp-win_trial.exe
  frw.exe
  fsaa.exe
  fsav.exe
  fsav32.exe
  fsav530stbyb.exe
  fsav530wtbyb.exe
  fsav95.exe
  fsgk32.exe
  fsm32.exe
  fsma32.exe
  fsmb32.exe
  f-stopw.exe
  gbmenu.exe
  gbpoll.exe
  generics.exe
  guard.exe
  guarddog.exe
  hacktracersetup.exe
  htlog.exe
  hwpe.exe
  iamapp.exe
  iamserv.exe
  iamstats.exe
  ibmasn.exe
  ibmavsp.exe
  icload95.exe
  icloadnt.exe
  icmon.exe
  icsupp95.exe
  icsuppnt.exe
  iface.exe
  ifw2000.exe
  iomon98.exe
  iparmor.exe
  iris.exe
  isrv95.exe
  jammer.exe
  jedi.exe
  kavlite40eng.exe
  kavpers40eng.exe
  kavpf.exe
  kerio-pf-213-en-win.exe
  kerio-wrl-421-en-win.exe
  kerio-wrp-421-en-win.exe
  killprocesssetup161.exe
  ldnetmon.exe
  ldpro.exe
  ldpromenu.exe
  ldscan.exe
  localnet.exe
  lockdown.exe
  lockdown2000.exe
  lookout.exe
  lsetup.exe
  luall.exe
  luau.exe
  lucomserver.exe
  luinit.exe
  luspt.exe
  mcagent.exe
  mcmnhdlr.exe
  mcshield.exe
  mctool.exe
  mcupdate.exe
  mcvsrte.exe
  mcvsshld.exe
  mfw2en.exe
  mfweng3.02d30.exe
  mgavrtcl.exe
  mgavrte.exe
  mghtml.exe
  mgui.exe
  minilog.exe
  monitor.exe
  moolive.exe
  mpfagent.exe
  mpfservice.exe
  mpftray.exe
  mrflux.exe
  msconfig.exe
  msinfo32.exe
  mssmmc32.exe
  mu0311ad.exe
  mwatch.exe
  n32scanw.exe
  nav auto-protect.nav80try.exe
  navap.navapsvc.exe
  navapsvc.exe
  navapw32.exe
  navdx.exe
  navengnavex15.navlu32.exe
  navlu32.exe
  navnt.exe
  navstub.exe
  navw32.exe
  navwnt.exe
  nc2000.exe
  ncinst4.exe
  ndd32.exe
  neomonitor.exe
  neowatchlog.exe
  netarmor.exe
  netinfo.exe
  netmon.exe
  netscanpro.exe
  netspyhunter-1.2.exe
  netstat.exe
  netutils.exe
  nisserv.exe
  nisum.exe
  nmain.exe
  nod32.exe
  normist.exe
  norton_internet_secu_3.0_407.exe
  notstart.exe
  npf40_tw_98_nt_me_2k.exe
  npfmessenger.exe  nprotect.exe
  npscheck.exe
  npssvc.exe
  nsched32.exe
  ntrtscan.exe
  ntvdm.exe
  ntxconfig.exe
  nui.exe
  nupgrade.exe
  nvarch16.exe
  nvc95.exe
  nvsvc32.exe
  nwinst4.exe
  nwservice.exe
  nwtool16.exe
  ostronet.exe
  outpost.exe
  outpostinstall.exe
  outpostproinstall.exe
  padmin.exe
  panixk.exe
  pavcl.exe
  pavproxy.exe
  pavsched.exe
  pavw.exe
  pcc2002s902.exe
  pcc2k_76_1436.exe
  pcciomon.exe
  pccntmon.exe
  pccwin97.exe
  pccwin98.exe
  pcdsetup.exe
  pcfwallicon.exe
  pcip10117_0.exe
  pcscan.exe
  pdsetup.exe
  periscope.exe
  persfw.exe
  perswf.exe
  pf2.exe
  pfwadmin.exe
  pingscan.exe
  platin.exe
  pop3trap.exe
  poproxy.exe
  popscan.exe
  portdetective.exe
  portmonitor.exe
  ppinupdt.exe
  pptbc.exe
  ppvstop.exe
  processmonitor.exe
  procexplorerv1.0.exe
  programauditor.exe
  proport.exe
  protectx.exe
  pspf.exe
  purge.exe
  pview95.exe
  qconsole.exe
  qserver.exe
  rapapp.exe
  rav7.exe
  rav7win.exe
  rav8win32eng.exe
  realmon.exe
  regedit.exe
  regedt32.exe
  rescue.exe
  rescue32.exe
  rrguard.exe
  rshell.exe
  rtvscan.exe
  rtvscn95.exe
  rulaunch.exe
  safeweb.exe
  sbserv.exe
  sbserv.exe
  scan32.exe
  scan95.exe
  scanpm.exe
  scrscan.exe
  sd.exe
  serv95.exe
  setup_flowprotector_us.exe
  setupvameeval.exe
  sfc.exe
  sgssfw32.exe
  sh.exe
  shellspyinstall.exe
  shn.exe
  smc.exe
  sofi.exe
  spf.exe
  sphinx.exe
  sphinx.exe
  spyxx.exe
  ss3edit.exe
  st2.exe
  supftrl.exe
  supporter5.exe
  sweep95.exe
  sweepnet
  sweepsrv.sys
  swnetsup.exe
  symproxysvc.exe
  symtray.exe
  sysedit.exe
  taskmon.exe
  taumon.exe
  tbscan.exe
  tc.exe
  tca.exe
  tcm.exe
  tds2-98.exe
  tds2-nt.exe
  tds-3.exe
  tfak.exe
  tfak5.exe
  tgbob.exe
  titanin.exe
  titaninxp.exe
  tracert.exe
  trjscan.exe
  trjsetup.exe
  trojantrap3.exe
  undoboot.exe
  update.exe
  vbcmserv.exe
  vbcmserv.exe
  vbcons.exe
  vbust.exe
  vbwin9x.exe
  vbwinntw.exe
  vcsetup.exe
  vet32.exe
  vet95.exe
  vet95.exe
  vettray.exe
  vfsetup.exe
  vir-help.exe
  virusmdpersonalfirewall.exe
  vnlan300.exe
  vnpc3000.exe
  vpc32.exe
  vpc42.exe
  vpfw30s.exe
  vptray.exe
  vscan40.exe
  vscenu6.02d30.exe
  vsched.exe
  vsecomr.exe
  vshwin32.exe
  vsisetup.exe
  vsmain.exe
  vsmon.exe
  vsstat.exe
  vswin9xe.exe
  vswinntse.exe
  vswinperse.exe
  w32dsm89.exe
  w9x.exe
  watchdog.exe
  webscanx.exe
  webtrap.exe
  wfindv32.exe
  wgfe95.exe
  whoswatchingme.exe
  wimmun32.exe
  winrecon.exe
  wnt.exe
  wradmin.exe
  wrctrl.exe
  wsbgate.exe
  wyvernworksfirewall.exe
  xpf202en.exe
  zapro.exe
  zapsetup3001.exe
  zatutor.exe
  zauinst.exe
  zonalm2601.exe
  zonealarm.exe

El troyano abre los siguientes puertos: TCP/6030 y TCP/6667


* Reparación manual

* Cortafuegos

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.


* Antivirus

Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:

  Cómo iniciar su computadora en Modo a prueba de fallos.
  http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.

3. Borre los archivos detectados como infectados.


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  MSPatch

4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

5. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  MSPatch

6. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

7. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  MSPatch

8. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

9. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  MSPatch

10. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

11. Pinche en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  MSPatch

12. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SYSTEM
  \CurrentControlSet
  \Enum
  \Root
  \LEGACY_MSPATCH

13. Pinche en la carpeta "LEGACY_MSPATCH" y bórrela.

14. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.


* Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el siguiente
archivo:

  c:\windows\system\windowsupdate.exe

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".


* Información adicional

* IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que
por su naturaleza exige ser totalmente segura, se recomienda
borrar todo el contenido del disco duro, reinstalar de cero
el sistema operativo, y recuperar sus archivos importantes de
copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros
usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte
con su administrador para tomar las acciones necesarias a fin
de cambiar todas las claves de acceso, así como reinstalar
Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad
ante los posibles cambios realizados por el gusano.


* Activar cortafuegos de Windows XP (Internet Conexión
Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos
ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos
(que posee algunas limitaciones). Si instala ZA, no active
ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e
Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de
Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet".

4. Seleccione Aceptar, etc.


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".

3. Seleccione la lengüeta "Ver".

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".

En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema
operativo".

6. Pinche en "Aplicar" y en "Aceptar".


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

6 - W32/Forbot.BI. Se copia como "systemproc.exe"
_____________________________________________________________

http://www.vsantivirus.com/forbot-bi.htm

Nombre: W32/Forbot.BI
Tipo: Gusano y Caballo de Troya de acceso remoto
Alias: Forbot.BI, W32/Forbot-BI, WORM_WOOTBOT.AQ,
W32/Gaobot.worm.gen.e
Fecha: 15/oct/04
Plataforma: Windows 32-bit
Tamaño: variable
Puertos: TCP 6030 y 6667

Este troyano con características de gusano, puede ser
configurado para permitir el acceso a un atacante a la
máquina infectada, utilizando canales de IRC (Internet Relay
Chat).

Cuando se ejecuta, se instala en el directorio System con el
siguiente nombre:

  c:\windows\system\systemproc.exe

NOTA: "c:\windows\system" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows 9x
y ME, como "c:\winnt\system32" en Windows NT y 2000 y
"c:\windows\system32" en Windows XP y Windows Server 2003).

Modifica algunas de las siguientes entradas en el registro:

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
  Microsoftkeysd = systemproc.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  Microsoftkeysd = systemproc.exe

  HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  Microsoftkeysd = systemproc.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
  Microsoftkeysd = systemproc.exe

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  Microsoftkeysd = systemproc.exe

  HKLM\SYSTEM\CurrentControlSet
  \Enum\Root\LEGACY_MICROSOFTKEYSD

El troyano permite a un atacante remoto, el control del
equipo infectado mediante BOTS vía IRC (un bot es un programa
que actúa como un usuario de IRC, y está preparado para
responder o actuar automáticamente ejecutando ciertos
comandos).

Algunas de las acciones posibles:

- Realizar ataques de denegación de servicio (DoS) mediante
envío masivo de paquetes ping, syn, udp (flooding).

- Ejecutar un servidor socks4

- Reenvío de puertos

- Acceso a la libreta de direcciones de Windows

- Eliminar recursos compartidos, incluidos IPC$ y ADMIN$

- Escaneo de puertos

- Obtención de claves (CD Keys) de populares juegos

- Descarga y ejecución de archivos vía HTTP o por conexión
directa

- Obtención de información de la computadora infectada (clave
de registro de Windows, velocidad del procesador, memoria,
usuarios, etc.)

- Agregar o quitar servicios del sistema

- Finalizar sesión, reiniciar o apagar el sistema

- Obtener nombres de usuarios de Yahoo Pager, .NET messenger
y AOL Instant Messenger

- Iniciar o detener un servidor HTTP en cualquier puerto
especificado, habilitando el acceso a determinados
directorios del sistema al usuario remoto.

- Iniciar o detener un servidor FTP que permite examinar
archivos del sistema, y cargar o descargar archivos.

- Finalizar procesos, incluyendo aquellos de conocidos
antivirus y cortafuegos, además de herramientas del propio
Windows, como los siguientes:

  _avp32.exe
  _avpcc.exe
  _avpm.exe
  ackwin32.exe
  advxdwin.exe
  agentsvr.exe
  agentw.exe
  alertsvc.exe
  alogserv.exe
  amon9x.exe
  anti-trojan.exe
  antivirus.exe
  ants.exe
  apimonitor.exe
  aplica32.exe
  apvxdwin.exe
  apvxdwin.exe
  atcon.exe
  atguard.exe
  atro55en.exe
  atupdater.exe
  atwatch.exe
  aupdate.exe
  autodown.exe
  autotrace.exe
  autoupdate.exe
  avconsol.exe
  ave32.exe
  avgcc32.exe
  avgctrl.exe
  avgnt.exe
  avgserv.exe
  avgserv9.exe
  avguard.exe
  avgw.exe
  avkpop.exe
  avkserv.exe
  avkservice.exe
  avkwctl9.exe
  avnt.exe
  avp.exe
  avp32.exe
  avpcc.exe
  avpdos32.exe
  avpm.exe
  avptc32.exe
  avpupd.exe
  avsched32.exe
  avsynmgr.avsynmgr.exe
  avwin95.exe
  avwinnt.exe
  avwupd32.exe
  avwupsrv.exe
  avxmonitor9x.exe
  avxmonitornt.exe
  avxquar.exe
  bd_professional.exe
  bidef.exe
  bidserver.exe
  bipcp.exe
  bipcpevalsetup.exe
  bisp.exe
  blackd.exe
  blackd.exe
  blackice.exe
  bootwarn.exe
  borg2.exe
  bs120.exe
  ccapp.exe
  ccevtmgr.exe
  ccpxysvc.exe
  cdp.exe
  cfgwiz.exe
  cfiadmin.exe
  cfiaudit.exe
  cfinet.exe
  cfinet32.exe
  claw95.exe
  claw95cf.exe
  claw95cf.exe
  clean.exe
  cleaner.exe
  cleaner3.exe
  cleanpc.exe
  cmgrdian.exe
  cmon016.exe
  connectionmonitor.exe
  cpd.exe
  cpf9x206.exe
  cpfnt206.exe
  ctrl.exe
  cv.exe
  cwnb181.exe
  cwntdwmo.exe
  defalert.exe
  defscangui.exe
  defwatch.exe
  deputy.exe
  doors.exe
  dpf.exe
  dpfsetup.exe
  drwatson.exe
  drweb32.exe
  dvp95.exe
  dvp95_0.exe
  ecengine.exe
  efpeadm.exe
  ent.exe
  esafe.exe
  escanh95.exe
  escanhnt.exe
  escanv95.exe
  espwatch.exe
  etrustcipe.exe
  evpn.exe
  exantivirus-cnet.exe
  exe.avxw.exe
  expert.exe
  f-agnt95.exe
  fameh32.exe
  fast.exe
  fch32.exe
  fih32.exe
  findviru.exe
  firewall.exe
  flowprotector.exe
  fnrb32.exe
  fprot.exe
  f-prot.exe
  f-prot95.exe
  fp-win.exe
  fp-win_trial.exe
  frw.exe
  fsaa.exe
  fsav.exe
  fsav32.exe
  fsav530stbyb.exe
  fsav530wtbyb.exe
  fsav95.exe
  fsgk32.exe
  fsm32.exe
  fsma32.exe
  fsmb32.exe
  f-stopw.exe
  gbmenu.exe
  gbpoll.exe
  generics.exe
  guard.exe
  guarddog.exe
  hacktracersetup.exe
  htlog.exe
  hwpe.exe
  iamapp.exe
  iamserv.exe
  iamstats.exe
  ibmasn.exe
  ibmavsp.exe
  icload95.exe
  icloadnt.exe
  icmon.exe
  icsupp95.exe
  icsuppnt.exe
  iface.exe
  ifw2000.exe
  iomon98.exe
  iparmor.exe
  iris.exe
  isrv95.exe
  jammer.exe
  jedi.exe
  kavlite40eng.exe
  kavpers40eng.exe
  kavpf.exe
  kerio-pf-213-en-win.exe
  kerio-wrl-421-en-win.exe
  kerio-wrp-421-en-win.exe
  killprocesssetup161.exe
  ldnetmon.exe
  ldpro.exe
  ldpromenu.exe
  ldscan.exe
  localnet.exe
  lockdown.exe
  lockdown2000.exe
  lookout.exe
  lsetup.exe
  luall.exe
  luau.exe
  lucomserver.exe
  luinit.exe
  luspt.exe
  mcagent.exe
  mcmnhdlr.exe
  mcshield.exe
  mctool.exe
  mcupdate.exe
  mcvsrte.exe
  mcvsshld.exe
  mfw2en.exe
  mfweng3.02d30.exe
  mgavrtcl.exe
  mgavrte.exe
  mghtml.exe
  mgui.exe
  minilog.exe
  monitor.exe
  moolive.exe
  mpfagent.exe
  mpfservice.exe
  mpftray.exe
  mrflux.exe
  msconfig.exe
  msinfo32.exe
  mssmmc32.exe
  mu0311ad.exe
  mwatch.exe
  n32scanw.exe
  nav auto-protect.nav80try.exe
  navap.navapsvc.exe
  navapsvc.exe
  navapw32.exe
  navdx.exe
  navengnavex15.navlu32.exe
  navlu32.exe
  navnt.exe
  navstub.exe
  navw32.exe
  navwnt.exe
  nc2000.exe
  ncinst4.exe
  ndd32.exe
  neomonitor.exe
  neowatchlog.exe
  netarmor.exe
  netinfo.exe
  netmon.exe
  netscanpro.exe
  netspyhunter-1.2.exe
  netstat.exe
  netutils.exe
  nisserv.exe
  nisum.exe
  nmain.exe
  nod32.exe
  normist.exe
  norton_internet_secu_3.0_407.exe
  notstart.exe
  npf40_tw_98_nt_me_2k.exe
  npfmessenger.exe  nprotect.exe
  npscheck.exe
  npssvc.exe
  nsched32.exe
  ntrtscan.exe
  ntvdm.exe
  ntxconfig.exe
  nui.exe
  nupgrade.exe
  nvarch16.exe
  nvc95.exe
  nvsvc32.exe
  nwinst4.exe
  nwservice.exe
  nwtool16.exe
  ostronet.exe
  outpost.exe
  outpostinstall.exe
  outpostproinstall.exe
  padmin.exe
  panixk.exe
  pavcl.exe
  pavproxy.exe
  pavsched.exe
  pavw.exe
  pcc2002s902.exe
  pcc2k_76_1436.exe
  pcciomon.exe
  pccntmon.exe
  pccwin97.exe
  pccwin98.exe
  pcdsetup.exe
  pcfwallicon.exe
  pcip10117_0.exe
  pcscan.exe
  pdsetup.exe
  periscope.exe
  persfw.exe
  perswf.exe
  pf2.exe
  pfwadmin.exe
  pingscan.exe
  platin.exe
  pop3trap.exe
  poproxy.exe
  popscan.exe
  portdetective.exe
  portmonitor.exe
  ppinupdt.exe
  pptbc.exe
  ppvstop.exe
  processmonitor.exe
  procexplorerv1.0.exe
  programauditor.exe
  proport.exe
  protectx.exe
  pspf.exe
  purge.exe
  pview95.exe
  qconsole.exe
  qserver.exe
  rapapp.exe
  rav7.exe
  rav7win.exe
  rav8win32eng.exe
  realmon.exe
  regedit.exe
  regedt32.exe
  rescue.exe
  rescue32.exe
  rrguard.exe
  rshell.exe
  rtvscan.exe
  rtvscn95.exe
  rulaunch.exe
  safeweb.exe
  sbserv.exe
  sbserv.exe
  scan32.exe
  scan95.exe
  scanpm.exe
  scrscan.exe
  sd.exe
  serv95.exe
  setup_flowprotector_us.exe
  setupvameeval.exe
  sfc.exe
  sgssfw32.exe
  sh.exe
  shellspyinstall.exe
  shn.exe
  smc.exe
  sofi.exe
  spf.exe
  sphinx.exe
  sphinx.exe
  spyxx.exe
  ss3edit.exe
  st2.exe
  supftrl.exe
  supporter5.exe
  sweep95.exe
  sweepnet
  sweepsrv.sys
  swnetsup.exe
  symproxysvc.exe
  symtray.exe
  sysedit.exe
  taskmon.exe
  taumon.exe
  tbscan.exe
  tc.exe
  tca.exe
  tcm.exe
  tds2-98.exe
  tds2-nt.exe
  tds-3.exe
  tfak.exe
  tfak5.exe
  tgbob.exe
  titanin.exe
  titaninxp.exe
  tracert.exe
  trjscan.exe
  trjsetup.exe
  trojantrap3.exe
  undoboot.exe
  update.exe
  vbcmserv.exe
  vbcmserv.exe
  vbcons.exe
  vbust.exe
  vbwin9x.exe
  vbwinntw.exe
  vcsetup.exe
  vet32.exe
  vet95.exe
  vet95.exe
  vettray.exe
  vfsetup.exe
  vir-help.exe
  virusmdpersonalfirewall.exe
  vnlan300.exe
  vnpc3000.exe
  vpc32.exe
  vpc42.exe
  vpfw30s.exe
  vptray.exe
  vscan40.exe
  vscenu6.02d30.exe
  vsched.exe
  vsecomr.exe
  vshwin32.exe
  vsisetup.exe
  vsmain.exe
  vsmon.exe
  vsstat.exe
  vswin9xe.exe
  vswinntse.exe
  vswinperse.exe
  w32dsm89.exe
  w9x.exe
  watchdog.exe
  webscanx.exe
  webtrap.exe
  wfindv32.exe
  wgfe95.exe
  whoswatchingme.exe
  wimmun32.exe
  winrecon.exe
  wnt.exe
  wradmin.exe
  wrctrl.exe
  wsbgate.exe
  wyvernworksfirewall.exe
  xpf202en.exe
  zapro.exe
  zapsetup3001.exe
  zatutor.exe
  zauinst.exe
  zonalm2601.exe
  zonealarm.exe

El troyano abre los siguientes puertos: TCP/6030 y TCP/6667


* Reparación manual

* Cortafuegos

Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


* Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.


* Antivirus

Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:

  Cómo iniciar su computadora en Modo a prueba de fallos.
  http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.

3. Borre los archivos detectados como infectados.


* Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  Microsoftkeysd

4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_CURRENT_USER
  \Software
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

5. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Microsoftkeysd

6. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \Run

7. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente
entrada:

  Microsoftkeysd

8. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunOnce

9. Pinche en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Microsoftkeysd

10. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SOFTWARE
  \Microsoft
  \Windows
  \CurrentVersion
  \RunServices

11. Pinche en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la
siguiente entrada:

  Microsoftkeysd

12. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:

  HKEY_LOCAL_MACHINE
  \SYSTEM
  \CurrentControlSet
  \Enum
  \Root
  \LEGACY_MICROSOFTKEYSD

13. Pinche en la carpeta "LEGACY_MICROSOFTKEYSD" y bórrela.

14. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.


* Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el siguiente
archivo:

  c:\windows\system\systemproc.exe

Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".


* Información adicional

* IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que
por su naturaleza exige ser totalmente segura, se recomienda
borrar todo el contenido del disco duro, reinstalar de cero
el sistema operativo, y recuperar sus archivos importantes de
copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros
usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte
con su administrador para tomar las acciones necesarias a fin
de cambiar todas las claves de acceso, así como reinstalar
Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad
ante los posibles cambios realizados por el gusano.


* Activar cortafuegos de Windows XP (Internet Conexión
Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos
ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos
(que posee algunas limitaciones). Si instala ZA, no active
ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e
Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de
Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet".

4. Seleccione Aceptar, etc.


* Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".

3. Seleccione la lengüeta "Ver".

4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.

En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".

En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema
operativo".

6. Pinche en "Aplicar" y en "Aceptar".


* Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________

Pautas generales para mantenerse alejado de los virus
_____________________________________________________________

Recuerde estas pautas para mantener alejado de su computadora
cualquier riesgo de virus o troyanos:

1) Use regularmente un programa antivirus (nosotros siempre
recomendamos no confiar en uno solo, pero usar más de uno no
significa que debamos tenerlos a todos instalados,
simplemente ejecutamos esos antivirus en su opción de
escaneo, sobre la carpeta que contenga los archivos a
revisar). Y por supuesto, de nada vale usar algún antivirus
si no lo mantenemos actualizado con los upgrades, updates o
add-ons correspondientes. Actualmente, las actualizaciones
son diarias (AVP, Panda y otros) o al menos semanales. No
existen los "virus demasiados nuevos y sin antídotos", la
reacción de las casas de antivirus es inmediata en todos los
casos. Pero mejor pregúntese, si la suya también lo es a la
hora de actualizarse.

2) No abrir ningún mensaje ni archivo recibido a través del
correo  electrónico de fuentes desconocidas o muy poco
conocidas. En el caso de personas conocidas, se deben
igualmente tomar las precauciones correspondientes.
Asegurarse con esa persona del envío ("Melissa" y otros
pueden ser enviados por conocidos que ignoran estar mandando
el virus en sus mensajes), y nunca ejecutarlos, sino
guardarlos en una carpeta temporal y pasarle a esa carpeta
dos o tres antivirus actualizados antes de tomar la opción de
ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante
cualquier duda, simplemente se debe optar por borrar el
mensaje (y archivos adjuntos). Como se dice vulgarmente, "la
confianza mata al hombre", en este caso a la PC.

3) Estar informado de cómo operan los virus, y de las
novedades sobre estos, alertas y anuncios críticos, en sitios
como el nuestro.

4) No bajar nada de sitios Web de los que no tenga
referencias de seriedad, o que no sean medianamente
conocidos. Y si se bajan archivos, proceder como los archivos
adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres
antivirus actualizados antes de optar por ejecutarlos o
abrirlos.
_____________________________________________________________

Sobre este boletín
_____________________________________________________________

La distribución de este boletín es gratuita, y está amparada
bajo los derechos de Copyright registrados por Video Soft
(también los artículos publicados directamente en nuestra
página). Si usted desea usar esta información en cualquier
medio escrito o electrónico, puede hacerlo sin solicitarnos
el permiso respectivo, con la única condición de mencionar su
origen, y remitirnos un e-mail o ejemplar con la ubicación
donde se haga referencia al material usado que haya sido
sacado de este boletín o de la página de VSAntivirus.

Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas
registradas.

Los artículos de otros autores han sido incluidos de acuerdo
a la política de Copyright adoptada por cada uno de ellos, y
su inclusión en nuestro boletín se rige por dichas políticas,
sin embargo, para su uso en otro medio, se deberá solicitar
la debida autorización.-
_____________________________________________________________

Visite diariamente nuestra página. Puede bajar de allí las
versiones de evaluación actualizadas de los antivirus más
usados o que consideramos por nuestra experiencia más
confiables. El criterio de selección solo pasa por nuestra
experiencia diaria con usuarios y clientes, a los que
asesoramos y damos servicio técnico.
_____________________________________________________________

Cualquier duda o comentario sobre esta lista de correo, envíe
un e-mail a cualquiera de estas direcciones:

jllopez@nativo.com
videosoft@videosoft.net.uy
_____________________________________________________________

VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com
_____________________________________________________________

Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta
Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja

También puede enviar un mensaje vacío a estas direcciones:

Altas: vsantivirus-alta@listas.vsantivirus.com
Bajas: vsantivirus-baja@listas.vsantivirus.com
_____________________________________________________________

VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________

VSantivirus No. 1562 Año 8, sábado 16 de octubre de 2004

Sitio creado y diseñado por VideoSoft
© 1996-2012

VSAntivirus y VSAyuda son servicios gratuitos de VideoSoft Computación
Bergalli 462, Maldonado - Uruguay - Tels. (598)4222 2935, (598)4223 5177