Mostrando mensaje 653     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1604 Año 8, sábado 27 de noviembre de 2004 Fecha: Sabado, 27 de Noviembre, 2004  04:07:12 (-0200) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1604 Año 8, sábado 27 de noviembre de 2004 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Lycos lanza polémico programa para combatir el SPAM 2 - Ocultamiento de extensión al guardar imágenes en IE 3 - Troj/Down.Agent.NAU. Modifica el IE, descarga archivos 4 - W32/Protoride.NAI. Se copia como MSUPDATE.EXE _____________________________________________________________ 1 - Lycos lanza polémico programa para combatir el SPAM _____________________________________________________________ http://www.vsantivirus.com/26-11-04.htm Lycos lanza polémico programa para combatir el SPAM Por Angela Ruiz angela@videosoft.net.uy Lycos Europa ha empezado a distribuir un protector de pantalla que ofrece una polémica oferta para combatir el spam (correo no deseado). El programa, curiosamente llamado "Haz el AMOR y no el SPAM", está disponible para Windows y el sistema operativo de Mac, y puede ser descargado en varios idiomas, incluido el español. Su funcionamiento es sencillo. Una vez activado, envía una solicitud HTTP (cómo las que realiza cualquier navegador para ver una página), a un sitio que es fuente de spam (la página no se muestra, solo se envía el pedido). Cuándo muchos programas envían sus pedidos al mismo tiempo, el servidor del sitio culpable de spam puede ser sobrecargado, haciéndose más lento. Los servidores a los que el salvapantalla ataca, han sido seleccionados de listados aportados por varias fuentes que luchan contra el spam, incluyendo Spamcop, y se ha verificado cuidadosamente de que esos sitios realmente sean culpables del envío de spam, asegura Lycos. Se realizaron varias pruebas para cerciorarse de que no se produzca un ataque de denegación de servicio a dichos servidores, ya que ello podría ser considerado un delito. Saturar un servidor con tal cantidad de pedidos, realizados simultáneamente desde varias computadoras, de tal modo que aquel deje de responder, es un proceso conocido como ataque distribuido de denegación de servicio (DDoS), y es ilegal. Existen conocidos gusanos que han aplicado esta técnica para atacar sitios específicos. Lycos cree que la acción del programa dolerá a los remitentes de spam donde más les duele, su propio bolsillo. Aumentar la solicitud de páginas, significa un mayor gasto del ancho de banda que los spammers deberán pagar. "Más pedidos significan cuentas más altas", dice Lycos. Según Lycos, esta herramienta podría generar 3,4 megabytes de tráfico por equipo diariamente. Si se descargan y utilizan diez mil programas, el tráfico soportado por el sitio aumentaría a 33 terabytes. Para balancear la carga generada por las peticiones de los miles de salvapantallas, los objetivos son seleccionados según su estado y según se envían los ataques, para evitar que sus servidores caigan totalmente. La frecuencia de las solicitudes está controlada por un archivo de configuración centralizado, para aumentar o reducir la carga generada por todos los clientes. "Las páginas a las que realizamos peticiones con nuestro salvapantallas, están perdiendo dinero gracias a nosotros", dice Lycos. "Estas páginas no venden publicidad (banners), sólo intentan vender sus productos con el mínimo coste. Ellos sí que tienen que pagar por su ancho de banda, y más peticiones significa más dinero a pagar." SPAM, también conocido como correo basura, es publicidad no deseada, a menudo sobre productos dudosos como "hazte rico rápidamente" o "servicios legales", distribuidos por correo electrónico a muchos destinatarios al mismo tiempo. Los costos producidos por el SPAM son muy altos, en términos de tiempo y dinero. La persona que recibe el SPAM paga el tiempo que pasa conectado para descargar los mensajes, y la compañía que provee el servicio de mail gasta mucho dinero en métodos para bloquear el SPAM. Muchas veces el SPAM está relacionado con virus que pueden causar graves daños a computadoras y servidores. Algunos números: - 41 billones de dólares han sido gastados en protección contra el SPAM en 2004. - 5 países generan el 99% del SPAM. - 77% de los usuarios de Internet consultados, están frustrados por el SPAM. - 80% del SPAM es originado por equipos infectados. - 85% de los usuarios abrirá un adjunto si es enviado por un amigo. - Cerca de la mitad de las grandes empresas, monitorizan el correo saliente. - El SPAM cuesta una media de 4.1 millones de dólares por compañía. - Los usuarios que no tienen protección antispam, pierden 43 minutos comprobando correos. Fuente: www.itfacts.biz/ * Relacionados: Make Love Not Spam http://makelovenotspam.com/intl/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Ocultamiento de extensión al guardar imágenes en IE _____________________________________________________________ http://www.vsantivirus.com/vul-ie-save-as-261104.htm Ocultamiento de extensión al guardar imágenes en IE Por Angela Ruiz angela@videosoft.net.uy Secunia reporta una vulnerabilidad en el Internet Explorer, hecha pública por "cyber flash". El fallo podría ser explotado para engañar a usuarios incautos, a los efectos que descarguen archivos potencialmente peligrosos. La vulnerabilidad se produce por la forma que el IE utiliza la extensión del archivo indicado en el URL de una página web, cuando graba imágenes con la opción "Guardar imagen como...", eliminando la última extensión si existen archivos con múltiples extensiones. Esto puede ser explotado por un sitio web malicioso para que una imagen con un script empotrado en ella, pueda ser grabada en el disco con una extensión de archivo arbitraria. Por ejemplo, un usuario podría descargar un archivo .HTA enmascarado en una imagen válida (esta extensión representa archivos en un formato binario propietario de Microsoft, conteniendo código HTML estándar). Debe tenerse en cuenta que la explotación requiere que la opción "Ocultar las extensiones de archivos para tipos de archivo conocidos" esté habilitada (lo está por defecto). Además, se debe convencer al usuario para que guarde en su equipo una imagen visualizada en su navegador, y que luego intente abrir esa imagen con un doble clic en el archivo. NOTA 1: Este problema está documentado en la base de conocimiento de Microsoft (ver http://support.microsoft.com/kb/250747), con fecha 5 de diciembre de 2003. Allí se explica que al guardar una imagen en Microsoft Internet Explorer, haciendo clic en "Guardar imagen como...", la extensión del nombre de archivo no se muestra cuando se guarda el archivo, si en el nombre existen varios períodos (puntos). Esta vulnerabilidad ha sido confirmada en sistemas con todos los parches instalados, y con Internet Explorer 6.0 y Microsoft Windows XP SP2. * Solución Deshabilitar la opción "Secuencias de comandos ActiveX" (Active Scripting), y desmarcar la opción "Ocultar las extensiones de archivos para tipos de archivo conocidos", desde "Mi PC", "Herramientas", "Opciones de carpetas", "Ver". NOTA 2: Una prueba de concepto (PoC) ha sido publicada y está disponible en Internet. * Créditos: cyber flash * Otras referencias: Clic derecho seleccionar "Guardar imagen como" no guarda imagen con extensión correcta: http://support.microsoft.com/kb/250747 Microsoft Internet Explorer "Save Picture As" Image Download Spoofing http://secunia.com/advisories/13317/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Troj/Down.Agent.NAU. Modifica el IE, descarga archivos _____________________________________________________________ http://www.vsantivirus.com/down-agent-nau.htm Nombre: Troj/Down.Agent.NAU Nombre NOD32: Win32/TrojanDownloader.Agent.NAU Tipo: Caballo de Troya Alias: Agent.NAU, Download.Trojan, Startpage.8.AT, StartPage-EH, TR/Dldr.Small.QS.1, Trj/StartPage.HT, Trojan.StartPage, Trojan.Startpage-78, TrojanDownloader.Win32.Agent.bh, W32/Agent.BU@dl, Win32.Zlob.A, Win32/Agent.BU.Downloader.Trojan, Win32/TrojanDownloader.Agent.NAU Fecha: 26/nov/04 Plataforma: Windows 32-bit Tamaño: variable Caballo de Troya del tipo downloader (descarga otros archivos en las máquinas infectadas), que modifica la configuración del Internet Explorer. Cuando se ejecuta, crea o modifica las siguientes entradas del registro para instalarse como un proceso de servicio: HKLM\SYSTEM\CurrentControlSet\Services\Pnpsvc Start = 0x2 Type = 0x120 Errorcontrol = 0x1 ImagePath = "%SystemRoot%\system32\svchost.exe -k netsvcs" ObjectName = "LocalSystem" Description = "Provides plug and play svc devices support" DisplayName = "Plug and Play svc service" Parameters\ServiceDll = "[camino y nombre del troyano]" HKLM\SYSTEM\CurrentControlSet \Services\EventLog\Application\Pnpsvc EventMessageFile = "[camino y nombre del troyano]" TypesSupported = 0x7 HKLM\SOFTWARE\Microsoft \Windows NT\CurrentVersion\SvcHost\netsvcs El troyano también realiza las siguientes modificaciones en el registro, para asegurarse que su servicio sea cargado, aún cuando el equipo infectado se inicie en modo seguro (a prueba de fallos): HKLM\SYSTEM\CurrentControlSet \Control\SafeBoot\Minimal\pnpsvc (Predeterminado) = "Service" HKLM\SYSTEM\CurrentControlSet \Control\SafeBoot\Network\pnpsvc (Predeterminado) = "Service" El troyano libera un ejecutable de 2,560 bytes y nombre al azar, en la carpeta System32 de Windows, y luego modifica el registro para que dicho archivo se ejecute en cada reinicio: En equipos NT, 2000 y XP: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run DNSCache = "c:\windows\system32\[ejecutable]" En equipos con Windows 95, 98 y Me: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices DNSCache = "c:\windows\system32\[ejecutable]" También intenta inyectarse a si mismo dentro del proceso del EXPLORER.EXE para enmascarar su presencia en una máquina infectada. Crea el siguiente mutex para no ejecutarse más de una vez en memoria: MFNLOAD Cuando se conecta a Internet, descarga una lista encriptada desde el dominio "zloeboogle.biz" y la guarda en la siguiente ubicación: c:\windows\system32\pnpsvc.inf El contenido de este archivo es variable, y de acuerdo a ello, el troyano podrá realizar alguna o todas las siguientes acciones: - Agregarse a la lista de Favoritos del Internet Explorer - Cambiar la página de inicio del Internet Explorer - Descargar y ejecutar otros archivos - Instalar otros Browser Helper Objects (BHO) - Modificar la configuración del Internet Explorer - Modificar la zona de seguridad a dominios o rangos IP - Redireccionar dominios, URLs o direcciones específicas NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Buscar y detener el servicio (Windows XP): 1. Desde Inicio, Ejecutar, escriba SERVICES.MSC y pulse Enter. 2. En la lista de servicios busque "Plug and Play svc service". 3. Haga doble clic sobre ese servicio, y haga clic en el botón "Detener" si corresponde. 4. Cambie el "Tipo de inicio" a Manual. 5. Haga clic en "Aceptar" y cierre la ventana de Servicios. * Utilización de la herramienta "Process Explorer" Para completar exitosamente el proceso de eliminación, es necesario detener la ejecución del troyano en memoria. En Windows 95, 98 y Me, no todas las tareas en ejecución son visibles. Por ello se sugiere la herramienta de uso gratuito "Process Explorer" (100 Kb), que puede ser descargada del siguiente enlace: http://www.sysinternals.com/ntw2k/freeware/procexp.shtml Una vez descargada dicha herramienta, cree una nueva carpeta, copie allí el contenido del archivo .ZIP descargado y ejecute el archivo PROCEXP.EXE. Para la finalización de los procesos indicados, localice y "mate" (Kill Process), cada proceso cuyo nombre coincida con los mencionados en la anterior descripción, buscándolo bajo la columna "Process" de la ventana superior de la utilidad "Process Explorer". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \SafeBoot \Minimal \pnpsvc 3. Haga clic en la carpeta "pnpsvc" y bórrela. 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \SafeBoot \Network \pnpsvc 5. Haga clic en la carpeta "pnpsvc" y bórrela. 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \EventLog \Application \Pnpsvc 7. Haga clic en la carpeta "pnpsvc" y bórrela. 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Pnpsvc 9. Haga clic en la carpeta "Pnpsvc" y bórrela. 10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Policies \Microsoft \Windows \CurrentVersion \Internet Settings \ZoneMap \Domains 11. Haga clic en la carpeta "Domains" y bórrela. 12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Policies \Microsoft \Windows \CurrentVersion \Internet Settings \ZoneMap \Ranges 13. Haga clic en la carpeta "Ranges" y bórrela. 14. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 15. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: DNSCache = "c:\windows\system32\[ejecutable]" 16. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 17. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: DNSCache = "c:\windows\system32\[ejecutable]" 18. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \SvcHost \netsvc 19. Haga clic en la carpeta "netsvc" y bórrela. * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrar archivos temporales de Windows 1. Cierre todas las ventanas y todos los programas abiertos. 2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 5. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Borrar archivos temporales de Internet 1. Vaya al Panel de control, Opciones de Internet, General 2. En Archivos temporales de Internet haga clic en "Eliminar archivos" 3. Marque la opción "Eliminar todo el contenido sin conexión" 4. Haga clic en Aceptar, etc. * Procedimiento para restaurar página de inicio en Internet Explorer 1. Cierre todas las ventanas del Internet Explorer abiertas 2. Seleccione "Mi PC", "Panel de control". 3. Haga clic en el icono "Opciones de Internet". 4. Seleccione la lengüeta "Programas". 5. Haga clic en el botón "Restablecer configuración Web" 6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI. 7. Haga clic en "Aceptar". * Seleccionar la página de inicio del Internet Explorer Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o haga clic en "Página en blanco"). O navegue hacia una página de su agrado, haga clic en Herramientas, Opciones de Internet, General, y finalmente haga clic en "Usar actual". * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Haga clic en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - W32/Protoride.NAI. Se copia como MSUPDATE.EXE _____________________________________________________________ http://www.vsantivirus.com/protoride-nai.htm Nombre: W32/Protoride.NAI Nombre NOD32: Win32/Protoride.NAI Tipo: Gusano y caballo de Troya de acceso remoto Alias: Protoride.NAI, W32/Protoride-Y, Win32.HLLW.Protoride, BackDoor.IRC.Cirilico, Backdoor.SDBot.Gen, Trojan.Protoride, W32.Protoride.Worm, W32/Protoride.worm, W32/Protori-Fam, Trojan.Protoride Fecha: 26/nov/04 Plataforma: Windows 32-bit Tamaño: variable Se propaga a través de recursos compartidos en redes, intentando acceder a ellos utilizando diferentes nombres de usuario y contraseñas incluidos en su propio código. Posee capacidad de acceso remoto clandestino por puerta trasera (backdoor). Posee su propio cliente IRC (Internet Relay Chat), con el cuál intenta acceder a un determinado servidor de IRC. Una vez conectado a él, envía mensajes privados a un usuario remoto, notificándolo de su presencia, y queda a la espera de posibles comandos. Los comandos disponibles están en español, y permiten acciones como el robo de información confidencial del usuario infectado, tales como contraseñas, nombres de usuario, etc. El gusano intenta copiarse en los siguientes directorios, con el nombre de MSUPDATE.EXE: \Documents and Settings\All Users\Kynnist- valikko\Ohjelmat\Kynnistys\ \Documents and Settings\All Users\Men Inicio\Programas\Inicio\ \Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\ \Documents and Settings\All Users\Menu Iniciar\Programas\Iniciar\ \Documents and Settings\All Users\Menu Start\Programma's\Opstarten\ \Documents and Settings\All Users\Menu Start\Programy\Autostart\ \Documents and Settings\All Users\Menuen Start\Programmer\Start\ \Documents and Settings\All Users\Start Menu\Programlar\BASLANGI \Documents and Settings\All Users\Start Menu\Programs\StartUp\ \Documents and Settings\All Users\Start- meny\Programmer\Oppstart\ \Documents and Settings\All Users\Start- menyn\Program\Autostart\ \Dokumente und Einstellungen\All Users\Startmen \Programme\Autostart\ \WIN95\Kynnist-valikko\Ohjelmat\Kynnistys\Documents and Settings\All Users\Menu Dmarrer\Programmes\Dmarrage\ \WIN95\Menú Inicio\Programas\Inicio\ \WIN95\Menu Avvio\Programmi\Esecuzione automatica\ \WIN95\Menu Dmarrer\Programmes\Dmarrage\ \WIN95\Menu Iniciar\Programas\Iniciar\ \WIN95\Menu Start\Programma's\Opstarten\ \WIN95\Menu Start\Programy\Autostart\ \WIN95\Menuen Start\Programmer\Start\ \WIN95\MenuIniciar\Programas\Iniciar\ \WIN95\Start Menu\Programlar\BASLANGI \WIN95\Start Menu\Programs\StartUp\ \WIN95\Startmen \WIN95\Start-meny\Programmer\Oppstart\ \WIN95\Start-menyn\Program\Autostart\ \WIN98\Kynnist-valikko\Ohjelmat\Kynnistys\ \WIN98\Menú Inicio\Programas\Inicio\ \WIN98\Menu Avvio\Programmi\Esecuzione automatica\ \WIN98\Menu Dmarrer\Programmes\Dmarrage\ \WIN98\Menu Iniciar\Programas\Iniciar\ \WIN98\Menu Start\Programma's\Opstarten\ \WIN98\Menu Start\Programy\Autostart\ \WIN98\Menuen Start\Programmer\Start\ \WIN98\MenuIniciar\Programas\Iniciar\ \WIN98\Start Menu\Programlar\BASLANGI \WIN98\Start Menu\Programs\StartUp\ \WIN98\Startmen \WIN98\Start-meny\Programmer\Oppstart\ \WIN98\Start-menyn\Program\Autostart\ \WINDOWS.000\Menú Inicio\Programas\Inicio\ \WINDOWS.000\Menu Iniciar\Programas\Iniciar\ \WINDOWS.000\Start Menu\Programs\StartUp\ \WINDOWS.000\Startmen \WINDOWS\Kynnist-valikko\Ohjelmat\Kynnistys\ \WINDOWS\Menú Inicio\Programas\Inicio\ \WINDOWS\Menu Avvio\Programmi\Esecuzione automatica\ \WINDOWS\Menu Dmarrer\Programmes\Dmarrage\ \WINDOWS\Menu Iniciar\Programas\Iniciar\ \WINDOWS\Menu Start\Programma's\Opstarten\ \WINDOWS\Menu Start\Programy\Autostart\ \WINDOWS\Menuen Start\Programmer\Start\ \WINDOWS\MenuIniciar\Programas\Iniciar\ \WINDOWS\Start Menu\Programlar\BASLANGI \WINDOWS\Start Menu\Programs\StartUp\ \WINDOWS\Startmen \WINDOWS\Start-meny\Programmer\Oppstart\ \WINDOWS\Start-menyn\Program\Autostart\ \WINME\Kynnist-valikko\Ohjelmat\Kynnistys\ \WINME\Menú Inicio\Programas\Inicio\ \WINME\Menu Avvio\Programmi\Esecuzione automatica\ \WINME\Menu Dmarrer\Programmes\Dmarrage\ \WINME\Menu Iniciar\Programas\Iniciar\ \WINME\Menu Start\Programma's\Opstarten\ \WINME\Menu Start\Programy\Autostart\ \WINME\Menuen Start\Programmer\Start\ \WINME\MenuIniciar\Programas\Iniciar\ \WINME\Start Menu\Programlar\BASLANGI \WINME\Start Menu\Programs\StartUp\ \WINME\Startmen \WINME\Start-meny\Programmer\Oppstart\ \WINME\Start-menyn\Program\Autostart\ También modifica la siguiente entrada en el registro para ejecutarse cada vez que se accede a un archivo .EXE: HKCR\exefile\shell\open\command (Predeterminado) = [camino y nombre del gusano] "%1" %* También crea la siguiente entrada: HKLM\Software\BeyonD inDustries\ProtoType[v6.7.6] El gusano se propaga por redes locales, copiándose en todos los recursos compartidos con permisos de escritura disponibles. Si existen contraseñas, intenta con varios nombres de usuario y claves predeterminadas, disponibles en su código. Utiliza su propio cliente IRC para conectarse a un servidor donde crea un canal especial o una sala de chat. Luego envía un mensaje privado a un usuario determinado. Cualquier usuario que tenga acceso al canal creado, puede ingresar a los equipos infectados, pudiendo realizar cualquiera de las siguientes acciones: - Descargar y enviar archivos - Enumerar cuentas de acceso telefónico - Examinar direcciones IP - Finalizar la ejecución del propio troyano - Listar las conexiones TCP actuales - Listar los procesos en ejecución - Obtener información del sistema infectado - Ocultar o mostrar ventanas de programas - Realizar ataques de denegación de servicio (DoS) - Realizar ataques flood con paquetes UDP - Robar contraseñas La información robada incluye lo siguiente: - Cantidad de memoria instalada - Contraseñas del sistema y de redes (usa API indocumentado) - Datos de las cuentas de conexión telefónica - Idioma del sistema operativo - Lista de actuales sesiones de red - Lista de procesos en ejecución - Tipo y velocidad del procesador - Versión instalada del sistema operativo Puede realizar ataques de denegación de servicio (DoS) a determinados servidores de IRC. * Reparación manual Estos pasos deben ser repetidos en cada computadora conectada a la misma red local de la maquina infectada. Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar los recursos compartidos Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Antivirus (preparación) 1. Actualice sus antivirus con las últimas definiciones 2. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 3. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 4. Borre los archivos detectados como infectados por el virus. * Renombre REGEDIT.EXE como REGEDIT.COM Debe renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al gusano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal. 1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter: Command /c Rename C:\Windows\Regedit.exe Regedit.com En Windows 2000 y XP, cambie COMMAND por CMD. Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.EXE, etc.). 2. Desde Inicio, Ejecutar, teclee REGEDIT.COM y pulse Enter 3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT \exefile \shell \open \command 4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como: (Predeterminado) = [nombre del gusano] "%1" %* 5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del gusano y dejar solo lo siguiente (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco): (Predeterminado) = "%1" %* 6. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \BeyonD inDustries 7. Pinche sobre la carpeta "BeyonD inDustries" y bórrela. 8. Cierre el editor del registro. 9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Borrar los archivos creados por el gusano. * En Windows 95/98/Me/NT/2000 1. Seleccione Inicio, Buscar, Archivos o carpetas 2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas" 3. En "Nombre" ingrese (o corte y pegue), lo siguiente: MSUPDATE.EXE 4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados 5. Cierre la ventana de búsqueda 6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * En Windows XP 1. Seleccione Inicio, Buscar 2. Seleccione "Todos los archivos y carpetas" 3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente: MSUPDATE.EXE 4. Verifique que en "Buscar en:" esté seleccionado "C:" 5. Pinche en "Más opciones avanzadas" 6. Seleccione "Buscar en carpetas del sistema" 7. Seleccione "Buscar en subcarpetas" 8. Haga clic en "Búsqueda" y borre todos los archivos encontrados 9. Cierre la ventana de búsqueda 10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.videosoft.net.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1604 Año 8, sábado 27 de noviembre de 2004