| Asunto: | VSantivirus No. 1644 Año 9, jueves 6 de enero de 2005 | | Fecha: | Jueves, 6 de Enero, 2005 05:15:11 (-0200) | | Autor: | VSAntivirus.com <vsantivirus @...........com>
|
VSantivirus No. 1644 Año 9, jueves 6 de enero de 2005
_____________________________________________________________
El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________
1 - El scam del Tsunami, y como colaborar de verdad
2 - W32/Mirsa.A. Virus que se propaga por e-mail
3 - Troj/Spy.Goldun.A. Roba cuentas de usuarios de E-gold
4 - IRC/SdBot.CTF. Se copia como "systacq.exe"
5 - W32/Agobot.ACU. Se copia como "fnesvc32.exe"
6 - W32/Agobot.3.Q. Se copia como "iexplorer.exe"
_____________________________________________________________
1 - El scam del Tsunami, y como colaborar de verdad
_____________________________________________________________
http://www.vsantivirus.com/scam-tsunami.htm
El scam del Tsunami, y como colaborar de verdad
Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy
Ayer publicábamos un artículo en donde se denunciaba la
aparición de mensajes falsos solicitando ayuda económica para
las víctimas del terrible Tsunami que afectó al sureste
asiático en los últimos días del 2004.
Hoy hemos accedido a uno de esos mensajes, cuyas propiedades
demuestran que detrás de esta estafa, se encuentran los mismos
"scammers" nigerianos que a tantos incautos han hecho caer en
su redes. El mensaje es generado en Lagos, Nigeria, aunque
pretende ser de una organización de caridad de Singapur.
La técnica es prácticamente la misma. En el caso de la estafa
nigeriana, se solicita un dinero a cuenta de una importante
suma a recibir por un determinado servicio. En el caso que nos
ocupa, el motivo es la ayuda económica a los cientos de miles
de víctimas del maremoto que costó la vida a más de 180,000
personas.
La forma de colaborar en este caso, es enviando dinero por
medio de Western Union. Las transferencias por este medio son
instantáneas. Basta que alguien deposite una suma en cualquier
país dando los datos de la persona que va a recibirla, y que
luego envíe un correo electrónico avisando del envío, para que
el destinatario se presente en cualquier agencia de Western de
cualquier parte del globo, con la documentación que compruebe
su identidad, para que pueda hacerse de ese dinero.
La rapidez del sistema es también el arma que emplean los
estafadores para eludir la justicia. Cuando la víctima
reacciona, ya el malhechor se ha quedado con su dinero y será
muy difícil rastrearlo. Y por cierto, no es la primera vez que
este tipo de scam lamentablemente saca provecho de
desgraciados acontecimientos.
Pero hay quienes han ideado un método que, aunque no lleve a
la cárcel a los inescrupulosos que lucran tan miserablemente
con la desgracia humana, si podría hacerles pasar un mal
momento.
La idea es responder, dando datos falsos de un supuesto envío
de dinero que no es tal. Cómo el único mecanismo de
comprobación es un número que identifica el giro, y los datos
de la persona que envía y de la que recibe, los mismos pueden
ser inventados. Un ejemplo se muestra al final de este
artículo.
De ese modo, cuando estos delincuentes vayan a retirar su
dinero, al menos pasarán un mal rato al no ser real el número
del giro ni los datos de la persona que supuestamente lo
envía. Si muchos hacen esto, les va a costar bastante sudor
descubrir cual es un giro verdadero, porque seguro algunos lo
serán, ya que muchos creerán de buena fe en la solicitud,
pensando que realmente están enviando ayuda a los
damnificados.
No podemos recomendar el método que acabamos de explicar,
porque no sería ético. Pero nadie nos puede impedir que lo
informemos para que cada quien juzgue con los argumentos que
su propia conciencia le dicte.
Eso si, en caso de que lo lleve a la práctica, sea cuidadoso,
ya que también existen organizaciones que actúan de buena fe
solicitando nuestra ayuda. Aunque sinceramente suponemos que
enviar dinero por Western no es el método ideal. Si desea
colaborar, contáctese con organizaciones reales,
preferentemente de su propio país o internacionalmente
conocidas (la Cruz Roja por ejemplo). Ellos le indicarán la
mejor forma de encauzar su deseo de ayudar económicamente.
También damos al final las direcciones oficiales de
organizaciones que podrán orientarlo para que usted pueda
hacer su aporte a la verdadera causa, ayudando con su granito
de arena a las víctimas de este terrible desastre.
* Carta falsa enviada por los scammers:
From: "SOLID FOUNDATION HUMANITARY ORGANISATION ASIA"
<solidfandationhumanitaryorg@galmail.co.za>
To: solidfandationhumanitaryorg@galmail.co.za
Subject: FROM SOLID FOUNDATION HUMANITARY ORGANISATION ASIA
Date: Wed, 29 Dec 2004 03:40:20 +0200
MIME-Version: 1.0
Received: from mail02.infosat.net ([66.18.69.6]) by
mc8-f42.hotmail.com with Microsoft SMTPSVC(5.0.2195.6713);
Tue, 28 Dec 2004 17:43:28 -0800
Received: from [196.38.110.46] (HELO mail01.infosat.net) by
mail02.infosat.net (CommuniGate Pro SMTP 4.1. with ESMTP id
174279176; Wed, 29 Dec 2004 03:40:20 +0200
Received: from [83.170.12.34] (account
solidfandationhumanitaryorg@galmail.co.za) by
mail01.infosat.net (CommuniGate Pro WebUser 4.1. with HTTP
id 574658842; Wed, 29 Dec 2004 03:40:20 +0200
X-Message-Info: yilqo4+6kc7OIv4IbZwAj28MbVfXc0q1
X-Mailer: CommuniGate Pro WebUser Interface v.4.1.8
Return-Path: solidfandationhumanitaryorg@galmail.co.za
X-OriginalArrivalTime: 29 Dec 2004 01:43:28.0679 (UTC)
FILETIME=[CB8E7B70:01C4ED47]
FROM SOLID FOUNDATION HUMANITARY ORGANISATION ASIA
DEAR SIR/MADAM
SIR WE WANT TO SAKE YOUR HELP AND SUPPORT FINANCIALY FOR
THE ASSISTANCE OF THE DISSASTER FOR
THE DISPLACED PEOPLE IN THE ASIA TSUNAMIS EARTHQUAKE
ATTACK. WE ARE SLOID FOUNDATION A
HUMANITARY AND NON GOVERNMENTAL ORGANISATION IN ASIA.
PLEASE WE NEED YOUR SUPPORT WITH AT LIST
100 DOLLAR UPWARD TO ASSIT MORE THAN 2,000,000 DISPLACED
PEOPLE AND OVER 500,000 HOMELESS, AND
over 33,000 poeple are dead and we need to assit the
families of the dead people. WE NEEDED THE
FUNDS
TO HELP GET FOOD, MATERIALS, DRUGS, FUEL, ETC...
YOU CAN SEND YOUR DONATIONS TO ANY OF OUR CENTRES IN
ASIA.all donations by cash should be send by
western union money transfer
HERE ARE THE LIST OF OUR CENTRES AND THE NAMES AND
DESTINATION CASH DONATIONS CAN BE SEND TO
1)IN singapore our office address SOLID FOUNDATION
HUMANITARY ORGANISATION ASIA :6 Shenton Way,
khilmer Building Tower One
Singapore 068809.
in singapore you can send your donation by western union
MONEY TRANSFER to : name: CHRISTIN LIM
FANG
DESTINATION SINGAPORE
......................................................
2) in china our office is at :SOLID FOUNDATION HUMANITARY
ORGANISATION ASIA Beijing Branch
Units 1009-1018
Level 10 China World Tower
No. 1 Jian Guo Men Wai Avenue
Beijing 100004
People's Republic of China
in CHINA you can send your donation by western union
MONEY TRANSFER to DLAMINI JERRY.
DESTINATION Beijing CHINA
...................................................... ..
3)IN HONG KONG our office address SOLID FOUNDATION
HUMANITARY ORGANISATION ASIA:
IN HONG KONG you can send your donation by western union
MONEY TRANSFER TO NAME : Irwin paul
DESTINATION HONG KONG
......................................................
4)IN MALAYSIA YOU CAN SEND YOUR DONATIONS BY WESTERN UNION
MONEY TRANSFER TO ROBINSON M ZUBE
DESTINATION KL MALAYSIA
WE WILL GE GREATFUL FOR ANY AMOUNT FOR DONATION THAT YOU
GIVE GIVE TO ASSIT THE DISPALCED AND
HOMELESS PEOPLE ACCROSS ASIA.
THANK YOU
MING LEE CHO
PRESIDENT
SOLID FOUNDATION HUMANITARY ORGANISATION ASIA
PLEASE MAILS SHOULD BE SEND TO THIS VERY EMAIL ADDRESS:
solidfandationhumanitaryorg@yahoo.com
nb: please ensure you send to us the transfer details like
the mtcn number , senders name and
address, test question and answer.
Los datos de las IP que revelan el encabezado del mensaje,
llevan a esta información:
person: Hikmat Mardo
address: Lagos-Nigeria
address: Lekki Phase 1
address: rafiu babatunde street plot 8
phone: +23417767720
phone: +234802 832 2133
phone: +23415555656
phone: +9613666325
* Un ejemplo de "mensaje falso" para enviar a los scammers:
Dear Mr Lee Cho,
Yes, please count on me to assist during this horrible
event. I sent my secretary down to the Western Union Office
and sent out $500. Here is the information you required to
pick up the money.
Sender: JT Kirk, 419 Maple St, Romulus, Illinois 62401
Receiver: Irwin Paul, Hong Kong
MCTN: 1234567890
Control Question: Who is this money for?
Control Answer: Victims of the Asian Tsunami Disaster
I hope this helps in your efforts!
JT Kirk
Nota: Evidentemente, el mensaje deberá variar para que sea más
creíble, y sobre todo el número del giro (en el ejemplo
1234567890), deberá ser siempre distinto y de 10 dígitos, ya
que ese es el formato del número del giro que da Western Union
a este tipo de transferencias. Y en lo posible, no utilice sus
direcciones verdaderas, emplee cualquiera de las que puede
conseguir en un sitio gratuito como Hotmail, Gmail, Yahoo,
etc.
* Direcciones electrónicas reales para denunciar estos
mensajes:
Singapore - spf_cid_cncc@spf.gov.sg
Hong Kong - crimeinformation@police.gov.hk
Al menos una de estas direcciones responderá con un mensaje
automático, diciendo que la denuncia será investigada.
Lamentablemente, la denuncia deberá ser hecha en inglés, y las
probabilidades de que lleven a la captura de estos
delincuentes es poca. Pero con intentarlo, no perdemos nada, y
quizás nuestra conciencia nos haga sentir un poco mejor.
* Direcciones reales para colaborar con las víctimas del
Tsunami:
En esta página (en español), usted puede ayudar a la Cruz Roja
y la Media Luna Roja, que está trabajando para apoyar a las
comunidades damnificadas por el devastador terremoto y las
grandes olas que han asolado el sur de Asia, haciendo una
donación en línea:
- Donaciones en línea (Cruz Roja Internacional)
http://www.ifrc.org/sp/helpnow/donate/donate_response.asp
Este es un blog de ciudadanos indios, que contiene información
al día, listas de teléfonos, direcciones y vínculos digitales
para los que estén interesados en ayudar (en inglés):
- The South-East Asia Earthquake and Tsunami Blog
http://tsunamihelp.blogspot.com
* Información relacionada:
Inescrupulosos se aprovechan del desastre del Tsunami
http://www.vsantivirus.com/ev-05-01-05.htm
SCAM: Estafa a la nigeriana
http://www.vsantivirus.com/scam-nigeria.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
2 - W32/Mirsa.A. Virus que se propaga por e-mail
_____________________________________________________________
http://www.vsantivirus.com/mirsa-a.htm
Nombre: W32/Mirsa.A
Tipo: Gusano de Internet
Alias: Mirsa, Win32/Mirsa.A, W32/Mirsa@MM, New Malware.d
Fecha: 31/dic/04
Plataforma: Windows 32-bit
Tamaño: 18,944 bytes
Gusano escrito en Microsoft Visual Basic, que intenta
propagarse por correo electrónico.
Cuando se ejecuta, se copia a si mismo en las siguientes
ubicaciones y con los siguientes nombres:
c:\c.v.doc.exe
c:\curriculum.vitae.doc.exe
c:\cv.doc.exe
c:\cvitae.doc.exe
c:\mrsa.exe
c:\profile.doc.exe
c:\program files\accessories\mspaint2.exe
c:\program files\accessories\wordpad2.exe
c:\program files\microsoft office\office\winword2.exe
c:\system.exe
c:\windows\mrsa.exe
c:\windows\notepad2.exe
Crea las siguientes entradas en el registro para
autoejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Keyboard = "C:\MRSA.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
System = "C:\MRSA.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Explorer = "C:\MRSA.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Notepad = "C:\MRSA.exe"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
OPEN = "C:\MRSA.exe"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
RUN = "C:\MRSA.exe"
Intenta propagarse a todos los contactos de la libreta de
direcciones de Windows, en un mensaje con las siguientes
características:
Texto del mensaje:
Please look at the enclosed CV.
Its really important that you read this.
Thanks.
Datos adjuntos: Personal.DOC.exe
El gusano utiliza doble extensión para intentar ocultar la
verdadera. Por defecto Windows no muestra la extensión de los
ejecutables (opción "Ocultar las extensiones de archivo para
tipos de archivo conocidos" del menú Ver de Opciones de
carpetas). Más información en "Información adicional",
"Mostrar las extensiones verdaderas de los archivos".
* Reparación manual
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica
en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. Repare (*) los archivos detectados como infectados
(*) Algunos archivos del virus solo podrán ser borrados
* Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los
siguientes archivos:
c:\c.v.doc.exe
c:\curriculum.vitae.doc.exe
c:\cv.doc.exe
c:\cvitae.doc.exe
c:\mrsa.exe
c:\profile.doc.exe
c:\program files\accessories\mspaint2.exe
c:\program files\accessories\wordpad2.exe
c:\program files\microsoft office\office\winword2.exe
c:\system.exe
c:\windows\mrsa.exe
c:\windows\notepad2.exe
Haga clic con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre las siguientes
entradas:
Keyboard = "C:\MRSA.exe"
System = "C:\MRSA.exe"
Explorer = "C:\MRSA.exe"
Notepad = "C:\MRSA.exe"
4. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Windows
5. Haga clic en la carpeta "Windows" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre las
siguientes entradas:
OPEN = "C:\MRSA.exe"
RUN = "C:\MRSA.exe"
6. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
* Información adicional
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones'
u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Haga clic en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción, la
herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
3 - Troj/Spy.Goldun.A. Roba cuentas de usuarios de E-gold
_____________________________________________________________
http://www.vsantivirus.com/troj-spy-goldun-a.htm
Nombre: Troj/Spy.Goldun.A
Nombre NOD32: Win32/Spy.Goldun.A
Tipo: Caballo de Troya
Alias: Goldun, Getegold.B, PSW.Goldun.A, PWS-Banker.d,
TR/Spy.Goldun.A, Troj/Goldun-A, TROJ_GETEGOLD.B, Trojan Horse,
Trojan.GoldSpy, Trojan.Spy.E-Gold.A, Trojan.Spy.Goldun.Gen,
Trojan-Spy.Win32.Goldun.a, Win32/Spy.Goldun.A
Fecha: 5/ene/05
Plataforma: Windows 32-bit
Tamaño: 13,824 bytes
Este troyano intenta acceder a las cuentas de los usuarios de
E-Gold.com, un sitio dedicado al manejo de transacciones
comerciales en lingotes de oro.
En un sistema infectado, cuando el usuario intenta acceder a
la página de ingreso (http:/ /e-gold .com/acct/login.html), el
troyano accede a la misma página sin conocimiento del usuario,
e ingresa los mismos datos que el usuario cree estar
ingresando. Luego, el troyano puede transferir dinero desde la
cuenta accedida a otra diferente.
Cuando se ejecuta, el troyano crea la siguiente copia de si
mismo en la carpeta de Windows:
c:\windows\WMEDIA16.EXE
NOTA: En todos los casos, "c:\windows" y "c:\windows\system32"
pueden variar de acuerdo al sistema operativo instalado
("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).
También crea la siguiente entrada en el registro para
autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Shell = "c:\windows\wmedia16.exe"
El troyano también puede almacenar los datos ingresados
(contraseñas, etc.).
El troyano parece haber sido distribuido por medio de spam, en
mensajes como el siguiente:
Asunto: photo from you sweet Jessy )
Datos adjuntos: foto.rar
Texto del mensaje:
Please don't you show them pictures to anyone!
Especially your parents! Otherwise they kill you - they
are damn horny!!
Your Jess, kissing you! When you come home, phone me
asap! p.s. photos attached, password on archive - foto.
El troyano también puede arribar como adjunto en un mensaje
con el siguiente texto:
Dear user of E-gold.
By the reason that the last time the number of
complaints of unapproved removal of money resources
became more often, we ask you to install the following
service pack on your computer. This renovation blocks
all known Trojan modules which allow removal of your
money without your permission.
- In case of losing money from your account, E-gold
*DOES NOT* take any responsibility if this service pack
wasn't installed on your computer.
- The installation file is on the archive attached to
this letter.
--------------------------------------------------
* * * Read/Save/Print this email message * * *
--------------------------------------------------
Important information about your e-gold account:
- It's OK to tell others your e-gold account number!
Other e-gold Users need your e-gold account number in
order to Spend e-gold to you. So don't hesitate to
display it on your web page, your business cards, or
your e-mail signature file.
- However, *DO NOT* reveal your passphrase to others!!!
Anybody with knowledge of both your e-gold account
number and your e-gold passphrase has complete access to
your e-gold account; therefore, do not reveal your e-
gold account passphrase to others. *NEVER* enter your
passphrase on any website other than the www.e-gold.com
web site.
e-gold Resource Links:
- e-gold Account User Agreement:
Ever used a currency with a contract at all, let alone
one that clearly outlined the Issuer's obligations to
you? Well, you are now! Truly a "must read" for any e-
gold User:
http:/ /www .e-gold .com/unsecure/[?????]
- e-gold Incentive Program Information:
Spread the word that better money has arrived and get
paid some of it for doing so (please don't spam):
http:/ /www .e-gold .com/unsecure/[?????]
- e-gold brochure:
Having trouble coming up with the words? Use these (we
do!):
http:/ /www .e-gold .com/unsecure/[?????]
- e-gold Directory:
Whether you want to obtain some e-gold or part with
some, we have some links to get you started:
http:/ /www .e-gold .com/unsecure/[?????]
---------------------------------------------
Thank you for using e-gold!
---------------------------------------------
En este último caso, el ejecutable será un dropper (programa
que libera o "gotea" al troyano propiamente dicho cuando se
ejecuta).
El dropper liberará los siguientes archivos en la carpeta de
Windows y luego los ejecutará:
c:\windows\SERVICEPACK.EXE
c:\windows\SETUP.EXE
Cuando se ejecuta SERVICEPACK.EXE, éste libera a su vez el
siguiente DLL en el directorio del sistema de Windows:
c:\windows\system32\LOGSYS.DLL
El troyano creará las siguientes entradas en el registro para
ejecutar LOGSYS.DLL en cada reinicio de Windows:
HKCR\CLSID
\{????????-????-????-????-????????????}\InProcServer32
(Predeterminado) = "logsys.dll"
HKLM\SOFTWARE\Microsoft
\Windows\CurrentVersion\ShellServiceObjectDelayLoad
MSTask = {????????-????-????-????-????????????}
Donde {????????-????-????-????-????????????} son caracteres
hexadecimales que representan un identificador de clase único
(CLSID), un valor de 128 bits generado al azar por el troyano.
Cuando LOGSYS.DLL se ejecuta, libera y ejecuta otro archivo en
la carpeta de Windows:
c:\windows\CSRSS.EXE
CSRSS.EXE es el troyano robador de contraseñas que luego se
copiará a si mismo como WMEDIA16.EXE en la carpeta de Windows,
como se describió antes.
* Reparación manual
* Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet, así
como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica
en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. Borre los archivos detectados como infectados.
* Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los
siguientes archivos:
c:\windows\CSRSS.EXE
c:\windows\SERVICEPACK.EXE
c:\windows\SETUP.EXE
c:\windows\WMEDIA16.EXE
c:\windows\system32\LOGSYS.DLL
Haga clic con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el editor del registro, seleccione el menú desplegable
"Edición", "Buscar", y escriba en la ventana "Buscar" que será
desplegada lo siguiente:
logsys.dll
3. Haga clic en el botón "Buscar siguiente" y tome nota de la
clave CLSID que aparezca. Luego borre todas las entradas
relacionadas. Por ejemplo, si aparece una entrada como ésta:
HKEY_CLASSES_ROOT
\CLSID
\{????????-????-????-????-????????????}
\InProcServer32
(Predeterminado) = "logsys.dll"
4. Borre la carpeta {????????-????-????-????-????????????},
donde los ???? representan caracteres hexadecimales.
5. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\ShellServiceObjectDelayLoad
6. Haga clic en la carpeta "ShellServiceObjectDelayLoad" y en
el panel de la derecha, bajo la columna "Nombre", busque y
borre la siguiente entrada:
MSTask = {????????-????-????-????-????????????}
Donde "{????????-????-????-????-????????????}" es la misma
clave CLSID de los puntos 3 y 4.
7. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
8. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
Shell = "c:\windows\wmedia16.exe"
9. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
10. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
* Información adicional
* Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se
recomienda llevar a cabo las acciones necesarias a fin de
cambiar todas las claves de acceso, así como toda otra
información que comprometa la información relacionada con
cualquier clase de transacción bancaria, incluidas sus
tarjetas electrónicas y cuentas bancarias.
* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas
conexiones disponibles para conectarse a Internet, y en
"Conexión de Red de Area Local" y seleccione Propiedades en
cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones'
u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Haga clic en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción, la
herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
4 - IRC/SdBot.CTF. Se copia como "systacq.exe"
_____________________________________________________________
http://www.vsantivirus.com/irc-sdbot-ctf.htm
Nombre: IRC/SdBot.CTF
Nombre NOD32: IRC/SdBot.CTF
Tipo: Gusano de Internet y caballo de Troya
Alias: SdBot.CTF, Backdoor.Sdbot, Backdoor.SdBot.ai,
Backdoor.Sdbot.AI, Backdoor.SDBot.Gen, Backdoor:IRC/SdBot,
Bck/Sdbot.gen, IRC/BackDoor.SdBot.BZ, NewHeur_PE,
Trojan.Sdbot, W32/Sdbot.worm.gen, W32/Sdbot-Fam,
Win32.IRC.Bot.based, Win32:SdBot-g2, Worm/Sdbot.39936.B
Fecha: 6/ene/05
Plataforma: Windows 32-bit
Tamaño: 33,765 bytes
Puerto: TCP 29147
Gusano que se propaga por recursos compartidos de redes, y que
puede actuar como un troyano de acceso remoto controlado vía
IRC, con capacidad de tomar el control del equipo infectado.
Cuando se ejecuta se copia en la carpeta del sistema de
Windows con el siguiente nombre:
c:\windows\system\systacq.exe
NOTA: "c:\windows\system" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows 9x
y ME, como "c:\winnt\system32" en Windows NT y 2000 y
"c:\windows\system32" en Windows XP y Windows Server 2003).
Crea las siguientes entradas en el registro para ejecutarse en
cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Syntax Script = "systacq.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
Syntax Script = "systacq.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Syntax Script = "systacq.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
Syntax Script = "systacq.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Syntax Script = "systacq.exe"
El gusano intenta continuamente infectar máquinas remotas,
generando direcciones IP al azar para conectarse a través del
puerto 445. Utiliza una extensa lista de usuarios y
contraseñas predefinidas en su código.
Algunas de las contraseñas utilizadas son las siguientes:
access
accounting
accounts
adm
admin
administrateur
administrator
afro
asd
backup
barbara
bill
blank
bruce
capitol
changeme
cisco
compaq
control
ctx
data
database
databasepass
databasepassword
db1
db1234
dbpass
dbpassword
default
dell
domain
domainpass
domainpassword
exchange
exchnge
fish
fred
freddy
fuck
glen
god
guest
headoffice
heaven
hell
home
homeuser
internet
intranet
kate
katie
lan
login
loginpass
main
mass
nokia
none
oem
oeminstall
oemuser
office
orange
owa
pass
pass1234
passwd
password
password1
pink
pwd
qaz
ron
sage
sam
sex
siemens
sql
sqlpass
staff
student
student1
teacher
technical
test
turnip
user
user1
userpassword
web
win2000
win2k
win98
windows
winnt
winpass
winxp
www
yellow
007
121
Si la conexión es exitosa, busca los recursos ADMIN$, C$, D$,
IPC$ Y PRINT$. Si los encuentra, entonces inicia su rutina de
infección, intentando copiarse en dicho equipo:
c$\systacq.exe
c$\winnt\system32\systacq.exe
Admin$\system32\systacq.exe
También intenta copiar en los recursos compartidos el
siguiente archivo, que previamente libera en la siguiente
ubicación:
c:\windows\system32\systca.exe
Posee un componente de acceso por puerta trasera (backdoor),
que intenta conectarse a servidores de IRC y unirse a un canal
predeterminado por el puerto TCP/29147. Actúa como un IRC Bot,
esperando las instrucciones en dicho canal. Un BOT es la copia
de un usuario en un canal de IRC, preparado para responder y
ejecutar ciertos comandos en forma automática.
Algunas acciones posibles:
- Auto actualizarse
- Capturar imágenes de webcams
- Capturas de pantalla
- Conectarse a una URL determinada
- Descargar y ejecutar archivos
- Enviar archivos
- Enviar pulsaciones de teclado a la ventana activa
- Escanear puertos de otras computadoras
- Iniciar un servidor HTTP
- Matar procesos e hilos de ejecución
- Obtener información del sistema
- Realizar ataques de denegación de servicio (UDP, ICMP y
SYN flooding)
- Robar el caché de contraseñas en Windows 95, 98 y ME
El gusano es capaz de finalizar la ejecución de los siguientes
procesos:
bbeagle.exe
i11r54n4.exe
irun4.exe
msblast.exe
msblast.exe
msconfig.exe
mscvb32.exe
navapw32.exe
navw32.exe
netstat.exe
pandaavengine.exe
penis32.exe
rate.exe
regedit.exe
ssate.exe
sysinfo.exe
sysmonxp.exe
teekids.exe
wincfg32.exetaskmon.exe
winsys.exe
winupd.exe
zapro.exe
zonealarm.exe
d3dupdate.exe
También roba la información de registro (CD-Keys), de los
siguientes juegos:
Battlefield 1942
Battlefield 1942 (Road To Rome)
Battlefield 1942 (Secret Weapons of WWII)
Battlefield Vietnam
Black and White
Chrome
Command and Conquer: Generals
Command and Conquer: Generals (Zero Hour)
Command and Conquer: Red Alert
Command and Conquer: Red Alert 2
Command and Conquer: Tiberian Sun
Counter-Strike
FIFA 2002
FIFA 2003
Freedom Force
Global Operations
Gunman Chronicles
Half-Life
Hidden & Dangerous 2
IGI 2: Covert Strike
Industry Giant 2
James Bond 007: Nightfire
Legends of Might and Magic
Medal of Honor: Allied Assault
Medal of Honor: Allied Assault: Breakthrough
Medal of Honor: Allied Assault: Spearhead
Microsoft Windows Product ID
Nascar Racing 2002
Nascar Racing 2003
Need For Speed Hot Pursuit 2
Need For Speed: Underground
Neverwinter Nights
Neverwinter Nights (Hordes of the Underdark)
Neverwinter Nights (Shadows of Undrentide)
NHL 2002
NHL 2003
NOX
ProductId
Rainbow Six III RavenShield
Shogun: Total War: Warlord Edition
Software\Activision\Soldier of Fortune II - Double Helix
Soldier of Fortune II - Double Helix
Soldiers Of Anarchy
The Gladiators
Unreal Tournament 2003
Unreal Tournament 2004
* Reparación manual
* Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet, así
como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Deshabilitar cualquier conexión a Internet o una red
Es importante desconectar cada computadora de cualquier
conexión a Internet, o red local, antes de proceder a su
limpieza.
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica
en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. Borre los archivos detectados como infectados.
* Borrar manualmente archivos agregados por el virus
* En Windows 95/98/Me/NT/2000
1. Seleccione Inicio, Buscar, Archivos o carpetas
2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de
tener seleccionada la opción "Incluir subcarpetas"
3. En "Nombre" ingrese (o corte y pegue), lo siguiente:
SYSTAC?.EXE
4. Haga clic en "Buscar ahora" y borre todos los archivos
encontrados
5. Cierre la ventana de búsqueda
6. Pinche con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* En Windows XP
1. Seleccione Inicio, Buscar
2. Seleccione "Todos los archivos y carpetas"
3. En "Todo o parte del nombre de archivo" ingrese (o corte y
pegue), lo siguiente:
SYSTAC?.EXE
4. Verifique que en "Buscar en:" esté seleccionado "C:"
5. Pinche en "Más opciones avanzadas"
6. Seleccione "Buscar en carpetas del sistema"
7. Seleccione "Buscar en subcarpetas"
8. Haga clic en "Búsqueda" y borre todos los archivos
encontrados
9. Cierre la ventana de búsqueda
10. Pinche con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
Syntax Script
4. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\RunOnce
5. Haga clic en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la siguiente
entrada:
Syntax Script
6. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
Syntax Script
8. En el panel izquierdo del editor, haga clic en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunOnce
9. Haga clic en la carpeta "RunOnce" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la siguiente
entrada:
Syntax Script
10. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
11. Haga clic en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la siguiente
entrada:
Syntax Script
12. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
13. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
* Información adicional
* Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se
recomienda llevar a cabo las acciones necesarias a fin de
cambiar todas las claves de acceso, así como toda otra
información que comprometa la información relacionada con
cualquier clase de transacción bancaria, incluidas sus
tarjetas electrónicas y cuentas bancarias.
* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).
2. Pinche con el botón derecho sobre las distintas conexiones
disponibles para conectarse a Internet, y en "Conexión de Red
de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción, la
herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
5 - W32/Agobot.ACU. Se copia como "fnesvc32.exe"
_____________________________________________________________
http://www.vsantivirus.com/agobot-uc.htm
Nombre: W32/Agobot.ACU
Nombre Nod32: Win32/Agobot.ACU
Tipo: Gusano de Internet y caballo de Troya
Alias: Agobot.ACU, Gaobot.ACU, Win32/Agobot.ACU,
Backdoor.Win32.Rbot.ev, W32/Gaobot.worm.gen.d,
W32.HLLW.Gaobot.gen, Win32.HLLW.Agobot, W32/Agobot-OS,
WORM_AGOBOT.AEL, Worm/Agobot.100864, IRC/BackDoor.SdBot.102.B,
Backdoor.Agobot.3.Gen, Worm.Gaobot.IK.2-unp
Fecha: 5/ene/05
Plataforma: Windows NT, 2000 y XP
Puertos: TCP/135, TCP/445, TCP/80
Tamaño: 100,864 bytes
Gusano que se propaga a través de redes compartidas, con
contraseñas débiles (por defecto, pocos caracteres, etc.),
valiéndose de conocidas vulnerabilidades.
Un intruso pueda acceder en forma remota a la computadora
infectada, a través del IRC.
Se ejecuta solo en Windows NT, 2000 y XP, e intenta robar
contraseñas y claves de conocidos juegos de computadora.
Se copia en el sistema infectado con el siguiente nombre:
c:\windows\system32\fnesvc32.exe
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows XP
y Windows Server 2003, como "c:\winnt\system32" en Windows NT
y 2000 y "c:\windows\system" en Windows 9x y ME).
Agrega las siguientes entradas en el registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Fenio Startups = "fnesvc32.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Fenio Startups = "fnesvc32.exe"
Modifica el archivo HOSTS para que los siguientes sitios no
puedan ser accedidos desde una máquina infectada:
avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
kaspersky .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .viruslist .com
Posee además un componente de acceso remoto por puerta trasera
vía IRC, que permite a un atacante realizar numerosas acciones
en el equipo infectado, incluidos ataques de denegación de
servicio (DoS), a blancos específicos. Algunas acciones
posibles:
- Ejecutar comandos en forma remota
- Eliminar procesos seleccionados
- Examinar el tráfico HTTP, FTP, e IRC (sniffer)
- Finalizar servicios de Windows
- Listar los procesos activos
- Obtener archivos a través de FTP y HTTP
- Obtener direcciones de correo de la computadora infectada
- Obtener información del registro
- Obtener un determinado URL
- Realizar ataques del tipo "floods" (HTTP, ICMP, SYN, y UDP)
- Reiniciar la computadora
- Robar contraseñas
Cuando se ejecuta, puede detener los siguientes procesos,
algunos de ellos pertenecientes a conocidos antivirus y
cortafuegos:
_avp32.exe
_avpcc.exe
_avpm.exe
ackwin32.exe
adaware.exe
advxdwin.exe
agentsvr.exe
agentw.exe
alertsvc.exe
alevir.exe
alogserv.exe
amon9x.exe
anti-trojan.exe
antivirus.exe
ants.exe
apimonitor.exe
aplica32.exe
apvxdwin.exe
arr.exe
atcon.exe
atguard.exe
atro55en.exe
atupdater.exe
atwatch.exe
au.exe
aupdate.exe
autodown.exe
auto-protect.nav80try.exe
autotrace.exe
autoupdate.exe
avconsol.exe
ave32.exe
avgcc32.exe
avgctrl.exe
avgnt.exe
avgserv.exe
avgserv9.exe
avguard.exe
avgw.exe
avkpop.exe
avkserv.exe
avkservice.exe
avkwctl9.exe
avltmain.exe
avnt.exe
avp.exe
avp32.exe
avpcc.exe
avpdos32.exe
avpm.exe
avptc32.exe
avpupd.exe
avsched32.exe
avsynmgr.exe
avwin95.exe
avwinnt.exe
avwupd.exe
avwupd32.exe
avwupsrv.exe
avxmonitor9x.exe
avxmonitornt.exe
avxquar.exe
backweb.exe
bargains.exe
bd_professional.exe
beagle.exe
belt.exe
bidef.exe
bidserver.exe
bipcp.exe
bipcpevalsetup.exe
bisp.exe
blackd.exe
blackice.exe
blss.exe
bootconf.exe
bootwarn.exe
borg2.exe
bpc.exe
brasil.exe
bs120.exe
bundle.exe
bvt.exe
ccapp.exe
ccevtmgr.exe
ccpxysvc.exe
cdp.exe
cfd.exe
cfgwiz.exe
cfiadmin.exe
cfiaudit.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
clean.exe
cleaner.exe
cleaner3.exe
cleanpc.exe
click.exe
cmd32.exe
cmesys.exe
cmgrdian.exe
cmon016.exe
connectionmonitor.exe
cpd.exe
cpf9x206.exe
cpfnt206.exe
ctrl.exe
cv.exe
cwnb181.exe
cwntdwmo.exe
datemanager.exe
dcomx.exe
defalert.exe
defscangui.exe
defwatch.exe
deputy.exe
divx.exe
dllcache.exe
dllreg.exe
doors.exe
dpf.exe
dpfsetup.exe
dpps2.exe
drwatson.exe
drweb32.exe
drwebupw.exe
dssagent.exe
dvp95.exe
dvp95_0.exe
ecengine.exe
efpeadm.exe
emsw.exe
ent.exe
esafe.exe
escanh95.exe
escanhnt.exe
escanv95.exe
espwatch.exe
ethereal.exe
etrustcipe.exe
evpn.exe
exantivirus-cnet.exe
exe.avxw.exe
expert.exe
explore.exe
f-agnt95.exe
fameh32.exe
fast.exe
fch32.exe
fih32.exe
findviru.exe
firewall.exe
flowprotector.exe
fnrb32.exe
fprot.exe
f-prot.exe
f-prot95.exe
fp-win.exe
fp-win_trial.exe
frw.exe
fsaa.exe
fsav.exe
fsav32.exe
fsav530stbyb.exe
fsav530wtbyb.exe
fsav95.exe
fsgk32.exe
fsm32.exe
fsma32.exe
fsmb32.exe
f-stopw.exe
gator.exe
gbmenu.exe
gbpoll.exe
generics.exe
gmt.exe
guard.exe
guarddog.exe
hacktracersetup.exe
hbinst.exe
hbsrv.exe
hotactio.exe
hotpatch.exe
htlog.exe
htpatch.exe
hwpe.exe
hxdl.exe
hxiul.exe
iamapp.exe
iamserv.exe
iamstats.exe
ibmasn.exe
ibmavsp.exe
icload95.exe
icloadnt.exe
icmon.exe
icsupp95.exe
icsuppnt.exe
idle.exe
iedll.exe
iedriver.exe
iexplorer.exe
iface.exe
ifw2000.exe
inetlnfo.exe
infus.exe
infwin.exe
init.exe
intdel.exe
intren.exe
iomon98.exe
iparmor.exe
iris.exe
isass.exe
isrv95.exe
istsvc.exe
jammer.exe
jdbgmrg.exe
jedi.exe
kavlite40eng.exe
kavpers40eng.exe
kavpf.exe
kazza.exe
keenvalue.exe
kerio-pf-213-en-win.exe
kerio-wrl-421-en-win.exe
kerio-wrp-421-en-win.exe
kernel32.exe
killprocesssetup161.exe
launcher.exe
ldnetmon.exe
ldpro.exe
ldpromenu.exe
ldscan.exe
lnetinfo.exe
loader.exe
localnet.exe
lockdown.exe
lockdown2000.exe
lookout.exe
lordpe.exe
lsetup.exe
luall.exe
luau.exe
lucomserver.exe
luinit.exe
luspt.exe
mapisvc32.exe
mcagent.exe
mcmnhdlr.exe
mcshield.exe
mctool.exe
mcupdate.exe
mcvsrte.exe
mcvsshld.exe
md.exe
mfin32.exe
mfw2en.exe
mfweng3.02d30.exe
mgavrtcl.exe
mgavrte.exe
mghtml.exe
mgui.exe
minilog.exe
mmod.exe
monitor.exe
moolive.exe
mostat.exe
mpfagent.exe
mpfservice.exe
mpftray.exe
mrflux.exe
msapp.exe
msbb.exe
msblast.exe
mscache.exe
msccn32.exe
mscman.exe
msconfig.exe
msdm.exe
msdos.exe
msiexec16.exe
msinfo32.exe
mslaugh.exe
msmgt.exe
msmsgri32.exe
mssmmc32.exe
mssys.exe
msvxd.exe
mu0311ad.exe
mwatch.exe
n32scanw.exe
nav.exe
navap.navapsvc.exe
navapsvc.exe
navapw32.exe
navdx.exe
navengnavex15.navlu32.exe
navlu32.exe
navnt.exe
navstub.exe
navw32.exe
navwnt.exe
nc2000.exe
ncinst4.exe
ndd32.exe
neomonitor.exe
neowatchlog.exe
netarmor.exe
netd32.exe
netinfo.exe
netmon.exe
netscanpro.exe
netspyhunter-1.2.exe
netstat.exe
netutils.exe
nisserv.exe
nisum.exe
nmain.exe
nod32.exe
normist.exe
norton_internet_secu_3.0_407.exe
notstart.exe
npf40_tw_98_nt_me_2k.exe
npfmessenger.exe
nprotect.exe
npscheck.exe
npssvc.exe
nsched32.exe
nssys32.exe
nstask32.exe
nsupdate.exe
nt.exe
ntrtscan.exe
ntvdm.exe
ntxconfig.exe
nui.exe
nupgrade.exe
nvarch16.exe
nvc95.exe
nvsvc32.exe
nwinst4.exe
nwservice.exe
nwtool16.exe
ollydbg.exe
onsrvr.exe
optimize.exe
ostronet.exe
otfix.exe
outpost.exe
outpostinstall.exe
outpostproinstall.exe
padmin.exe
panixk.exe
patch.exe
pavcl.exe
pavproxy.exe
pavsched.exe
pavw.exe
pcc2002s902.exe
pcc2k_76_1436.exe
pcciomon.exe
pccntmon.exe
pccwin97.exe
pccwin98.exe
pcdsetup.exe
pcfwallicon.exe
pcip10117_0.exe
pcscan.exe
pdsetup.exe
penis.exe
periscope.exe
persfw.exe
perswf.exe
pf2.exe
pfwadmin.exe
pgmonitr.exe
pingscan.exe
platin.exe
pop3trap.exe
poproxy.exe
popscan.exe
portdetective.exe
portmonitor.exe
powerscan.exe
ppinupdt.exe
pptbc.exe
ppvstop.exe
prizesurfer.exe
prmt.exe
prmvr.exe
procdump.exe
processmonitor.exe
procexplorerv1.0.exe
programauditor.exe
proport.exe
protectx.exe
pspf.exe
purge.exe
pussy.exe
pview95.exe
qconsole.exe
qserver.exe
rapapp.exe
rav7.exe
rav7win.exe
rav8win32eng.exe
ray.exe
rb32.exe
rcsync.exe
realmon.exe
reged.exe
regedit.exe
regedt32.exe
rescue.exe
rescue32.exe
rrguard.exe
rshell.exe
rtvscan.exe
rtvscn95.exe
rulaunch.exe
run32dll.exe
rundll.exe
rundll16.exe
ruxdll32.exe
safeweb.exe
sahagent.exe
save.exe
savenow.exe
sbserv.exe
sc.exe
scam32.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
scrsvr.exe
scvhost.exe
sd.exe
serv95.exe
service.exe
servlce.exe
servlces.exe
setup_flowprotector_us.exe
setupvameeval.exe
sfc.exe
sgssfw32.exe
sh.exe
shellspyinstall.exe
shn.exe
showbehind.exe
smc.exe
sms.exe
smss32.exe
soap.exe
sofi.exe
sperm.exe
spf.exe
sphinx.exe
spoler.exe
spoolcv.exe
spoolsv32.exe
spyxx.exe
srexe.exe
srng.exe
ss3edit.exe
ssg_4104.exe
ssgrate.exe
st2.exe
start.exe
stcloader.exe
supftrl.exe
support.exe
supporter5.exe
svc.exe
svchostc.exe
svchosts.exe
svshost.exe
sweep95.exe
sweepnet.sweepsrv.sys.swnetsup.exe
symproxysvc.exe
symtray.exe
sysedit.exe
system.exe
system32.exe
sysupd.exe
taskmg.exe
taskmo.exe
taskmon.exe
taumon.exe
tbscan.exe
tc.exe
tca.exe
tcm.exe
tds2-98.exe
tds2-nt.exe
tds-3.exe
teekids.exe
tfak.exe
tfak5.exe
tgbob.exe
titanin.exe
titaninxp.exe
tracert.exe
trickler.exe
trjscan.exe
trjsetup.exe
trojantrap3.exe
tsadbot.exe
tvmd.exe
tvtmd.exe
undoboot.exe
updat.exe
update.exe
upgrad.exe
utpost.exe
vbcmserv.exe
vbcons.exe
vbust.exe
vbwin9x.exe
vbwinntw.exe
vcsetup.exe
vet32.exe
vet95.exe
vettray.exe
vfsetup.exe
vir-help.exe
virusmdpersonalfirewall.exe
vnlan300.exe
vnpc3000.exe
vpc32.exe
vpc42.exe
vpfw30s.exe
vptray.exe
vscan40.exe
vscenu6.02d30.exe
vsched.exe
vsecomr.exe
vshwin32.exe
vsisetup.exe
vsmain.exe
vsmon.exe
vsstat.exe
vswin9xe.exe
vswinntse.exe
vswinperse.exe
w32dsm89.exe
w9x.exe
watchdog.exe
webdav.exe
webscanx.exe
webtrap.exe
wfindv32.exe
wgfe95.exe
whoswatchingme.exe
wimmun32.exe
win32.exe
win32us.exe
winactive.exe
win-bugsfix.exe
window.exe
windows.exe
wininetd.exe
wininit.exe
wininitx.exe
winlogin.exe
winmain.exe
winnet.exe
winppr32.exe
winrecon.exe
winservn.exe
winssk32.exe
winstart.exe
winstart001.exe
wintsk32.exe
winupdate.exe
wkufind.exe
wnad.exe
wnt.exe
wradmin.exe
wrctrl.exe
wsbgate.exe
wupdater.exe
wupdt.exe
wyvernworksfirewall.exe
xpf202en.exe
zapro.exe
zapsetup3001.exe
zatutor.exe
zonalm2601.exe
zonealarm.exe
* Reparación manual
* IMPORTANTE:
Descargue y ejecute cada parche antes de proceder al resto de
la limpieza, desde los siguientes enlaces:
Falla crítica en servidores Microsoft IIS 5.0 (MS03-007)
http://www.vsantivirus.com/vulms03-007.htm
MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm
* Cortafuegos
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet, así
como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Deshabilitar las carpetas compartidas
Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica
en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. Borre los archivos detectados como infectados.
* Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT, y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
Fenio Startups
4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
5. Pinche en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la siguiente
entrada:
Fenio Startups
6. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
* Borrado manual de los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre el siguiente
archivo:
c:\windows\system32\fnesvc32.exe
Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".
* Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo
HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS).
Seleccione "Seleccionar el programa de una lista", "Aceptar",
y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE
"Utilizar siempre el programa seleccionado para abrir este
tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo
las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Reinicie su computadora.
* Información adicional
* IMPORTANTE
Si usted utiliza su PC, o pertenece a una organización que por
su naturaleza exige ser totalmente segura, se recomienda
borrar todo el contenido del disco duro, reinstalar de cero el
sistema operativo, y recuperar sus archivos importantes de
copias de respaldo anteriores.
También instale los parches mencionados más adelante.
Luego cambie todas sus contraseñas, incluso la de otros
usuarios a los que tenga acceso desde su computadora.
En el caso de una empresa con redes corporativas, contacte con
su administrador para tomar las acciones necesarias a fin de
cambiar todas las claves de acceso, así como reinstalar
Windows en todas las computadoras.
Esta es la única manera segura de no comprometer su seguridad
ante los posibles cambios realizados por el gusano.
* Activar cortafuegos de Windows XP (Internet Conexión
Firewall)
NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos
ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos
(que posee algunas limitaciones). Si instala ZA, no active ICF
(Internet Conexión Firewall) o viceversa.
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red e
Internet, Conexiones de Red.
2. Pinche con el botón derecho del mouse sobre "Conexión de
Red de Area Local" y seleccione Propiedades.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet".
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".
3. Seleccione la lengüeta "Ver".
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".
En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema operativo".
6. Pinche en "Aplicar" y en "Aceptar".
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción, la
herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
6 - W32/Agobot.3.Q. Se copia como "iexplorer.exe"
_____________________________________________________________
http://www.vsantivirus.com/agobot-3-q.htm
Nombre: Win32/Agobot.3.Q
Nombre Nod32: Win32/Agobot.3.Q
Tipo: Gusano de Internet y caballo de Troya
Alias: Agobot.3.Q, Gaobot.3.Q, Win32/Agobot.3.Q, W32/Agobot-
AB, Backdoor.Agobot.q, W32/Gaobot.worm.gen.b,
W32.HLLW.Gaobot.AZ, Win32.HLLW.Agobot.3, Win32/HLLW.Gaobot.BU,
WORM_AGOBOT.AE, Worm/Agobot.AB, Win32:Gaobot-23, Worm/Agobot,
Backdoor.Agobot.3.Gen, Exploit.DCOM.Gen, W32/Gaobot.T.worm,
Backdoor.Agobot.3.h
Fecha: 4/ene/05
Plataforma: Windows NT, 2000 y XP
Puertos: TCP/135, TCP/445, TCP/80
Gusano que se propaga a través de redes compartidas, con
contraseñas débiles (por defecto, pocos caracteres, etc.),
valiéndose de conocidas vulnerabilidades.
Un intruso pueda acceder en forma remota a la computadora
infectada, a través del IRC.
Se ejecuta solo en Windows NT, 2000 y XP, e intenta robar
contraseñas y claves de conocidos juegos de computadora.
Se copia en el sistema infectado con el siguiente nombre:
c:\windows\system32\iexplorer.exe
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema
operativo instalado (con ese nombre por defecto en Windows XP
y Windows Server 2003, como "c:\winnt\system32" en Windows NT
y 2000 y "c:\windows\system" en Windows 9x y ME).
Agrega las siguientes entradas en el registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows Backup Configuration = "iexplorer.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Windows Backup Configuration = "iexplorer.exe"
Modifica el archivo HOSTS para que los siguientes sitios no
puedan ser accedidos desde una máquina infectada:
avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
kaspersky .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .viruslist .com
Posee además un componente de acceso remoto por puerta trasera
vía IRC, que permite a un atacante realizar numerosas acciones
en el equipo infectado, incluidos ataques de denegación de
servicio (DoS), a blancos específicos. Algunas acciones
posibles:
- Ejecutar comandos en forma remota
- Eliminar procesos seleccionados
- Examinar el tráfico HTTP, FTP, e IRC (sniffer)
- Finalizar servicios de Windows
- Listar los procesos activos
- Obtener archivos a través de FTP y HTTP
- Obtener direcciones de correo de la computadora infectada
- Obtener información del registro
- Obtener un determinado URL
- Realizar ataques del tipo "floods" (HTTP, ICMP, SYN, y UDP)
- Reiniciar la computadora
- Robar contraseñas
Cuando se ejecuta, puede detener los siguientes procesos,
algunos de ellos pertenecientes a conocidos antivirus y
cortafuegos:
_avp32.exe
_avpcc.exe
_avpm.exe
ackwin32.exe
adaware.exe
advxdwin.exe
agentsvr.exe
agentw.exe
alertsvc.exe
alevir.exe
alogserv.exe
amon9x.exe
anti-trojan.exe
antivirus.exe
ants.exe
apimonitor.exe
aplica32.exe
apvxdwin.exe
arr.exe
atcon.exe
atguard.exe
atro55en.exe
atupdater.exe
atwatch.exe
au.exe
aupdate.exe
autodown.exe
auto-protect.nav80try.exe
autotrace.exe
autoupdate.exe
avconsol.exe
ave32.exe
avgcc32.exe
avgctrl.exe
avgnt.exe
avgserv.exe
avgserv9.exe
avguard.exe
avgw.exe
avkpop.exe
avkserv.exe
avkservice.exe
avkwctl9.exe
avltmain.exe
avnt.exe
avp.exe
avp32.exe
avpcc.exe
avpdos32.exe
avpm.exe
avptc32.exe
avpupd.exe
avsched32.exe
avsynmgr.exe
avwin95.exe
avwinnt.exe
avwupd.exe
avwupd32.exe
avwupsrv.exe
avxmonitor9x.exe
avxmonitornt.exe
avxquar.exe
backweb.exe
bargains.exe
bd_professional.exe
beagle.exe
belt.exe
bidef.exe
bidserver.exe
bipcp.exe
bipcpevalsetup.exe
bisp.exe
blackd.exe
blackice.exe
blss.exe
bootconf.exe
bootwarn.exe
borg2.exe
bpc.exe
brasil.exe
bs120.exe
bundle.exe
bvt.exe
ccapp.exe
ccevtmgr.exe
ccpxysvc.exe
cdp.exe
cfd.exe
cfgwiz.exe
cfiadmin.exe
cfiaudit.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
clean.exe
cleaner.exe
cleaner3.exe
cleanpc.exe
click.exe
cmd32.exe
cmesys.exe
cmgrdian.exe
cmon016.exe
connectionmonitor.exe
cpd.exe
cpf9x206.exe
cpfnt206.exe
ctrl.exe
cv.exe
cwnb181.exe
cwntdwmo.exe
datemanager.exe
dcomx.exe
defalert.exe
defscangui.exe
defwatch.exe
deputy.exe
divx.exe
dllcache.exe
dllreg.exe
doors.exe
dpf.exe
dpfsetup.exe
dpps2.exe
drwatson.exe
drweb32.exe
drwebupw.exe
dssagent.exe
dvp95.exe
dvp95_0.exe
ecengine.exe
efpeadm.exe
emsw.exe
ent.exe
esafe.exe
escanh95.exe
escanhnt.exe
escanv95.exe
espwatch.exe
ethereal.exe
etrustcipe.exe
evpn.exe
exantivirus-cnet.exe
exe.avxw.exe
expert.exe
explore.exe
f-agnt95.exe
f-agobot.exe
fameh32.exe
fast.exe
fch32.exe
fih32.exe
findviru.exe
firewall.exe
flowprotector.exe
fnrb32.exe
fprot.exe
f-prot.exe
f-prot95.exe
fp-win.exe
fp-win_trial.exe
frw.exe
fsaa.exe
fsav.exe
fsav32.exe
fsav530stbyb.exe
fsav530wtbyb.exe
fsav95.exe
fsgk32.exe
fsm32.exe
fsma32.exe
fsmb32.exe
f-stopw.exe
gator.exe
gbmenu.exe
gbpoll.exe
generics.exe
gmt.exe
guard.exe
guarddog.exe
hacktracersetup.exe
hbinst.exe
hbsrv.exe
hijackthis.exe
hotactio.exe
hotpatch.exe
htlog.exe
htpatch.exe
hwpe.exe
hxdl.exe
hxiul.exe
iamapp.exe
iamserv.exe
iamstats.exe
ibmasn.exe
ibmavsp.exe
icload95.exe
icloadnt.exe
icmon.exe
icsupp95.exe
icsuppnt.exe
idle.exe
iedll.exe
iedriver.exe
iexplorer.exe
iface.exe
ifw2000.exe
inetlnfo.exe
infus.exe
infwin.exe
init.exe
intdel.exe
intren.exe
iomon98.exe
iparmor.exe
iris.exe
isass.exe
isrv95.exe
istsvc.exe
jammer.exe
jdbgmrg.exe
jedi.exe
kavlite40eng.exe
kavpers40eng.exe
kavpf.exe
kazza.exe
keenvalue.exe
kerio-pf-213-en-win.exe
kerio-wrl-421-en-win.exe
kerio-wrp-421-en-win.exe
kernel32.exe
killprocesssetup161.exe
launcher.exe
ldnetmon.exe
ldpro.exe
ldpromenu.exe
ldscan.exe
lnetinfo.exe
loader.exe
localnet.exe
lockdown.exe
lockdown2000.exe
lookout.exe
lordpe.exe
lsetup.exe
luall.exe
luau.exe
lucomserver.exe
luinit.exe
luspt.exe
mapisvc32.exe
mcagent.exe
mcmnhdlr.exe
mcshield.exe
mctool.exe
mcupdate.exe
mcvsrte.exe
mcvsshld.exe
md.exe
mfin32.exe
mfw2en.exe
mfweng3.02d30.exe
mgavrtcl.exe
mgavrte.exe
mghtml.exe
mgui.exe
minilog.exe
mmod.exe
monitor.exe
moolive.exe
mostat.exe
mpfagent.exe
mpfservice.exe
mpftray.exe
mrflux.exe
msapp.exe
msbb.exe
msblast.exe
mscache.exe
msccn32.exe
mscman.exe
msconfig.exe
msdm.exe
msdos.exe
msiexec16.exe
msinfo32.exe
mslaugh.exe
msmgt.exe
msmsgri32.exe
mssmmc32.exe
mssys.exe
msvxd.exe
mu0311ad.exe
mwatch.exe
n32scanw.exe
nav.exe
navap.navapsvc.exe
navapsvc.exe
navapw32.exe
navdx.exe
navengnavex15.navlu32.exe
navlu32.exe
navnt.exe
navstub.exe
navw32.exe
navwnt.exe
nc2000.exe
ncinst4.exe
ndd32.exe
neomonitor.exe
neowatchlog.exe
netarmor.exe
netd32.exe
netinfo.exe
netmon.exe
netscanpro.exe
netspyhunter-1.2.exe
netstat.exe
netutils.exe
nisserv.exe
nisum.exe
nmain.exe
nod32.exe
normist.exe
norton_internet_secu_3.0_407.exe
notstart.exe
npf40_tw_98_nt_me_2k.exe
npfmessenger.exe
nprotect.exe
npscheck.exe
npssvc.exe
nsched32.exe
nssys32.exe
nstask32.exe
nsupdate.exe
nt.exe
ntrtscan.exe
ntvdm.exe
ntxconfig.exe
nui.exe
nupgrade.exe
nvarch16.exe
nvc95.exe
nvsvc32.exe
nwinst4.exe
nwservice.exe
nwtool16.exe
ollydbg.exe
onsrvr.exe
optimize.exe
ostronet.exe
otfix.exe
outpost.exe
outpostinstall.exe
outpostproinstall.exe
padmin.exe
panixk.exe
patch.exe
pavcl.exe
pavproxy.exe
pavsched.exe
pavw.exe
pcc2002s902.exe
pcc2k_76_1436.exe
pcciomon.exe
pccntmon.exe
pccwin97.exe
pccwin98.exe
pcdsetup.exe
pcfwallicon.exe
pcip10117_0.exe
pcscan.exe
pdsetup.exe
penis.exe
periscope.exe
persfw.exe
perswf.exe
pf2.exe
pfwadmin.exe
pgmonitr.exe
pingscan.exe
platin.exe
pop3trap.exe
poproxy.exe
popscan.exe
portdetective.exe
portmonitor.exe
powerscan.exe
ppinupdt.exe
pptbc.exe
ppvstop.exe
prizesurfer.exe
prmt.exe
prmvr.exe
procdump.exe
processmonitor.exe
procexplorerv1.0.exe
programauditor.exe
proport.exe
protectx.exe
pspf.exe
purge.exe
pussy.exe
pview95.exe
qconsole.exe
qserver.exe
rapapp.exe
rav7.exe
rav7win.exe
rav8win32eng.exe
ray.exe
rb32.exe
rcsync.exe
realmon.exe
reged.exe
regedit.exe
regedt32.exe
rescue.exe
rescue32.exe
rrguard.exe
rshell.exe
rtvscan.exe
rtvscn95.exe
rulaunch.exe
run32dll.exe
rundll.exe
rundll16.exe
ruxdll32.exe
safeweb.exe
sahagent.exe
save.exe
savenow.exe
sbserv.exe
sc.exe
scam32.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
scrsvr.exe
scvhost.exe
sd.exe
serv95.exe
service.exe
servlce.exe
servlces.exe
setup_flowprotector_us.exe
setupvameeval.exe
sfc.exe
sgssfw32.exe
sh.exe
shellspyinstall.exe
shn.exe
showbehind.exe
smc.exe
sms.exe
smss32.exe
soap.exe
sofi.exe
sperm.exe
spf.exe
sphinx.exe
spoler.exe
spoolcv.exe
spoolsv32.exe
spyxx.exe
srexe.exe
srng.exe
ss3edit.exe
ssg_4104.exe
ssgrate.exe
st2.exe
start.exe
stcloader.exe
supftrl.exe
support.exe
supporter5.exe
svc.exe
svchostc.exe
svchosts.exe
svshost.exe
sweep95.exe
sweepnet.sweepsrv.sys.swnetsup.exe
symproxysvc.exe
symtray.exe
sysedit.exe
system.exe
system32.exe
sysupd.exe
taskmg.exe
taskmo.exe
taskmon.exe
taumon.exe
tbscan.exe
tc.exe
tca.exe
tcm.exe
tds2-98.exe
tds2-nt.exe
tds-3.exe
teekids.exe
tfak.exe
tfak5.exe
tgbob.exe
titanin.exe
titaninxp.exe
tracert.exe
trickler.exe
trjscan.exe
trjsetup.exe
trojantrap3.exe
tsadbot.exe
tvmd.exe
tvtmd.exe
undoboot.exe
updat.exe
update.exe
upgrad.exe
utpost.exe
vbcmserv.exe
vbcons.exe
vbust.exe
vbwin9x.exe
vbwinntw.exe
vcsetup.exe
vet32.exe
vet95.exe
vettray.exe
vfsetup.exe
vir-help.exe
virusmdpersonalfirewall.exe
vnlan300.exe
vnpc3000.exe
vpc32.exe
vpc42.exe
vpfw30s.exe
vptray.exe
vscan40.exe
vscenu6.02d30.exe
vsched.exe
vsecomr.exe
vshwin32.exe
vsisetup.exe
vsmain.exe
vsmon.exe
vsstat.exe
vswin9xe.exe
vswinntse.exe
vswinperse.exe
w32dsm89.exe
w9x.exe
watchdog.exe
webdav.exe
webscanx.exe
webtrap.exe
wfindv32.exe
wgfe95.exe
whoswatchingme.exe
wimmun32.exe
win32.exe
win32us.exe
winactive.exe
win-bugsfix.exe
window.exe
windows.exe
wininetd.exe
wininit.exe
wininitx.exe
winlogin.exe
winmain.exe
winnet.exe
winppr32.exe
winrecon.exe
winservn.exe
winssk32.exe
winstart.exe
winstart001.exe
wintsk32.exe
winupdate.exe
wkufind.exe
wnad.exe
wnt.exe
wradmin.exe
wrctrl.exe
wsbgate.exe
wupdater.exe
wupdt.exe
wyvernworksfirewall.exe
xpf202en.exe
zapro.exe
zapsetup3001.exe
zatutor.exe
zonalm2601.exe
zonealarm.exe
* Reparación manual
* IMPORTANTE:
Descargue y ejecute cada parche antes de proceder al resto de
la limpieza, desde los siguientes enlaces:
MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm
MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htm
* Cortafuegos
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet, así
como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Deshabilitar las carpetas compartidas
Es importante desconectar cada computadora de cualquier red
antes de proceder a su limpieza.
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica
en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. Borre los archivos detectados como infectados.
* Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT, y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Nombre", busque y borre la siguiente entrada:
Windows Backup Configuration
4. En el panel izquierdo del editor, pinche en el signo "+"
hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
5. Pinche en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Nombre", busque y borre la siguiente
entrada:
Windows Backup Configuration
6. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
* Borrado manual de los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre el siguiente
archivo:
c:\windows\system32\iexplorer.exe
Pinche con el botón derecho sobre el icono de la "Papelera de
reciclaje" en el escritorio, y seleccione "Vaciar la papelera
de reciclaje".
* Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo
HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS).
Seleccione "Seleccionar el programa de una lista", "Aceptar",
y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE
"Utilizar siempre el programa seleccionado para abrir este
tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo
las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Reinicie su computadora.
* Información adicional
* IMPORTANTE
Si usted utiliza su PC, o pertenece a una organización que por
su naturaleza exige ser totalmente segura, se recomienda
borrar todo el contenido del disco duro, reinstalar de cero el
sistema operativo, y recuperar sus archivos importantes de
copias de respaldo anteriores.
También instale los parches mencionados más adelante.
Luego cambie todas sus contraseñas, incluso la de otros
usuarios a los que tenga acceso desde su computadora.
En el caso de una empresa con redes corporativas, contacte con
su administrador para tomar las acciones necesarias a fin de
cambiar todas las claves de acceso, así como reinstalar
Windows en todas las computadoras.
Esta es la única manera segura de no comprometer su seguridad
ante los posibles cambios realizados por el gusano.
* Activar cortafuegos de Windows XP (Internet Conexión
Firewall)
NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos
ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos
(que posee algunas limitaciones). Si instala ZA, no active ICF
(Internet Conexión Firewall) o viceversa.
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red e
Internet, Conexiones de Red.
2. Pinche con el botón derecho del mouse sobre "Conexión de
Red de Area Local" y seleccione Propiedades.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet".
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú
"Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u
"Opciones de carpetas".
3. Seleccione la lengüeta "Ver".
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos
los archivos".
En Windows Me/2000/XP, en "Archivos y carpetas ocultos",
MARQUE "Mostrar todos los archivos y carpetas ocultos" y
DESMARQUE "Ocultar archivos protegidos del sistema operativo".
6. Pinche en "Aplicar" y en "Aceptar".
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción, la
herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
Pautas generales para mantenerse alejado de los virus
_____________________________________________________________
Recuerde estas pautas para mantener alejado de su computadora
cualquier riesgo de virus o troyanos:
1) Use regularmente un programa antivirus (nosotros siempre
recomendamos no confiar en uno solo, pero usar más de uno no
significa que debamos tenerlos a todos instalados, simplemente
ejecutamos esos antivirus en su opción de escaneo, sobre la
carpeta que contenga los archivos a revisar). Y por supuesto,
de nada vale usar algún antivirus si no lo mantenemos
actualizado con los upgrades, updates o add-ons
correspondientes. Actualmente, las actualizaciones de la
mayoría de los fabricantes son diarias. No existen los "virus
demasiados nuevos y sin antídotos", la reacción de las casas
de antivirus es inmediata en todos los casos. Pero mejor
pregúntese, si la suya también lo es a la hora de
actualizarse.
2) No abrir ningún mensaje ni archivo recibido a través del
correo electrónico, que no haya sido solicitado, sin importar
su remitente. Ante cualquier duda, simplemente se debe optar
por borrar el mensaje (y archivos adjuntos). Como se dice
vulgarmente, "la confianza mata al hombre", en este caso a la
PC.
3) Estar informado de cómo operan los virus, y de las
novedades sobre estos, alertas y anuncios críticos, en sitios
como el nuestro.
4) No bajar nada de sitios Web de los que no tenga referencias
de seriedad, o que no sean medianamente conocidos. Y si se
bajan archivos, proceder como los archivos adjuntos. Copiarlos
a una carpeta y revisarlos con dos o tres antivirus
actualizados antes de optar por ejecutarlos o abrirlos.
_____________________________________________________________
Sobre este boletín
_____________________________________________________________
La distribución de este boletín es gratuita, y está amparada
bajo los derechos de Copyright registrados por Video Soft
(también los artículos publicados directamente en nuestra
página). Si usted desea usar esta información en cualquier
medio escrito o electrónico, puede hacerlo sin solicitarnos el
permiso respectivo, con la única condición de mencionar su
origen, y remitirnos un e-mail o ejemplar con la ubicación
donde se haga referencia al material usado que haya sido
sacado de este boletín o de la página de VSAntivirus.
Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas
registradas.
Los artículos de otros autores han sido incluidos de acuerdo a
la política de Copyright adoptada por cada uno de ellos, y su
inclusión en nuestro boletín se rige por dichas políticas, sin
embargo, para su uso en otro medio, se deberá solicitar la
debida autorización.
_____________________________________________________________
Video Soft es una empresa privada que desde hace más de 10
años se dedica a la seguridad informática, siendo líder en el
tema a través de su portal VSAntivirus, el cuál es visitado
diariamente por decenas de miles de usuarios de habla hispana
en todo el mundo. Desde julio de 2004, Video Soft representa
en Uruguay al antivirus NOD32 (marca registrada de ESET). Más
información: http://www.nod32.videosoft.net.uy/
_____________________________________________________________
Cualquier duda o comentario sobre esta lista de correo, envíe
un e-mail a cualquiera de estas direcciones:
jllopez@nativo.com
videosoft@videosoft.net.uy
_____________________________________________________________
VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com
_____________________________________________________________
Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta
Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja
También puede enviar un mensaje vacío a estas direcciones:
Altas: vsantivirus-alta@listas.vsantivirus.com
Bajas: vsantivirus-baja@listas.vsantivirus.com
_____________________________________________________________
VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________
VSantivirus No. 1644 Año 9, jueves 6 de enero de 2005
|
VSantivirus No. 16
Responder a este mensaje
