Mostrando mensaje 713     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1664 Año 9, miércoles 26 de enero de 2005 Fecha: Miercoles, 26 de Enero, 2005  05:41:39 (-0200) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1664 Año 9, miércoles 26 de enero de 2005 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Troyano en sitio de descarga Download.com 2 - Troj/Dialer.InstantAccess. Adware y discador 3 - Troj/Spy.Qukart.S. Roba información, permite acceso _____________________________________________________________ 1 - Troyano en sitio de descarga Download.com _____________________________________________________________ http://www.vsantivirus.com/26-01-05.htm Troyano en sitio de descarga Download.com Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Download.com es un popular y prestigioso sitio de descarga de archivos en forma gratuita de Internet, que pertenece a CNET Networks, una importante compañía dedicada al contenido interactivo, que opera actualmente en 12 países. Según se informó en un conocido foro (http://www.broadbandreports.com/forum/remark,12475809), Download.com estuvo distribuyendo entre sus usuarios, un archivo que contiene uno o más troyanos, al menos uno de ello detectado como una variante de la familia del "Krepper", el cuál descarga y ejecuta otros archivos en el sistema. Según la información recabada, el troyano estaba contenido en la descarga de la última versión de DC++ (v0.668), un cliente de código abierto para el protocolo "Direct Connect", el cuál permite el intercambio de archivos en Internet "sin restricciones ni límites", según se informa en el sitio oficial. Más de un millón de descargas del archivo "DCPlusPlus-0.668.exe", parecen haberse producido desde el 16 de enero a la fecha, antes de que se alertara sobre este troyano. Actualmente este archivo no está disponible en Download.com, pero si puede ser descargado aún de otros sitios, incluido el oficial de DC++. No hay ninguna respuesta oficial de los involucrados al momento actual. El troyano propiamente dicho, se instala en un archivo llamado CSERVE32.EXE en la carpeta de Windows, y luego intenta modificar el registro para ejecutarse en los siguientes reinicios. [Esta información será ampliada] (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Troj/Dialer.InstantAccess. Adware y discador _____________________________________________________________ http://www.vsantivirus.com/troj-instantaccess.htm Nombre: Troj/Dialer.InstantAccess Nombre NOD32: Win32/Dialer.InstantAccess.A, B, C, D Tipo: Parásito (Caballo de Troya, Dialer, Adware) Alias: Instant Access, Dialer.InstantAccess, InstantAccess, Adware.InstantAccess, Dial/InsAce-A, P2E.AL, Trj/P2E.AA, not-a-virus:PornWare.Dialer.InstantAccess, Porn-Dialer.Win32.InstantAccess, Trojan.Downloader.Wintrim.BK, Trojan.P2E.AA, Trojan.Win32.P2E.aa, Win32/Dialer.InstantAccess.A, Win32/Dialer.InstantAccess.B, Win32/Dialer.InstantAccess.C, Win32/Dialer.InstantAccess.D, Win32/P2E.AA, Win32:Wintrim-017 Fecha: 25/ene/05 Plataforma: Windows 32-bit Tamaño: varios Se trata de un parásito del tipo discador (dialer), que permite el uso de servicios telefónicos del tipo "Premium Rate Service", mediante el discado vía módem a números telefónicos con tarifas especiales de alto costo. También muestra publicidad de sitios asociados, al navegar el usuario por Internet. Se descarga al visitar determinados sitios, sobre todo sitios de participación, pero generalmente sin que el usuario posea un conocimiento claro de su utilidad ni las acciones que realizará. A veces puede encontrarse un enlace con un nombre como "FunFunFun.lnk" o similar en el escritorio. El troyano puede instalar los siguientes archivos en el sistema, en las carpetas de Windows, Windows\System (o Windows\System32) y otras creadas por él: access.exe EGCOMLIB_????.dll EGCOMLIB2.dll EGDHTML_????.dll EGDIAL.dll eghtmldialer.dll ExeDialer.exe FunFunFun.lnk Instant Access.exe mseggrpid.dl ncc.ico p2esocks_????.dll show_module.php show_module.php_0.loginvis Cuando el troyano se activa, crea la carpeta "Instant Access" y otras subcarpetas, en la carpeta de Archivos de programa: \Instant Access\Dialer\Exe\[variable]\Common \Instant Access\Center\Exe\[variable]\img Donde "Archivos de programa" puede ser una de las siguientes carpetas: C:\Program Files\ C:\Archivos de programa\ [Variable] es un valor numérico generado por los valores año + mes + día + minutos + segundos del momento de su instalación, por ejemplo: 200501253454 También puede crear las carpetas DIALPASS y EGROUP dentro de la carpeta de Windows: c:\windows\dialpass c:\windows\egroup NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). El troyano crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Instant Access = "rundll32.exe [nombre],InstantAccess" Donde [nombre] puede ser uno de los siguientes (u otros): EGCOMLIB_????.dll EGDHTML_????.dll p2esocks_????.dll Y "????" representan cuatro dígitos al azar. Por ejemplo: EGCOMLIB_1604.dll EGDHTML_1824.dll También pueden crearse algunas de las siguientes entradas en el registro: HKCR\EGCOMLIB2.EGComLibrary2 HKCR\EGCOMLIB2.EGComLibrary2.1 HKCR\egdhtml.egdialhtml HKCR\egdhtml.egdialhtml.1 HKCR\egdialobject.egdial HKCR\eghtmldialer.htmldialer HKCR\eghtmldialer.htmldialer.1 HKCU\Software\egdhtml HKCU\Software\egroup HKLM\SOFTWARE\CLASSES\CLSID\{2ABE804B-4D3A-41BF-A172-304627874B45} HKLM\SOFTWARE\CLASSES\CLSID\{94742E3F-D9A1-4780-9A87-2FFA43655DA2} HKLM\SOFTWARE\CLASSES\CLSID\{A02780C3-7F77-4E28-855B-28890F3CF37A} HKLM\SOFTWARE\CLASSES\CLSID\{B843DA96-2B2D-447E-90AB-B92929AA11AF} HKLM\SOFTWARE\CLASSES\EGDHTML.EGDialHTML HKLM\SOFTWARE\CLASSES\EGDHTML.EGDialHTML.1 HKLM\SOFTWARE\CLASSES\EGDialObject.EGDial HKLM\SOFTWARE\CLASSES\EGDialObject.EGDial.1 HKLM\SOFTWARE\CLASSES\EGHTMLDialer.HTMLDialer HKLM\SOFTWARE\CLASSES\EGHTMLDialer.HTMLDialer.1 HKLM\SOFTWARE\CLASSES\Interface\{2F668A6D-2EC7-4E3A-A485-819E210738D6} HKLM\SOFTWARE\CLASSES\Interface\{62BFAEC2-82A5-4117-A98B-FEA89413D924} HKLM\SOFTWARE\CLASSES\Interface\{81C2F7F3-F930-455E-9AA5-0876D387C787} HKLM\SOFTWARE\CLASSES\TypeLib\{7699AEF9-F83A-44FA-B374-AA02CEDF247D} HKLM\SOFTWARE\CLASSES\TypeLib\{83F0D6AA-CD15-46B5-AA4E-BDB506B4AE53} HKU\.DEFAULT\Software\EGDHTML El troyano puede acceder a determinados sitios y descargar avisos que serán mostrados al navegar. También intentará conectarse vía módem, a determinados números telefónicos que poseen tarifas especiales de alto costo. * Cómo protegernos de los parásitos ¿Qué son los parásitos?. ¿Qué tipos de parásitos existen?. ¿Cómo llegan a nuestra computadora?. ¿Cómo protegernos de ellos?. Toda la información relacionada la encuentra en el siguiente artículo: Parásitos en nuestra computadora http://www.vsantivirus.com/ev-parasitos.htm También sugerimos la siguiente configuración para evitar la descarga y ejecución de esta clase de parásitos: Configuración personalizada para hacer más seguro el IE http://www.vsantivirus.com/faq-sitios-confianza.htm * Procedimiento sugerido de limpieza NOTA: Eliminar este parásito, puede ocasionar que algunos de los programas que lo instalan, dejen de funcionar o no funcionen correctamente. 1. Actualice su antivirus. 2. Reinicie su computadora en modo a prueba de fallos, como se indica en el siguiente artículo: Cómo iniciar su computadora en Modo a prueba de fallos http://www.vsantivirus.com/faq-modo-fallo.htm 3. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre" busque una entrada como la siguiente: Instant Access = "rundll32.exe [nombre],InstantAccess" Donde [nombre] puede ser uno de los siguientes (u otros). EGCOMLIB_????.dll EGDHTML_????.dll p2esocks_????.dll Y "????" representa 4 caracteres numéricos. 6. Tome nota del nombre de ese archivo. 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT 8. Busque y borre las siguientes carpetas: EGCOMLIB2.EGComLibrary2 EGCOMLIB2.EGComLibrary2.1 egdhtml.egdialhtml egdhtml.egdialhtml.1 egdialobject.egdial eghtmldialer.htmldialer eghtmldialer.htmldialer.1 9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software 10. Haga clic en la carpeta "Software" y busque y borre las siguientes carpetas: egdhtml egroup 11. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \CLASSES \CLSID 12. Haga clic en la carpeta "CLSID" y busque y borre las siguientes carpetas: {2ABE804B-4D3A-41BF-A172-304627874B45} {94742E3F-D9A1-4780-9A87-2FFA43655DA2} {A02780C3-7F77-4E28-855B-28890F3CF37A} {B843DA96-2B2D-447E-90AB-B92929AA11AF} 13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \CLASSES 14. Haga clic en la carpeta "CLASSES" y busque y borre las siguientes carpetas: EGDHTML.EGDialHTML EGDHTML.EGDialHTML.1 EGDialObject.EGDial EGDialObject.EGDial.1 EGHTMLDialer.HTMLDialer EGHTMLDialer.HTMLDialer.1 15. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \CLASSES \Interface 16. Haga clic en la carpeta "Interface" y busque y borre las siguientes carpetas: {2F668A6D-2EC7-4E3A-A485-819E210738D6} {62BFAEC2-82A5-4117-A98B-FEA89413D924} {81C2F7F3-F930-455E-9AA5-0876D387C787} 17. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \CLASSES \TypeLib 18. Haga clic en la carpeta "TypeLib" y busque y borre las siguientes carpetas: {7699AEF9-F83A-44FA-B374-AA02CEDF247D} {83F0D6AA-CD15-46B5-AA4E-BDB506B4AE53} 19. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_USERS \.DEFAULT \Software \EGDHTML 20. Haga clic en la carpeta "EGDHTML" y bórrela. 21. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 22. Desde Inicio, Ejecutar, escriba lo siguiente (más Enter): regsvr32 /u [nombre] Donde [nombre] es el obtenido en el punto 6. 23. En la carpeta de Archivos de programa (o Program Files), borre la carpeta "Instant Access" y su contenido: C:\Program Files\Instant Access C:\Archivos de programa\Instant Access 24. En la carpeta de Windows, borre las carpetas "dialpass" y "egroup": c:\windows\dialpass c:\windows\egroup NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). 25. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 26. Borre los archivos detectados como infectados. 27. Cierre todas las ventanas y todos los programas abiertos. 28. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter. Nota: debe escribir también los signos "%" antes y después de "temp". 29. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo"). 30. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables. 31. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". 32. Vaya al Panel de control, Opciones de Internet, General 33. En Archivos temporales de Internet Haga clic en "Eliminar archivos" 34. Marque la opción "Eliminar todo el contenido sin conexión" 35. Haga clic en Aceptar, etc. 36. Reinicie su computadora. * Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer 1. Cierre todas las ventanas del Internet Explorer abiertas 2. Seleccione "Mi PC", "Panel de control". 3. Haga clic en el icono "Opciones de Internet". 4. Seleccione la lengüeta "Programas". 5. Haga clic en el botón "Restablecer configuración Web" 6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI. 7. Haga clic en "Aceptar". * Cambiar la página de inicio del Internet Explorer Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o haga clic en "Página en blanco"). O navegue hacia una página de su agrado, haga clic en Herramientas, Opciones de Internet, General, y finalmente haga clic en "Usar actual". * Cambiar las páginas de búsqueda del Internet Explorer 1. Inicie el Internet Explorer. 2. Haga clic en el botón "Búsqueda" de la barra de herramientas. 3. En el panel que se despliega (Nuevo, Siguiente, Personalizar), seleccione "Personalizar". 4. Asegúrese de marcar "Utilizar el asistente de búsqueda" (Use Search Assistant). 5. Haga clic en el botón "Reiniciar" (Reset). 6. Haga clic en el botón "Configuración de Autosearch" (Autosearch Settings). 7. Elija un proveedor de búsquedas en el menú (Search Provider). 8. Seleccione "Aceptar" hasta salir de todas las opciones. * Información adicional Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Haga clic en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Troj/Spy.Qukart.S. Roba información, permite acceso _____________________________________________________________ http://www.vsantivirus.com/troj-spy-qukart-s.htm Nombre: Troj/Spy.Qukart.S Nombre NOD32: Win32/Spy.Qukart.S Tipo: Caballo de Troya Alias: Qukart.S, Backdoor.Berbew.N, Backdoor.HangUp.1.3, BackDoor.HangUp.13, TR/Spy.Qukart.S.4, Troj/Padodo-Gen, Trojan.Spy.Qukart-10, Trojan-Spy.Win32.Qukart.s, Win32/Spy.Qukart.S Fecha: 8/ene/05 Plataforma: Windows 32-bit Tamaño: 67,616 bytes Caballo de Troya que roba las contraseñas almacenadas en el caché de contraseñas de Windows. También abre un acceso por puerta trasera (backdoor), que permite a un atacante remoto tomar el control del equipo infectado, comprometiendo la seguridad del sistema. Instala un capturador de teclado (keylogger), que captura todo lo ingresado en formularios de páginas web, y abre un servidor proxy clandestino en un puerto al azar. Este último, puede ser utilizado por un usuario remoto para cubrir su propio rastro al navegar por Internet. Modifica el registro para disminuir la configuración de seguridad de las zonas de Internet, local, etc., en el Internet Explorer. Cuando se ejecuta, borra el archivo original del propio troyano, y luego crea los siguientes archivos: c:\boot.sys c:\windows\system32\????????.exe c:\windows\system32\????????.dll c:\windows\system32\????????32.dll c:\windows\system32\drivers\ndisrd.sys Donde "????????" son de 5 a 8 caracteres al azar. NDISRD.SYS es un archivo no malicioso, utilizado por el troyano para sus acciones. NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). También crea numerosos archivos HTML en la carpeta de temporales de Windows: TEMP\????????.html TEMP\????????.html TEMP\????????.html Donde "????????" son de 5 a 8 caracteres al azar. NOTA: La carpeta TEMP está ubicada en "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo. Luego, el troyano puede abrir el Internet Explorer para mostrar dichos archivos. Para autoejecutarse, el troyano modifica las siguientes claves del registro: HKCR\CLSID \{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32 (Predeterminado) = "????????.dll" ThreadingModel = "Apartment" HKCR\CLSID \{FA036593-9D63-4219-FFBA-EFD0D828B737}\InProcServer32 (Predeterminado) = "????????.dll" ThreadingModel = "Apartment" HKLM\Software\Microsoft\Windows \CurrentVersion\ShellServiceObjectDelayLoad Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}" ?????? = "{7D3D8457-D853-43D1-069A-CD62C9EB6465}" Donde "????????" son 6 o más caracteres al azar. Básicamente, la librería .DLL del troyano se identifica como clase con un valor específico, de 128 bits, el denominado Class ID (la clave CLSID en el registro de Windows). Luego, se apunta la subclave "InprocServer32" a dicha librería para ponerla en funcionamiento cuando se ejecuta un evento determinado. El valor "ThreadingModel" con el dato "Apartment", indica que el objeto solo puede ejecutar un solo hilo. Finalmente se suplanta el valor correspondiente al "Monitor de sitios Web" del Internet Explorer (Web Event Logger), que entre otras cosas carga la página de Inicio del Explorer, por una llamada a la Class ID creada por el troyano. Como resultado, de acuerdo a ciertos eventos, el troyano será activado. También crea o modifica las siguientes entradas del registro (las relacionadas con " Internet Settings\Zones", para disminuir el nivel de seguridad de las zonas de Internet): HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\0 1601 = "0" HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\1 1601 = "0" HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\2 1601 = "0" HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\3 1601 = "0" HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings\Zones\4 1601 = "0" HKCU\Software\Microsoft\Windows \CurrentVersion\Internet Settings GlobalUserOffline = "0" HKCU\Software\Microsoft\Windows KKQHOOK = "0x18" HKLM\SYSTEM\CurrentControlSet\Services\ndisrd La información robada (contraseñas, capturas de teclado, etc.), es enviada al siguiente sitio de Internet: tat-neftbank .ru El troyano utiliza técnicas de rootkit para ocultar sus propios procesos y archivos. Por naturaleza, un rootkit es una herramienta que permite acceder a un sistema como un usuario con todos los permisos (root). En este caso, se utiliza esta técnica para ocultar las actividades del troyano, además de habilitar puertas de entradas ocultas, que permiten a un intruso obtener el control total de los equipos infectados. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados por el virus. * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CLASSES_ROOT \CLSID 3. Pinche en la carpeta "CLSID" y borre las siguientes entradas: {79FEACFF-FFCE-815E-A900-316290B5B738} {FA036593-9D63-4219-FFBA-EFD0D828B737} 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows 5. Pinche en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: KKQHOOK = "0x18" 6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Internet Settings \Zones 7. Pinche en el signo "+" de la carpeta "Zones", y en cada subcarpeta que se despliegue (0, 1, 2, 3, 4), busque en la ventana de la derecha el valor "1601" y asegúrese que sean todos cero, menos en la carpeta "4" donde debe ser "1". 8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Internet Settings 9. Borre el siguiente valor: GlobalUserOffline 10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \ShellServiceObjectDelayLoad 11. Pinche en la carpeta "ShellServiceObjectDelayLoad" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas: Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}" ?????? = "{7D3D8457-D853-43D1-069A-CD62C9EB6465}" Donde "??????" son caracteres al azar. 12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services 13. Pinche en la carpeta "Services" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: ndisrd 14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_USERS \.DEFAULT \Software \Microsoft \Windows \CurrentVersion \Explorer \BrowseNewProcess 15. Borre la carpeta "BrowseNewProcess" 16. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red. 2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet". 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.videosoft.net.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 1664 Año 9, miércoles 26 de enero de 2005