Mostrando mensaje 769     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1719 Año 9, martes 22 de marzo de 2005 Fecha: Martes, 22 de Marzo, 2005  08:27:10 (-0200) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1719 Año 9, martes 22 de marzo de 2005 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Los Detectives Digitales (Por Andrew J. Lee) 2 - W32/Mydoom.AY. Asunto: Virus Alert id: [número] 3 - W32/Bagz.H. Libera y ejecuta otros troyanos 4 - Troj/Clicker.Agent.CX. Es usado para reenviar spam 5 - W32/Zapchast.A. Permite el acceso remoto _____________________________________________________________ 1 - Los Detectives Digitales (Por Andrew J. Lee) _____________________________________________________________ http://www.vsantivirus.com/ajl-detectives.htm Los Detectives Digitales Por Andrew J. Lee, CTO de Eset LLC. (*) Un buen detective, uno que realmente sabe lo que está buscando y como comprender las pistas que encuentra, puede construir una imagen del criminal al que está analizando. Una vez que conoce el modus operandi, o aún mejor, que obtiene una muestra de ADN, puede normalmente comparar el crimen con el criminal y llegar a capturarlo. Quizás en una serie de crímenes, existe el mismo tipo de marca o huella digital, una vía de entrada similar, el mismo tipo de artículo robado, o incluso una muestra de ADN concordante - un indudable corpus delicti. Este es un buen método para arrestar criminales, pero tiene una falla significativa; es completamente reactivo. Al menos uno, o usualmente varios, crímenes deben ser cometidos (y varias víctimas verse afectadas) antes de que el criminal pueda ser aprehendido. Desafortunadamente, lo antes descrito es análogo a la forma en que trabajan los antivirus tradicionales. Luego de que el virus es liberado, un patrón comienza a emerger. Alguien se da cuenta que algo no anda bien, como por ejemplo, un aumento en la cantidad de mensajes de correo electrónico con un tipo particular de archivo adjunto. Quizás redes enteras de ordenadores empiezan a reiniciarse espontáneamente; tal vez los servidores de correo electrónico cesan su funcionamiento bajo una enorme carga. Finalmente, "pistas" - ADN digital - son encontradas, y son enviadas a los "detectives" - en este caso, las compañías antivirus. Las "pistas" son examinadas, el modus operandi es establecido, y una vez que es conocido, el virus puede ser detectado y detenido. Sin embargo, esto es reactivo, recayendo en dos factores: primero, conocimiento de que el "crimen" ya ha sido cometido; y segundo, recolectando las "pistas" para detectar fiablemente al "criminal". Este es un ciclo repetitivo: Un nuevo virus es liberado, y luego de un lapso de tiempo, que en algunos casos es grande, la actualización para detectar el virus, es liberada. Históricamente, el problema del lapso de tiempo no era de gran importancia. Alcanzaba con actualizar el antivirus una vez al mes, a lo sumo una vez por semana. Los virus se reproducían lentamente en la mayoría de los casos, muchas veces a través de una transferencia manual en discos flexibles - la llamada "sneakernet" - y aunque siempre había un riesgo, el modelo de actualizaciones era suficiente. Volvamos a la actualidad, donde la oficina tradicional se ha convertido en una oficina virtual, con usuarios conectados permanentemente. Las compañías, y sus empleados, están, literalmente, "siempre en línea". Esto es una bendición productiva para las compañías, permitiendo a los empleados trabajar incluso desde sus cuartos de hotel, automóviles o incluso desde una cafetería. Pero, desgraciadamente, la conectividad constante también permite que los virus se propaguen con mayor velocidad. En un principio, escribir un virus era una tarea que requería de ciertas "habilidades", que ameritaba algo de conocimiento. Hoy, Internet ofrece vastas cantidades de información, y casi cualquiera puede crear un virus tras descargarse algún código fuente desde la red. Cada innovación en materia de virus es seguida por un lote de virus relacionados, que difieren muy poco del original, y que son liberados al mundo rápidamente, cortesía de un imitador. Un solo virus puede convertirse en una epidemia global en unas pocas horas. Un buen ejemplo de esto es el Win32/Bagle.AS. [Ver imagen http://www.vsantivirus.com/ajl-detectives.htm] En el tiempo que le lleva a una compañía antivirus actualizar su producto, este gusano ya era una gran amenaza. Algunos gusanos han sido aún más rápidos en su propagación. Además, como los criminales han comenzado a operar en línea, empezamos a verlos explotando el potencial del software malicioso para actividades criminales. Grandes redes de ordenadores infectados sirven como generadores de spam, como puntos para ataques distribuidos de denegación de servicios (DDoS), y como responsables de una "mina de oro" para los criminales formada por detalles de tarjetas de crédito, información bancaria y contraseñas robadas. Mientras que el modelo tradicional de actualizar las firmas de los antivirus reactivamente ya no es viable para una protección adecuada, existe otra cara de la historia. Es bien conocido que la guerra lleva a avances tecnológicos, y que en la "guerra" virtual entre los escritores de virus (los "criminales" en nuestra analogía) y las compañías antivirus (los "detectives"), no todo ha sido a pedir de boca de los escritores de virus. Muchos productos antivirus ahora incluyen algún tipo de tecnología activa (o proactiva), usualmente llamada Heurística. Heurística es un término muy amplio, y no existe una definición acordada entre los fabricantes de antivirus, pero básicamente describe un rango de técnicas predictivas o proactivas para detectar nuevo software malicioso sin la necesidad de liberar una actualización. Una forma efectiva, y razonablemente simple, es crear firmas genéricas. Usado en este sentido, genérico no significa estándar, sino que se usa para decir que la firma puede ser aplicada genéricamente a más de un objeto. Esto puede ser muy efectivo ante virus 'imitadores' - es decir, ante nuevos miembros o variantes de una misma familia de virus, que sólo tienen pequeñas modificaciones del original. Otra técnica usual es la llamada heurística "pasiva", la cual examina el código en un archivo, y le asigna una "puntuación" basándose en algunas reglas para determinar lo que puede ser normal en un archivo o no, aunque esto es fácilmente evitable utilizando encriptación o compresión. El método conocido como "caja de arena" (sandboxing) es menos utilizado, debido a la complejidad que conlleva y a la saturación del rendimiento del equipo que causa. Una "caja de arena" es un ambiente virtual, creado por emulación (por ejemplo, una máquina virtual - o una "escena del crimen" virtual) que permite al código ejecutarse, dentro de un ambiente controlado que monitorea sus acciones y toma una decisión en base a ellas. La clave de la "caja de arena", debido a que es muy "cara" en cuanto al poder de procesamiento necesario para emular completamente cada archivo, es decidir de una forma inteligente que archivos deben ser monitoreados y cuales no. Además de los problemas de rendimiento, esta técnica es difícil de implementar y puede llegar a ser engañada fácilmente si no está bien desarrollada. El método más efectivo es combinar todas estas técnicas - utilizando algún tipo de emulación y utilizando técnicas para analizar archivos codificados y/o comprimidos, además del sandboxing - y luego realizar un análisis del archivo. Un sistema de puntuación bien balanceado puede hacer un juicio preciso sobre si el objeto es malicioso. Usando esta técnica, las mejores soluciones antivirus detectan más del 90 % de los nuevos gusanos de correo electrónico sin generar falsos positivos. Resumiendo, en nuestro mundo perpetuamente interconectado, los virus modernos pueden propagarse más rápido, llegar a más "victimas" potenciales y causar mucho más daño de lo que era posible antes, particularmente a través del crimen organizado. Si UD. está buscando un nuevo producto antivirus, asegúrese de chequear sus capacidades heurísticas; no todos los detectives digitales brindan los resultados deseados. * Andrew J. Lee, es el CTO (director de tecnología) de Eset y NOD32. Video Soft, empresa creadora del sitio VSAntivirus, representa en Uruguay al antivirus NOD32 (marca registrada de Eset). Más información: http://www.nod32.com.uy/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - W32/Mydoom.AY. Asunto: Virus Alert id: [número] _____________________________________________________________ http://www.vsantivirus.com/mydoom-ay.htm Nombre: W32/Mydoom.AY Nombre NOD32: Win32/Mydoom.AY Tipo: Gusano de Internet Alias: Mydoom.AY, Mydoom.BG, Win32/Mydoom.AY, Email-Worm.Win32.Mydoom.gen, NewHeur_PE (detectado con heurística NOD32), W32.Mydoom.A@mm, W32.Mydoom.BG@mm, W32/Mydoom.BH@mm, W32/MyDoom.fam-mm, W32/Mydoom.gen@MM, W32/MyDoom-BH, W32/P2PWorm, Win32.HLLM.MyDoom.27, Win32.Mydoom.AT@mm, Win32.Mydoom.BI, Win32/Mydoom.BJ!Worm, Worm.Mydoom.AM, WORM_MYDOOM.AT Fecha: 20/mar/05 Plataforma: Windows 32-bit Tamaño: 15,360 bytes Nombre anterior: W32/Mydoom.BG Última modificación: 22/mar/05 Gusano escrito en Visual C++, que se propaga por correo electrónico y redes P2P. Obtiene las direcciones a las que se envía de diferentes archivos del equipo infectado. El gusano, puede llegar en un mensaje sin adjuntos, y con las siguientes características: De: VirusAlert @ symantec.com <VirusAlert @ symantec.com> Asunto: Virus Alert id: 12345 Texto del mensaje: You received this message as a valuable Symantec.com member since September 23, 2003. ************************************************************ WARNING! Your computer was infected by VIRUS: Worm.SomeFool.P You can install this utility to remove virus ************************************************************ http:/ /[dirección]/FxAgentB.exe Donde "12345" es un número de cinco cifras al azar. El enlace a "FxAgentB.exe" no apunta a la herramienta legítima de Symantec con el mismo nombre (aunque se muestra el sitio original de Symantec en el mensaje), sino a un sitio Web que contiene una copia del gusano propiamente dicho. Cuando el usuario descarga y ejecuta dicho archivo, se muestra una ventana con el siguiente texto: AVToolkitPro Operation Completed [ OK ] Al mismo tiempo, el gusano se copia en el sistema con el siguiente nombre: c:\windows\system32\debugmonitor.exe NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). El gusano crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows: HKLM\Software\Microsoft\WindowsCurrentVersion\Run DebugMonitor = "c:\windows\system32\debugmonitor.exe" También crea las siguientes entradas: HKCU\Software\Microsoft\Windows \CurrentVersion\Explorer\ComDlg32\Driver32 HKLM\Software\Microsoft\Windows \CurrentVersion\Explorer\ComDlg32\Driver32 Para propagarse, busca direcciones en archivos con las siguientes extensiones: .adb .asp .dbx .htm .php .pl .sht .tbb .txt .wab Esto incluye las bases de mensajes del Outlook y la libreta de direcciones. El gusano evita enviarse a aquellas direcciones que contengan alguno de los siguientes textos en su nombre: .edu .gov .mil acketst arin. avp borlan example fido foo. google gov. hotmail iana ibm.com icrosof ietf inpris isc.o isi.e kernel linux mozilla msn. mydomai nodomai panda pgp rfc-ed ripe. ruslis secur sendmail sopho syma tanford.e usenet utgers.ed El gusano intenta también propagarse por KaZaa, si dicha aplicación P2P está instalada en el equipo infectado, copiándose en la carpeta compartida por defecto por dicha utilidad, con uno de los siguientes nombres: activation_crack.??? icq2004-final.??? nuke2004.??? office_crack.??? rootkitXP.??? strip-girl-2.0bdcom_patches.??? winamp5.??? Donde ".???" es una de las siguientes extensiones: .bat .exe .pif .scr * Reparación manual * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus 1. Desde el Explorador de Windows, localice y borre el siguiente archivo: c:\windows\system32\debugmonitor.exe 2. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \WindowsCurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: DebugMonitor 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Explorer \ComDlg32 \Driver32 5. Pinche en la carpeta "Driver32" y bórrela. 6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Explorer \ComDlg32 \Driver32 7. Pinche en la carpeta "Driver32" y bórrela. 8. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - W32/Bagz.H. Libera y ejecuta otros troyanos _____________________________________________________________ http://www.vsantivirus.com/bagz-h.htm Nombre: W32/Bagz.H Nombre NOD32: Win32/Bagz.H Tipo: Caballo de Troya Alias: Bagz.H, Backdoor.Trojan, Dropper.Agent.2.BH, Email-Worm.Win32.Bagz.h, I-Worm.Bagz.K1, I-Worm/Bagz.K, I-Worm/Bagz.M, TR/Agent.iw1, TR/Agent.iw1.1.A, Troj/Chimo-A, TROJ_CHIMO.A, TROJ_MUDROP.H, Trojan.Chimo.A, Trojan.MulDrop.1576, Trojan.Pigmail, Trojan.Proxy.Win32.Agent.cx, W32/Agent.AQW, W32/Bagz.I.worm, W32/Chimo@MM, Win32.Bagz.H@mm, Win32.Chimo.A, Win32/Bagz.H, Win32/Hicom!Proxy!Trojan, Win32/TrojanClicker.Agent.CX, Win32/Zapchast.A, Worm.Bagz.H Fecha: 11/feb/05 Plataforma: Windows 32-bit Tamaño: 290,816 bytes Este caballo de Troya, programado en Microsoft Visual C++, libera otros troyanos en el sistema infectado. El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. Crea varios archivos en el sistema, generalmente en la carpeta de Windows, y en la carpeta del sistema. NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system32", etc.). Puede crear la siguiente entrada en el registro, para instalarse como un servicio cada vez que Windows se ejecuta: HKLM\SYSTEM\CurrentControlSet\Services\Kern32 DisplayName = "Manageer Network Connections" El troyano puede permitir el acceso de un atacante remoto, el cuál podrá ejecutar comandos maliciosos que comprometen la seguridad del sistema. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar cualquier conexión a Internet o una red Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza. * Antivirus Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Kern32 9. Haga clic en la carpeta "Kern32" y bórrela. 10. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Haga clic en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Troj/Clicker.Agent.CX. Es usado para reenviar spam _____________________________________________________________ http://www.vsantivirus.com/troj-clicker-agent-cx.htm Nombre: Troj/Clicker.Agent.CX Nombre NOD32: Win32/TrojanClicker.Agent.CX Tipo: Caballo de Troya Alias: Agent.CX, TrojanClicker.Agent.CX, Email-Worm.Win32.Bagz.h, I-Worm.Bagz.K1, I-Worm/Bagz.K, TR/Agent.iw1.1.A, Troj/Chimo-A, TROJ_CHIMO.A, Trojan.Chimo.A, Trojan.Pigmail, Trojan.Proxy.Win32.Agent.cx, W32/Bagz.I.worm, W32/Chimo@MM, Win32.Chimo.A, Win32/Hicom!Proxy!Trojan, Win32/TrojanClicker.Agent.CX, Worm.Bagz.H Fecha: 11/feb/05 Plataforma: Windows 32-bit Este troyano es liberado por otros malwares. Cuando se ejecuta, obtiene la configuración del sistema e intenta conectarse a un sitio remoto. También actúa como un repetidor de correo electrónico (email relay), permitiendo a un usuario remoto utilizar la máquina infectada para reenviar spam. Se copia en la carpeta del sistema con el siguiente nombre: c:\windows\system32\hicom.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). Puede crear las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows como un servicio: HKLM\SYSTEM\CurrentControlSet\Services\TY164 Type = Start = ErrorControl = ImagePath = [nombre y camino del troyano] DisplayName = "Working Network Connections" ObjectName = "LocalSystem" Description = "Manages this out config test" HKLM\SYSTEM\CurrentControlSet\Services\TY164\Security Security = Los mensajes enviados como spam, tendrán las siguientes características: De: [Lista 1] + [Lista 2] + [Dominio] Para ello se utilizan las siguientes listas de nombres: Lista 1: Allison Amanda Anne Barbara Brenda Carolyn Cathy Debbie Diane Ellen Erica Fran Gina Giselle Helen Ingrid Jennifer Julia Kate Katherine Kelly Laura Linda Lindsey Lynda Martha Maureen Melanie Nicole Norah Patty Paula Randi Roxanne Sally Samantha Sarah Terri Tori Ursula Vicki Vivian Wendy Wilma Winnie Yvonne Lista 2: Abrahams Adler Adorno Albert Alexander Alpert Ellis Ellison Emmanuel Farber Feidelberg Feinberg Feldman Fink Finkbein Finkel Finkelstein Fisch Fish Fishbein Fleischer Fleisher Frankel Freud Fried Friedman Geffen Gelbman Gersh Gershwin Glazer Glickman Glucksman Goldberg Goldenson Goldwyn Gottlieb Gould Gr¦nberg Gralnick Greenberg Grossman Gruber Gunzberg Gysi Halperin Halpern Handler Heck Hecht Heller Hellman Herman Hersch Herzberg Herzog Hillel Himmelfarb Hirsch Hoch Hohenemser Hollaender Horowitz El dominio es generado al azar, y siempre finaliza en .COM El texto del mensaje será el siguiente: See attachment [message.html] Donde [message.html] puede ser cualquier archivo descargado por el troyano de un sitio indicado por el atacante. Como datos adjuntos se envía dicho archivo. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar cualquier conexión a Internet o una red Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza. * Antivirus Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \TY164 9. Haga clic en la carpeta "TY164" y bórrela. 10. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Haga clic en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm * Actualizaciones: 21/03/05 - 21:00 -0200 (Cambio de nombre) (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - W32/Zapchast.A. Permite el acceso remoto _____________________________________________________________ http://www.vsantivirus.com/zapchast-a.htm Nombre: W32/Zapchast.A Nombre NOD32: Win32/Zapchast.A Tipo: Caballo de Troya Alias: Zapchast.A, TR/Agent.iw1, Dropper.Agent.2.BH, Email- Worm.Win32.Bagz.h, Win32/Zapchast.A, W32/Agent.AQW Fecha: 25/ene/05 Plataforma: Windows 32-bit Este caballo de Troya, programado en Microsoft Visual C++, es liberado por otros troyanos en el sistema infectado. El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P. Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios. Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado. Crea varios archivos en el sistema, generalmente en la carpeta de Windows, y en la carpeta del sistema. NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system32", etc.). Puede crear la siguiente entrada en el registro, para instalarse como un servicio cada vez que Windows se ejecuta: HKLM\SYSTEM\CurrentControlSet\Services\Kern32 DisplayName = "Manageer Network Connections" El troyano puede permitir el acceso de un atacante remoto, el cuál podrá ejecutar comandos maliciosos que comprometen la seguridad del sistema. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar cualquier conexión a Internet o una red Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza. * Antivirus Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \Kern32 9. Haga clic en la carpeta "Kern32" y bórrela. 10. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y haga clic en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Haga clic en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 1719 Año 9, martes 22 de marzo de 2005