Mostrando mensaje 912     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1861 Año 9, jueves 11 de agosto de 2005 Fecha: Jueves, 11 de Agosto, 2005  02:32:16 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1861 Año 9, jueves 11 de agosto de 2005 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - NOD32 obtiene su 33ro. premio Virus Bulletin 100% 2 - Ocultamiento de URI en Mozilla Firefox y Thunderbird 3 - Codbot.AI. Se propaga por recursos compartidos 4 - Mytob.IO. Instala BOT y troyano, quita protecciones 5 - Mytob.IP. Instala BOT y troyano, quita protecciones 6 - Bagle.BS. Se propaga por correo electrónico _____________________________________________________________ 1 - NOD32 obtiene su 33ro. premio Virus Bulletin 100% _____________________________________________________________ http://www.vsantivirus.com/nod32-vb100-33.htm NOD32 obtiene su 33ro. premio Virus Bulletin 100% Por Andres Tamburi (Prensa y relaciones públicas) El antivirus de Eset ganó su 33ro. premio de Virus Bulletin, y de esta forma celebra siete años consecutivos detectando la totalidad de los virus activos, una marca jamás alcanzada en la industria antivirus. Eset, proveedor global de protección antivirus de última generación, anunció hoy que su producto estrella, NOD32 Antivirus, recibió por trigésima tercera vez la distinción VB 100% de la prestigiosa publicación y laboratorio independiente, Virus Bulletin. Las evaluaciones de Virus Bulletin son una de las más respetadas de la industria, y las más importantes casas antivirus envían sus productos para participar de estas pruebas que se realizan varias veces al año, y sobre distintas plataformas. En Agosto, Virus Bulletin publicó los resultados de su última evaluación, realizada sobre Novell Netware, donde participaron 9 productos antivirus, entre ellos NOD32. La poca cantidad de inscriptos en ésta certificación, demuestra que no todos los antivirus están preparados para proteger a los equipos en esta plataforma. Para obtener el premio VB 100%, el antivirus evaluado debe ser capaz de detectar todos los virus in-the-wild (léase, activos en el mundo real) sin producir falsos positivos, ni errores en la detección. "Eset está enfocado en proveer protección efectiva contra el malware y cumplir con las demandas de los clientes de una solución no intrusiva y con una buena relación costoefectividad", dijo Rick Moy, Vicepresidente de Marketing y Ventas de Eset Software. "Nuestro exitoso récord sin precedentes en los premios VB 100% es una confirmación de nuestro equipo técnico y la tecnología ThreatSense." Con la nueva distinción obtenida, NOD32 sigue ampliando su record sin precedentes y se mantiene como la única compañía que fue capaz de detectar todos los virus in-the-wild desde Mayo de 1998 hasta el día de hoy, alcanzando más de siete años consecutivos detectando la totalidad de virus activos. Los virus in-the-wild son aquellos que se encuentran en la WildList, la cual es alimentada mensualmente por investigadores antivirus de todo el mundo y de casi todas las compañías antivirus. Esta lista incluye todos aquellos virus que han sido reportados por usuarios, es decir, que se han visto realmente activos. Detectar el 100% de estos virus demuestra la utilidad del antivirus frente a los virus que el usuario común puede encontrarse mientras utiliza su computadora. NOD32 puede mantener y continuar con el record de detecciones continuas gracias a su poderosa tecnología de heurística ThreatSense(c), es capaz de detectar más del 80 por ciento de los nuevos virus que aparecen a diario en Internet. El sofisticado motor ThreatSense(c) provee detección proactiva contra malware, spyware, adware, phishing y otras amenazas informáticas, con un rendimiento altamente optimizado que consume pocos recursos del sistema operativo sin restar efectividad en la protección. Además, NOD32 sigue destacándose dentro de las otras evaluaciones que realiza Virus Bulletin, las cuales no son necesarias para obtener la certificación, pero que igualmente la prestigiosa publicación realiza un informe detallado sobre los mismos. En estos campos, como son la velocidad de exploración y los recursos del sistema que consume el antivirus, el NOD32 sigue estando muy por encima del resto. De esta manera, NOD32 no sólo asegura una completa protección en ambientes reales, si no que también es el antivirus de mayor velocidad, el que menos recursos consume y el de mayor detección de virus por Heurística; según los resultados de Virus Bulletin. "Con éste, nuestro 33er. Premio VB 100%, seguimos manteniendo el mejor rendimiento en las evaluaciones de Virus Bulletin, sin haber perdido ni un solo virus In-the-Wild - activo en ambientes reales - durante los últimos 7 años.", dijo Ignacio M. Sbampato, Vicepresidente de Eset para Latinoamérica. * Acerca de Eset Fundada en 1992 y con oficinas centrales en San Diego, California, Estados Unidos, Eset es una compañía global de soluciones de software de seguridad que provee protección de última generación contra virus informáticos. El premiado producto antivirus de Eset, NOD32, asegura una máxima rendimiento de su red, detección mediante heurística avanzada, y soporte mundial gratuito. NOD32 les da a los clientes corporativos el mayor retorno de la inversión (ROI) de la industria como resultado de una mayor productividad, bajo tiempo ocupado, y un uso mínimo de los recursos. NOD32 mantiene más premios Virus Bulletin 100% que ningún otro producto antivirus disponible, detectando consistentemente todos los virus activos ("in-the-wild") sin falsos positivos. El trabajo de Eset con grandes corporaciones como Canon, Dell y Microsoft le ha permitido entrar en el Fast 50 de Deloitte Technology por tres años consecutivos. Eset es una compañía privada con oficinas en San Diego (Estados Unidos), Londres (Reino Unido), Praga (República Checa) y Bratislava (Eslovaquia). * Sobre Video Soft Video Soft, empresa creadora del sitio VSAntivirus, representa de forma exclusiva en Uruguay al antivirus NOD32 (marca registrada de Eset). Más información: http://www.nod32.com.uy/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Ocultamiento de URI en Mozilla Firefox y Thunderbird _____________________________________________________________ http://www.vsantivirus.com/vul-mozilla-090805.htm Ocultamiento de URI en Mozilla Firefox y Thunderbird Por Angela Ruiz angela@videosoft.net.uy Se ha informado de una debilidad en Mozilla Firefox y Thunderbird, que puede permitir a un atacante ocultar la verdadera URI de una conexión. El problema ocurre cuando se presenta un URI excesivamente largo, que puede mostrarse completamente en blanco en la barra de direcciones, haciendo invisible la verdadera dirección al usuario. Esto podría facilitar a usuarios maliciosos, crear imitaciones de sitios web legítimos, con el objetivo de robar información sensible de usuarios confiados. URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario@dominio, etc.). Un URL (Uniform Resource Locators), es un URI que muestra la localización explícita de un recurso (página, imagen, etc.). * Software vulnerable: - Mozilla Thunderbird 1.0.6 y anteriores - Mozilla Firefox 1.0.6 y anteriores * Soluciones: No existen soluciones al momento de publicarse esta alerta. Se aconseja no hacer clic sobre enlaces no solicitados. * Más información: Mozilla Firefox up to 1.0.6 and Mozilla Thunderbird up to 1.0 url string obfuscation http://www.securityfocus.com/archive/1/407704 Mozilla Firefox And Thunderbird Long URI Obfuscation Weakness http://www.securityfocus.com/bid/14526/info * Relacionados: Thunderbird http://www.mozilla-europe.org/es/products/thunderbird/ Thunderbird http://www.mozilla.org/products/thunderbird/ Firefox http://www.mozilla-europe.org/es/products/firefox/ Firefox http://www.mozilla.org/products/firefox/ * Créditos: Marc Ruef (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Codbot.AI. Se propaga por recursos compartidos _____________________________________________________________ http://www.vsantivirus.com/codbot-ai.htm Nombre: Codbot.AI Nombre NOD32: Win32/Codbot.AI Tipo: Gusano de Internet y caballo de Troya de acceso remoto Alias: Codbot.AI, Backdoor.Codbot.AI, Backdoor.Codbot.ai, BackDoor.Generic.HLI, Backdoor.Win32.Codbot.ai, Backdoor.Win32.Codbot.AI, BDS/Codbot.AI, Trojan.Codbot.Ai, W32.Toxbot, W32/Codbot-Q, W32/RBot.BYW-tr, W32/Sdbot.EMG.worm, W32/Sdbot.LII, W32/Sdbot.worm.gen.h, Win32.Detox, Win32/Codbot.AI Fecha: 10/ago/05 Plataforma: Windows 32-bit Tamaño: 44,544 bytes (Polycrypt) Este gusano se propaga por recursos compartidos de redes, valiéndose de las vulnerabilidades RPC/DCOM y LSASS (estas vulnerabilidades ya han sido corregidas en los parches MS03- 026 y posteriores, y MS04-011 de Microsoft). También posee características de caballo de Troya, abriendo una puerta trasera (backdoor), que le permite a un atacante ejecutar comandos de forma remota. Cuando se ejecuta, crea la siguiente copia de si mismo en la carpeta del sistema de Windows: c:\windows\system32\rpclocator.exe NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). También crea un servicio con las siguientes características: Nombre de servicio: Locator Nombre para mostrar: Remote Procedure Call (RPC) Locator Ruta de acceso al ejecutable: [camino]\rpclocator.exe Además de las vulnerabilidades anteriormente mencionadas, el gusano busca los siguientes recursos compartidos por defecto, y se copia en ellos: C$ IPC$ El gusano intenta conectarse a un canal de IRC (Internet Relay Chat), lo cuál permitirá a un atacante remoto realizar las siguientes acciones, entre otras: - Ejecutar comandos MS-DOS - Habilitar o deshabilitar DCOM - Habilitar o borrar recursos compartidos - Inundar el caché DNS - Mostrar información del sistema - Mostrar mensajes del usuario remoto - Generar al azar nuevos nicks para el BOT - Abrir archivos - Cambiar el nick del BOT - Finalizar el BOT El gusano también se conecta a determinados servidores HTTP y FTP para realizar las siguientes acciones: - Descargar y/o ejecutar archivos descargados de Internet - Actualizar el propio gusano * Reparación manual * IMPORTANTE: Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces: MS03-039 Ejecución de código en servicio RPCSS (824146) http://www.vsantivirus.com/vulms03-039.htm MS04-011 Actualización crítica (LSASS) (835732) http://www.vsantivirus.com/vulms04-011.htm * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Buscar y detener el servicio (Windows XP): 1. Desde Inicio, Ejecutar, escriba SERVICES.MSC y pulse Enter. 2. En la lista de servicios busque "Remote Procedure Call (RPC) Locator". 3. Haga doble clic sobre ese servicio, y haga clic en el botón "Detener" si corresponde. 4. Cambie el "Tipo de inicio" a Manual. 5. Haga clic en "Aceptar" y cierre la ventana de Servicios. * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Mytob.IO. Instala BOT y troyano, quita protecciones _____________________________________________________________ http://www.vsantivirus.com/mytob-io.htm Nombre: Mytob.IO Nombre NOD32: Win32/Mytob.IO Tipo: Gusano de Internet Alias: Mytob.IO, Win32/Mytob.IO, W32/Mytob.IO Fecha: 10/ago/05 Plataforma: Windows 32-bit Tamaño: variable Gusano que se propaga masivamente por correo electrónico, enviándose como adjunto a todas las direcciones de email encontradas en diferentes archivos de la máquina infectada. Utiliza las funcionalidades de un troyano del tipo BOT para controlar el PC infectado vía IRC (un BOT es un programa robot que actúa como un usuario y está preparado para responder o actuar automáticamente ejecutando ciertos comandos). El componente BOT que el gusano ejecuta, intenta conectarse a un canal de IRC en un servidor determinado, y queda a la espera de comandos de un usuario remoto. Un atacante podrá realizar las siguientes acciones (entre otras posibles) en el equipo infectado: - Actualizarse a si mismo - Borrar archivos - Descargar archivos - Ejecutar archivos - Ejecutar otros comandos de IRC - Obtener información del equipo infectado - Reiniciar la computadora También modifica el archivo HOSTS para evitar que el usuario pueda acceder a determinadas páginas y sitios de actualizaciones de determinados antivirus, y es capaz de finalizar determinadas tareas relacionadas con varias aplicaciones de seguridad. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Ole 3. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \System \CurrentControlSet \Control \Lsa 7. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Ole 9. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 12. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 14. Haga clic en la carpeta "Winlogon" y en el panel de la derecha busque la entrada "Shell", y deje en "Datos" solo "Explorer.exe". Shell = Explorer.exe 15. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \Lsa 16. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 17. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 18. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 19. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 20. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 5 - Mytob.IP. Instala BOT y troyano, quita protecciones _____________________________________________________________ http://www.vsantivirus.com/mytob-ip.htm Nombre: Mytob.IP Nombre NOD32: Win32/Mytob.IP Tipo: Gusano de Internet Alias: Mytob.IP, Win32/Mytob.IP, W32/Mytob.IP Fecha: 10/ago/05 Plataforma: Windows 32-bit Tamaño: variable Gusano que se propaga masivamente por correo electrónico, enviándose como adjunto a todas las direcciones de email encontradas en diferentes archivos de la máquina infectada. Utiliza las funcionalidades de un troyano del tipo BOT para controlar el PC infectado vía IRC (un BOT es un programa robot que actúa como un usuario y está preparado para responder o actuar automáticamente ejecutando ciertos comandos). El componente BOT que el gusano ejecuta, intenta conectarse a un canal de IRC en un servidor determinado, y queda a la espera de comandos de un usuario remoto. Un atacante podrá realizar las siguientes acciones (entre otras posibles) en el equipo infectado: - Actualizarse a si mismo - Borrar archivos - Descargar archivos - Ejecutar archivos - Ejecutar otros comandos de IRC - Obtener información del equipo infectado - Reiniciar la computadora También modifica el archivo HOSTS para evitar que el usuario pueda acceder a determinadas páginas y sitios de actualizaciones de determinados antivirus, y es capaz de finalizar determinadas tareas relacionadas con varias aplicaciones de seguridad. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Ole 3. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \System \CurrentControlSet \Control \Lsa 7. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Ole 9. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 12. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 14. Haga clic en la carpeta "Winlogon" y en el panel de la derecha busque la entrada "Shell", y deje en "Datos" solo "Explorer.exe". Shell = Explorer.exe 15. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \Lsa 16. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 17. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 18. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 19. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 20. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 6 - Bagle.BS. Se propaga por correo electrónico _____________________________________________________________ http://www.vsantivirus.com/bagle-bs.htm Nombre: Bagle.BS Nombre NOD32: Win32/Bagle.BS Tipo: Gusano de Internet Alias: Bagle.BS, W32.Beagle.CD@mm, Win32/Bagle.BS Fecha: 10/ago/05 Plataforma: Windows 32-bit Tamaño: 12,800 bytes Puerto: TCP 80 Gusano escrito en Visual C, que se propaga por correo electrónico. Puede enviarse a todas las direcciones de correo obtenidas de diferentes archivos de la máquina infectada. En todos los casos el remitente que figura en el mensaje es falso. Posee además un componente de acceso por puerta trasera (backdoor). Los mensajes que utiliza para su propagación tienen las siguientes características: De: [una dirección falsa] Asunto: [en blanco] Texto del mensaje: [uno de los siguientes] The password is Password: Datos adjuntos: [nombre variable] El archivo adjunto puede tener doble extensión, o también puede ser un ".ZIP" conteniendo el ejecutable y protegido con una contraseña aleatoria indicada en el texto del mensaje. Cuando se ejecuta, crea el siguiente archivo en la carpeta System de Windows: c:\windows\system32\windll.exe NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). Crea la siguiente entrada en el registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Ru1n erthgdr = c:\windows\system\windll.exe Un error en el nombre de esta clave, hace que el gusano no se ejecute en los próximos reinicios. Crea también la siguiente entrada para almacenar valores de su configuración actual: HKCU\Software\ert Las direcciones que utiliza para propagarse, son obtenidas de archivos de la máquina infectada con las siguientes extensiones: .adb .asp .cfg .cgi .dbx .dhtm .eml .htm .html .jsp .mbx .mdx .mht .mmf .msg .nch .ods .oft .php .sht .shtm .stm .tbb .txt .uin .wab .wsh .xls .xml Ignora direcciones de correo que contengan las siguientes cadenas: @avp. @derewrdgrs @eerswqe @foo @iana @messagelab @microsoft abuse admin anyone@ bsd bugs@ cafee certific contract@ feste free-av f-secur gold-certs@ google help@ icrosoft info@ kasp linux listserv local news nobody@ noone@ noreply ntivi panda pgp postmaster@ rating@ root@ samples sopho spam support unix update winrar winzip Intenta descargar un archivo de Internet para grabarlo con el siguiente nombre y ubicación: c:\windows\system32\re_file.exe También intenta descargar otro archivo, que graba con el siguiente nombre y ubicación: c:\windows\eml.exe Abre una puerta trasera por el puerto TCP/80, usándolo como proxy para un usuario remoto. Mientras se está ejecutando, intenta finalizar los siguientes procesos: no1t1epad.exe t1es1t.exe El gusano puede crear diferentes mutex para evitar la ejecución del gusano W32.Netsky. También intenta borrar algunas claves del registro correspondientes a versiones anteriores del propio gusano. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. Borre los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los siguientes archivos (no todos ellos pueden estar presentes): c:\windows\eml.exe c:\windows\system32\windll.exe c:\windows\system32\re_file.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Ru1n 3. Pinche en la carpeta "Ru1n" y bórrela 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \ert 5. Pinche en la carpeta "ert" y bórrela. 6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 1861 Año 9, jueves 11 de agosto de 2005