Mostrando mensaje 936     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1885 Año 9, domingo 4 de setiembre de 2005 Fecha: Domingo, 4 de Septiembre, 2005  04:01:57 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1885 Año 9, domingo 4 de setiembre de 2005 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Sun Java pone en riesgo la seguridad de nuestro PC 2 - Gusanos y troyanos que se aprovechan del Katrina 3 - Mytob.JZ. Instala BOT y troyano, quita protecciones 4 - Spy.Flux. Troyano de acceso remoto, roba información _____________________________________________________________ 1 - Sun Java pone en riesgo la seguridad de nuestro PC _____________________________________________________________ http://www.vsantivirus.com/java-sun-030905.htm Sun Java pone en riesgo la seguridad de nuestro PC Por Jose Luis Lopez (*) videosoft@videosoft.net.uy Existe un comportamiento en la versión de Java proporcionada por Sun, al cuál no todos los usuarios prestan la atención que el mismo se merece, a pesar de que cada vez que se publica una actualización para cubrir alguna vulnerabilidad, sitios como el nuestro suelen advertir del tema. El asunto es que el entorno de tiempo de ejecución Java de Sun (más conocido como JRE por las siglas en inglés de Java Runtime Environment), no desinstala las versiones anteriores cuando se instala una nueva. Esto implica dos problemas. Primero, el hecho de que se mantengan versiones vulnerables, sencillamente deja vulnerable al sistema, aún cuando se hayan instalado actualizaciones que las corrigen. Esto se explica porque no es complicado para un script malicioso, gusano o troyano, llamar a una versión anterior vulnerable, y explotar sus debilidades, sin importar que por defecto se utilice la última versión de Java. El segundo problema, aunque no es de seguridad, no es nada trivial por cierto. Ocurre que cada versión del JRE de Java que se tenga instalada, está ocupando más de 100 megas de espacio en el disco duro. Por ejemplo, me he encontrado con equipos que tienen 4 o más versiones diferentes de Java JRE, lo que hace un total de casi 500 megas (medio giga), que ocupan espacio en la máquina sin ninguna utilidad. Y además están poniendo al equipo en riesgo, sin importar que el usuario haya sido cuidadoso a la hora de mantener actualizado su sistema. Parásitos como Cool Web Search (un conocido adware y spyware) o troyanos de la familia del Java/Exploit.Bytverify, podrían infectar un equipo, aunque se tenga instalada la última versión de Java que soluciona los fallos que permiten la acción de esta clase de malware. Y lo que es peor, es que según se ha reportado en numerosos foros y sitios relacionados con la seguridad informática, este comportamiento ha sido denunciado a Sun numerosas veces y desde hace ya mucho tiempo, sin haberse obtenido nunca una respuesta clara respecto al problema, o ninguna en muchos casos. Y todavía más preocupante, es que en varios FAQs que aparecen en las páginas de Sun (o sea, las preguntas más frecuentes), se recomienda conservar las versiones anteriores. Lo que sugerimos por el bien de su seguridad (y para conservar espacio en el disco duro), es que desinstale cualquier versión de Java de Sun que tenga en su equipo, antes de actualizarse a una nueva. Para ello, debe ir a "Agregar o quitar programas" del Panel de control, y buscar y desinstalar todo lo relacionado con Java 2 Runtime Enviroment o JSE Runtime Enviroment. Luego, puede proceder a instalar la versión más actual de Java desde el enlace "Descarga del Entorno de tiempo de ejecución Java (Sun)", al que puede llegar fácilmente desde http://www.vsantivirus.com/sites.htm (*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director técnico y gerente de NOD32 Uruguay. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Gusanos y troyanos que se aprovechan del Katrina _____________________________________________________________ http://www.vsantivirus.com/ev-040905.htm Gusanos y troyanos que se aprovechan del Katrina Por Enciclopedia Virus (*) http://www.enciclopediavirus.com/ Además de los fraudes con falsos mensajes pidiendo ayuda por las víctimas del huracán Katrina, esta semana se han visto varios ejemplos de gusanos y troyanos que se aprovechan de esta catástrofe climática, para intentar infectar los equipos de los usuarios desprevenidos. Un correo electrónico que simula ser una noticia sobre el Katrina, en realidad lleva a un sitio que intenta infectar a los usuarios con un spyware. Archivos descargados de redes P2P, o enviados como adjuntos en mensajes no solicitados con nombres como VIDEO_KATRINA.EXE, KATRINA_NEWS.ZIP y otros, o páginas o documentos HTML con el nombre de "Katrina killed as many as 80 people..htm", son solo algunos ejemplos. En el primer caso (VIDEO_KATRINA.EXE), es distribuido o descargado de Internet en un ZIP llamado VIDEO_KATRINA.ZIP. Si el usuario descarga y abre este archivo, se ejecuta en su máquina un troyano que NOD32 identifica como Win32/TrojanDownloader.Small.BJY. El mismo solo se conecta a un sitio web determinado, para descargar y ejecutar otro troyano detectado como Win32/StartPage.AAM. Este último crea enlaces pornográficos en el escritorio de Windows, y cambia la página de inicio del Internet Explorer. El segundo, es una página que intenta aprovecharse de una vulnerabilidad en el objeto "HTML Help ActiveX control" de Windows, que permite la ejecución remota de código en los sistemas afectados, y Microsoft publicó un parche para la misma en enero de 2005. El código es identificado como una variante del JS/ObjID.C por NOD32. También han sido reportados sitios que simulan ser de PayPal, la conocida plataforma de pago on-line, creados para reunir fondos de ayuda, pero que en realidad capturan detalles financieros de confiados usuarios que creen estar colaborando con las víctimas. Ya existen más de 250 dominios registrados utilizando las palabras "hurricane" y "katrina", según una lista mantenida por el Internet Storm Center (ISC), el centro de alertas del Sans Institute, que permanentemente monitorea toda actividad sospechosa a través de Internet. Algunos de estos registros tienen razones legítimas para haber sido creados, otros pretenden sacar provecho del desastre a través de esquemas de dudosa ética, según el ISC. Muchos de estos nombres de dominio son puestos en remate por cientos de dólares, con la excusa de que la venta es por caridad a los damnificados por la tormenta tropical, aunque nada controla que solo una pequeña fracción de este dinero sea finalmente empleada en ayuda a las víctimas. Pero el mayor peligro, seguirá siendo el envío de spam, o bien con adjuntos con nombres relacionados con el huracán, o bien con enlaces a sitios con información o sitios de recaudación de fondos. Es en casos como éste, en que la solidaridad y voluntad de ayudar a las víctimas pueden ser incentivos muy fuertes, cuando más debemos recordar que JAMAS hay que abrir adjuntos no solicitados, ni mucho menos seguir enlaces encontrados en mensajes de correo electrónico o mensajería instantánea, que no hayamos solicitado. [Texto de una de las falsas páginas Web detectadas como JS/ObjID.C. Al ser visualizada, puede descargar un código malicioso si no se ha instalado el parche respectivo de Microsoft (MS05-001), o no se posee una solución antivirus capaz de examinar el tráfico HTML como NOD32] NEW ORLEANS, United States (UPI) -- Mississippi Gov. Haley Barbour said Tuesday that Hurricane Katrina killed as many as 80 people in his state and burst levees in Louisiana flooded New Orleans. Just before daybreak Tuesday, Katrina, now a tropical storm, was 35 miles northeast of Tupelo, Miss., moving north-northeast with winds of 50 mph. Forecasters at the National Hurricane Center said the amount of rainfall has been adjusted downward Monday. Thirty storm-related deaths in Mississippi`s Harrison County were at an apartment complex, near the beach in Biloxi, Kelly Jakubic with the county`s Emergency Operations Center told CNN. Louisiana Gov. Kathleen Babineaux Blanco said there was no official death tally in Louisiana, but said she expected that to change. Meanwhile, New Orleans Mayor Ray Nagin said a levee holding back the waters of Lake Pontchartrain breached, forcing the air evacuation of 90 patients from a hospital. "The city of New Orleans is in a state of devastation," Nagin told WWL-TV. "We probably have 80 percent of our city underwater. With some sections of our city, the water is as deep as 20 feet." ---final--- * Relacionados: Advertencia de fraudes en Internet por Huracán Katrina www.enciclopediavirus.com/noticias/verNoticia.php?id=578 (*) Este artículo, original de Enciclopedia Virus http://www.enciclopediavirus.com, es publicado en VSAntivirus.com con la respectiva autorización. Los derechos de republicación para su uso en otro medio, deberán solicitarse en http://www.enciclopediavirus.com/contacto/index.php Artículo original: www.enciclopediavirus.com/noticias/verNoticia.php?id=580 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Mytob.JZ. Instala BOT y troyano, quita protecciones _____________________________________________________________ http://www.vsantivirus.com/mytob-jz.htm Nombre: Mytob.JZ Nombre NOD32: Win32/Mytob.JZ Tipo: Gusano de Internet Alias: Mytob.JZ, Win32/Mytob.JZ, W32/Mytob.JZ Fecha: 2/ago/05 Plataforma: Windows 32-bit Tamaño: variable Gusano que se propaga masivamente por correo electrónico, enviándose como adjunto a todas las direcciones de email encontradas en diferentes archivos de la máquina infectada. Utiliza las funcionalidades de un troyano del tipo BOT para controlar el PC infectado vía IRC (un BOT es un programa robot que actúa como un usuario y está preparado para responder o actuar automáticamente ejecutando ciertos comandos). El componente BOT que el gusano ejecuta, intenta conectarse a un canal de IRC en un servidor determinado, y queda a la espera de comandos de un usuario remoto. Un atacante podrá realizar las siguientes acciones (entre otras posibles) en el equipo infectado: - Actualizarse a si mismo - Borrar archivos - Descargar archivos - Ejecutar archivos - Ejecutar otros comandos de IRC - Obtener información del equipo infectado - Reiniciar la computadora También modifica el archivo HOSTS para evitar que el usuario pueda acceder a determinadas páginas y sitios de actualizaciones de determinados antivirus, y es capaz de finalizar determinadas tareas relacionadas con varias aplicaciones de seguridad. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Ole 3. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \System \CurrentControlSet \Control \Lsa 7. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Ole 9. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 12. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 14. Haga clic en la carpeta "Winlogon" y en el panel de la derecha busque la entrada "Shell", y deje en "Datos" solo "Explorer.exe". Shell = Explorer.exe 15. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \Lsa 16. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 17. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 18. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 19. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 20. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Spy.Flux. Troyano de acceso remoto, roba información _____________________________________________________________ http://www.vsantivirus.com/spy-flux.htm Nombre: Spy.Flux Nombre NOD32: Win32/Spy.Flux Tipo: Caballo de Troya de acceso remoto Alias: Spy.Flux, BackDoor.Flux.101, Backdoor.Win32.Flux.d, Bck/Flux.B, New Malware.h, PSW.Small.V, Spy/Flux, TR/Spy.Flux.A.86, Troj/Winflux-B, Trojan.Spy.Flux.A, Trojan.Spy.Flux.A.Dam.2, TrojanSpy.Flux.a, TrojanSpy.Win32.Flux.a, Trojan-Spy.Win32.Flux.a, W32/Malware, Win32/Spy.Flux Fecha: 18/ago/05 Plataforma: Windows 32-bit Tamaño: 17,408 bytes y otros (PE_PATCH.MORPHINE, MORPHINE, FSG) Se trata de un caballo de Troya de acceso remoto, que permite a un atacante tomar el control del equipo infectado, comprometiendo seriamente su seguridad (robo de información incluyendo contraseñas, ejecución de otro código descargado de Internet sin el conocimiento de la víctima, etc.) Cuando se ejecuta por primera vez, se copia en la carpeta de Windows o del sistema, con un nombre al azar. Para permanecer oculto, inyecta su código en el mismo proceso del Explorer (Explorador de Windows), del MSN Messenger, o de cualquier otro proceso especificado aleatoriamente por el creador del troyano. Para autoejecutarse en cada reinicio de Windows, el troyano crea las siguientes entradas en el registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run [valor] = [nombre y camino del troyano] HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce *[valor] = [nombre y camino del troyano] HKLM\Software\Microsoft\Windows\CurrentVersion\Run [valor] = [nombre y camino del troyano] HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce *[valor] = [nombre y camino del troyano] El troyano monitorea constantemente estas entradas, pudiendo volver a crearlas si detecta que han sido borradas o modificadas. También puede crear la siguiente entrada: HKLM\SOFTWARE\Microsoft \Active Setup\Installed Components \{????????-????-????-????-????????????} StubPath = [camino del troyano] [número] Donde "????????-????-????-????-????????????" representan caracteres hexadecimales al azar. Por ejemplo: {61E8EECE-E1DG-4BB2-6E4A-D7E6G8E54HAC} El troyano permite a un atacante remoto, acciones como las siguientes, entre otras: - Actualizar el servidor del troyano - Capturar contraseñas - Capturar todo lo ingresado por el teclado - Cerrar, apagar o reiniciar el sistema infectado - Controlar el entorno Windows del equipo infectado - Crear capturas de la pantalla actual - Crear capturas de la Webcam - Descargar y ejecutar archivos - Desconectar y reconectar el equipo infectado a Internet - Instalar un proxy SOCKS4 - Listar y eliminar procesos y tareas activas - Mostrar ventanas con mensajes Para no ejecutarse más de una vez en memoria, crea el siguiente mutex: GARGAMELFLX101 Este troyano puede ser liberado por el siguiente "dropper": TrojanDropper.Agent.SG. Falsa herramienta de limpieza http://www.vsantivirus.com/trojandropper-agent-sg.htm NOTA: En ocasiones, el troyano puede estar dañado al copiarse en el equipo, siendo de este modo inofensivo. * Reparación manual NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica. * Sobre el componente troyano Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el editor del registro, seleccione el menú desplegable "Edición", "Buscar", y escriba en la ventana "Buscar" que será desplegada, el nombre del archivo detectado en el punto 3 del ítem "Antivirus". 3. Haga clic en el botón "Buscar siguiente" y tome nota de la clave CLSID que aparezca, y luego bórrela. Por ejemplo, si aparece una entrada como ésta: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Active Setup \Installed Components \{????????-????-????-????-????????????} StubPath = [camino del troyano] [número] Borre la carpeta {????????-????-????-????-????????????}, donde los ???? representan caracteres hexadecimales. 4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \RunOnce 7. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \Run 9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \RunOnce 11. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 10 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 1885 Año 9, domingo 4 de setiembre de 2005