Mostrando mensaje 993     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1941 Año 9, lunes 31 de octubre de 2005 Fecha: Lunes, 31 de Octubre, 2005  04:21:02 (-0200) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1941 Año 9, lunes 31 de octubre de 2005 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - Más de diez millones de máquinas zombis generan spam 2 - Surila.AB. Utiliza P2P y vulnerabilidad MS05-039 3 - Surila.NAC. Utiliza P2P y vulnerabilidad MS05-039 4 - Surila.NAD. Utiliza P2P y vulnerabilidad MS05-039 _____________________________________________________________ 1 - Más de diez millones de máquinas zombis generan spam _____________________________________________________________ http://www.vsantivirus.com/31-10-05.htm Más de diez millones de máquinas zombis generan spam Por Angela Ruiz angela@videosoft.net.uy Las computadoras zombis, son aquellas que han sido infectadas sin que su dueño lo haya advertido (generalmente por no tener antivirus actualizado ni cortafuegos activo). Son generalmente equipos con conexión ADSL u otro tipo de banda ancha, de tal modo que suelen estar disponibles las 24 horas. Entre las diversas acepciones que la palabra zombi tiene en el diccionario, la que más se asemeja a la razón de llamar con ese nombre a estas computadoras, es la de "persona que hace lo que le dicen los demás". Básicamente, estos equipos han sido infectados con caballos de Troya, que permiten a un atacante remoto utilizarlas en diversas acciones ilegales, como por ejemplo infectar otros equipos, realizar ataques de denegación de servicio a sitios predeterminados, o principalmente para el envío masivo de spam (correo no deseado). Una red de computadoras zombis suele denominarse botnet, porque claramente se trata de una red de robots, con acciones específicas realizadas sin la intervención del usuario. Un informe reciente de Microsoft confirma algo que ya no debería ser un secreto. Las computadoras zombis han llegado a ser un problema muy serio, y debería requerir una mayor atención de parte de la industria. Microsoft cree que más de la mitad del spam de hoy día, es enviado por estos equipos. La Comisión de Comercio Federal de los Estados Unidos (FTC, por sus siglas en inglés), ha lanzado recientemente la denominada "Operación Spam Zombi", y para ello ha solicitado la ayuda de los proveedores de Internet más importantes, a los efectos de mantener en cuarentena a estos equipos, y de ayudar a sus usuarios a limpiarlos. En las investigaciones realizadas por Microsoft, de forma intencional se crearon máquinas sin protección conectadas a Internet, para que fueran convertidas en zombis, y de ese modo poder comprobar los efectos de esta acción. En solo tres semanas, un solo equipo fue accedido más de cinco millones de veces por los atacantes, y usado para enviar alrededor de más de 18 millones de correos electrónicos catalogados como spam. En la prueba, este correo fue bloqueado antes que impactara la red, pero demuestra que si una sola computadora llegó a tal cantidad de mensajes, máquinas zombis verdaderas, pueden estar enviando cifras asombrosas de correo no deseado. Tim Cranton, director de Programas de Aplicación y Seguridad de Internet de Microsoft, fue muy explícito en las conclusiones. "Nos asustamos," dijo, "no esperábamos cifras tan elevadas y nos sorprendimos por la cantidad de spam que se generó a través de una sola máquina zombi". Microsoft analizó también el tráfico de las máquinas zombis y los mensajes de spam enviados, y comparó estos resultados con otros mensajes capturados en las cuentas de Hotmail, el correo electrónico de la empresa utilizado por millones de usuarios en todo el mundo. Esta evidencia sirvió para identificar más de 13 diferentes lugares de operaciones de spam a gran escala, que involucran máquinas de este tipo. En agosto pasado, Microsoft inició varios juicios en contra de los responsables. "Hemos identificado a un gran número de entidades en Norteamérica, y creemos que las evidencias son irrefutables. Se les culpa por el spam generado", dice Cranton. Microsoft ha llevado antes a la corte a estos spammers, por utilizar asuntos engañosos en sus direcciones. La compañía está ahora expandiendo su pelea contra el spam para así identificar a las máquinas comprometidas que envían esta clase de correo. El anuncio de Microsoft viene unas semanas después de que la policía alemana, arrestara a tres individuos sospechosos de haber comprometido alrededor de un millón y medio de computadoras de todo el mundo, convirtiéndolas en zombis y uniéndolas a una gigantesca botnet. Como cifra estimativa, Cranton mencionó que fuera de los Estados Unidos, pueden llegar a existir más de diez millones de computadoras zombis. * Cómo evitar que su computadora se convierta en zombi La manera más fácil, es seguir las mismas recomendaciones que una y otra vez hemos dado desde VSAntivirus. 1. Mantener al día su antivirus. 2. Tener un cortafuegos activo, y bajo ningún concepto desactivarlo. 3. No abrir adjuntos no solicitados, sin importar quien los envía. 4. Tampoco hacer clic sobre enlaces no solicitados, sin importar quien los envía. Los consejos 3 y 4 no solo incluyen el correo electrónico, sino también los programas de mensajería instantánea (MSN Messenger, AOL Instant Messenger, Yahoo Messenger, ICQ, etc.), así como páginas visitadas que pidan la descarga de alguna clase de software. Los consejos dados en el artículo "Configuración personalizada para hacer más seguro el IE", http://www.vsantivirus.com/faq-sitios-confianza.htm, también ayudan a que no se ejecuten muchas de las amenazas que a veces intentan descargarse en nuestro PC por el simple hecho de visitar una página Web. El uso de un antivirus como NOD32 que monitorea todo el tráfico HTTP al navegar por Internet, también reduce considerablemente el riesgo de que nuestros equipos se conviertan en zombis. NOTA: Video Soft, empresa creadora del sitio VSAntivirus, representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - Surila.AB. Utiliza P2P y vulnerabilidad MS05-039 _____________________________________________________________ http://www.vsantivirus.com/surila-ab.htm Nombre: Surila.AB Nombre NOD32: Win32/Surila.AB Tipo: Gusano de Internet y caballo de Troya Alias: Surila.AB, Backdoor.Win32.Surila.ab, BackDoor-CEB.dr, Troj/Surila-D, W32/Surila.AB, Win32/Surila.AB Fecha: 28/oct/05 Plataforma: Windows 32-bit Gusano y caballo de Troya, que se propaga por redes P2P, enviado como adjunto en un mensaje de correo electrónico, o por recursos compartidos en redes. El componente troyano accede a Internet para descargar otros archivos. Para propagarse, también se aprovecha de la vulnerabilidad descripta por Microsoft en el siguiente enlace: Alerta ante exploit para la vulnerabilidad MS05-039 http://www.vsantivirus.com/ms-advisory-899588.htm Cuando se ejecuta, crea los siguientes archivos: c:\windows\mwfirebpx.exe c:\windows\winl0gon.exe También se copia a si mismo con alguno de los siguientes nombres: c:\windows\msbpx32.dll c:\windows\dodrrr.exe El gusano puede modificar los siguientes archivos: sfc.dll sfc_os.dll NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows: HKCU\Software\Microsoft\Windows\CurrentVersion\Run ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" También crea las siguientes entradas para autoejecutarse, para guardar información propia, y para deshabilitar aplicaciones antivirus y los mensajes del "Centro de seguridad" de Windows XP SP2: HKCU\Software\Microsoft\Internet Explorer lmnlabxp = "aGCMXME" HKCU\Software\Microsoft\Internet Explorer veerbxp = "40036" HKCU\Software\Microsoft\OLE WINRUN = "winl0gon.exe" HKCU\Software\Microsoft\Windows\CurrentVersion\Policies DisableRegistryTools = "0" HKCU\System\CurrentControlSet\Control\Lsa WINRUN = "winl0gon.exe" HKLM\SOFTWARE\Microsoft\Ole WINRUN = "winl0gon.exe" HKLM\SYSTEM\CurrentControlSet\Control\Lsa WINRUN = "winl0gon.exe" El gusano puede finalizar los siguientes procesos, relacionados con antivirus y otras herramientas de seguridad: _AVP32.EXE _AVPCC.EXE _AVPM.EXE ATUPDATER.EXE ATUPDATER.EXE AUPDATE.EXE AUTODOWN.EXE AUTOTRACE.EXE AUTOUPDATE.EXE AVPUPD.EXE AVWUPD32.EXE AVXQUAR.EXE backdoor.rbot.gen.exe backdoor.rbot.gen_(17).exe CFIAUDIT.EXE dailin.exe DRWEBUPW.EXE F-AGOBOT.EXE GfxAcc.exe HIJACKTHIS.EXE IAOIN.EXE ICSSUPPNT.EXE ICSUPP95.EXE Lien Van de Kelderrr.exe LUALL.EXE MCUPDATE.EXE msnmsgr.exe msssss.exe NUPGRADE.EXE NUPGRADE.EXE rasmngr.exe RAVMOND.exe RB.EXE Systra.exe taskmanagr.exe UPDATE.EXE VisualGuard.exe wfdmgr.exe WIN32.EXE WIN32US.EXE WINACTIVE.EXE WIN-BUGSFIX.EXE WINDOW.EXE WINDOWS.EXE WININETD.EXE WININIT.EXE WININITX.EXE WINLOGIN.EXE WINMAIN.EXE WINPPR32.EXE WINRECON.EXE winshost.exe WINSSK32.EXE WINSTART.EXE WINSTART001.EXE WINTSK32.EXE WINUPDATE.EXE WKUFIND.EXE WNAD.EXE WNT.EXE wowpos32.exe WRADMIN.EXE WRCTRL.EXE wuamga.exe wuamgrd.exe WUPDATER.EXE WUPDT.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE ZONALM2601.EXE ZONEALARM.EXE También puede finalizar los siguientes procesos: AvxIni BackWeb Client - 7681197 BlackICE dvpapi dvpinit F-Secure Gatekeeper Handler Starter KAVMonitorService McAfee Firewall navapsvc NETSKY NISSERV NOD32ControlCenter NOD32Service Norman NJeeves Norman ZANDA Norton Antivirus Server NProtectService nvcoas NVCScheduler NWService PASSRV PCCPFW PersFW ravmon8 schscnt SmcService SweepNet SWEEPSRV.SYS Tmntsrv VexiraAntivirus Agrega el siguiente texto en el archivo HOSTS de Windows, para impedir el acceso a los sitios de Internet que se muestran en dicho texto: 127 .0 .0 .1 avp .com 127 .0 .0 .1 ca .com 127 .0 .0 .1 customer .symantec .com 127 .0 .0 .1 dispatch .mcafee .com 127 .0 .0 .1 download .mcafee .com 127 .0 .0 .1 downloads-eu1 .kaspersky-labs .com 127 .0 .0 .1 downloads-us1 .kaspersky-labs .com 127 .0 .0 .1 downloads1 .kaspersky-labs .com 127 .0 .0 .1 downloads2 .kaspersky-labs .com 127 .0 .0 .1 downloads3 .kaspersky-labs .com 127 .0 .0 .1 downloads4 .kaspersky-labs .com 127 .0 .0 .1 f-secure .com 127 .0 .0 .1 kaspersky-labs .com 127 .0 .0 .1 kaspersky .com 127 .0 .0 .1 liveupdate .symantec .com 127 .0 .0 .1 liveupdate .symantecliveupdate .com 127 .0 .0 .1 mast .mcafee .com 127 .0 .0 .1 mcafee .com 127 .0 .0 .1 microsoft .com 127 .0 .0 .1 my-etrust .com 127 .0 .0 .1 nai .com 127 .0 .0 .1 networkassociates .com 127 .0 .0 .1 oxyd .fr 127 .0 .0 .1 pandasoftware .com 127 .0 .0 .1 rads .mcafee .com 127 .0 .0 .1 secure .nai .com 127 .0 .0 .1 securityresponse .symantec .com 127 .0 .0 .1 sophos .com 127 .0 .0 .1 symantec .com 127 .0 .0 .1 t35 .com 127 .0 .0 .1 t35 .net 127 .0 .0 .1 trendmicro .com 127 .0 .0 .1 update .symantec .com 127 .0 .0 .1 updates .symantec .com 127 .0 .0 .1 us .mcafee .com 127 .0 .0 .1 viruslist .com 127 .0 .0 .1 virustotal .com 127 .0 .0 .1 www .avp .com 127 .0 .0 .1 www .ca .com 127 .0 .0 .1 www .f-secure .com 127 .0 .0 .1 www .grisoft .com 127 .0 .0 .1 www .kaspersky .com 127 .0 .0 .1 www .mcafee .com 127 .0 .0 .1 www .microsoft .com 127 .0 .0 .1 www .my-etrust .com 127 .0 .0 .1 www .nai .com 127 .0 .0 .1 www .networkassociates .com 127 .0 .0 .1 www .oxyd .fr 127 .0 .0 .1 www .pandasoftware .com 127 .0 .0 .1 www .sophos .com 127 .0 .0 .1 www .symantec .com 127 .0 .0 .1 www .t35 .com 127 .0 .0 .1 www .t35 .net 127 .0 .0 .1 www .trendmicro .com 127 .0 .0 .1 www .viruslist .com 127 .0 .0 .1 www .virustotal .com * Reparación manual * IMPORTANTE: Descargue y ejecute este parche antes de proceder al resto de la limpieza, desde el siguiente enlace: MS05-039 Vulnerabilidad en Plug and Play (899588) http://www.vsantivirus.com/vulms05-039.htm * Cortafuegos Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Preparación previa Descargue el siguiente archivo y guárdelo en alguna carpeta de su PC (por ejemplo, en el propio escritorio de Windows): http://www.videosoft.net.uy/enable.reg * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Haga doble clic sobre el archivo ENABLE.REG descargado antes (ver "Preparación previa"), para agregar su contenido al registro. Acepte los cambios. 2. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER 3. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Internet Explorer 4. Haga clic en la carpeta "Internet Explorer" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas: lmnlabxp = "aGCMXME" veerbxp = "40036" 5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \OLE 6. Haga clic en la carpeta "OLE" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: WINRUN = "winl0gon.exe" 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run 8. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" 9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \RunOnce 10. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" 11. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \System \CurrentControlSet \Control \Lsa 12. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: WINRUN = "winl0gon.exe" 13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Ole 14. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: WINRUN = "winl0gon.exe" 15. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 16. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" 17. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunOnce 18. Haga clic en la carpeta "RunOnce" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: ms_anti_spywarebxp = "c:\windows\mwfirebpx.exe" 19. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Control \Lsa 20. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: WINRUN = "winl0gon.exe" 21. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 22. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 23. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 24. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Área Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - Surila.NAC. Utiliza P2P y vulnerabilidad MS05-039 _____________________________________________________________ http://www.vsantivirus.com/surila-nac.htm Nombre: Surila.NAC Nombre NOD32: Win32/Surila.NAC Tipo: Gusano de Internet y caballo de Troya Alias: Surila.NAC, BackDoor.Permeo, DcomRpc-exploit, Exp/MS04011-A, Exploit.Based.Worm.Gen, Exploit-DcomRpc.gen, I-Worm.Mytob.df, I-Worm/Mytob.ACG, MS04-011!Exploit!Trojan, Net-Worm.Win32.Mytob.df, Net-Worm.Win32.Mytob.DF, Trj/Downloader.FUY, Win32/Surila.NAC, Worm.Mydoom.AT, Worm/Mytob.LE Fecha: 28/oct/05 Plataforma: Windows 32-bit Tamaño: 28,672 bytes (UPX) Gusano y caballo de Troya, que se propaga por redes P2P, enviado como adjunto en un mensaje de correo electrónico, o por recursos compartidos en redes. El componente troyano accede a Internet para descargar otros archivos. Para propagarse, también se aprovecha de la vulnerabilidad descripta por Microsoft en el siguiente enlace: Alerta ante exploit para la vulnerabilidad MS05-039 http://www.vsantivirus.com/ms-advisory-899588.htm Cuando se ejecuta, crea diferentes archivos en la carpeta de Windows. c:\windows\[nombre].dll c:\windows\[nombre 1].exe c:\windows\[nombre 2].exe c:\windows\[nombre 3].exe NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [valor] = "[camino y archivo del gusano]" También crea otras entradas para autoejecutarse, para guardar información propia, o para deshabilitar aplicaciones antivirus y los mensajes del "Centro de seguridad" de Windows XP SP2: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Userinit = "c:\windows\system32\userinit.exe,c:\windows\[nombre].exe," HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices [valor] = "[camino y archivo del gusano]" HKLM\SOFTWARE\Microsoft\Internet Explorer [valor] = "[número]" HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess Start = "4" HKCU\Software\Microsoft\Windows\CurrentVersion\Policies DisableRegistryTools = "0" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies DisableRegistryTools = "0" HKLM\SYSTEM\ControlSet001 \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\ControlSet002 \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\ControlSet001\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet002\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet001\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet002\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0 HKCU\SOFTWARE\Microsoft\Internet Explorer [valor] = "1" El gusano puede finalizar los siguientes procesos, relacionados con antivirus y otras herramientas de seguridad: _AVP32.EXE _AVPCC.EXE _AVPM.EXE ATUPDATER.EXE ATUPDATER.EXE AUPDATE.EXE AUTODOWN.EXE AUTOTRACE.EXE AUTOUPDATE.EXE AVPUPD.EXE AVWUPD32.EXE AVXQUAR.EXE b055262c.dll backdoor.rbot.gen.exe backdoor.rbot.gen_(17).exe CFIAUDIT.EXE dailin.exe DRWEBUPW.EXE F-AGOBOT.EXE GfxAcc.exe HIJACKTHIS.EXE IAOIN.EXE ICSSUPPNT.EXE ICSUPP95.EXE Lien Van de Kelderrr.exe LUALL.EXE MCUPDATE.EXE msnmsgr.exe msssss.exe NUPGRADE.EXE NUPGRADE.EXE OUTPOST.EXE rasmngr.exe RAVMOND.exe RB.EXE Systra.exe taskmanagr.exe UPDATE.EXE VisualGuard.exe wfdmgr.exe WIN32.EXE WIN32US.EXE WINACTIVE.EXE WIN-BUGSFIX.EXE WINDOW.EXE WINDOWS.EXE WININETD.EXE WININIT.EXE WININITX.EXE WINLOGIN.EXE WINMAIN.EXE WINPPR32.EXE WINRECON.EXE winshost.exe WINSSK32.EXE WINSTART.EXE WINSTART001.EXE WINTSK32.EXE WINUPDATE.EXE WKUFIND.EXE WNAC.EXE WNT.EXE wowpos32.exe WRADMIN.EXE WRCTRL.EXE wuamga.exe wuamgrd.exe WUPDATER.EXE WUPDT.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE ZONALM2601.EXE ZONEALARM.EXE También puede finalizar los siguientes procesos: AVPCC AvxIni BackWeb Client - 7681197 BlackICE dvpapi dvpinit F-Secure Gatekeeper Handler Starter FSMA KAVMonitorService McAfee Firewall navapsvc NETSKY NISSERV NISUM NOD32ControlCenter NOD32Service Norman NJeeves Norman ZANDA Norton Antivirus Server NProtectService nvcoas NVCScheduler NWService OutpostFirewall PASSRV PCCPFW PersFW ravmon8 schscnt SmcService SweepNet SWEEPSRV.SYS Tmntsrv VexiraAntivirus vsmon XCOMM Agrega el siguiente texto en el archivo HOSTS de Windows, para impedir el acceso a los sitios de Internet que se muestran en dicho texto: 127 .0 .0 .1 avp .com 127 .0 .0 .1 ca .com 127 .0 .0 .1 customer .symantec .com 127 .0 .0 .1 dispatch .mcafee .com 127 .0 .0 .1 download .mcafee .com 127 .0 .0 .1 downloads-eu1 .kaspersky-labs .com 127 .0 .0 .1 downloads-us1 .kaspersky-labs .com 127 .0 .0 .1 downloads1 .kaspersky-labs .com 127 .0 .0 .1 downloads2 .kaspersky-labs .com 127 .0 .0 .1 downloads3 .kaspersky-labs .com 127 .0 .0 .1 downloads4 .kaspersky-labs .com 127 .0 .0 .1 f-secure .com 127 .0 .0 .1 kaspersky-labs .com 127 .0 .0 .1 kaspersky .com 127 .0 .0 .1 liveupdate .symantec .com 127 .0 .0 .1 liveupdate .symantecliveupdate .com 127 .0 .0 .1 mast .mcafee .com 127 .0 .0 .1 mcafee .com 127 .0 .0 .1 microsoft .com 127 .0 .0 .1 my-etrust .com 127 .0 .0 .1 nai .com 127 .0 .0 .1 networkassociates .com 127 .0 .0 .1 oxyd .fr 127 .0 .0 .1 pandasoftware .com 127 .0 .0 .1 rads .mcafee .com 127 .0 .0 .1 secure .nai .com 127 .0 .0 .1 securityresponse .symantec .com 127 .0 .0 .1 sophos .com 127 .0 .0 .1 symantec .com 127 .0 .0 .1 t35 .com 127 .0 .0 .1 t35 .net 127 .0 .0 .1 trendmicro .com 127 .0 .0 .1 update .symantec .com 127 .0 .0 .1 updates .symantec .com 127 .0 .0 .1 us .mcafee .com 127 .0 .0 .1 viruslist .com 127 .0 .0 .1 virustotal .com 127 .0 .0 .1 www .avp .com 127 .0 .0 .1 www .ca .com 127 .0 .0 .1 www .f-secure .com 127 .0 .0 .1 www .grisoft .com 127 .0 .0 .1 www .kaspersky .com 127 .0 .0 .1 www .mcafee .com 127 .0 .0 .1 www .microsoft .com 127 .0 .0 .1 www .my-etrust .com 127 .0 .0 .1 www .nai .com 127 .0 .0 .1 www .networkassociates .com 127 .0 .0 .1 www .oxyd .fr 127 .0 .0 .1 www .pandasoftware .com 127 .0 .0 .1 www .sophos .com 127 .0 .0 .1 www .symantec .com 127 .0 .0 .1 www .t35 .com 127 .0 .0 .1 www .t35 .net 127 .0 .0 .1 www .trendmicro .com 127 .0 .0 .1 www .viruslist .com 127 .0 .0 .1 www .virustotal .com * Reparación manual IMPORTANTE: Descargue y ejecute este parche antes de proceder al resto de la limpieza, desde el siguiente enlace: MS05-039 Vulnerabilidad en Plug and Play (899588) http://www.vsantivirus.com/vulms05-039.htm * Cortafuegos Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Preparación previa Descargue el siguiente archivo y guárdelo en alguna carpeta de su PC (por ejemplo, en el propio escritorio de Windows): http://www.videosoft.net.uy/enable.reg * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Haga doble clic sobre el archivo ENABLE.REG descargado antes (ver "Preparación previa"), para agregar su contenido al registro. Acepte los cambios. 2. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER 3. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Internet Explorer 4. Haga clic en la carpeta "Internet Explorer" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 6. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 8. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, bajo la columna "Nombre", busque el contenido de la siguiente entrada: Userinit = "c:\windows\system32\userinit.exe,c:\windows\[nombre].exe," 9. Cámbielo por lo siguiente: Userinit = "c:\windows\system32\userinit.exe," 10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 11. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Internet Explorer 13. Haga clic en la carpeta "Internet Explorer" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 15. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 16. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - Surila.NAD. Utiliza e-mail y vulnerabilidad MS05-039 _____________________________________________________________ http://www.vsantivirus.com/surila-nad.htm Nombre: Surila.NAD Nombre NOD32: Win32/Surila.NAD Tipo: Gusano de Internet y caballo de Troya Alias: Surila.NAD, BackDoor.Generic.RZZ, Backdoor.Surila.af, Backdoor.Win32.Surila.af, Backdoor-Server/Surila.AF, BDS/Surila.AF, Malware.b, Trojan.MailSpam, W32/Sdbot.FMR.worm, Win32/Surila.NAD, Win32:Trojano-2591, Worm.Mydoom.AT Fecha: 28/oct/05 Plataforma: Windows 32-bit Tamaño: 136,192 bytes (UPX) Gusano y caballo de Troya, que se propaga como adjunto en un mensaje de correo electrónico. Para ello utiliza su propio motor SMTP. El componente troyano accede a Internet para descargar otros archivos. Para propagarse, también se aprovecha de la vulnerabilidad descripta por Microsoft en el siguiente enlace: Alerta ante exploit para la vulnerabilidad MS05-039 http://www.vsantivirus.com/ms-advisory-899588.htm Cuando se ejecuta, crea diferentes archivos en la carpeta de Windows. c:\windows\[nombre].dll c:\windows\[nombre 1].exe c:\windows\[nombre 2].exe c:\windows\[nombre 3].exe NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.). Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [valor] = "[camino y archivo del gusano]" También crea otras entradas para autoejecutarse, para guardar información propia, o para deshabilitar aplicaciones antivirus y los mensajes del "Centro de seguridad" de Windows XP SP2: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Userinit = "c:\windows\system32\userinit.exe,c:\windows\[nombre].exe," HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices [valor] = "[camino y archivo del gusano]" HKLM\SOFTWARE\Microsoft\Internet Explorer [valor] = "[número]" HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess Start = "4" HKCU\Software\Microsoft\Windows\CurrentVersion\Policies DisableRegistryTools = "0" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies DisableRegistryTools = "0" HKLM\SYSTEM\ControlSet001 \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\ControlSet002 \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet \Services\SharedAccess\Parameters\FirewallPolicy EnableFirewall = "0" HKLM\SYSTEM\ControlSet001\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet002\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet\Services \SharedAccess\Parameters\FirewallPolicy\StandardProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet001\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0" HKLM\SYSTEM\ControlSet002\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0" HKLM\SYSTEM\CurrentControlSet\Services \SharedAccess\Parameters\FirewallPolicy\DomainProfile EnableFirewall = "0 HKCU\SOFTWARE\Microsoft\Internet Explorer [valor] = "1" El gusano puede finalizar los siguientes procesos, relacionados con antivirus y otras herramientas de seguridad: _AVP32.EXE _AVPCC.EXE _AVPM.EXE ATUPDATER.EXE ATUPDATER.EXE AUPDATE.EXE AUTODOWN.EXE AUTOTRACE.EXE AUTOUPDATE.EXE AVPUPD.EXE AVWUPD32.EXE AVXQUAR.EXE b055262c.dll backdoor.rbot.gen.exe backdoor.rbot.gen_(17).exe CFIAUDIT.EXE dailin.exe DRWEBUPW.EXE F-AGOBOT.EXE GfxAcc.exe HIJACKTHIS.EXE IAOIN.EXE ICSSUPPNT.EXE ICSUPP95.EXE Lien Van de Kelderrr.exe LUALL.EXE MCUPDATE.EXE msnmsgr.exe msssss.exe NUPGRADE.EXE NUPGRADE.EXE OUTPOST.EXE rasmngr.exe RAVMOND.exe RB.EXE Systra.exe taskmanagr.exe UPDATE.EXE VisualGuard.exe wfdmgr.exe WIN32.EXE WIN32US.EXE WINACTIVE.EXE WIN-BUGSFIX.EXE WINDOW.EXE WINDOWS.EXE WININETD.EXE WININIT.EXE WININITX.EXE WINLOGIN.EXE WINMAIN.EXE WINPPR32.EXE WINRECON.EXE winshost.exe WINSSK32.EXE WINSTART.EXE WINSTART001.EXE WINTSK32.EXE WINUPDATE.EXE WKUFIND.EXE WNAD.EXE WNT.EXE wowpos32.exe WRADMIN.EXE WRCTRL.EXE wuamga.exe wuamgrd.exe WUPDATER.EXE WUPDT.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE ZONALM2601.EXE ZONEALARM.EXE También puede finalizar los siguientes procesos: AVPCC AvxIni BackWeb Client - 7681197 BlackICE dvpapi dvpinit F-Secure Gatekeeper Handler Starter FSMA KAVMonitorService McAfee Firewall navapsvc NETSKY NISSERV NISUM NOD32ControlCenter NOD32Service Norman NJeeves Norman ZANDA Norton Antivirus Server NProtectService nvcoas NVCScheduler NWService OutpostFirewall PASSRV PCCPFW PersFW ravmon8 schscnt SmcService SweepNet SWEEPSRV.SYS Tmntsrv VexiraAntivirus vsmon XCOMM Agrega el siguiente texto en el archivo HOSTS de Windows, para impedir el acceso a los sitios de Internet que se muestran en dicho texto: 127 .0 .0 .1 avp .com 127 .0 .0 .1 ca .com 127 .0 .0 .1 customer .symantec .com 127 .0 .0 .1 dispatch .mcafee .com 127 .0 .0 .1 download .mcafee .com 127 .0 .0 .1 downloads-eu1 .kaspersky-labs .com 127 .0 .0 .1 downloads-us1 .kaspersky-labs .com 127 .0 .0 .1 downloads1 .kaspersky-labs .com 127 .0 .0 .1 downloads2 .kaspersky-labs .com 127 .0 .0 .1 downloads3 .kaspersky-labs .com 127 .0 .0 .1 downloads4 .kaspersky-labs .com 127 .0 .0 .1 f-secure .com 127 .0 .0 .1 kaspersky-labs .com 127 .0 .0 .1 kaspersky .com 127 .0 .0 .1 liveupdate .symantec .com 127 .0 .0 .1 liveupdate .symantecliveupdate .com 127 .0 .0 .1 mast .mcafee .com 127 .0 .0 .1 mcafee .com 127 .0 .0 .1 microsoft .com 127 .0 .0 .1 my-etrust .com 127 .0 .0 .1 nai .com 127 .0 .0 .1 networkassociates .com 127 .0 .0 .1 oxyd .fr 127 .0 .0 .1 pandasoftware .com 127 .0 .0 .1 rads .mcafee .com 127 .0 .0 .1 secure .nai .com 127 .0 .0 .1 securityresponse .symantec .com 127 .0 .0 .1 sophos .com 127 .0 .0 .1 symantec .com 127 .0 .0 .1 t35 .com 127 .0 .0 .1 t35 .net 127 .0 .0 .1 trendmicro .com 127 .0 .0 .1 update .symantec .com 127 .0 .0 .1 updates .symantec .com 127 .0 .0 .1 us .mcafee .com 127 .0 .0 .1 viruslist .com 127 .0 .0 .1 virustotal .com 127 .0 .0 .1 www .avp .com 127 .0 .0 .1 www .ca .com 127 .0 .0 .1 www .f-secure .com 127 .0 .0 .1 www .grisoft .com 127 .0 .0 .1 www .kaspersky .com 127 .0 .0 .1 www .mcafee .com 127 .0 .0 .1 www .microsoft .com 127 .0 .0 .1 www .my-etrust .com 127 .0 .0 .1 www .nai .com 127 .0 .0 .1 www .networkassociates .com 127 .0 .0 .1 www .oxyd .fr 127 .0 .0 .1 www .pandasoftware .com 127 .0 .0 .1 www .sophos .com 127 .0 .0 .1 www .symantec .com 127 .0 .0 .1 www .t35 .com 127 .0 .0 .1 www .t35 .net 127 .0 .0 .1 www .trendmicro .com 127 .0 .0 .1 www .viruslist .com 127 .0 .0 .1 www .virustotal .com Para enviarse por correo electrónico, el gusano examina la libreta de direcciones de Windows, y las siguientes carpetas: c:\windows\Temporary Internet Files [carpeta de usuario]\Local Settings\Temporary Internet Files [carpeta de usuario]\Desktop [carpeta de usuario]\My Documents [carpeta de usuario]\Application Data Donde [carpeta de usuario] es una de las siguientes: * Windows XP, 2000 (español e inglés) c:\documents and settings\all users\ c:\documents and settings\[nombre usuario]\ * Windows 95, 98, Me (español e inglés) c:\windows\all users\ c:\windows\ c:\windows\profiles\[nombre usuario]\ El gusano también busca direcciones en archivos con las siguientes extensiones, de todas las unidades de disco duro desde la C a la Z: .asp .cgi .dbx .dht .eml .htm .html .jsp .mbx .mht .msg .php .sht .stm .tbb .uin .wab También realiza consultas a los sitios de www.google.com y www.accoona.com para obtener direcciones electrónicas. Estas direcciones son utilizadas para enviarles un correo electrónico llevando como adjunto al propio gusano. El gusano intenta propagarse a otras computadoras con direcciones IP al azar, a través del exploit que provoca desbordamiento de búfer en el servicio Plug and Play de Windows 2000, XP y Server 2003, aunque solo puede hacerlo automáticamente en equipos con Windows 2000, que no tenga instalado el parche anunciado en el siguiente boletín de seguridad de Microsoft: MS05-039 Vulnerabilidad en Plug and Play (899588) http://www.vsantivirus.com/vulms05-039.htm También abre una puerta trasera en un puerto TCP al azar, o a los puertos TCP/80 y UDP/80. Intenta descargar archivos de Internet. * Reparación manual IMPORTANTE: Descargue y ejecute este parche antes de proceder al resto de la limpieza, desde el siguiente enlace: MS05-039 Vulnerabilidad en Plug and Play (899588) http://www.vsantivirus.com/vulms05-039.htm * Cortafuegos Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Preparación previa Descargue el siguiente archivo y guárdelo en alguna carpeta de su PC (por ejemplo, en el propio escritorio de Windows): http://www.videosoft.net.uy/enable.reg * Antivirus Actualice sus antivirus con las últimas definiciones, luego siga estos pasos: 1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros. 3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados. 4. Borre todos los archivos detectados como infectados. * Borrar manualmente archivos agregados por el virus Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus". Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Haga doble clic sobre el archivo ENABLE.REG descargado antes (ver "Preparación previa"), para agregar su contenido al registro. Acepte los cambios. 2. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER 3. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Internet Explorer 4. Haga clic en la carpeta "Internet Explorer" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 6. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Winlogon 8. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, bajo la columna "Nombre", busque el contenido de la siguiente entrada: Userinit = "c:\windows\system32\userinit.exe,c:\windows\[nombre].exe," 9. Cámbielo por lo siguiente: Userinit = "c:\windows\system32\userinit.exe," 10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 11. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Internet Explorer 13. Haga clic en la carpeta "Internet Explorer" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". 14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \SharedAccess 15. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal: Start = "2" 16. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Restaurar archivo HOSTS 1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: c:\windows\ c:\windows\system32\drivers\etc\ c:\winnt\system32\drivers\etc\ 2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos". 3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 127.0.0.1 localhost 4. Acepte guardar los cambios al salir del bloc de notas. 5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información. 6. Reinicie su computadora. * Información adicional * Cambio de contraseñas En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias. * Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF) Para activar ICF en Windows XP, siga estos pasos: 1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red). 2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas. 3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos. 4. Seleccione Aceptar, etc. * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones de la mayoría de los fabricantes son diarias. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico, que no haya sido solicitado, sin importar su remitente. Ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con un antivirus actualizado (recomendamos NOD32), antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización. _____________________________________________________________ Video Soft es una empresa privada que desde hace más de 15 años se dedica a la seguridad informática, siendo líder en el tema a través de su portal VSAntivirus, el cuál es visitado diariamente por decenas de miles de usuarios de habla hispana en todo el mundo. Desde julio de 2004, Video Soft representa en Uruguay al antivirus NOD32 (marca registrada de ESET). Más información: http://www.nod32.com.uy/ _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ En memoria de mi amado padre (1914-2005) _____________________________________________________________ VSantivirus No. 1941 Año 9, lunes 31 de octubre de 2005