Santivirus No. 1920 Año 9, domingo 9 de octubre de 2005
_____________________________________________________________
El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com
VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy
_____________________________________________________________
1 - Cardblock.A. Bloquea memorias MMC de celulares
2 - Hupigon.HI. Caballo de Troya de acceso remoto
3 - Exploit.Mht.BH. Explota vulnerabilidad en MHTML
4 - Bobax.AG.dropper. Libera al gusano Win32/Bobax.AG
_____________________________________________________________
1 - Cardblock.A. Bloquea memorias MMC de celulares
_____________________________________________________________
http://www.vsantivirus.com/cardblock-a.htm
Nombre: Cardblock.A
Nombre NOD32: SymbOS/Cardblock.A
Tipo: Caballo de Troya
Alias: Cardblock.A, SymbOS/Cardblock.A, SymbOS.Cardblock.A
Fecha: 4/oct/05
Plataforma: EPOC, Nokia Series 60
Tamaño: 35,558 bytes
Troyano que afecta teléfonos móviles Nokia Series 60. Cuando
se ejecuta, genera una contraseña al azar para la tarjeta de
memoria MultiMediaCard del dispositivo móvil (MMC memory
card), bloqueando su utilización después que el teléfono es
reiniciado.
También borra archivos críticos del sistema, direcciones y
carpetas de mensajes.
En la mayoría de los casos, el móvil debe ser llevado al
servicio técnico para su completa recuperación. De todos
modos la información eliminada no podrá ser recuperada. Esto
incluye utilidades instaladas, números de teléfono agendados
y otros datos importantes.
Algunos teléfonos como Nokia 6670 y Nokia 6600, pueden
sobrevivir el borrado de los directorios del sistema, y con
un simple reinicio volver a la normalidad, aunque los datos
del usuario y el contenido de la memoria MMC se pierden.
Otros teléfonos que utilizan versiones mas recientes del
SymbOS, tales como Nokia 6630, no podrán recuperarse debiendo
ser llevados al servicio técnico.
El troyano se presenta como una versión pirata de la utilidad
InstantSiS con el siguiente nombre:
instantsis.v2.1.cracked.by.binzpda.sis
InstantSiS es una herramienta que permite rempaquetar
archivos SIS para copiarlos a otros dispositivos. La
extensión .SIS es utilizada por el sistema operativo EPOC
para las instalaciones.
Al ejecutarse, el troyano crea los siguientes archivos:
System\apps\InstantSis\ClauSis.dll
System\apps\InstantSis\InstantSis.aif
System\apps\InstantSis\InstantSis.app
System\apps\InstantSis\InstantSis.rsc
System\apps\InstantSis\InstantSis.rsc.xxx
System\apps\InstantSis\InstantSis_caption.rsc
System\apps\InstantSis\InstantSis_caption.rsc.xxx
System\apps\InstantSis\Licence.txt
System\help\InstantSis.hlp
También borra las siguientes carpetas del dispositivo:
C:\system\install
C:\system\data
C:\system\libs
C:\system\mail
C:\system\bootdata
* Eliminación manual
Para eliminar el troyano de un dispositivo infectado, siga
estos pasos:
1. Utilice algún administrador de archivos (debe tener
habilitada la opción de ver los archivos en el directorio del
sistema).
NOTA: Se sugiere descargar el "PC File Manager"
correspondiente a su teléfono móvil desde el siguiente
enlace:
http://www.epocware.com/company/productmap.html
2. Borre los siguientes archivos:
System\apps\InstantSis\ClauSis.dll
System\apps\InstantSis\InstantSis.aif
System\apps\InstantSis\InstantSis.app
System\apps\InstantSis\InstantSis.rsc
System\apps\InstantSis\InstantSis.rsc.xxx
System\apps\InstantSis\InstantSis_caption.rsc
System\apps\InstantSis\InstantSis_caption.rsc.xxx
System\apps\InstantSis\Licence.txt
System\help\InstantSis.hlp
Aunque el sistema por defecto se instala en la unidad C, esto
puede cambiar en algunos casos.
La forma de recuperar los archivos del sistema eliminados,
puede variar en cada modelo, siendo necesaria la mayoría de
las veces, la intervención del servicio de mantenimiento del
proveedor del teléfono móvil.
La perdida de la información borrada, puede ser la mayoría de
las veces, irreversible. Esto incluye el contenido de la
memoria MMC.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
2 - Hupigon.HI. Caballo de Troya de acceso remoto
_____________________________________________________________
http://www.vsantivirus.com/hupigon-hi.htm
Nombre: Hupigon.HI
Nombre NOD32: Win32/Hupigon.HI
Tipo: Caballo de Troya de acceso remoto
Alias: Hupigon.HI, Backdoor.Darkmoon, Backdoor.Hupigon.HI,
Backdoor.Hupigon.hi, BackDoor.Pigeon.83,
Backdoor.Win32.Hupigon.hi, Backdoor-Server/Hupigon.HI,
BDS/Hupigon.HI, Troj/GrayBrd-AC, Trojan.Hupigon.Hi,
Win32/Hupigon.HI
Fecha: 7/oct/05
Plataforma: Windows 32-bit
Tamaño: 295,305 bytes (NSPACK, ASPACK)
Caballo de Troya que no se propaga por si mismo. Puede llegar
a nuestro PC al ser copiado manualmente en el sistema, o al
ser descargado intencionalmente o mediante engaños de algún
sitio malicioso, o de redes de intercambio de archivos P2P,
generalmente disfrazado como una aplicación.
Un usuario malintencionado, también podría enviar el troyano
a su víctima en un mensaje electrónico individual o
masivamente por medio de spam a otros usuarios.
Cuando se ejecuta, el troyano abre una puerta trasera que
permite a un usuario remoto tomar el control total del equipo
infectado.
Crea una carpeta "RavExt" dentro de la carpeta del sistema de
Windows, y se copia allí, y liberando dos DLL, todos con
atributos de solo lectura (+R), sistema (+S) y oculto (+H):
c:\windows\system32\RavExt\winlogo.exe
c:\windows\system32\RavExt\[nombre al azar 1].dll
c:\windows\system32\RavExt\[nombre al azar 2].dll
También se puede crear otro DLL en la carpeta del sistema:
c:\windows\system32\[nombre al azar 3].dll
NOTA: "c:\windows\system32" puede variar de acuerdo al
sistema operativo instalado (con ese nombre por defecto en
Windows XP y Windows Server 2003, como "c:\winnt\system32" en
Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).
El archivo WINLOGO.EXE es registrado como un servicio con las
siguientes características:
Nombre de servicio: Internet
Nombre para mostrar: Windows Internet/Server
Ruta de acceso al ejecutable: [camino]\winlogo.exe
Para ello crea la siguiente entrada:
HKLM\SYSTEM\CurrentControlSet\Services\Internet\
El troyano permite a un intruso las siguientes acciones:
- Acceder a los archivos del equipo infectado.
- Capturar pantallas y también video (si existe una webcam).
- Capturar salida del teclado.
- Descargar, instalar y ejecutar silenciosamente otros
programas.
- Escuchar por el micrófono del sistema.
- Modificar las configuraciones por defecto del Internet
Explorer.
- Robar información confidencial.
* Reparación manual
NOTA: Tenga en cuenta que de acuerdo a las acciones
realizadas por el atacante remoto, pueden aplicarse cambios
en el sistema no contemplados en esta descripción genérica.
* Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos
detectados como infectados.
4. Borre todos los archivos detectados como infectados.
* Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos
detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\Internet
3. Haga clic en la carpeta "Internet" y bórrela.
4. Grabe los cambios y salga del bloc de notas
5. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
* Borrar archivos temporales
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de
"temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse
CTRL+E (o seleccione desde el menú "Edición", la opción
"Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo,
incluyendo los ejecutables.
5. haga clic con el botón derecho sobre el icono de la
"Papelera de reciclaje" en el escritorio, y seleccione
"Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo,
reinicie Windows en modo a prueba de fallos, como se indica
en el siguiente artículo, y repita todos los pasos
anteriores:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
* Borrar Archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar
archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.
* Procedimiento para restaurar página de inicio y página de
búsqueda en Internet Explorer
1. Cierre todas las ventanas del Internet Explorer abiertas
2. Seleccione "Mi PC", "Panel de control".
3. Haga clic en el icono "Opciones de Internet".
4. Seleccione la lengüeta "Programas".
5. Haga clic en el botón "Restablecer configuración Web"
6. Asegúrese de tener tildada la opción "Restablecer también
la página inicio" y seleccione el botón SI.
7. Haga clic en "Aceptar".
* Cambiar la página de inicio del Internet Explorer
Cambie la página de inicio del Internet Explorer desde
Herramientas, Opciones de Internet, General, Página de
inicio, por una de su preferencia (o haga clic en "Página en
blanco"). O navegue hacia una página de su agrado, haga clic
en Herramientas, Opciones de Internet, General, y finalmente
haga clic en "Usar actual".
* Cambiar las páginas de búsqueda del Internet Explorer
1. Inicie el Internet Explorer.
2. Haga clic en el botón "Búsqueda" de la barra de
herramientas.
3. En el panel que se despliega (Nuevo, Siguiente,
Personalizar), seleccione "Personalizar".
4. Asegúrese de marcar "Utilizar el asistente de búsqueda"
(Use Search Assistant).
5. Haga clic en el botón "Reiniciar" (Reset).
6. Haga clic en el botón "Configuración de Autosearch"
(Autosearch Settings).
7. Elija un proveedor de búsquedas en el menú (Search
Provider).
8. Seleccione "Aceptar" hasta salir de todas las opciones.
* Información adicional
* Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se
recomienda llevar a cabo las acciones necesarias a fin de
cambiar todas las claves de acceso, así como toda otra
información que comprometa la información relacionada con
cualquier clase de transacción bancaria, incluidas sus
tarjetas electrónicas y cuentas bancarias.
* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas
conexiones disponibles para conectarse a Internet, y en
"Conexión de Red de Area Local" y seleccione Propiedades en
cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
3 - Exploit.Mht.BH. Explota vulnerabilidad en MHTML
_____________________________________________________________
http://www.vsantivirus.com/exploit-mht-bh.htm
Nombre: Exploit.Mht.BH
Nombre NOD32: HTML/Exploit.Mht.BH
Tipo: Caballo de Troya (Exploit)
Alias: Exploit.Mht, Exploit.Mht.BH, Exploit.HTML.Mht,
Exploit.Html.MhtRedir.Gen, Exploit.HTML.MHTRedir-8,
Exploit/MIE.CHM, Exploit-MhtRedir.gen,
HTML.MHTMLRedir!exploit, HTML/Exploit.Mht.BH,
HTML/Exploit.OBJ-Mht, HTML/MHTMLRedir!Exploit,
HTML/MHTRedir.A, MHTMLRedir.Exploit, Troj/Rider-I,
Win32:Mhtplo-26
Fecha: 7/oct/05
Plataforma: Windows 32-bit
Tamaño: variable
Esta detección cubre código diseñado para explotar una
conocida vulnerabilidad en Internet Explorer, a través de un
script insertado en una página HTML.
La vulnerabilidad es causada por un error en el manejador
MHTML, que permite procesar cualquier archivo, incluido
texto, como si fuera un HTML. De este modo es posible incluir
un script que puede descargar y/o ejecutar archivos locales
de forma remota, con el mismo nivel de seguridad que el
usuario actual.
MHTML (MIME Encapsulation of Aggregate HTML), es un estándar
que define la estructura MIME usada para el envío de
contenido HTML en los mensajes de correo electrónico. MIME
(Multipurpose Internet Mail Extensions), es a su vez, un
protocolo que especifica la codificación y formato de los
contenidos de los mensajes.
La ejecución vía Web también es posible, debido a que
Internet Explorer utiliza el mismo manejador.
Microsoft publicó en su momento un parche para esta
vulnerabilidad:
Vulnerabilidad en manipulador MHTML de Outlook Express
http://www.vsantivirus.com/vulms03-014.htm
MS04-013 Parche acumulativo para Outlook Express (837009)
http://www.vsantivirus.com/vulms04-013.htm
* Reparación manual
NOTA: Tenga en cuenta que de acuerdo a las acciones
realizadas por el atacante remoto, pueden aplicarse cambios
en el sistema no contemplados en esta descripción genérica.
* Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Antivirus
Actualice sus antivirus con las últimas definiciones, luego
siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos
detectados como infectados.
4. Borre todos los archivos detectados como infectados.
* Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos
detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera
de reciclaje" en el escritorio, y seleccione "Vaciar la
papelera de reciclaje".
* Información adicional
* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas
conexiones disponibles para conectarse a Internet, y en
"Conexión de Red de Area Local" y seleccione Propiedades en
cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u
'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
4 - Bobax.AG.dropper. Libera al gusano Win32/Bobax.AG
_____________________________________________________________
http://www.vsantivirus.com/bobax-ag-dropper.htm
Nombre: Bobax.AG.dropper
Nombre NOD32: Win32/Bobax.AG.dropper
Tipo: Gusano de Internet y caballo de Troya
Alias: Bobax.AG, Bobax.AG.dropper,
Dropped:Win32.Worm.Bobic.M, I-Worm.Bobic.q, Net-
Worm.Win32.Bobic.q, W32/Malware, Win32.Bobax.AL,
Win32/Bobax.AG.dropper, Worm/Bobic.Crypt
Fecha: 7/oct/05
Plataforma: Windows 32-bit
Tamaño: 42,891 bytes
Libera y ejecuta en el sistema una versión del gusano
Win32/Bobax.AG.
Bobax.AG se propaga como adjunto en un mensaje de correo
electrónico. Para ello utiliza su propio motor SMTP.
También utiliza la vulnerabilidad en LSASS.EXE de Windows XP
y 2000, infectando equipos con Windows XP y 2000 sin el
parche correspondiente instalado.
El gusano examina rangos de direcciones IP en busca de
máquinas vulnerables. Si las encuentra, explota un
desbordamiento de búfer en el componente LSASS.EXE para crear
en el equipo remoto un shell (consola de comandos), que
utilizará para descargarse y luego ejecutarse en él. En
ocasiones esto ocasiona un fallo en LSASS.EXE que reiniciará
al equipo.
Cuando se ejecuta, se copia en la carpeta del sistema:
c:\windows\system32\[nombre al azar].exe
También crea las siguientes entradas en el registro para
autoejecutarse en cada reinicio de Windows:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
[nombre al azar] = "c:\windows\system32\[nombre al
azar].exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
[nombre al azar] = "c:\windows\system32\[nombre al
azar].exe"
NOTA: "c:\windows\system32" puede variar de acuerdo al
sistema operativo instalado (con ese nombre por defecto en
Windows XP y Windows Server 2003, como "c:\winnt\system32" en
Windows NT y 2000).
También modifica el archivo HOSTS para que múltiples sitios
relacionados con antivirus y otras aplicaciones de seguridad,
no puedan ser accedidos desde una máquina infectada.
Intenta deshabilitar aplicaciones antivirus y los mensajes
del "Centro de seguridad" de Windows XP SP2, configurando las
siguientes entradas del registro:
HKLM\SOFTWARE\Microsoft\Security Center
AntiVirusDisableNotify = "dword:00000001"
HKLM\SOFTWARE\Microsoft\Security Center
AntiVirusOverride = "dword:00000001"
HKLM\SOFTWARE\Microsoft\Security Center
FirewallDisableNotify = "dword:00000001"
HKLM\SOFTWARE\Microsoft\Security Center
FirewallOverride = "dword:00000001"
HKLM\SOFTWARE\Microsoft\Security Center
UpdatesDisableNotify = "dword:00000001"
HKLM\SYSTEM\CurrentControlSet\Services
\SharedAccess\Parameters\FirewallPolicy\DomainProfile
EnableFirewall = "dword:00000000"
HKLM\SYSTEM\CurrentControlSet\Services
\SharedAccess\Parameters\FirewallPolicy\DomainProfile
DoNotAllowExceptions = "dword:00000000"
HKLM\SYSTEM\CurrentControlSet\Services
\SharedAccess\Parameters\FirewallPolicy\StandardProfile
EnableFirewall = "dword:00000000"
HKLM\SYSTEM\CurrentControlSet\Services
\SharedAccess\Parameters\FirewallPolicy\StandardProfile
DoNotAllowExceptions = "dword:00000000
Además, intentará descargar de Internet algunos archivos no
maliciosos.
Cuando el gusano se ejecuta, no es visible en la lista de
procesos.
* Reparación manual
* IMPORTANTE:
Descargue y ejecute este parche antes de proceder al resto de
la limpieza, desde el siguiente enlace:
MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htm
* Cortafuegos
Nota: Recomendamos utilizar un programa tipo firewall
(cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá
la conexión de este y cualquier otro troyano con Internet,
así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un
excelente cortafuegos, también impide la ejecución de
cualquier adjunto con posibilidades de poseer virus (sin
necesidad de tener que actualizarlo con cada nueva versión de
un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
* Deshabilitar cualquier conexión a Internet o una red
Es importante desconectar cada computadora de cualquier
conexión a Internet, o red local, antes de proceder a su
limpieza.
* Antivirus
Para borrar manualmente el gusano, primero actualice sus
antivirus con las últimas definiciones, luego siga estos
pasos:
1. Reinicie Windows en modo a prueba de fallos, como se
indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus
discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos
detectados como infectados.
4. Borre todos los archivos detectados como infectados.
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas,
pueden no estar presentes ya que ello depende de que versión
de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha,
bajo la columna "Datos", busque y borre toda entrada que haga
referencia a los archivos detectados en el punto 3 del ítem
"Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
5. Haga clic en la carpeta "RunServices" y en el panel de la
derecha, bajo la columna "Datos", busque y borre toda entrada
que haga referencia a los archivos detectados en el punto 3
del ítem "Antivirus".
6. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Security Center
7. Haga clic en la carpeta "Security Center" y en el panel de
la derecha, bajo la columna "Datos", busque y cambie los
valores para las siguientes entradas del registro, de modo
que todas valgan "0":
AntiVirusDisableNotify = 0
AntiVirusOverride = 0
FirewallDisableNotify = 0
FirewallOverride = 0
UpdatesDisableNotify = 0
8. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
\Parameters
\FirewallPolicy
\DomainProfile
9. Haga clic en la carpeta "DomainProfile" y en el panel de
la derecha, borre las siguientes entradas:
EnableFirewall
DoNotAllowExceptions
10. En el panel izquierdo del editor, haga clic en el signo
"+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
\Parameters
\FirewallPolicy
\StandardProfile
11. Haga clic en la carpeta "StandardProfile" y en el panel
de la derecha, bajo la columna "Datos", busque y cambie los
valores para las siguientes entradas del registro, de modo
que queden con los siguientes:
EnableFirewall = 1
DoNotAllowExceptions = 0
12. Use "Registro", "Salir" para salir del editor y confirmar
los cambios.
13. Reinicie su computadora (Inicio, Apagar el sistema,
Reiniciar).
* Información adicional
* Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se
recomienda llevar a cabo las acciones necesarias a fin de
cambiar todas las claves de acceso, así como toda otra
información que comprometa la información relacionada con
cualquier clase de transacción bancaria, incluidas sus
tarjetas electrónicas y cuentas bancarias.
* Activar el cortafuegos de Windows XP (Internet Conexión
Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o
Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas
conexiones disponibles para conectarse a Internet, y en
"Conexión de Red de Area Local" y seleccione Propiedades en
cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi
equipo y mi red limitando o impidiendo el acceso a él desde
Internet" en todos los casos.
4. Seleccione Aceptar, etc.
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de "Oculto", proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú
'Herramientas' (Windows Me/2000/XP), y haga clic en
'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de
archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los
archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos
los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos',
MARQUE 'Mostrar todos los archivos y carpetas ocultos' y
DESMARQUE 'Ocultar archivos protegidos del sistema
operativo'.
6. Haga clic en 'Aplicar' y en 'Aceptar'.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta "Restaurar sistema" como se indica en estos
artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
_____________________________________________________________
Pautas generales para mantenerse alejado de los virus
_____________________________________________________________
Recuerde estas pautas para mantener alejado de su computadora
cualquier riesgo de virus o troyanos:
1) Use regularmente un programa antivirus (nosotros siempre
recomendamos no confiar en uno solo, pero usar más de uno no
significa que debamos tenerlos a todos instalados,
simplemente ejecutamos esos antivirus en su opción de
escaneo, sobre la carpeta que contenga los archivos a
revisar). Y por supuesto, de nada vale usar algún antivirus
si no lo mantenemos actualizado con los upgrades, updates o
add-ons correspondientes. Actualmente, las actualizaciones de
la mayoría de los fabricantes son diarias. No existen los
"virus demasiados nuevos y sin antídotos", la reacción de las
casas de antivirus es inmediata en todos los casos. Pero
mejor pregúntese, si la suya también lo es a la hora de
actualizarse.
2) No abrir ningún mensaje ni archivo recibido a través del
correo electrónico, que no haya sido solicitado, sin importar
su remitente. Ante cualquier duda, simplemente se debe optar
por borrar el mensaje (y archivos adjuntos). Como se dice
vulgarmente, "la confianza mata al hombre", en este caso a la
PC.
3) Estar informado de cómo operan los virus, y de las
novedades sobre estos, alertas y anuncios críticos, en sitios
como el nuestro.
4) No bajar nada de sitios Web de los que no tenga
referencias de seriedad, o que no sean medianamente
conocidos. Y si se bajan archivos, proceder como los archivos
adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres
antivirus actualizados antes de optar por ejecutarlos o
abrirlos.
!Vívelo! - Participa en 
Numerosos actos para el Día de Internet
