W32/SpyBot.AMF. Se copia como "sysmsvc.exe"
Nombre: W32/SpyBot.AMF
Nombre Nod32: Win32/SpyBot.AMF
Tipo: Gusano de Internet Caballo de Troya de acceso remoto
Alias: SpyBot.AMF, Win32/SpyBot.AMF, W32.Spybot.FCD, W32.Spybot.Worm, W32.Spybot.Worm, W32/Sdbot.worm.gen.j, Backdoor.Win32.Rbot.gen
Fecha: 19/oct/04
Plataforma: Windows 32-bit
Tama隳: 124,928 bytes
Gusano que se propaga por recursos compartidos de redes, y que puede actuar como un troyano de acceso remoto controlado v燰 IRC, con capacidad de tomar el control del equipo infectado.
Cuando se ejecuta se copia en la carpeta del sistema de Windows con el siguiente nombre:
c:\windows\system\sysmsvc.exe
NOTA: "c:\windows\system" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x y ME, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system32" en Windows XP y Windows Server 2003).
Crea las siguientes entradas en el registro para ejecutarse en cada reinicio de Windows:
HKCU\SYSTEM\CurrentControlSet\Control\Lsa
MsWindows SysDate = "sysmsvc.exe"
HKCU\Software\Microsoft\OLE
MsWindows SysDate = "sysmsvc.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
MsWindows SysDate = "sysmsvc.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
MsWindows SysDate = "sysmsvc.exe"
El gusano intenta continuamente infectar m嫭uinas remotas, generando direcciones IP al azar para conectarse a trav廥 del puerto 445. Utiliza una extensa lista de usuarios y contrase鎙s predefinidas en su c鏚igo.
Si la conexi鏮 es exitosa, busca los recursos ADMIN$, C$, D$, IPC$ Y PRINT$. Si los encuentra, entonces inicia su rutina de infecci鏮, intentando copiarse en dicho equipo en las siguientes ubicaciones:
admin$\sysmsvc.exe
admin$\system32\sysmsvc.exe
c$\sysmsvc.exe
c$\windows\system32\sysmsvc.exe
c$\winnt\system32\sysmsvc.exe
d$\sysmsvc.exe
ipc$\sysmsvc.exe
print$\sysmsvc.exe
Tambi幯 intenta aprovecharse de otras conocidas vulnerabilidades para propagarse.
Posee un componente de acceso por puerta trasera (backdoor), que intenta conectarse a servidores de IRC y unirse a un canal predeterminado. Acta como un IRC Bot, esperando las instrucciones en dicho canal. Un BOT es la copia de un usuario en un canal de IRC, preparado para responder y ejecutar ciertos comandos en forma autom嫢ica.
Utiliza como servidor el siguiente (por el puerto TCP/8080):
fear.godofthe.net
Algunas acciones posibles:
Auto actualizarse
Capturar im墔enes de webcams
Capturas de pantalla
Conectarse a una URL determinada
Descargar y ejecutar archivos
Enviar archivos
Enviar pulsaciones de teclado a la ventana activa
Escanear puertos de otras computadoras
Iniciar un servidor HTTP
Matar procesos e hilos de ejecuci鏮
Obtener informaci鏮 del sistema
Realizar ataques de denegaci鏮 de servicio (UDP, ICMP y SYN flooding)
Robar el cach de contrase鎙s en Windows 95, 98 y ME
Tambi幯 roba la informaci鏮 de registro (CD-Keys), de los siguientes juegos:
Battlefield 1942
Battlefield 1942 (Road To Rome)
Battlefield 1942 (Secret Weapons of WWII)
Battlefield Vietnam
Black and White
Chrome
Command and Conquer: Generals
Command and Conquer: Generals (Zero Hour)
Command and Conquer: Red Alert
Command and Conquer: Red Alert 2
Command and Conquer: Tiberian Sun
FIFA 2002
FIFA 2003
Hidden & Dangerous 2
IGI 2: Covert Strike
Industry Giant 2
James Bond 007: Nightfire
Legends of Might and Magic
Medal of Honor: Allied Assault
Medal of Honor: Allied Assault: Breakthrough
Medal of Honor: Allied Assault: Spearhead
Microsoft Windows Product ID
Nascar Racing 2002
Nascar Racing 2003
Need For Speed Hot Pursuit 2
Need For Speed: Underground
Neverwinter Nights
Neverwinter Nights (Shadows of Undrentide)
NHL 2002
NHL 2003
NOX
Rainbow Six III RavenShield
Shogun: Total War: Warlord Edition
Soldier of Fortune II - Double Helix
Soldiers Of Anarchy
Unreal Tournament 2003
Unreal Tournament 2004
Reparaci鏮 manual
Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cu嫮 detendr y advertir la conexi鏮 de este y cualquier otro troyano con Internet, as como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), adem嫳 de ser un excelente cortafuegos, tambi幯 impide la ejecuci鏮 de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versi鏮 de un virus).
M嫳 informaci鏮:
Deshabilitar cualquier conexi鏮 a Internet o una red
Es importante desconectar cada computadora de cualquier conexi鏮 a Internet, o red local, antes de proceder a su limpieza.
Antivirus
Actualice sus antivirus con las ltimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
* En Windows 95/98/Me/NT/2000
1. Seleccione Inicio, Buscar, Archivos o carpetas
2. Asegrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opci鏮 "Incluir subcarpetas"
3. En "Nombre" ingrese (o corte y pegue), lo siguiente:
SYSMSVC.EXE
4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados
5. Cierre la ventana de bsqueda
6. Pinche con el bot鏮 derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
* En Windows XP
1. Seleccione Inicio, Buscar
2. Seleccione "Todos los archivos y carpetas"
3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:
SYSMSVC.EXE
4. Verifique que en "Buscar en:" est seleccionado "C:"
5. Pinche en "M嫳 opciones avanzadas"
6. Seleccione "Buscar en carpetas del sistema"
7. Seleccione "Buscar en subcarpetas"
8. Haga clic en "Bsqueda" y borre todos los archivos encontrados
9. Cierre la ventana de bsqueda
10. Pinche con el bot鏮 derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aqu mencionadas, pueden no estar presentes ya que ello depende de que versi鏮 de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\SYSTEM
\CurrentControlSet
\Control
\Lsa
3. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
MsWindows SysDate
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\OLE
5. Haga clic en la carpeta "OLE" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
MsWindows SysDate
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
MsWindows SysDate
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
9. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
MsWindows SysDate
10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Informaci鏮 adicional
Cambio de contrase鎙s
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, as como toda otra informaci鏮 que comprometa la informaci鏮 relacionada con cualquier clase de transacci鏮 bancaria, incluidas sus tarjetas electr鏮icas y cuentas bancarias.
Activar el cortafuegos de Windows XP (Internet Conexi鏮 Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).
2. Pinche con el bot鏮 derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexi鏮 de Red de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengeta "Avanzadas" tilde la opci鏮 "Proteger mi equipo y mi red limitando o impidiendo el acceso a 幨 desde Internet" en todos los casos.
4. Seleccione Aceptar, etc.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y adem嫳 visualizar aquellos con atributos de "Oculto", proceda as:
1. Ejecute el Explorador de Windows
2. Seleccione el men 'Ver' (Windows 95/98/NT) o el men 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengeta 'Ver'.
4. DESMARQUE la opci鏮 "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opci鏮 "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
|
 讓我們程式搜尋結果更加完美 如果您覺得該文件有幫助到您，煩請按下我如果您覺得該文件是一個一無是處的文件，也煩請按下我 |
|
該文件您看起來是亂碼嗎？您可以切換編碼方式試試看！ISO-8859-1 | latin1 | euc-kr | euc-jp | CP936 | CP950 | UTF-8 | GB2312 | BIG5 |
|