| |
VSantivirus No. 1005, Año 7, Martes 8 de abril de 2003
Troj/AprilFool. Modifica opciones de seguridad
http://www.vsantivirus.com/aprilfool.htm
Nombre: Troj/AprilFool
Tipo: Caballo de Troya
Alias: AprilFool, Trojan.AprilFool, Trojan.W32/AprilFool, AprilNice, Troj/AprilNice
Fecha: 6/abr/03
Tamaño: 32,768 bytes
Plataforma: Windows 32-bit
Escrito en Microsoft Visual Basic 6, este troyano solo funciona si se encuentra instalado Microsoft Exchange en el sistema. Además requiere las librerías de Visual Basic 6 para ejecutarse.
Tenga en cuenta que este troyano, no posee rutina de propagación. Suele distribuirse manualmente, generalmente bajo la premisa de algún inocente programa. Los canales de distribución más usados son el correo electrónico, listas de noticias (newsgroups), canales de IRC, y redes P2P como KaZaa y otros.
Cuando se ejecuta, sus acciones más notorias son las de renombrar la bandeja de entrada de Microsoft Outlook y Outlook Express como
"April Fools Again".
Los siguientes cambios en el registro, bloquean las opciones de apagado y cierre del sistema, y afectan a todos los Windows (95, 98, Me, NT, 2000 y XP):
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoClose = "1"
NoClose = "1" elimina el elemento "Apagar el equipo" del menú de Inicio y del cuadro de diálogo de seguridad de Windows (en Windows NT, 2000 y XP).
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoLogoff = "1"
NoLogoff = "1" impide cerrar la sesión actual de Windows.
Por otra parte, Windows NT, 2000 y XP permiten bloquear un escritorio para que un usuario determinado tenga acceso sólo a programas específicos. Esto es importante si se trabaja en un PC de acceso público. Los siguientes cambios en el registro, impiden que estas acciones puedan llevarse a cabo desde el cuadro de diálogo de seguridad de Windows (CTRL+ALT+SUPR en Windows NT, 2000 y XP):
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr = "1"
DisableTaskMgr = "1" impide que se inicie el administrador de tareas (taskmgr.exe).
DisableLockWorkstation = "1"
DisableLockWorkstation = "1" deshabilita el botón "Bloquear Estación de Trabajo" en Windows NT, 2000 y XP, lo que impide bloquear la máquina desde el cuadro de diálogo de seguridad de Windows.
DisableChangePassword = "1"
DisableChangePassword = "1" deshabilita el botón "Cambiar contraseña" en Windows NT, 2000 y XP, lo que impide cambiar la contraseña del usuario desde el cuadro de diálogo de seguridad de Windows.
Reparación manual
Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
3. Pinche en la carpeta "Explorer" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie por un CERO los siguientes valores si existen:
NoClose = "0"
NoLogoff = "0"
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\System
5. Pinche en la carpeta "System" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie por un CERO los siguientes valores si existen:
DisableTaskMgr = "0"
DisableLockWorkstation = "0"
DisableChangePassword = "0"
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Información adicional
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
Actualizaciones:
14/abr/03 - Alias: AprilNice, Troj/AprilNice
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
