| |
VSantivirus No. 716 - Año 6 - Domingo 23 de junio de 2002
Troj/Backdoor.AntiLam. Caballo de Troya de acceso remoto
http://www.vsantivirus.com/back-antilam.htm
Nombre: Troj/Backdoor.AntiLam
Tipo: Caballo de Troya de acceso remoto
Alias: Backdoor.AntiLam, Backdoor.Trojan
Fecha: 7/jun/02
Tamaño: variable
Este troyano permite el acceso a las computadoras infectadas por medio de una 'puerta trasera' (backdoor), con lo que un atacante puede tomar el control total de la misma.
Es capaz de robar información confidencial mediante la captura de todo lo tecleado por la víctima. Esta información es guardada y enviada al atacante.
Si el troyano se ejecuta, intenta como primer medida, copiarse a si mismo en la carpeta usada por Windows
(C:\Windows, C:\WinNT, etc.).
El nombre utilizado para el propio ejecutable del caballo de Troya es siempre diferente, debido a que el atacante puede crearlo y enviarlo con cualquier nombre. Sin embargo, el nombre usado por defecto es SCANDISK.EXE (no confundir con el legítimo
Scandisk.exe de Windows).
También modifica la siguiente entrada en el registro para ejecutarse en cada reinicio de Windows:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
MS Scandisk = C:\Windows\Scandisk.exe
Recuerde que puede ser cualquier otro nombre de archivo en lugar de
Scandisk.exe.
También agrega la siguiente entrada:
HKLM\Software\Microsoft\DirectX
Start = ok
Cuando se ejecuta, el troyano abre una conexión HTTP a un servidor Web seleccionado por el atacante, y envía información recolectada de la víctima a un script en dicho sitio.
Esta información incluye entre otros, estos datos:
- La dirección IP de la víctima
- El nombre del usuario logeado en Windows y en Internet
- La versión del sistema operativo
- El nombre de la computadora
- La lista de contraseñas guardadas en el caché
Cuando el troyano está activo, las siguientes acciones (entre otras) son posibles para un atacante en forma remota:
- Abrir repetidamente un puerto TCP
- Mostrar un mensaje de error falso para encubrir
su naturaleza
- Control total sobre el sistema de archivos de la computadora
- Carga y descarga de archivos
- Ejecución remota de cualquier programa a elección del atacante
- Mostrar mensajes
- Mostrar al atacante lo que exhibe el monitor de la víctima
- Capturar y enviar todo lo tecleado por la víctima
- Manipular el teclado y el ratón
- Abrir y cerrar la bandeja de la lectora de CD-ROM
- Apagar o prender el monitor (si permite ahorro de energía)
Note que se trata de un programa maligno, no un virus ni un gusano, que pueda propagarse por si solo. Requiere la acción directa del usuario damnificado para su ejecución (doble clic sobre el archivo), por lo que suele usarse en forma premeditada por algunos atacantes, obligando por medio de engaños a su ejecución. También puede ser descargado de sitios maliciosos, disfrazado de alguna utilidad que despierte nuestra curiosidad.
Como siempre, se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Nota: Además de lo explicado en este artículo, recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de algún troyano con Internet, así como un intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Más información:
VSantivirus No. 117 - 2/nov/00
Zone Alarm - El botón rojo que desconecta su PC de la red
http://www.vsantivirus.com/za.htm
Eliminación del troyano
Para quitar el troyano de su sistema, solo borre el ejecutable (puede tener cualquier nombre). Para identificarlo, utilice un antivirus al día para examinar todos los archivos de su disco duro.
Luego modifique los cambios en el registro de la siguiente manera:
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
MS Scandisk
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\Software
\Microsoft
\DirectX
5. Pinche en la carpeta "DirectX" y en el panel de la derecha busque y borre la siguiente entrada:
Start
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
