| |
VSantivirus No. 868 - Año 7 - Viernes 22 de noviembre de 2002
Troj/Backdoor.Lanfilt. Troyano de acceso remoto
http://www.vsantivirus.com/back-lanfilt.htm
Nombre: Troj/Backdoor.Lanfilt
Tipo: Caballo de Troya de acceso remoto
Alias: Backdoor.Lanfilt, W32/Lanfilt, TROJ_LANFILT, Lanfilt
Fecha: 20/nov/02
Tamaño: 229,394 bytes
Plataforma: Windows 32-bits
Este caballo de Troya, compromete la seguridad del sistema infectado al permitir el acceso y control en forma remota del sistema.
Un atacante puede borrar, copiar y ejecutar archivos, además de muchas otras acciones, en la computadora atacada, todo en forma clandestina.
El troyano también intenta eliminar todos los procesos relacionados con antivirus, cortafuegos y monitores del sistema que estuvieran ejecutándose en memoria.
Su ejecución se realiza por medio de engaños, haciéndolo creer a la víctima que se trata de alguna utilidad o cualquier otra clase de software.
Cuando es ejecutado con un doble clic sobre el archivo recibido (puede tener cualquier nombre, el troyano se copia a si mismo en la siguiente ubicación:
C:\Windows\Run322.exe
'C:\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto 'C:\Windows' en Windows 9x/ME/XP o 'C:\WinNT' en Windows NT/2000).
Luego se agrega la siguiente entrada al registro, para autoejecutarse a si mismo en cada reinicio del sistema:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
System = C:\Windows\run322.exe
También puede ser la siguiente entrada:
Yahoo! = C:\Windows\Run322.exe
También crea lo siguiente, que solo es un archivo de texto donde guarda el registro de sus acciones.
C:\001.sys
Y luego abre tres puertos TCP que permiten al atacante remoto ponerse en contacto con él y tomar el control remoto de la computadora.
Es entonces cuando también intenta matar en memoria procesos relacionados con antivirus, muros de fuego, etc.
Estas son algunas de las acciones disponibles por el atacante en la máquina infectada:
- Abrir y cerrar la bandeja del CD-ROM o alguna otra acción
- Activar o desactivar el video del monitor
- Apagar y encender el Monitor
- Capturar información y contraseñas del ICQ Messenger, AOL Instant Messenger y MSN Messenger
- Cerrar sesiones en Windows
- Crear y borrar archivos y carpetas, ejecutar archivos, etc.
- Enviar información de la computadora y de la red al atacante
- Reiniciar Windows, Apagar la computadora, etc.
Reparación manual
1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecútelos en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados
Borrar los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre los siguientes archivos:
C:\Windows\run322.exe
C:\001.sys
Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre una de las siguientes entradas (solo aparece una de las dos):
SysBoot.dll = C:\Windows\Run322.exe
Yahoo! = C:\Windows\Run322.exe
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
