|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde el 12 de agosto de 1996
| Trojan: BackDoor-G2 (SubSeven, TSB, Serbian Badman, etc.) | ||
|---|---|---|
VSantivirus No. 148 - Año 4 - Domingo 3 de diciembre de 2000 Nombre: BackDoor-G2 Tipo: Trojan de acceso remoto Alias: BackDoor-EP, BackDoor-G2.svr.21, BackDoor-G2.gen, BackDoor-G2.svr.20, BackDoor-G2.svr.gen, BackDoor.PolyDrop, Badman Trojan, Serbian Badman Trojan, Sub7 v2.x, SubSeven v2.0, SubSeven v2.1, SubSeven v2.1 Gold, SubSeven v2.12, SubSeven v2.13, TSB Trojan Nota: Existe una variante conocida como "Sub7 Defcon8 2.1", que soporta métodos de ataques DoS (Denial of Service, Denegación de servicio). Se trata de un trojan que no es nuevo, pero agrega continuamente nuevas funcionalidades, y que además es usado por otros virus para ser instalado en las computadoras de las víctimas a las que infectan. En principio, ofrece al atacante, el acceso total a archivos y datos de la computadora víctima, a través de una conexión a Internet. Aunque el puerto por defecto es el 27374 (TCP), esto puede ser modificado desde la configuración del programa. Normalmente llega a nuestras computadoras como un ejecutable en formato Win32 PE que actúa como "dropper" (la traducción sería "cuentagotas", y se le dice así a todo programa que ha sido modificado para realizar la instalación de un virus en un sistema atacado). Un "dropper" por lo tanto, es aquél programa que contiene deliberadamente un virus (en este caso al trojan), y lo hace de tal forma que no sea detectado por algunos antivirus, para liberarlo (soltarlo), en determinado momento dentro del sistema infectado. Además, en este caso, también suele estar disfrazado como una imagen JPG o BMP. Cuando el dropper se ejecuta, se liberan dos archivos dentro de la carpeta Windows. Estos archivos conforman el "server" o servidor y el cargador (o "loader"). El primero es el que dará el acceso al atacante, y normalmente, se llama "MSREXE.EXE". El cargador puede llamarse "RUN.EXE", "WINDOS.EXE" o "MUEEXE.EXE". Debemos tener en cuenta que estos nombres pueden ser modificados por el programa de configuración del trojan. Otros dos archivos están relacionados con el trojan, y son el programa de configuración, que permite personalizar al servidor, y el cliente, el programa usado por el atacante para rastrear la red, y conectarse a cualquier computadora en la que el servidor esté "a la escucha". Estos dos archivos no se involucran con el sistema operativo, pudiendo ser borrados de ser encontrados (por un antivirus). Los sintomas de una infección con este trojan, puede ser la existencia en nuestra computadora de los archivos mencionados anteriormente, cambios en el registro (como veremos más adelante), y comportamientos extraños o inexplicables, como ventanas de mensajes, ingreso de texto sin nuestra acción directa, etc. El trojan se engancha en el sistema atacado de varias maneras (existen cuatro formas diferentes, y puede llegar a usar más de una). a) Agregando el nombre del server al archivo WIN.INI de esta manera:
(Note que el nombre del server puede ser cambiado).
(Note que "shell=Explorer.exe" es correcto, pero se le agrega el nombre del server en la misma línea)
d) Cambiando en el registro la forma en que el sistema operativo ejecuta los archivos .EXE:
Normalmente allí solo debe incluirse esto:
El cambio, hace que Windows ejecute el cargador del trojan, cada vez que un archivo ejecutable es llamado. El cargador ejecuta al server
(MSREXE.EXE), y luego abre el ejecutable solicitado por el sistema, no notando el usuario ningún extraño comportamiento.
2) Luego, ejecute un antivirus actualizado, pero solo anote el nombre de los archivos que corresponden al trojan. Si los borra, corre el riesgo de no poder ejecutar ninguna otra herramienta, y por lo tanto, no podrá arreglar el registro.
Solo debe dejar lo siguiente (escríbalo tal cuál, o use cortar y pegar):
4) Busque los nombres de los archivos encontrados en el paso 2 en las siguientes ramas, y si los encuentra, bórrelos.
5) Busque la siguiente clave, y borre la carpeta .DL si esta existe:
6) Salga de REGEDIT (Registro, Salir).
debería quedar como:
7b) En SYSTEM.INI, borre la referencia al trojan en la siguiente sección (si apareciera el nombre del trojan), y DEJE SOLO "EXPLORER.EXE"
debería quedar como:
8) Grabe los cambios en ambos casos, y reinicie Windows.
Fuente: McAfee, Dark-e, Symantec |
||
