VSantivirus No. 620 - Año 6 - Martes 19 de marzo de 2002
Troj/Juntador.A. Transporta OBLIVION.B2 y TROJ_SUB7.22
http://www.vsantivirus.com/juntador-a.htm
Nombre: Troj/Juntador.A
Tipo: Caballo de Troya
Alias: TROJ_JUNTADOR.A, Trojan.Dropper.Win32.Juntador.B, Troj/Juntador, Backdoor Trojan, JUNTADOR.A, JUNTADOR
Tamaño: 86,016 bytes
Fecha: 4/ene/02
Plataforma: Windows
Fuente: Trend Micro
Este caballo de Troya intenta ser el transporte de otros dos troyanos: TROJ_OBLIVION.B2 y TROJ_SUB7.22.A. Una vez ejecutado no queda residente en memoria. Tampoco incluye rutina maliciosa alguna. El archivo está compilado en Delphi.
El troyano se activa al ser ejecutado por el propio usuario, en forma accidental, o al ser engañado éste en forma premeditada para hacerlo.
Al ejecutarse, el troyano libera los siguientes archivos:
Ie666.vbs
Ebay.Exe
Explorer.exe
pusdm.exe
intelmouse.exe
logictech.exe
brgket.exe
|
(virus detectado como VBS/Stanchild.A)
(detectado como Troj/Sub7.22.A)
(detectado como Troj/Sub7.22.A)
(detectado como Troj/Sub7.22.A)
(detectado como TROJ/Oblivion.B2)
(detectado como TROJ/Oblivion.B2)
(detectado como Troj/Sub7.22.A)
|
Más detalles del SubSeven en este enlace:
VSantivirus No. 246 - 11/mar/01
Trojan: SubSeven.2.2. Ultima versión del peligroso troyano
http://www.vsantivirus.com/sub722.htm
Los archivos descargados muestran el icono del popular sitio eBay.com, mientras que el propio Juntador.A muestra el icono de un mensaje del Outlook.
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Con REGEDIT (Inicio, Ejecutar, REGEDIT + Enter), en el panel de la izquierda abra la siguiente rama:
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
Current Version
explorer
User Shell Folders
4. En el panel de la derecha, borre la entrada que haga referencia a lo siguiente:
"C:\WINDOWS\SYSTEM\op\"
5. En el panel de la izquierda, busque esta rama:
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
Current Version
Run
6. En el panel de la derecha, borre las entradas que hagan referencia a lo siguiente:
"C:\WINDOWS\SYSTEM\Logictech.exe"
"C:\WINDOWS\SYSTEM\pusdm.exe"
7. En el panel de la izquierda, busque esta rama:
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
Current Version
RunServices
8. En el panel de la derecha, borre las entradas que hagan referencia a lo siguiente:
"C:\WINDOWS\SYSTEM\Logictech.exe"
"C:\WINDOWS\SYSTEM\pusdm.exe"
9. En el panel de la izquierda, busque esta rama:
HKEY_LOCAL_MACHINE
Software
Microsoft
Active Setup
Installed Components
DefaultProfile
10. En el panel de la derecha, borre las entradas que hagan referencia a lo siguiente:
"C:\WINDOWS\SYSTEM\Logictech.exe ASC"
11. En el panel de la izquierda, busque esta rama:
HKEY_LOCAL_MACHINE
Software
Microsoft
Active Setup
Installed Components
12. En el panel de la derecha, borre las entradas que hagan referencia a lo siguiente:
"C:\WINDOWS\SYSTEM\brgket.exe"
13. En el panel de la izquierda, busque esta rama:
HKEY_USERS
.DEFAULT
Software
Microsoft
14. A la derecha, buscar y borrar la siguiente entrada:
Satanik*Child
"---====::SATANIK CHILD::====----"
15. En el panel de la izquierda, busque esta rama:
HKEY_USERS
.DEFAULT
Software
Microsoft
Windows
CurrentVersion
Run
16. A la derecha, buscar y borrar las siguientes entradas:
"C:\WINDOWS\system\Ebay.exe"
"C:\WINDOWS\IntelMouse.exe"
17. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter, y busque las siguientes entradas:
[boot]
Shell=explorer.exe Logictech.exe
18. Cambie esta entrada por esto:
[boot]
Shell=explorer.exe
19. Grabe los cambios y salga del bloc de notas.
20. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter, y busque las siguientes entradas:
[windows]
load=Logictech.exe
run=Logictech.exe
21. Cambie esas entradas por esto:
[windows]
Load=
Run=
22. Grabe los cambios y salga del bloc de notas.
23. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Recomendamos además, utilizar un programa tipo firewall (o cortafuego) como el ZoneAlarm, gratuito para uso personal, que detendrá y advertirá la conexión del troyano con Internet.
VSantivirus No. 117 - 2/nov/00
Zone Alarm - El botón rojo que desconecta su PC de la red
http://www.vsantivirus.com/za.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|