Video Soft BBS


Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

Controlado desde el 19/10/97 por NedStat

VSAntivirus   
Esta página es un servicio gratuito de Video Soft BBS -
SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número  desde el 12 de agosto de 1996

Troj/Beway. Detiene antivirus y cortafuegos, ejecuta Sub7
 
VSantivirus No. 748 - Año 6 - Viernes 26 de julio de 2002

Troj/Beway. Detiene antivirus y cortafuegos, ejecuta Sub7
http://www.vsantivirus.com/troj-beway.htm

Nombre: Troj/Beway
Tipo: Caballo de Troya
Alias: Trojan.Beway
Fecha: 24/jul/02
Tamaño: 6 Kb
Plataformas: Windows 32-bits

La principal acción de este troyano, es detener los procesos en memoria de diferentes programas (antivirus, cortafuegos, etc.), y descargar y ejecutar una copia de otro troyano, una versión de Trojan/Subseven (Backdoor.Subseven, Sub7).

Cuando es ejecutado, realiza las siguientes acciones:

1. Examina si en la carpeta 'C:\Windows' del sistema existe el archivo 'Vprot32.exe' y se copia en dicha carpeta con ese nombre en caso de no existir el archivo.

'C:\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto C:\WINDOWS en Windows 9x/ME/XP o C:\WINNT en Windows NT/2000).

2. Modifica el registro para su ejecución automática en cada reinicio de Windows:

HKLM\Microsoft\Windows\CurrentVersion\Run
VirusProt32 = C:\Windows\vprot32.exe

3. Una vez en memoria, el troyano intenta registrarse a si mismo como un servicio (esto hace que no aparezca en la lista de tareas al pulsarse CTRL+ALT+SUPR, y está activo para todos los usuarios del sistema).

4. Una vez ejecutándose como un servicio, intenta detener una lista de más de 100 procesos correspondientes a conocidos programas, entre antivirus, cortafuegos y otras aplicaciones.

5. Finalmente intenta descargar y ejecutar, una versión del troyano de acceso remoto 'Subseven'. Antes de descargarlo, intentará resolver la dirección IP de www.microsoft.com. Esto presumiblemente es un intento de probar la conexión a Internet. En caso de resultar positiva la prueba, comenzará la descarga del Subseven.

Note que se trata de un programa maligno, no un virus ni un gusano, que pueda propagarse por si solo. Requiere la acción directa del usuario damnificado para su ejecución (doble clic sobre el archivo), por lo que suele usarse en forma premeditada por algunos atacantes, obligando por medio de engaños a su ejecución. También puede ser descargado de sitios maliciosos, disfrazado de alguna utilidad que despierte nuestra curiosidad.

Como siempre, se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.


Reparación manual

Para borrar manualmente el troyano, primero que nada, asegúrese de actualizar sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados por el virus:

C:\Windows\Vprot32.exe

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

VirusProt32

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Relacionados:

Troj/Sub7.21b. Control total y clandestino del PC
http://www.vsantivirus.com/troj-sub7-21b.htm

Trojan: BackDoor-G2 (SubSeven, TSB, Serbian Badman, etc.)
http://www.vsantivirus.com/bg2.htm

Trojan: SubSeven 2.1
http://www.vsantivirus.com/sub721.htm

Trojan: Troj_Sub7.Muie. Captura las conexiones del ICQ, MSN, etc.
http://www.vsantivirus.com/sub7-muie.htm

Troj_Sub7.401315. Otra variante del troyano SubSeven
http://www.vsantivirus.com/sub7-401315.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2002 Video Soft BBS