| |
VSantivirus No. 748 - Año 6 - Viernes 26 de julio de 2002
Troj/Beway. Detiene antivirus y cortafuegos, ejecuta Sub7
http://www.vsantivirus.com/troj-beway.htm
Nombre: Troj/Beway
Tipo: Caballo de Troya
Alias: Trojan.Beway
Fecha: 24/jul/02
Tamaño: 6 Kb
Plataformas: Windows 32-bits
La principal acción de este troyano, es detener los procesos en memoria de diferentes programas (antivirus, cortafuegos, etc.), y descargar y ejecutar una copia de otro troyano, una versión de
Trojan/Subseven (Backdoor.Subseven, Sub7).
Cuando es ejecutado, realiza las siguientes acciones:
1. Examina si en la carpeta 'C:\Windows' del sistema existe el archivo
'Vprot32.exe' y se copia en dicha carpeta con ese nombre en caso de no existir el archivo.
'C:\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto
C:\WINDOWS en Windows 9x/ME/XP o C:\WINNT en Windows NT/2000).
2. Modifica el registro para su ejecución automática en cada reinicio de Windows:
HKLM\Microsoft\Windows\CurrentVersion\Run
VirusProt32 = C:\Windows\vprot32.exe
3. Una vez en memoria, el troyano intenta registrarse a si mismo como un servicio (esto hace que no aparezca en la lista de tareas al pulsarse CTRL+ALT+SUPR, y está activo para todos los usuarios del sistema).
4. Una vez ejecutándose como un servicio, intenta detener una lista de más de 100 procesos correspondientes a conocidos programas, entre antivirus, cortafuegos y otras aplicaciones.
5. Finalmente intenta descargar y ejecutar, una versión del troyano de acceso remoto
'Subseven'. Antes de descargarlo, intentará resolver la dirección IP de
www.microsoft.com. Esto presumiblemente es un intento de probar la conexión a Internet. En caso de resultar positiva la prueba, comenzará la descarga del
Subseven.
Note que se trata de un programa maligno, no un virus ni un gusano, que pueda propagarse por si solo. Requiere la acción directa del usuario damnificado para su ejecución (doble clic sobre el archivo), por lo que suele usarse en forma premeditada por algunos atacantes, obligando por medio de engaños a su ejecución. También puede ser descargado de sitios maliciosos, disfrazado de alguna utilidad que despierte nuestra curiosidad.
Como siempre, se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Reparación manual
Para borrar manualmente el troyano, primero que nada, asegúrese de actualizar sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados por el virus:
C:\Windows\Vprot32.exe
4. Ejecute el editor de registro: Inicio, ejecutar, escriba
REGEDIT y pulse ENTER
5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
VirusProt32
7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Relacionados:
Troj/Sub7.21b. Control total y clandestino del PC
http://www.vsantivirus.com/troj-sub7-21b.htm
Trojan: BackDoor-G2 (SubSeven, TSB, Serbian Badman, etc.)
http://www.vsantivirus.com/bg2.htm
Trojan: SubSeven 2.1
http://www.vsantivirus.com/sub721.htm
Trojan: Troj_Sub7.Muie. Captura las conexiones del ICQ, MSN, etc.
http://www.vsantivirus.com/sub7-muie.htm
Troj_Sub7.401315. Otra variante del troyano SubSeven
http://www.vsantivirus.com/sub7-401315.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
