Video Soft BBS


Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

Controlado desde el 19/10/97 por NedStat

VSAntivirus   
Esta página es un servicio gratuito de Video Soft BBS -
SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número  desde el 12 de agosto de 1996

Troj/Inwi. Troyano que roba información
 
VSantivirus No. 812 - Año 6 - Sábado 28 de setiembre 2002

Troj/Inwi. Troyano que roba información
http://www.vsantivirus.com/troj-inwi.htm

Nombre: Troj/Inwi
Tipo: Caballo de Troya
Alias: Trj/Inwi
Fecha: 26/set/02
Tamaño: 199,168 bytes (UPX), 509,440 bytes


Reportado por Panda, el 26 de setiembre de 2002, se trata de un troyano capaz de obtener y reenviar a un atacante vía e-mail, información de las computadoras afectadas.

También realiza algunos cambios en la configuración del sistema para permitirle realizar las siguientes acciones:
  • Cambiar la página de inicio del Internet Explorer por la siguiente:

    http://ajim.delphibbs.com
  • Activarse cada vez que se ejecute un archivo .EXE o abra un .TXT.

El troyano, comprimido con la utilidad UPX, genera los siguientes archivos al ejecutarse por primera vez:

C:\Windows\HOSTS
C:\Windows\WINUPDATE.EXE
C:\Windows\System\WINVER.EXE
C:\Windows\System32\INTERNETS.EXE

Menos HOSTS, todos ellos son copias del propio troyano. En todos los casos, 'C:\Windows' y 'C:\Windows\System' pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como 'C:\WinNT', 'C:\WinNT\System32' en Windows NT/2000 y 'C:\Windows\System32' en Windows XP).

El troyano crea las siguientes claves en el registro, modificando la configuración del Internet Explorer, incluidas su página de búsqueda y de inicio:

HKCU\Software\Microsoft\Internet Explorer\Main

CustomizeSearch = http://ajim.delphibbs.com
Default_Page_URL = http://ajim.delphibbs.com
SearchAssistant = http://ajim.delphibbs.com


HKLM\SOFTWARE\Microsoft\Internet Explorer\Main

CustomizeSearch = http://ajim.delphibbs.com
SearchAssistant = http://ajim.delphibbs.com

También crea la siguiente entrada para autoejecutarse en cada reinicio:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Internet.exe = C:\WINDOWS\system32\internets.exe

Para activarse cada vez que se abre un archivo con extensión .EXE (programas) o .TXT (texto), modifica las siguientes entradas:

HKEY_CLASSES_ROOT\exefile\shell\open\command
(Predeterminado) = "C:\WINDOWS\winupdate.exe %1 %*"

HKEY_CLASSES_ROOT\txtfile\shell\open\command
(Predeterminado) = "C:\WINDOWS\winver.exe C:\WINDOWS\NOTEPAD.EXE %1"

El troyano se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, o copiado de disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.


Para eliminar el troyano de un sistema infectado

Primero debe renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al troyano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Ejecute un antivirus actualizado y anote los archivos del troyano detectados

2. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

  Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.EXE, etc.).

3. Desde Inicio, Ejecutar, teclee REGEDIT.COM y pulse Enter

4. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\exefile
\shell
\open
\command

5. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) = C:\WINDOWS\winupdate.exe %1 %*

6. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar lo anterior y dejar solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

"%1" %*

7. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\txtfile
\shell
\open
\command

8. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) = C:\WINDOWS\winver.exe C:\WINDOWS\NOTEPAD.EXE %1

9. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar lo anterior y dejar solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

"%1" %*

10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Internet Explorer
\Main

11. Pinche en la carpeta "Main" y en el panel de la derecha busque y borre las siguientes entradas:

CustomizeSearch = http://ajim.delphibbs.com
Default_Page_URL = http://ajim.delphibbs.com
SearchAssistant = http://ajim.delphibbs.com

12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Internet Explorer
\Main

13. Pinche en la carpeta "Main" y en el panel de la derecha busque y borre las siguientes entradas:

CustomizeSearch = http://ajim.delphibbs.com
SearchAssistant = http://ajim.delphibbs.com

14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

15. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

Internet.exe = C:\WINDOWS\system32\internets.exe

16. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Borrar los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos (cuidado, algunos de ellos son legítimos y las copias del troyano están en otras carpetas):

C:\Windows\HOSTS
C:\Windows\WINUPDATE.EXE
C:\Windows\System\WINVER.EXE
C:\Windows\System32\INTERNETS.EXE

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.


Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer

1. Cierre todas las ventanas del Internet Explorer abiertas

2. Seleccione "Mi PC", "Panel de control".

3. Pinche en el icono "Opciones de Internet".

4. Seleccione la lengüeta "Programas".

5. Pinche en el botón "Restablecer configuración Web"

6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI.

7. Pinche en "Aceptar".


Cambiar la página de inicio del Internet Explorer

Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia. O navegue hacia una página de su agrado, pinche en Herramientas, Opciones de Internet, General, y finalmente pinche en "Usar actual".


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2002 Video Soft BBS