| |
VSantivirus No. 569 - Año 6 - Lunes 28 de enero de 2002
Troj/OptixKill.A. Desactiva todos los antivirus presentes
Nombre: Troj/OptixKill.A
Tipo: Caballo de Troya
Alias: TROJ_OPTIXKILL.A, OPTIXKILL.20, OPTIXKILL.A, OPTIXKILL
Fecha: 23/ene/02
Tamaño: 17,410 bytes (Comprimido con UPX)
La función de este troyano, es terminar con la mayoría de los programas antivirus y cortafuegos, etc., que se estén ejecutando y matar servicios relacionados con estos programas presentes en memoria, dejando al usuario indefenso. No posee ninguna otra rutina destructiva.
También agrega basura al registro de Windows.
Troj/OptixKill.A es liberado por el gusano VBS/Couple.A
(VBS/Lastscene.B).
Cuando se ejecuta, este troyano detiene la ejecución de la mayoría de los programas antivirus y otras herramientas:
Esta es una lista de los ejecutables detenidos. Hasta el momento, todos pertenecen legítimamente a productos antivirus o herramientas de seguridad.
ZONEALARM.EXE
ZAPRO.EXE
vsmon
minilog
MINILOG.EXE
VSMON.EXE
BlackICE
BLACKD.EXE
BLACKICE.EXE
NISUM
NISSERV
NISUM.EXE
NISSERV.EXE
NMAIN.EXE
IAMAPP.EXE
IAMSERV.EXE
FRW.EXE
PERSFW.EXE
LOCKDOWN.EXE
LOCKDOWN2000.EXE
SPHINX.EXE
NPROTECT.EXE
NDD32.EXE
SMC.EXE
NETUTILS.EXE]
LDNETMON.EXE
PORTMONITOR.EXE
CONNECTIONMONITOR.EXE
DEFWATCH.EXE
RTVSCN95.EXE
VPC32.EXE
VPTRAY.EXE
POPROXY.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
NAV Alert
NAV Auto-Protect
NAVAPW32.EXE
ALERTSVC.EXE
NAVAPSVC.EXE
NAVLU32.EXE
NAVW32.EXE
SweepNet
SWEEPSRV.SYS
SWNETSUP.EXE
ICLOAD95.EXE
MON.EXE
SUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
IFACE.EXE
ANTS.EXE
ANTI-TROJAN.EXE
WRCTRL.EXE
WRADMIN.EXE
CLEANER3.EXE
CLEANER.EXE
TC.EXETCA.EXE
TCM.EXE
MOOLIVE.EXE
McShield
AvSynMgr
MCSHIELD.EXE
VSHWIN32.EXE
VSMAIN.EXE
SCAN32.EXE
SCRSCAN.EXE
ALOGSERV.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
AVXW.EXE
AVXMONITORNT.EXE
AVXMONITOR9X.EXE
AVXQUAR.EXE.EXE
AMON9X.EXE
AvgServ
AVGSERV.EXE
AVGW.EXE
AVGCC32.EXE
IOMON98.EXE
WEBTRAP.EXE
PCCWIN98.EXE
TDS-3.EXE
SS3EDIT.EXE
DOORS.EXE
JEDI.EXE
MONITOR.EXE
RAV7WIN.EXE
RAV7.EXE
SWEEP95.EXE
MCAGENT.EXE
MCUPDATE.EXE
CLAW95.EXE
CLAW95CF.EXE
NORMIST.EXE
NVC95.EXE
VET95.EXE
VETTRAY.EXE
AUTODOWN.EXE
RESCUE.EXE
AVKSERV.EXE
ACKWIN32.EXE
DVP95.EXE
DVP95_0.EXE
F-AGNT95.EXE
F-PROT95.EXE
EXPERT.EXE
FP-WIN.EXE
F-STOPW.EXE
VIR-HELP.EXE
F-PROT.EXE
SPYXX.EXE
ATWATCH.EXE
ATUPDATER.EXE
ATCON.EXE
PVIEW95.EXE
WGFE95.EXE
AVGCTRL.EXE
LDPROMENU.EXE
LDSCAN.EXE
GENERICS.EXE
PROCESSMONITOR.EXE
PROGRAMAUDITOR.EXE
AVSYNMGR.EXE
GUARD.EXE
TFAK.EXE
LUALL.EXE
LUCOMSERVER.EXE
TRJSCAN.EXE
REGRUN2.EXE
navapsvc
SymProxySvc.exe
WIMMUN32.EXE
ntrtscan.EXE
pccwin97.EXE
pccntmon.EXE
pcscan.EXE
Nui.EXE
AutoTrace.exe
NWService.exe
NTXconfig.exe
NeoWatchLog.exe
NSCHED32.EXE
WATCHDOG.EXE
ISRV95.EXE
REALMON.EXE
PCCIOMON.EXE
POP3TRAP.EXE
NETSTAT.EXE
REGEDIT.EXE
REGEDIT95.EXE
ZONEALARM.EXE
ZAPRO.EXE
vsmon
minilog
MINILOG.EXE
VSMON.EXE
BlackICEBLACKD.EXE
BLACKICE.EXE
NISUMNISSERVNISUM.EXE
NISSERV.EXE
NMAIN.EXE
IAMAPP.EXE
IAMSERV.EXE
FRW.EXE
PERSFW.EXE
LOCKDOWN.EXE
LOCKDOWN2000.EXE
SPHINX.EXE
NPROTECT.EXE
NDD32.EXE
SMC.EXE
NETUTILS.EXE
LDNETMON.EXE
PORTMONITOR.EXE
CONNECTIONMONITOR.EXE
DEFWATCH.EXE
RTVSCN95.EXE
VPC32.EXE
VPTRAY.EXE
POPROXY.EXE
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
NAV Alert
NAV Auto-Protect
NAVAPW32.EXE
ALERTSVC.EXE
NAVAPSVC.EXE
NAVLU32.EXE
NAVW32.EXE
SweepNet
SWEEPSRV.SYS
SWNETSUP.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
IFACE.EXE
ANTS.EXE
ANTI-TROJAN.EXE
WRCTRL.EXE
WRADMIN.EXE
CLEANER3.EXE
CLEANER.EXE
TC.EXETCA.EXE
TCM.EXE
MOOLIVE.EXE
McShield
AvSynMgr
MCSHIELD.EXE
VSHWIN32.EXE
VSMAIN.EXE
SCAN32.EXE
SCRSCAN.EXE
ALOGSERV.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
AVXW.EXE
AVXMONITORNT.EXE
AVXMONITOR9X.EXE
AVXQUAR.EXE.EXE
AMON9X.EXE
AvgServ
AVGSERV.EXE
AVGW.EXE
AVGCC32.EXE
IOMON98.EXE
WEBTRAP.EXE
PCCWIN98.EXE
TDS-3.EXE
SS3EDIT.EXE
DOORS.EXE
JEDI.EXE
MONITOR.EXE
RAV7WIN.EXE
RAV7.EXE
SWEEP95.EXE
MCAGENT.EXE
MCUPDATE.EXE
CLAW95.EXE
CLAW95CF.EXE
NORMIST.EXE
NVC95.EXE
VET95.EXE
VETTRAY.EXE
AUTODOWN.EXE
RESCUE.EXE
AVKSERV.EXE
ACKWIN32.EXE
DVP95.EXE
DVP95_0.EXE
F-AGNT95.EXE
F-PROT95.EXE
EXPERT.EXE
FP-WIN.EXE
F-STOPW.EXE
VIR-HELP.EXE
F-PROT.EXE
SPYXX.EXE
ATWATCH.EXE
ATUPDATER.EXE
ATCON.EXE
PVIEW95.EXE
WGFE95.EXE
AVGCTRL.EXE
LDPROMENU.EXE
LDSCAN.EXE
GENERICS.EXE
PROCESSMONITOR.EXE
PROGRAMAUDITOR.EXE
AVSYNMGR.EXE
GUARD.EXE
TFAK.EXE
LUALL.EXE
LUCOMSERVER.EXE
TRJSCAN.EXE
REGRUN2.EXE
navapsvc
SymProxySvc.exe
WIMMUN32.EXE
ntrtscan.EXE
pccwin97.EXE
pccntmon.EXE
pcscan.EXE
Nui.EXE
AutoTrace.exe
NWService.exe
NTXconfig.exe
NeoWatchLog.exe
NSCHED32.EXE
WATCHDOG.EXE
ISRV95.EXE
REALMON.EXE
PCCIOMON.EXE
POP3TRAP.EXE
NETSTAT.EXE
GEDIT.EXE
REGEDIT95.EXE
También se agrega información basura al registro, como esta (para saltar un largo trecho):
HKEY_LOCAL_MACHINE\Enum\PCI\RZNSSS
Para limpiar un sistema infectado, ejecute uno o más antivirus actualizados. Como el troyano ataca antivirus instalados, se recomienda descargar desde nuestro sitio, y ejecutar luego desde un par de disquetes, el antivirus F-Prot, gratuito para uso personal:
VSantivirus No. 158 - 13/dic/2000
Cómo ejecutar F-PROT en un disquete
http://www.vsantivirus.com/fprot-disq.htm
Luego, usando REGEDIT (Inicio, ejecutar, escriba REGEDIT más Enter), y pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
Enum
PCI
RZNSSS
Borre la carpeta "RZNSSS".
Use "Registro", "Salir" para salir del editor y confirmar los cambios.
Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
El troyano se activa al ser ejecutado por el propio usuario, en forma accidental, o al ser engañado éste en forma premeditada para hacerlo.
Se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Relacionados:
VSantivirus No. 569 - 28/ene/02
VBS/Couple.A (VBS/LastScene.B). Descarga dos troyanos
http://www.vsantivirus.com/couple-a.htm
VSantivirus No. 569 - 28/ene/02
Troj/Sub7.21b. Control total y clandestino del PC
http://www.vsantivirus.com/troj-sub7-21b.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
