| |
VSantivirus No. 1001, Año 7, Viernes 4 de abril de 2003
Troj/BackDoor.ASL.dll. Troyano solo para Win 2000 y XP
http://www.vsantivirus.com/back-asl.htm
Nombre: Troj/BackDoor.ASL.dll
Tipo: Caballo de Troya de acceso remoto
Alias: BackDoor-ASL, BackDoor-ASL.dll, Backdoor.WNT/ASL
Fecha: 2/abr/03
Plataformas: Windows NT, 2000 y XP
Este troyano habilita a un atacante remoto el acceso a la computadora infectada, permitiendo el robo de contraseñas y todo tipo de información personal y privada.
Este troyano no funciona en Windows 95, 98 o Me. Suele distribuirse manualmente, generalmente bajo la premisa de que es una inocente utilidad. Los canales de distribución más usados son el correo electrónico, listas de noticias (newsgroups), canales de IRC, y redes P2P como KaZaa y otros.
Cuando se ejecuta, se copia en el directorio Windows ("C:\Windows" en Windows XP o "C:\WinNT" en Windows NT/2000), con el nombre SVCHOST.EXE.
Este archivo es un archivo válido en las versiones de Windows mencionadas (NT, 2000 y XP), y no necesariamente su presencia indica la presencia de este troyano en un equipo determinado.
El troyano crea tres archivos en el directorio System de Windows ("C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP):
extapi.dll (155,648 bytes)
rascfg.dll (800 bytes)
sysmsg.dll (45,056 bytes)
El archivo SVCHOST.EXE del troyano, instala el componente de acceso remoto "inyectando" los archivos EXTAPI.DLL y SYSMSG.DLL dentro del proceso del Explorer.exe.
El archivo EXTAPI.DLL habilita las siguientes funciones:
- Shell de control remoto.
- Envío de datos como versión de Windows, usuario registrado y nombre de la organización.
- Envío de la memoria RAM disponible y velocidad del procesador.
- Envío de correo electrónico.
- Análisis del tráfico de red (sniffer).
El archivo SYSMSG.DLL examina el título de cada ventana que se muestra en pantalla, buscando los siguientes:
account
connect
login
logon
password
Si encuentra coincidencias, los siguientes datos son capturados y guardados en un archivo llamado WORD.DLL en el directorio System de Windows. Este archivo puede ser enviado vía e-mail al atacante, usando la propia rutina SMTP incluida en el troyano.
El archivo RASCFG.DLL contiene información de configuración.
El ejecutable principal del troyano es instalado como un servicio:
Nombre: System Important Message
Path: C:\WINNT\svchost.exe -k ras
Reparación manual
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
Antivirus
Para la limpieza de este troyano, solo actualice sus antivirus con las últimas definiciones, y ejecútelos en modo escaneo, revisando todos sus discos. Luego borre los archivos detectados como infectados.
Información adicional
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
