Troj/DonaldD.C. Troyano de acceso remoto

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 433 - Año 5 - Viernes 14 de setiembre 2001

Nombre: Troj/DonaldD.C
Tipo: Caballo de Troya de acceso remoto
Alias: Backdoor-AQ, DonaldD.Trojan.C
Fecha: 12/set/01

Este troyano permite a un atacante, el control remoto de la computadora infectada, logrando acceso completo al sistema, archivos, procesos y threads, registro, y mucho más.

Se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, sin revisarlo antes con uno o dos antivirus al día.

Si el troyano es ejecutado, entonces se copiarán los siguientes archivos:

C:\Windows\System\Rgl5max.exe
C:\Windows\System\Pon2dil.vxd

Luego, modifica el registro para ejecutarse en cada reinicio de Windows, quedando residente como un servicio (no es visible al pulsarse CTRL+ALT+SUPR):

HKLM\System\CurrentControlSet\Services\VxD\PON2DIL
StaticVxD = pon2dil.vxd
Start = 00

HKLM\System\CurrentControlSet\Services\VxD\PEN2D
dxt = [una larga cadena de caracteres]

También crea estas ramas del registro:

HKLM\System\CurrentControlSet\Control\Keyboard Layouts\0000080A
@ = [una larga cadena de caracteres]

HKLM\Software\Microsoft\Windows\CurrentVersion\Time Zones\W. Europe
@ = [una larga cadena de caracteres]

Para eliminar el troyano manualmente, siga estos pasos:

1. Primero ejecute un antivirus al día.

2. Use REGEDIT para borrar las claves agregadas en el registro. Para ello, primero desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter.

3. Luego, en el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
System
CurrentControlSet
Services
VxD
PON2DIL

4. Pinche en la carpeta "PON2DIL" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave.

5. Pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
System
CurrentControlSet
Services
VxD
PEN2D

6. Pinche en la carpeta "PEN2D" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave.

7. Finalmente, utilice el menú "Registro", "Salir" para salir del editor y confirmar los cambios, y reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Fuente: Symantec Security Response
(c) Video Soft - http://www.videosoft.net.uy