| |
VSantivirus No. 379 - Año 5 - Domingo 22 de julio de 2001
Nombre: Optix Lite
Tipo: Caballo de Troya
Tamaño (servidor): 35 a 40 Kb
Fecha: 16/jul/01
Este troyano, reportado por la compañía Astonsoft el pasado 16 de julio, posee características que le permiten al ser ejecutado, quitar de la memoria muchos de los cortafuegos y antivirus más populares.
La lista del software que puede ser deshabilitado por el troyano
Optix Lite, es la siguiente:
Cortafuegos:
- ZoneAlarm
- ZoneAlarm Pro
- BlackIce
- ConSeal PC Firewall
- Tiny Personal Firewall
Antivirus:
- AntiViral Toolkit Pro
- Norton AntiVirus
- Sophos AntiVirus
- Panda Antivirus 6.0 Platinum
- Ants
- Anti-Trojan
- WinRoute
- The Cleaner
- Lockdown
- Sphinx
- Dr. Solomon Virus Scan
- McAfee Virus Scan
Según Astonsoft, al momento de su informe, ninguno de los fabricantes de los productos mencionados, ha respondido a esta amenaza.
El troyano funciona en Windows 95, 98, y 2000, y posiblemente también en Windows Me. Su servidor, puede ocupar menos de
40 Kb, y es totalmente configurable por el atacante.
Luego de instalado, puede descargar y ejecutar cualquier otro archivo en la computadora infectada.
El cliente posee incorporado el editor necesario para modificar el servidor, cuyo ejecutable se ofrece descomprimido, de modo que ello pueda hacerse luego de personalizado, mediante cualquier utilidad tipo
UPX, etc. Esa y otras características, hacen que cada versión modificada del troyano, pueda ser diferente a otras, dificultando su detección.
Una vez en memoria, el troyano puede matar los procesos que se están corriendo en memoria, de los antivirus y cortafuegos mencionados en la lista anterior. Luego de ello, cada 60 segundos realizará un monitoreo del sistema, por si alguno de esos procesos vuelve a crearse. De este modo, su accionar en la computadora infectada puede permanecer oculto.
Optix Lite, tiene además, habilidades que le permiten descargar y luego ejecutar en la máquina de la víctima, cualquier archivo que el atacante indique en su configuración. El archivo descargado, es copiado en el directorio raíz de la unidad
C:, y cuando se ejecuta, envía una notificación de ello, al atacante.
Además de esto, se puede (sabiendo su ubicación), ejecutar cualquier otro archivo o programa en la computadora infectada, en forma remota.
Cuando el usuario ejecuta el troyano (pensando se trata de alguna utilidad), recibe un mensaje de error falso (que también puede modificarse). Pero en realidad, en ese momento el troyano se instala en el sistema, deshabilita el software que ya mencionamos, y envía la notificación de su disponibilidad a través del ICQ, a su autor.
Las opciones que le permiten ocultarse, no funcionan bajo Windows 95 (pero si el resto de sus características).
El troyano se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, sin revisarlo antes con uno o dos antivirus al día.
Fuente: Astonsoft (http://www.astonsoft.com)
(c) Video Soft - http://www.videosoft.net.uy
|
|
