| |
VSantivirus No. 1255 Año 8, Domingo 14 de diciembre de 2003
Troj/DoS.MSNFlooder.A. Inunda de mensajes IM
http://www.vsantivirus.com/troj-msnflooder-a.htm
Nombre: Troj/DoS.MSNFlooder.A
Alias: DOS_MASSMSG.A, Trojan.Win32.MSNFlooder.28672, Flooder.MSN.VB.ac, Flooder:Win32/MSN.VB.AC, FDoS-MassMsg, TROJ_MSNMASMSG.A
Fecha: 13/dic/03
Plataforma: Windows 32-bit
Tamaño: 28,672 bytes
Reportado por: Trend Micro
Se trata de un troyano, no residente en memoria, que puede llegar a la computadora de su víctima en la forma de un archivo WIN.SCR.
No posee rutinas de propagación, ni tampoco de autoejecución.
Cuando se ejecuta, envía el mensaje "win" a través de una ventana pop-up IM (Instant Messenger), a todas las entradas de la lista de contactos de Windows o del MSN Messenger.
Escrito en Visual Basic, está diseñado para funcionar en Windows 95, 98, Me, NT, 2000, y XP, pero puede fallar en éste último por un error de programación. En ese caso muestra el siguiente mensaje:
Method Not Found.
El troyano examina si el MSN Messenger o el Mensajero de Windows están activos en el sistema. Al menos uno de ellos debe estar presente para que pueda continuar su acción. Si ello no ocurre, simplemente finaliza su ejecución.
Para crear una ventana de mensajes IM (Instant Messenger), usada para enviar y recibir mensajes, el troyano utiliza las siguientes APIs del Messenger (API, Application Program Interface, es un conjunto de rutinas que un programa puede utilizar para solicitar y efectuar servicios de nivel inferior ejecutados por el sistema operativo de un equipo):
oMessengerAPI_OnIMWindowCreated
oMessengerAPI_OnIMWindowDestroyed
El usuario puede llegar a ver una ventana emergente.
El troyano intenta determinar si se ha creado dicha ventana satisfactoriamente, para ello busca una ventana del Messenger con las propiedades de clase "DirectUIHWND". El troyano solo se ejecuta en las versiones del Messenger 6.0 o superiores.
Luego del envío del texto "win", finaliza su ejecución.
Note que se trata de un programa maligno, no un virus ni un gusano, que pueda propagarse por si solo. Requiere la acción directa del usuario damnificado para activarse (doble clic sobre el archivo), por lo que suele usarse en forma premeditada por algunos atacantes, obligando por medio de engaños a su ejecución. También puede ser descargado de sitios maliciosos, disfrazado de alguna utilidad que despierte nuestra curiosidad.
Como siempre, se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Para quitar el troyano de su sistema, solo borre el ejecutable. Para identificarlo, utilice un antivirus al día para examinar todos los archivos de su disco duro. Las muestras detectadas indican que se propaga en un archivo llamado WIN.SCR, pero podría tener otro nombre.
Información adicional
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
