Nuevos Virus – 03/05/2011

Posted on by k0bra
Contenidos ocultar
1 FakeAV.KI
1.1 Detalles técnicos
1.2 Propagación
1.3 Infección/Efectos
1.4 Contramedidas
1.4.1 Desinfección
2 Apmod
2.1 Detalles técnicos
2.2 Propagación
2.2.1 Otro mecanismo de propagación
2.3 Infección/Efectos
2.3.1 Ficheros y carpetas
2.3.2 Otros detalles
2.4 Contramedidas
2.4.1 Desinfección
3 Comparte esto:
4 Relacionado

FakeAV.KI

Troyano para la plataforma Windows que se conecta a servidores remotos a través del protocolo HTTP.

Detalles técnicos

Nombre completo del virus: Trojan.Multi/FakeAV.KI

Tipo de código: Trojan

Plataformas afectadas: Multi: Afecta a las plataformas W32 Microsoft Windows de 32 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003/2000/NT/Me/98/95/ W64

Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.

Alias:

Propagación

Carece de rutina propia de propagación.

Infección/Efectos

Cuando FakeAV.KI se ejecuta, realiza las siguientes acciones:

Troyano para la plataforma Windows que permanece residente en el sistema y modifica varias claves del registro para disminuir la seguridad del sistema infectado.

El troyano copia los siguientes ficheros al equipo infectado:

  • %Application Data%gcy.exe
  • %System%|j5c0q.dll
  • %Temp%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
  • %Application Data%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
  • %UserProfile%test userTemplateslok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
  • %Application Data%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t

Modifica el siguiente fichero:

  • %Application Data%GDIPFONTCACHEV1.DAT

Crear los siguientes procesos:

  • %Application Data%gcy.exe
  • %Temp%wq05a37x.exe
  • %Windir%explorer.exe

Nota: %Application Data% es una variable que hace referencia a la carpeta de Datos de Aplicación.
C:WINNTProfiles{nombre de usuario}Application Data (Windows NT), o C:Documents and Settings{nombre de usuario}Local SettingsApplication Data (Windows 2000/XP/Server 2003) o C:usuarios{nombre de usuario}AppData (Windows Vista y 7)

Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:WinntSystem32 (Windows NT/2000) o C:WindowsSystem32 (Windows XP, Vista y 7).

Nota: %Temp% es una variable que representa la carpeta temporal de Windows.
Por defecto puede ser C:Windowstemp (XP/Vista y 7), C:Winnttemp (Windows NT/2000), C:documents and settings{nombre de usuario}local settingstemp (Windows XP) o C:Usuarios{nombre de usuario}AppDataLocalTemp (Windows Vista y 7).

Nota: %UserProfile% es una variable que hace referencia al directorio del perfil del usuario actual.
Por defecto es C:Documents and Settings{nombre de usuario} (Windows NT/2000/XP) o C:Usuarios{nombre de usuario} (Windows Vista y 7).

Nota: %Windir% es una variable que hace referencia al directorio de instalación de Windows.
Por defecto es C:Winnt (Windows NT/2000) o C:Windows (XP/Vista y 7).

Crea las siguientes entradas del registro de Windows para ejecutarse de nuevo con cada reinicio del sistema:

Clave: HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyDomainProfile
Valor: DoNotAllowExceptions = 0x00000000
Clave: HKCUSoftwareClasses.exeDefaultIcon
Valor: (Default) = %1
Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionExplorer
Valor: 2433c654 = 91 91 18 ff 28 00 00 00 15 58 3e ad db 86 ca 6f 4a c7 95 2f e8 71 04 3b 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f2 ea 17 f5 8b 3b 79 c0 e2 db 85 1c fc 6a b7 3a ee 85 da 19 75 b5 c9 3c 04 2c 51 8f 28 bf 2e 18 6b d8 5e c9 78 3e 2c 3e f7 d2 a2 ae 5f 23 5c ce 3a 22 15 d1 f9 d3 be 95 e8 3f 17
Clave: HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfile
Valor: DoNotAllowExceptions = 0x00000000
Clave: HKCUSoftwareClasses.exeshellrunascommand
Valor: (Default) = "%1" %*
Clave: HKCU_Classes.exeshellrunascommand
Valor: IsolatedCommand = "%1" %*
Clave: HKCU_Classesexefileshellrunascommand
Valor: (Default) = "%1" %*
Clave: HKCU_Classesexefile
Valor: Content Type = application/x-msdownload
Clave: HKCUSoftwareClassesexefile
Valor: (Default) = Application
Clave: HKCUSoftwareClassesexefileshellopencommand
Valor: IsolatedCommand = "%1" %*
Clave: HKCUSoftwareClassesexefileshellrunascommand
Valor: IsolatedCommand = "%1" %*
Clave: HKCUSoftwareMicrosoftWindows
Valor: Identity = 0x11e7c747
Clave: HKCU_Classes.exeshellopencommand
Valor: IsolatedCommand = "%1" %*
Clave: HKCU_ClassesexefileDefaultIcon
Valor: (Default) = %1
Clave: HKCUSoftwareClasses.exe
Valor: Content Type = application/x-msdownload
Clave: HKCU_Classesexefileshellopencommand
Valor: (Default) = "c:Documents and Settingstest userLocal SettingsApplication Datagcy.exe" -a "%1" %*
Clave: HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer
Valor: 2433c654 = 91 91 18 ff 28 00 00 00 15 58 3e ad db 86 ca 6f 4a c7 95 2f e8 71 04 3b 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f2 ea 17 f5 8b 3b 79 c0 e2 db 85 1c fc 6a b7 3a ee 85 da 19 75 b5 c9 3c 04 2c 51 8f 28 bf 2e 18 6b d8 5e c9 78 3e 2c 3e f7 d2 a2 ae 5f 23 5c ce 3a 22 15 d1 f9 d3 be 95 e8 3f 17
Clave: HKCU_Classes.exe
Valor: (Default) = exefile

Modifica las siguientes entradas del registro de Windows para ejecutarse de nuevo con cada reinicio del sistema:

Clave: HKLMSOFTWAREMicrosoftSecurity Center
Valor: AntiVirusOverride = 0x00000001
Clave: HKLMSOFTWAREClientsStartMenuInternetIEXPLORE.EXEshellopencommand
Valor: (Default) = "C:Documents and SettingssupportLocal SettingsApplication Datagcy.exe" -a "C:Program FilesIntern
Clave: HKCRCLSID{750fdf0e-2a26-11d1-a3ea-080036587f03}InProcServer32
Valor: (Default) = C:WINDOWSsystem32j5c0q.dll

El troyano intenta conectarse a los siguientes sitios:

  • http://dyhapenypyqu.com/1013000613
  • http://ypyrezaba.com/6bH3p+Kx96fhtfen4w

Realiza las siguientes peticiones de DNS

  • basinobof.com
  • baxyzasagisoq.com
  • cubyzawawezy.com
  • dojewoboji.com
  • dygydypinynyx.com
  • dyhapenypyqu.com
  • foficyguwow.com
  • gurydivadu.com
  • igotiroda.com
  • jocemufeb.com
  • kizikocidorek.com
  • komeriqoxuri.com
  • kujaqiqaje.com
  • kumebyduwuvoc.com
  • lixuhejaroquw.com
  • lixumokyfo.com
  • lylimeqokivo.com
  • mobosijeb.com
  • najelijywar.com
  • nezutepazew.com
  • nitodocyri.com
  • pepabahaturap.com
  • qodikowyfiv.com
  • qubumicyz.com
  • quwecanocowi.com
  • rokyhepym.com
  • rorylexyzabihy.com
  • rywoxekomecig.com
  • sosefekesylafy.com
  • sozodikuqulec.com
  • utuhubolype.com
  • vojocokipy.com
  • wepiminymu.com
  • ydijajyb.com
  • ygywiguxake.com
  • ykilyxagesop.com
  • ypyrezaba.com

Contramedidas

Desinfección
  • Si utiliza Windows Me, XP o Vista, y sabe cuándo se produjo la infección, puede usar la característica de «Restauración del Sistema» para eliminar el virus volviendo a un punto de restauración anterior a la infección (tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración). Si tiene alguna duda o problema sobre el funcionamiento de esta opción puede consultar nuestras guías sobre la Restauración en Windows XP o la Restauración en Windows Vista.
  • En caso de que no pueda volver a un punto de Restauración anterior o no le funcione, es recomendable que desactive temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda veaDeshabilitar restauración del sistema en Vista, XP y Me. A continuación siga estos pasos para la eliminación del virus:
    1. Reinicie su ordenador en Modo Seguro o Modo a Prueba de Fallos. Si no sabe cómo se hace siga las instrucciones que se indican en este manual de Cómo iniciar su computadora en Modo a prueba de fallos.
    2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus gratuitos.

      Elimine los siguientes ficheros:

      • %Application Data%gcy.exe
      • %System%|j5c0q.dll
      • %Temp%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
      • %Application Data%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
      • %UserProfile%test userTemplateslok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t
      • %Application Data%lok2k63nt0m3v8w583a24283uey6fcw8mc814le6mkd8t

      Nota: %Application Data% es una variable que hace referencia a la carpeta de Datos de Aplicación.
      C:WINNTProfiles{nombre de usuario}Application Data (Windows NT), o C:Documents and Settings{nombre de usuario}Local SettingsApplication Data (Windows 2000/XP/Server 2003) o C:usuarios{nombre de usuario}AppData (Windows Vista y 7)

      Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
      Por defecto es C:WinntSystem32 (Windows NT/2000) o C:WindowsSystem32 (Windows XP, Vista y 7).

      Nota: %Temp% es una variable que representa la carpeta temporal de Windows.
      Por defecto puede ser C:Windowstemp (XP/Vista y 7), C:Winnttemp (Windows NT/2000), C:documents and settings{nombre de usuario}local settingstemp (Windows XP) o C:Usuarios{nombre de usuario}AppDataLocalTemp (Windows Vista y 7).

      Nota: %UserProfile% es una variable que hace referencia al directorio del perfil del usuario actual.
      Por defecto es C:Documents and Settings{nombre de usuario} (Windows NT/2000/XP) o C:Usuarios{nombre de usuario} (Windows Vista y 7).

      Nota: A Menudo los antivirus informan de que ‘no puede reparar un fichero’ en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.

    3. Si no se puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
      En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de Tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP/Vista, en la pestaña ‘Procesos’ pulse con el botón derecho en el proceso y seleccione ‘Terminar Proceso’. A continuación vuelva a intentar el borrado o reparación de los ficheros que se han creado por la acción del virus. Puede obtener más información en la sección «Administrador de Tareas», de la página Eliminar librerías .DLL o .EXE.
    4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.

      Elimine las siguientes entradas del registro:

      Clave:HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyDomainProfile
Valor: DoNotAllowExceptions = 0x00000000
      Clave: HKCUSoftwareClasses.exeDefaultIcon
Valor: (Default) = %1
      Clave: HKCUSoftwareMicrosoftWindowsCurrentVersionExplorer
Valor: 2433c654 = 91 91 18 ff 28 00 00 00 15 58 3e ad db 86 ca 6f 4a c7 95 2f e8 71 04 3b 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f2 ea 17 f5 8b 3b 79 c0 e2 db 85 1c fc 6a b7 3a ee 85 da 19 75 b5 c9 3c 04 2c 51 8f 28 bf 2e 18 6b d8 5e c9 78 3e 2c 3e f7 d2 a2 ae 5f 23 5c ce 3a 22 15 d1 f9 d3 be 95 e8 3f 17
      Clave:HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfile
Valor: DoNotAllowExceptions = 0x00000000
      Clave: HKCUSoftwareClasses.exeshellrunascommand
Valor: (Default) = "%1" %*
      Clave: HKCU_Classes.exeshellrunascommand
Valor: IsolatedCommand = "%1" %*
      Clave: HKCU_Classesexefileshellrunascommand
Valor: (Default) = "%1" %*
      Clave: HKCU_Classesexefile
Valor: Content Type = application/x-msdownload
      Clave: HKCUSoftwareClassesexefile
Valor: (Default) = Application
      Clave: HKCUSoftwareClassesexefileshellopencommand
Valor: IsolatedCommand = "%1" %*
      Clave: HKCUSoftwareClassesexefileshellrunascommand
Valor: IsolatedCommand = "%1" %*
      Clave: HKCUSoftwareMicrosoftWindows
Valor: Identity = 0x11e7c747
      Clave: HKCU_Classes.exeshellopencommand
Valor: IsolatedCommand = "%1" %*
      Clave: HKCU_ClassesexefileDefaultIcon
Valor: (Default) = %1
      Clave: HKCUSoftwareClasses.exe
Valor: Content Type = application/x-msdownload
      Clave: HKCU_Classesexefileshellopencommand
Valor: (Default) = "c:Documents and Settingstest userLocal SettingsApplication Datagcy.exe" -a "%1" %*
      Clave: HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer
Valor: 2433c654 = 91 91 18 ff 28 00 00 00 15 58 3e ad db 86 ca 6f 4a c7 95 2f e8 71 04 3b 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f2 ea 17 f5 8b 3b 79 c0 e2 db 85 1c fc 6a b7 3a ee 85 da 19 75 b5 c9 3c 04 2c 51 8f 28 bf 2e 18 6b d8 5e c9 78 3e 2c 3e f7 d2 a2 ae 5f 23 5c ce 3a 22 15 d1 f9 d3 be 95 e8 3f 17
      Clave: HKCU_Classes.exe
Valor: (Default) = exefile
    5. Elimine todos los archivos temporales del ordenador, incluidos los archivos temporales del navegador, vacíe también la Papelera de reciclaje.
    6. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla. Cree un punto de restauración, le resultará útil para recurrir a él en caso de posibles infecciones o problemas en el futuro.

Apmod

Troyano que se ejecuta en servidores Apache y que su misión es modificar las páginas solicitadas por otras maliciosas

Detalles técnicos

Nombre completo del virus: Trojan.Multi/Apmod@Otros

Tipo de código: Trojan

Plataformas afectadas: Multi: Afecta a las plataformas IIS Microsoft Internet Information Server/ LINUX Linux/ UNIX

Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.

Tamaño (bytes): 39.500

Alias:

Propagación

Otro mecanismo de propagación

Carece de rutina propia de propagación, llega al sistema dentro de un módulo de Apache que debe ser instalado manualmente en el ordenador infectado que ejecute un Apache Web Server.

Infección/Efectos

Cuando Apmod se ejecuta, realiza las siguientes acciones:

Ficheros y carpetas
  1. Crea el siguiente fichero puede crearse de forma opcional, independientemente del Sistema Operativo
    • «%Temp%lol»
    • «%Temp%sess_[Caracteres aleatorios]»
  2. Crea el siguiente fichero en plataformas Linux
    • «/usr/lib/apache2/modules/dl.so»
  3. Crea el siguiente fichero en plataformas Windows
    • «[Ruta de Instalación de Apache]modulesdl.so»
Otros detalles

Monitoriza las solicitudes de páginas Webs e injecta un iframe malicioso en algunas de ellas.

No enviará estas páginas con iframe maliciosos a determinados rangos de IP, entre ellos aquellos que pertenezcan a rastreadores de buscadores.

Contramedidas

Desinfección

Debido a que el troyano llega al sistema dentro de un módulo de Apache, lo primero que debe hacer es desinstalar dicho módulo o, al menos, deshabilitarlo. A continuación realice las siguientes acciones:

  • Entornos LinuxLocalice los siguientes ficheros y si se encuentran en el sistema, elimínelos:
    • /usr/lib/apache2/modules/dl.so
    • %Temp%/sess_[Caracteres aleatorios]
    • %Temp%/lol
  • Entornos WindowsLocalice los siguientes ficheros y si se encuentran en el sistema, elimínelos:
    • [Carpeta de instalación de Apache]modulesdl.so
    • %Temp%/sess_[Caracteres aleatorios]
    • %Temp%/lol

    Nota: La [Carpeta de instalación de Apache] es un variable donde está instalado Apache Web Server en Windows. Para la versión 2.2 de Apahce, la carpeta de instalación por defecto es %ProgramFiles%Apache Software FoundationApache2.2

    Nota: %ProgramFiles% es una variable que hace referencia al directorio de instalación por defecto de aplicaciones en sistemas Windows.

    Nota: %Temp% es una variable que representa la carpeta temporal de Windows.

Compruebe que su sistema se encuentra libre de virus, y que todas las páginas solicitadas son devueltas correctamente y sin ningún iframe adicional.

Related Posts

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

CAPTCHA

*

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.