|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Troj.Fenc.A. Archivo adjunto: NTFS.exe | ||
|---|---|---|
VSantivirus No. 780 - Año 6 - Martes 27 de agosto de 2002 W32/Troj.Fenc.A. Archivo adjunto: NTFS.exe http://www.vsantivirus.com/fenc.htm Nombre: W32/Troj.Fenc.A Tipo: Caballo de Troya y gusano de Internet Alias: BackDoor.Fenc, Tojan.Fenc, Trojan.Win32.Filecoder, Troj/Fenc Fecha: 30/jul/02 Plataforma: Windows 32-bits Tamaño: 140 Kb (330 Kb) Compactado con la utilidad UPX, este troyano escrito en Delphi, se propaga en un mensaje que simula ser una demo de un programa de correo electrónico, con el adjunto NTFS.exe. Si el usuario ejecuta el adjunto, el troyano despliega un mensaje donde se le pide al usuario visitar el sitio http://superstory.s5.com para obtener más información. Antes de ello, el troyano realiza una encriptación y renombre de los archivos del disco duro. Luego muestra el mensaje donde se pide visitar el sitio antes mencionado para obtener instrucciones adicionales a fin de recuperar los archivos dañados. Estas instrucciones son para obtener un programa que reparará los archivos modificados, a cambio de transferir cierta cantidad de dinero a una de varias cuentas bancarias, lo que se trata de un simple chantaje. El troyano escanea todos los directorios en orden alfabético del disco duro (menos la carpeta Windows), y realiza destructivos cambios en cada archivo encontrado. También reemplaza el nombre del archivo, agregando el prefijo EXEADDED al principio de los archivos ejecutables, y FILEISENCODED al principio de los archivos de datos (documentos de Word documents, archivos HTML y de texto, etc.). Cuando un archivo ejecutable es encontrado, el troyano lo reemplaza por su propio código con el nombre original. Además del cambio de nombres, los contenidos también son modificados. El mayor daño es hecho a los documentos de Word, los que quedan ilegibles, imágenes que no pueden ser abiertas, etc. Otros archivos quedan incambiados y el troyano solo agrega basura al principio de los mismos. El troyano también crea una copia de si mismo en Windows\System, con el nombre de NTFS.exe. Además crea 50 archivos diferentes con nombres corruptos en el directorio C:\Archivos de programa\Archivos comunes. Estos archivos contienen un texto en ruso. El troyano modifica la siguiente clave del registro para autoejecutarse en cada reinicio de Windows:
Cuando su actividad destructiva es ejecutada,
el troyano también crea un archivo README.TXT en el
escritorio con un texto en ruso.
3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
4. Use "Registro", "Salir" para salir del
editor y confirmar los cambios. |
||
