Asunto: Thoughts...

Texto:
I just found this program, and, I don't know why...
but it reminded me of you. Check it out.

Datos adjuntos: Cute.exe

La versión B es una variante actualizada del W32/Tendoolf, cuyas principales diferencias son:

- Variante A utiliza el icono del WinZip

- Variante B usa el icono estándar de un archivo de imagen

En ambos casos se simula el troyano con un icono usado por archivos normales.

- Variante A se conecta a puerto 6667 a la dirección IP xxxx.158.152.66

- Variante B se conecta también por el puerto 6667 pero al sitio wolfpack.no-ip.com

- Variante A puede conectarse al canal de IRC #CRYPTONIC

- Variante B se conecta al canal de IRC #HELLSPAWN

Cuando el usuario ejecuta el adjunto CUTE.EXE, el virus se activa y se copia con el nombre de Kernel32.exe en el directorio de Windows:

C:\Windows\Kernel32.exe

Nota: algunos virus, como el Klez, se copian con el mismo nombre en C:\Windows\System

Luego modifica las siguientes entradas del registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Windows = C:\Windows\Kernel32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Windows = C:\Windows\Kernel32.exe

También modifica el archivo WIN.INI agregando esta línea en la sección [windows]:

[windows]
Load=C:\Windows\Kernel32.exe

Modifica además al archivo SYSTEM.INI agregando lo siguiente bajo la sección [boot]:

[boot]
Shell=C:\Windows\Kernel32.exe

Otras claves modificadas por el gusano en el registro de Windows:

HKEY_CLASSES_ROOT\.vx
Content Type=application/x-msdownload
@=NeverShowExt
@=exefile

El gusano puede propagarse también a través del AOL Instant messenger y MSN Messenger.

Cómo troyano, se conecta a un servidor de IRC (la variante A al canal #CRYPTONIC y la variante B al canal #HELLSPAWN). Desde allí la computadora infectada puede llegar a ser controlada remotamente para enviar correo electrónico, mensajes al MSN Messenger y al AOL Instant Messenger, o lanzar ataques distribuidos de denegación de servicio (D.D.o.S).

El troyano posee además un servidor FTP y otro HTML que pueden ser controlados en forma remota por un atacante, todo a través del puerto 6667.

Otra característica del gusano es eliminar los siguientes procesos si los mismos son encontrados en memoria. Algunos pertenecen a conocidos antivirus y otras aplicaciones de seguridad:

_AVPCC.EXE
_AVPM.EXE
AVP32.EXE
AVPCC.EXE
AVPM.EXE
AVP.EXE
NAVAPW32.EXE
NAVW32.EXE
ICLOAD95.EXE
ICMON.EXE
ICSUPP95.EXE
ICLOADNT.EXE
ICSUPPNT.EXE
IFACE.EXE
ANTS.EXE
Anti-Trojan.exe
iamapp.exe
iamserv.exe
FRW.EXE
blackice.exe
blackd.exe
zonealarm.exe
minilog.exe
vsmon.exe
WrCtrl.exe
WrAdmin.exe
WrCtrl.exe
cleaner3.exe
cleaner.exe
tca.exe
MooLive.exe
lockdown2000.exe
Sphinx.exe
VSHWIN32.EXE
VSECOMR.EXE
WEBSCANX.EXE
AVCONSOL.EXE
VSSTAT.EXE
PCFWallIcon.EXE
APLICA32.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET32.EXE
CFINET.EXE
TDS2-98.EXE
TDS2-NT.EXE
SAFEWEB.EXE
IFACE.EXE
TEMP.EXE
MPGSRV32.EXE
LIBUPDATE.EXE
RunDIl.exe
WinDll.exe
expl32.exe
RunDii.exe
rundli.exe
nvarch16.exe
Mssmmc32.exe

* Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus (C:\Windows\Kernel32.exe)

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

6. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:

"Windows" "C:\WINDOWS\KERNEL32.EXE"

7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

8. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

"Windows" "C:\WINDOWS\KERNEL32.EXE"

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\.vx

10. Pinche en la carpeta ".vx" y bórrela.

11. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

12. Si existe alguna referencia a los archivos del gusano en la línea "run=" bajo la sección [windows], bórrelo.

Por ejemplo:

[Windows]
load=C:\WINDOWS\KERNEL32.EXE

Debe quedar como:

[Windows]
load=

13. Grabe los cambios y salga del bloc de notas.

14. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.

15. Busque lo siguiente:

[boot]
shell=Explorer.exe C:\WINDOWS\KERNEL32.EXE

y si existe, déjelo así:

[boot]
shell=Explorer.exe

16. Grabe los cambios y salga del bloc de notas

17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

18. Vaya a la papelera de reciclaje en el escritorio, pinche con el botón derecho sobre ella y seleccione "Vaciar la papelera de reciclaje".


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Referencias:

VSantivirus No. 664 - 2/may/02
W32/Tendoolf. Variante del SubSeven que se autoenvía
http://www.vsantivirus.com/tendoolf.htm

VSantivirus No. 246 - 11/mar/01
Trojan: SubSeven.2.2. Ultima versión del peligroso troyano 
http://www.vsantivirus.com/sub722.htm

VSantivirus No. 569 - 28/ene/02
Troj/Sub7.21b. Control total y clandestino del PC
http://www.vsantivirus.com/troj-sub7-21b.htm


Glosario:

D.D.o.S (Distributed Denial of Service). Ataques de negación de servicio distribuidos. En lugar de una sola computadora, se utilizan cientos o hasta miles de ellas, todas actuando al mismo tiempo contra una misma víctima, un servidor o cualquier computadora conectada a Internet, la que recibe una sucesión de solicitudes de servicio, con tal frecuencia y cantidad, que al no poder ser respondidas van disminuyendo paulatinamente su rendimiento, ocasionando casi siempre la caída del sistema, además de la saturación del ancho de banda asignado.



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com