| |
VSantivirus No. 1529 Año 8, lunes 13 de setiembre de 2004
Troj/Ontarg.A. Roba contraseñas de Hotmail
http://www.vsantivirus.com/troj-ontarg-a.htm
Nombre: Troj/Ontarg.A
Nombre Nod32: Win32/Ontarg.A
Tipo: Caballo de Troya robador de contraseñas
Alias: Ontarg, BackDoor.Generic.580, BackDoor.Generic.581, Backdoor.Ontarg, Backdoor.Ontarg.A, BackDoor.Ontarg.C, BackDoor.Ontarg.D, BackDoor.Ontarg.E, Backdoor:Win32/Ontarg, Backdoor:Win32/Ontarg.A, Bck/Ontarg.A, Bck/Ontarg.D, BKDR_ONTARG.A, Generic BackDoor.f, SWF/Ontarg.A, SWF_ONTARG.A, Troj/Ontarg-A, TROJ_ONTARG.A, Trojan.Ontarg, VB-BackDoor.a.gen, W32/Ontarg.A, Win32.OnTarget, Win32/Ontarg.A, Win32:Trojan-gen. {VB}
Fecha: 12/set/04
Plataforma: Windows 32-bit
Tamaño: 123,734 bytes
Caballo de Troya que puede llegar a nuestro PC en la forma de un ejecutable cuyo icono comúnmente está asociado a los archivos de Macromedia Flash.
Si se ejecuta, puede engañar al usuario para robarle su contraseña y nombre de usuario de Hotmail.
No posee capacidad de autopropagación. Puede ser copiado manualmente en el sistema, o descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P.
Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios.
Cuando se ejecuta, libera los siguientes archivos en la carpeta de Windows:
c:\windows\makemoney.exe
c:\windows\msg.exe
c:\windows\msg.swf
NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.).
MAKEMONEY.EXE es un juego inofensivo, que no contiene código malicioso.
MSG.EXE es el archivo que muestra una animación de flash (MSG.SWF), a intervalos regulares en el extremo inferior derecho de la pantalla.
Dicha animación permanece activa en memoria, y despliega constantemente una ventana que simula ser una notificación de un mensaje recibido en el MSN Messenger, con el siguiente texto:
Ha recibido un nuevo mensaje de
correo electrónico de Maria Camila
Castillo.
Cuando el usuario hace clic sobre esta falsa notificación, su navegador es redirigido a la siguiente dirección:
http:/ /pas????.tk/login .passport .net /uilogin .srf?id=2
Esta dirección abre una pantalla falsa de acceso a Hotmail, que le pregunta al usuario ingresar su nombre de usuario y contraseña. Estos datos son almacenados en una base de datos en dicho sitio.
No produce ningún otro cambio en el sistema, ni tiene capacidad de autoejecución.
Requiere la acción directa del usuario damnificado para activarse (doble clic sobre el archivo).
Como siempre, se recomienda no pinchar sobre enlaces que sean ofrecidos en mensajes no solicitados (esto incluye tarjetas de saludos, etc.).
Tampoco abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.
Reparación manual
Para quitar el troyano de su sistema, solo reinicie su computadora y luego borre los siguientes archivos:
c:\windows\makemoney.exe
c:\windows\msg.exe
c:\windows\msg.swf
Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
Información adicional
Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las contraseñas relacionadas con sus cuentas de Hotmail y MSN Messenger.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
