|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Troj/DlDer. Puede instalarlo el Grokster, roba información | ||
|---|---|---|
VSantivirus No. 539 - Año 6 - Sábado 29 de diciembre de 2001 Actualizado 1 de enero de 2002. Troj/DlDer. Spyware instalado por varias utilidades. Nombre: Troj/DlDer Alias: DlDer, Trojan.Win32.DlDer, Troj_DlDer, TROJ_DLDER.A, Trojan/W32.Dlder, W32.DlDer.Trojan, Troj/Download-A. Tamaño: dlder.exe (40,960 bytes), explorer.exe (31,232 bytes) Fuente: F-Secure, Symantec, Trend Micro, McAfee y propias. Grokster es una utilidad gratuita, que hace lo mismo que el conocido Gnutella!, o sea, permite el intercambio Pc a Pc (buscar y descargar) de archivos de audio, video, imágenes, documentos y programas. Según las últimas investigaciones, Grokster estaría relacionado con un nuevo troyano que desde hace pocos días está circulando por la red, pero no es el único programa involucrado (ver VSAntivirus 542 del 1/ene/02). El troyano, escrito en Visual C++, consta de dos partes, y una vez instalado en el sistema del usuario infectado, realiza constantemente actualizaciones de su componente principal (cada 2.5 minutos), conectándose al dominio 2001-007.com, al mismo tiempo que envía allí datos que identifican a la víctima (dirección IP, navegador usado), y todas las direcciones (URLs) de todas las ventanas del explorador que estuvieran activas. Esto abre un peligroso agujero en la seguridad del sistema infectado, así como viola la privacidad del usuario cuya computadora es infectada. Además, se trata de una situación muy peligrosa, ya que también es capaz de descargar y ejecutar archivos. El componente principal del troyano tiene el mismo nombre de un archivo legítimo de Windows, Explorer.exe (tenga cuidado con esto si decide eliminarlo en forma manual). Sin embargo su ubicación no es la del verdadero archivo Explorer.exe, sino en un directorio llamado Explorer que a su vez cuelga del directorio de Windows, lugar donde se copia con los atributos de oculto:
Este es el componente principal, el cuál es constantemente actualizado por la segunda parte del troyano, la que además le da el nombre:
La infección ocurre con la llegada de este componente, el cuál luego descarga y actualiza al verdadero código del caballo de Troya, el falso
Explorer.exe.
Puede ser también:
También crea esta clave en el registro para almacenar información necesaria para su funcionamiento:
Se han detectado varios programas que instalan este caballo de Troya (ver VSAntivirus 542 del 1/ene/02).
Como dijimos, al ejecutarse el DlDer.exe por primera vez, se produce la descarga del
Explorer.exe del Web mencionado antes, el cuál se copia a la carpeta
WINDOWS\explorer, y luego modifica el registro, para continuar ejecutándose cada vez que se enciende o reinicia la computadora.
Un examen del sitio, devuelve errores al intentar obtener alguna respuesta (hasta el momento de escribir este reporte, seguía activo).
Tenga en cuenta que C:\WINDOWS\Explorer.exe es el archivo legítimo de Windows (está en la carpeta
WINDOWS). ¡No lo borre!...
5. Seleccione Inicio, Ejecutar, teclee REGEDIT
y pulse Enter
7. Pinche sobre la carpeta "Run". En el panel de la derecha pinche sobre la entrada
"dlder" y pulse la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar la clave. |
||
