Worm-Backdoor.W32/Spybot.DNC
Alias:
W32.Spybot.DNC (Symantec)
Descripción:
Spybot.DNC es un gusano que intenta difundirse aprovechando
numerosas vulnerabilidades de Windows. Crea una puerta trasera que
puede ser controlada mediante canales de IRC. Puede partcipar en
ataques de denegación de servicio distribuidos (DDoS) e intenta
robar claves de CD de ciertos juegos.
Detalles:
Cuando Spybot.DNC es ejecutado realiza las siguientes acciones:
- Crea una copia suya en %System%\TimeSRV.exe, donde
%System% representa el directorio de sistema de Windows, por
defecto C:\Windows\System32 en Windows XP.
- Añade el valor:
"Windows Time Server" =
"TimeSRV.exe"
a las siguientes claves del registro
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\OLE
de forma que el gusano es ejecutado cuando un usuario inicia la
sesión.
- Se conecta a un determinado canal IRC utilizacon el puerto TCP
6667 y escucha órdenes de un atacante remoto, que son
ejecutadas en la máquina infectada. Estas incluyen:
- Descargar y ejecutar ficheros
- Escanear la red en busca de máquinas
que esten ejecutando puertas traseras.
- Listar, parar e iniciar servicios
- Lanzar ataques distribuidos de
denegación de servicio (DDoS)
- Robar información de sistema y enviársela
al atacante.
- Registrar pulsaciones del teclado y
guardarlas en un fichero.
- Abrir un puerto para esperar
conexiones.
- Listar, crear y borrar ficheros.
- Hacer redirecciones de puertos.
- Vaciar la caché de DNS local.
- Correr un proxy socks.
- Se intenta copiar en carpetas de red compartidas usando una
lista predefinida de nombres de usuario y contraseñas.d
- Intenta copiarse en otros PCs explotando las siguientes
vulnerabilidades:
- Vulnerabilidad RPC DCOM (MS03-026)
usando TCP port 135.
- Vulnerabilidad de desbordamientod de
búfer remoto Local Security Authority Service Remote
Buffer Overflow-LSASS (MS04-011).
- Vulnerabilidad de SQL Server 2000 o
MSDE 2000 (MS02-061) usando el puerto UDP 1434.
- Vulnerabilidad WebDav (MS03-007)
usando el puerto TCP 80.
- Vulnerabilidad de desobordamiento de
búfer en UPnP NOTIFY (MS01-059).
- Vulnerabilidad de desbordamiento de
búfer en el Servicio de Estación de Trabajo (MS03-049)
usando el puerto TCP 445. (Windows XP: MS03-043; Windows
2000: MS03-049.
- Intenta robar claves de CD de los siguientes juegos:
- Counter-Strike
- The Gladiators
- Gunman Chronicles
- Half-Life
- Industry Giant 2
- Legends of Might and Magic
- Soldiers Of Anarchy
- Unreal Tournament 2003
- Unreal Tournament 2004
- IGI 2: Covert Strike
- Freedom Force
- Battlefield 1942
- Battlefield 1942 (Road To Rome)
- Battlefield 1942 (Secret Weapons of
WWII)
- Battlfield Vietnam
- Black and White
- James Bond 007: Nightfire
- Global Operations
- Medal of Honor: Allied Assault
- Medal of Honor: Allied Assault:
Breakthrough
- Medal of Honor: Allied Assault:
Spearhead
- Need For Speed Hot Pursuit 2
- Need For Speed: Underground
- Shogun: Total War: Warlord Edition
- FIFA 2002
- FIFA 2003
- NHL 2002
- NHL 2003
- Nascar Racing 2002
- Nascar Racing 2003
- Rainbow Six III RavenShield
- Command and Conquer: Generals
- Command and Conquer: Tiberian Sun
- Command and Conquer: Red Alert
- Command and Conquer: Red Alert 2
- NOX
- Chrome
- Hidden & Dangerous 2
- Soldier of Fortune II - Double Helix
- Neverwinter Nights
- Neverwinter Nights (Shadows of
Undrentide)
- Neverwinter Nights (Hordes of the
Underdark)
Solución:
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de
Antivirus Gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
- En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
- A continuación hay que editar el registro para deshacer los
cambios realizados por el virus. Si necesita información sobre
cómo editar el registro puede ver esta guía
de edición del registro o este vídeo
de ayuda que ilustra el proceso. Sea
extremadamente cuidadoso al manipular el registro. Si modifica
ciertas claves de manera incorrecta puede dejar el sistema
inutilizable.
Elimine el siguiente valor
"Windows Time Server" =
"TimeSRV.exe"
de las siguientes claves del registro
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\OLE
- Reincie su ordenador y explore todo el disco duro con un
antivirus para asegurarse de la eliminación del virus. Si
desactivó la restauración del sistema, recuerde volver a
activarla.
Más Información sobre este virus en:
Fuente: red.es |
