Tema: Alcan.A. Se propaga por redes P2P, libera troyano

[Danae]

W32/Alcan.A. Se propaga por redes P2P, libera troyano

Nombre: W32/Alcan.A
Nombre NOD32: Win32/Alcan.A
Tipo: Gusano de Internet (P2P) y caballo de Troya
Alias: Alcan.A, P2P-Worm.Win32.Alcan.a, P2P-Worm.Win32.Alcan.A, Trojan.Spybot-123, W32.Alcan.A, W32.Alcra.A, W32/Alcan.worm!p2p, W32/Sdbot.DDP.worm, Win32.Alcan.A, Win32.HLLW.Generic.145, Win32.Worm.Alcan.A, Win32/Alcan.423693!Worm, Win32/Alcan.A, Worm/Alcan.A, Worm/Alcan.A.1, WORM_ALCAN.A
Plataforma: Windows 32-bit
Tamaño: 423,693 bytes

Gusano que se propaga a través de redes P2P, tales como KaZaa, Ares, eMule, Morpheus, Grokster, Bearshare, Limewire, eDonkey2000, Gnucleus, Shareaza y Rapigator.

Cuando se ejecuta, muestra el siguiente mensaje de error falso:
Setup cannot continue on windows NT based systems ,
Click ok to end Setup
El gusano libera y ejecuta una variante del troyano Spybot que permite a un atacante remoto tomar el control del equipo infectado.

Cuando se ejecuta el gusano crea los siguientes archivos para deshabilitar ciertas herramientas de Windows:
c:\windows\system32\regedit.com
c:\windows\system32\taskmgr.exe
c:\windows\system32\tasklist.com
c:\windows\system32\taskkill.com
c:\windows\system32\netstat.com
c:\windows\system32\tracert.com
c:\windows\system32\ping.com
c:\windows\system32\cmd.com
c:\x.txt
c:\z.txt
Al crear un archivo .COM con el mismo nombre de un .EXE, el .COM se ejecutará antes si el usuario ejecuta el nombre sin extensión desde Inicio, Ejecutar. Por ejemplo, si ejecuta solo REGEDIT desde Inicio, Ejecutar, se ejecutará REGEDIT.COM en lugar de REGEDIT.EXE.

Se copia el mismo con los siguientes nombres y ubicaciones:
[Archivos de programa]\MSConfigs\MSConfigs.exe
c:\windows\system32\bt.exe
c:\windows\system32\z.tmp
NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

Crea una copia comprimida de si mismo en alguna de las siguientes ubicaciones:
c:\temp.zip
c:\windows\system32\temp.zip
Este archivo contiene el gusano con el nombre de SETUP.EXE.

También crea los siguientes archivos:
c:\windows\system32\bszip.dll
c:\windows\system32\p2pnetwork.exe
Este último es un troyano de la familia del Spybot.

Los atributos de este archivo están como sistema (+S), oculto (+H) y solo lectura (+R).

Este troyano abre una puerta trasera que permite a un atacante remoto acceder al sistema remoto y realizar diversas acciones que comprometen la seguridad total del sistema.

El gusano crea las siguientes entradas en el registro para autoejecutarse él mismo y el troyano liberado, en cada reinicio del sistema:
HKCU\SOFTWARE\Microsoft\Ole
p2pnetwork = "p2pnetwork.exe"

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
p2pnetwork = "p2pnetwork.exe"

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
p2pnetwork = "p2pnetwork.exe"

HKCU\System\CurrentControlSet\Lsa
p2pnetwork = "p2pnetwork.exe"

HKLM\SOFTWARE\Microsoft\Ole
p2pnetwork = "p2pnetwork.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
MsConfigs = "MsConfigs.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
p2pnetwork = "p2pnetwork.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
p2pnetwork = "p2pnetwork.exe"

HKLM\System\CurrentControlSet\Lsa
p2pnetwork = "p2pnetwork.exe"
También modifica las siguientes entradas, para disminuir la seguridad del sistema:
HKLM\SOFTWARE\Microsoft\Ole
EnableDCOM = "N"

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
Restrictanonymous = "1"
Para propagarse, el gusano busca las siguientes carpetas correspondientes a conocidos programas P2P:
\Ares\My Shared Folder
\Bearshare\Shared
\Edonkey2000\Incoming
\eMule\Incoming
\gnucleus\downloads
\grokster\my grokster
\Kazaa\My Shared Folder
\Limewire\Shared
\morpheus\My Shared Folder
\rapigator\share
\shareaza\downloads
\shared
My Shared Folder
Si las encuentra, se copia en ellas con alguno de los siguientes nombres:
muamgr.exe
win32exe.exe
wini.exe
winis.exe
winlogins.exe

Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\temp.zip
c:\x.txt
c:\z.txt
[Archivos de programa]\MSConfigs\MSConfigs.exe
c:\windows\system32\bszip.dll
c:\windows\system32\bt.exe
c:\windows\system32\cmd.com
c:\windows\system32\netstat.com
c:\windows\system32\p2pnetwork.exe
c:\windows\system32\ping.com
c:\windows\system32\regedit.com
c:\windows\system32\taskkill.com
c:\windows\system32\tasklist.com
c:\windows\system32\taskmgr.exe
c:\windows\system32\temp.zip
c:\windows\system32\tracert.com
c:\windows\system32\z.tmp

NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT.EXE y pulse ENTER (Cuidado, teclee REGEDIT.EXE, y no solo REGEDIT).
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Ole
3. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\System
\CurrentControlSet
\Lsa
9. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Ole
11. Haga clic en la carpeta "Ole" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
12. También en la carpeta "Ole" y en el panel de la derecha, busque y cambie la siguiente entrada para que contenga el siguiente valor:
EnableDCOM = "Y"
13. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
14. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas:
MsConfigs
p2pnetwork
15. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
16. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
17. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\System
\CurrentControlSet
\Lsa
18. Haga clic en la carpeta "Lsa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
p2pnetwork
19. También en la carpeta "Lsa" y en el panel de la derecha, busque y cambie la siguiente entrada para que contenga el siguiente valor:
Restrictanonymous = "0"
20. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
21. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/alcan-a.htm

[destroyer]

Gusano que se propaga a través de redes P2P, tales como KaZaa, Ares, eMule, Morpheus, Grokster, Bearshare, Limewire, eDonkey2000, Gnucleus, Shareaza y Rapigator.

Gracias danae

un saludo