Tema: Troj/Down.Agent.NAU. Modifica el IE, descarga archivos

[Danae]

Troj/Down.Agent.NAU. Modifica el IE, descarga archivos

Nombre: Troj/Down.Agent.NAU
Nombre NOD32: Win32/TrojanDownloader.Agent.NAU
Tipo: Caballo de Troya
Alias: Agent.NAU, Download.Trojan, Startpage.8.AT, StartPage-EH, TR/Dldr.Small.QS.1, Trj/StartPage.HT, Trojan.StartPage, Trojan.Startpage-78, TrojanDownloader.Win32.Agent.bh, W32/Agent.BU@dl, Win32.Zlob.A, Win32/Agent.BU.Downloader.Trojan, Win32/TrojanDownloader.Agent.NAU
Plataforma: Windows 32-bit
Tamaño: variable
Caballo de Troya del tipo downloader (descarga otros archivos en las máquinas infectadas), que modifica la configuración del Internet Explorer.

Cuando se ejecuta, crea o modifica las siguientes entradas del registro para instalarse como un proceso de servicio:
HKLM\SYSTEM\CurrentControlSet\Services\Pnpsvc
Start = 0x2
Type = 0x120
Errorcontrol = 0x1
ImagePath = "%SystemRoot%\system32\svchost.exe -k netsvcs"
ObjectName = "LocalSystem"
Description = "Provides plug and play svc devices support"
DisplayName = "Plug and Play svc service"
Parameters\ServiceDll = "[camino y nombre del troyano]"

HKLM\SYSTEM\CurrentControlSet
\Services\EventLog\Application\Pnpsvc
EventMessageFile = "[camino y nombre del troyano]"
TypesSupported = 0x7

HKLM\SOFTWARE\Microsoft
\Windows NT\CurrentVersion\SvcHost\netsvcs
El troyano también realiza las siguientes modificaciones en el registro, para asegurarse que su servicio sea cargado, aún cuando el equipo infectado se inicie en modo seguro (a prueba de fallos):
HKLM\SYSTEM\CurrentControlSet
\Control\SafeBoot\Minimal\pnpsvc
(Predeterminado) = "Service"

HKLM\SYSTEM\CurrentControlSet
\Control\SafeBoot\Network\pnpsvc
(Predeterminado) = "Service"
El troyano libera un ejecutable de 2,560 bytes y nombre al azar, en la carpeta System32 de Windows, y luego modifica el registro para que dicho archivo se ejecute en cada reinicio:

En equipos NT, 2000 y XP:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
DNSCache = "c:\windows\system32\[ejecutable]"
En equipos con Windows 95, 98 y Me:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
DNSCache = "c:\windows\system32\[ejecutable]"
También intenta inyectarse a si mismo dentro del proceso del EXPLORER.EXE para enmascarar su presencia en una máquina infectada.

Crea el siguiente mutex para no ejecutarse más de una vez en memoria:
MFNLOAD
Cuando se conecta a Internet, descarga una lista encriptada desde el dominio "zloeboogle.biz" y la guarda en la siguiente ubicación:
c:\windows\system32\pnpsvc.inf
El contenido de este archivo es variable, y de acuerdo a ello, el troyano podrá realizar alguna o todas las siguientes acciones:
- Agregarse a la lista de Favoritos del Internet Explorer
- Cambiar la página de inicio del Internet Explorer
- Descargar y ejecutar otros archivos
- Instalar otros Browser Helper Objects (BHO)
- Modificar la configuración del Internet Explorer
- Modificar la zona de seguridad a dominios o rangos IP
- Redireccionar dominios, URLs o direcciones específicas

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.

Buscar y detener el servicio (Windows XP):
1. Desde Inicio, Ejecutar, escriba SERVICES.MSC y pulse Enter.
2. En la lista de servicios busque "Plug and Play svc service".
3. Haga doble clic sobre ese servicio, y haga clic en el botón "Detener" si corresponde.
4. Cambie el "Tipo de inicio" a Manual.
5. Haga clic en "Aceptar" y cierre la ventana de Servicios.

Utilización de la herramienta "Process Explorer"
Para completar exitosamente el proceso de eliminación, es necesario detener la ejecución del troyano en memoria. En Windows 95, 98 y Me, no todas las tareas en ejecución son visibles. Por ello se sugiere la herramienta de uso gratuito "Process Explorer" (100 Kb), que puede ser descargada del siguiente enlace:
http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

Una vez descargada dicha herramienta, cree una nueva carpeta, copie allí el contenido del archivo .ZIP descargado y ejecute el archivo PROCEXP.EXE.

Para la finalización de los procesos indicados, localice y "mate" (Kill Process), cada proceso cuyo nombre coincida con los mencionados en la anterior descripción, buscándolo bajo la columna "Process" de la ventana superior de la utilidad "Process Explorer".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Control
\SafeBoot
\Minimal
\pnpsvc
3. Haga clic en la carpeta "pnpsvc" y bórrela.
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Control
\SafeBoot
\Network
\pnpsvc
5. Haga clic en la carpeta "pnpsvc" y bórrela.
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\EventLog
\Application
\Pnpsvc
7. Haga clic en la carpeta "pnpsvc" y bórrela.
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\Pnpsvc
9. Haga clic en la carpeta "Pnpsvc" y bórrela.
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Policies
\Microsoft
\Windows
\CurrentVersion
\Internet Settings
\ZoneMap
\Domains
11. Haga clic en la carpeta "Domains" y bórrela.
12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Policies
\Microsoft
\Windows
\CurrentVersion
\Internet Settings
\ZoneMap
\Ranges
13. Haga clic en la carpeta "Ranges" y bórrela.
14. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
15. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
DNSCache = "c:\windows\system32\[ejecutable]"
16. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
17. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
DNSCache = "c:\windows\system32\[ejecutable]"
18. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\SvcHost
\netsvc
19. Haga clic en la carpeta "netsvc" y bórrela.

Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar archivos temporales de Windows
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, y repita todos los pasos anteriores:
 
Borrar archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet haga clic en "Eliminar archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.

Procedimiento para restaurar página de inicio en Internet Explorer
1. Cierre todas las ventanas del Internet Explorer abiertas
2. Seleccione "Mi PC", "Panel de control".
3. Haga clic en el icono "Opciones de Internet".
4. Seleccione la lengüeta "Programas".
5. Haga clic en el botón "Restablecer configuración Web"
6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI.
7. Haga clic en "Aceptar".

Seleccionar la página de inicio del Internet Explorer
Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia (o haga clic en "Página en blanco"). O navegue hacia una página de su agrado, haga clic en Herramientas, Opciones de Internet, General, y finalmente haga clic en "Usar actual".

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/down-agent-nau.htm

[edi]

Graciasssssssssssss Danae

Un saludo