Autor Tema: Troj/Spy.Webmony.A. y B, Roban información de WebMoney  (Leído 1405 veces)

Desconectado Danae

  • Administrator
  • *
  • Mensajes: 3210
  • Casi siempre en el armario.
    • windowsfacil,  primeros pasos con windows y el pc
Troj/Spy.Webmony.A. y B, Roban información de WebMoney
« en: 19 de Diciembre de 2004, 01:06:25 pm »
Troj/Spy.Webmony.A. Roba información de WebMoney

Nombre: Troj/Spy.Webmony.A
Nombre NOD32: Win32/Spy.Webmony.A
Tipo: Caballo de Troya
Alias: Webmony, Trj/Dearis.A, Troj/Dearis-A, TROJ_DEARIS.A, Trojan.Spy.Webmony.A, Trojan-Spy.Win32.Dearis.a, Win32/Spy.Webmony.A
Plataforma: Windows 32-bit
Tamaño: variable

WebMoney es un sistema global de pago disponible para usuarios de cualquier parte del mundo, y es utilizado tanto para uso particular como para negocios, ya que permite enviar y recibir pagos de dinero en forma inmediata.

Este es un caballo de Troya que intenta el robo de la información almacenada en las máquinas de los usuarios del servicio WebMoney.

Cuando se ejecuta (generalmente es enviado camuflado como alguna clase de aplicación), el troyano crea el siguiente archivo:
c:\windows\lsass.exe

También crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
ServicesLoad = c:\windows\lsass.exe
Cuando LSASS.EXE se ejecuta, crea el siguiente archivo:
syshlp32.dll
El troyano queda en memoria monitoreando las acciones del usuario. Cuando éste accede a cualquier ventana con nombre "WebMoney", captura toda la información ingresada, y la almacena en un archivo con el siguiente nombre:
sys?????.dat
Donde "?????" son caracteres al azar.

En forma periódica, este archivo es enviado por correo electrónico al autor del troyano.

Reparación AntivirusActualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\lsass.exe
IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\LSASS.EXE, ya que es un archivo legítimo de Windows.
* En Windows 95/98/Me/NT/2000
1. Seleccione Inicio, Buscar, Archivos o carpetas
2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"
3. En "Nombre" ingrese (o corte y pegue), lo siguiente:
SYSHLP32.DLL
4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados
5. Cierre la ventana de búsqueda
6. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

* En Windows XP
1. Seleccione Inicio, Buscar
2. Seleccione "Todos los archivos y carpetas"
3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:
SYSHLP32.DLL
4. Verifique que en "Buscar en:" esté seleccionado "C:"
5. Haga clic en "Más opciones avanzadas"
6. Seleccione "Buscar en carpetas del sistema"
7. Seleccione "Buscar en subcarpetas"
8. Haga clic en "Búsqueda" y borre todos los archivos encontrados
9. Cierre la ventana de búsqueda
10. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: Deberá reinstalar la aplicación "WebMoney" original.

Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
ServicesLoad
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información; http://www.vsantivirus.com/spy-webmony-a.htm


Troj/Spy.Webmony.B. Roba información de WebMoney

 Nombre: Troj/Spy.Webmony.B
Nombre NOD32: Win32/Spy.Webmony.B
Tipo: Caballo de Troya
Alias: Webmony.B, Troj/Webmoner-A, Trojan.PWS.Wmsender, Trojan-Spy.Win32, Trojan-Spy.Win32.Webmoner.e, Webmoner.f, Win32/Spy.Webmony.B
Plataforma: Windows 32-bit
Tamaño: variable

WebMoney es un sistema global de pago disponible para usuarios de cualquier parte del mundo, y es utilizado tanto para uso particular como para negocios, ya que permite enviar y recibir pagos de dinero en forma inmediata.

Este es un caballo de Troya que intenta el robo de la información almacenada en las máquinas de los usuarios del servicio WebMoney.

Cuando se ejecuta, el troyano muestra una pantalla de instalación falsa, con una barra de progreso que solo llega al 90%.

En ese punto, el troyano muestra una ventana de error también falsa, con el siguiente texto:
System error 100342
Mientras tanto, el troyano sustituye el archivo original de la aplicación WebMoney, generalmente instalado en la siguiente ubicación:
c:\program files\webmoney\WEBMONEY.EXE
Donde \PROGRAM FILES también puede ser \ARCHIVOS DE PROGRAMA.

El falso WEBMONEY.EXE, muestra una interfase similar a la del original, pero todas las acciones que el usuario realice allí, son monitoreadas y enviadas a una dirección de correo electrónico en Rusia.

El troyano crea la siguiente entrada para ejecutarse en cada reinicio del sistema:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
wm = [camino]\webmoney.exe

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
* En Windows 95/98/Me/NT/2000

1. Seleccione Inicio, Buscar, Archivos o carpetas
2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"
3. En "Nombre" ingrese (o corte y pegue), lo siguiente:
WEBMONEY.EXE
4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados
5. Cierre la ventana de búsqueda
6. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

* En Windows XP
1. Seleccione Inicio, Buscar
2. Seleccione "Todos los archivos y carpetas"
3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:
WEBMONEY.EXE
4. Verifique que en "Buscar en:" esté seleccionado "C:"
5. Haga clic en "Más opciones avanzadas"
6. Seleccione "Buscar en carpetas del sistema"
7. Seleccione "Buscar en subcarpetas"
8. Haga clic en "Búsqueda" y borre todos los archivos encontrados
9. Cierre la ventana de búsqueda
10. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Deberá reinstalar la aplicación "WebMoney" original.

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
wm
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Cambio de contraseñas

En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/spy-webmony-b.htm

Desconectado destroyer

  • Administrator
  • ******
  • Mensajes: 15865
  • Si quieres cambiar al mundo, cámbiate a ti mismo
    • cajondesastres.com De todo un poco
Troj/Spy.Webmony.A. y B, Roban información de WebMoney
« Respuesta #1 en: 19 de Diciembre de 2004, 03:28:43 pm »
Gracias danae

Un saludo

 

Aviso Legal | Política de Privacidad | Política de Cookies

el contenido de la web se rige bajo licencia
Creative Commons License