Back/Nibu.F. Troyano que roba informaciónhttp://www.vsantivirus.com/back-nibu-f.htmNombre: Back/Nibu.F
Tipo: Caballo de Troya de acceso remoto
Alias: Nibu.F, Backdoor.Nibu.F, W32.Dumaru.AJ@mm
Fecha: 17/may/04
Tamaño: 12,528 bytes
Plataforma: Windows 32-bit
Reportado por: Symantec
Troyano que abre varios hilos para ejecutar simultáneamente una puerta trasera (backdoor), un capturador de teclado (keylogger), y otros elementos utilizados para robar información crítica del sistema infectado.
El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P.
Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios.
Cuando el troyano se ejecuta por primera vez en una máquina infectada, crea los siguientes archivos:
[carpeta de inicio]\rundllw.exe
c:\windows\system\load32.exe
c:\windows\system\vxdmgr32.exe
NOTA 1: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32",
"c:\windows\system32", etc.).
NOTA 2: [carpeta de inicio] es una de las siguientes:
* Windows XP, 2000 (español e inglés)
c:\documents and settings
\all users\menú inicio\programas\inicio
c:\documents and settings
\all users\start menu\programs\startup
c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio
c:\documents and settings
\[nombre usuario]\start menu\programs\startup
* Windows 95, 98, Me (español e inglés)
c:\windows\all users\menú inicio\programas\inicio
c:\windows\all users\start menu\programs\startup
c:\windows\menú inicio\programas\inicio
c:\windows\start menu\programs\startup
c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio
c:\windows\profiles\[nombre usuario]
\start menu\programs\startup
El troyano agrega la siguiente entrada en el registro para autoejecutarse en cada reinicio del sistema:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
load32 = c:\windows\system\load32.exe
Modifica el archivo C:\WINDOWS\SYSTEM.INI (solo en Windows 95, 98 y Me), bajo la etiqueta [boot]:
[boot]
shell=explorer.exe c:\windows\system\vxdmgr32.exe
Con ello, logra que esos elementos del troyano se ejecuten al reiniciarse Windows.
En Windows NT, 2000 y XP, crea la siguiente entrada en el registro:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe c:\windows\system32\vxdmgr32.exe
El troyano examina las ventanas abiertas, buscando las que tengan alguna de las siguientes expresiones en su barra de título:
Bank
bank
bull
Bull
cash
ebay
e-metal
Fethard
fethard
gold
Keeper
localhost
mull
PayPal
Storm
WebMoney
Winamp
WM Keeper
Típicamente, las ventanas que contienen una de esas cadenas en su nombre, se refieren a pantallas de ingreso a servicios de pago, instituciones financieras o cuentas de correo electrónico.
El troyano captura todo lo tecleado por el usuario en esas ventanas y almacena esa información en el siguiente archivo (su nombre puede variar):
c:\windows\vxdload.log
Luego, ejecuta otro hilo simultáneo que monitorea el contenido del portapapeles, y almacena todo su contenido en el siguiente archivo (el nombre puede cambiar):
c:\windows\rundllx.sys
Si se ingresa a la pantalla de ingreso de una página relacionada con E-Gold.com, un sitio de transacciones comerciales en lingotes de oro, el troyano intenta realizar una captura en imágenes de partes específicas de la pantalla.
El troyano también intenta obtener las contraseñas de cuentas pertenecientes a "WebMoney" y "Far FTP" desde el registro de Windows.
Los archivos en que se guarda toda la información obtenida, son permanentemente monitorizados. Cuando llegan a determinado tamaño, el troyano envía dichos archivos a algunas direcciones electrónicas indicadas en su código, junto a todas las imágenes capturadas. También envía información del sistema, junto a su actual dirección IP.
* Reparación manual
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
* Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
[carpeta de inicio]\rundllw.exe
c:\windows\vxdload.log
c:\windows\rundllx.sys
c:\windows\system\load32.exe
c:\windows\system\vxdmgr32.exe
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: [carpeta de inicio] es una de las siguientes:
* Windows XP, 2000 (español e inglés)
c:\documents and settings
\all users\menú inicio\programas\inicio
c:\documents and settings
\all users\start menu\programs\startup
c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio
c:\documents and settings
\[nombre usuario]\start menu\programs\startup
* Windows 95, 98, Me (español e inglés)
c:\windows\all users\menú inicio\programas\inicio
c:\windows\all users\start menu\programs\startup
c:\windows\menú inicio\programas\inicio
c:\windows\start menu\programs\startup
c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio
c:\windows\profiles\[nombre usuario]
\start menu\programs\startup
* Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
load32
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon
5. Pinche en la carpeta "Winlogon" y en el panel de la derecha, busque la siguiente entrada bajo la columna "Nombre":
Shell
6. Modifique el valor de "Shell" para que aparezca solo esto:
Shell = Explorer.exe
7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
* Modificar SYSTEM.INI
* Usuarios de Windows Me solamente:
En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo SYSTEM.INI en la carpeta C:\Windows\Recent.
Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre SYSTEM.INI. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos.
1. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.
2. Busque lo siguiente:
[boot]
shell = explorer.exe c:\windows\system\vxdmgr32.exe
y déjelo así:
[boot]
shell = explorer.exe
3. Grabe los cambios y salga del bloc de notas
4. Reinicie su computadora.
y va el tercero, a ver si hoy acabamos ya
