W32/Poebot.NAB. Se propaga por vulnerabilidad LSASS Nombre: W32/Poebot.NAB
Nombre NOD32: Win32/Poebot.NAB
Tipo: Gusano de Internet
Alias: Poebot.NAB, Win32/Poebot.NAB, Backdoor.Win32.PoeBot.g, W32.Linkbot.H
Plataforma: Windows 32-bit
Tamaño: 81,920 bytes
Puertos: TCP 10500, 113
Gusano que se propaga explotando la vulnerabilidad en el proceso LSASS (Local Security Authority Subsystem), reparada por Microsoft en su parche MS04-011 (ver "MS04-011 Actualización crítica de Windows (835732)",
http://www.vsantivirus.com/vulms04-011.htm).
Intenta copiarse a través de recursos compartidos en redes en sistemas vulnerables.
Crea un acceso por puerta trasera (backdoor), que funciona como un BOT (programa que actúa como un usuario de IRC, y está preparado para responder o actuar automáticamente ejecutando ciertos comandos). Esto permite que un atacante pueda tomar el control del equipo infectado a través de un canal de IRC.
Cuando el gusano se ejecuta por primera vez, crea el siguiente archivo:
c:\windows\system32\defragfatz.exe
También crea un archivo de proceso por lotes (ABCDABCD.BAT), que intenta utilizar para borrar el archivo original y a si mismo.
Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio del sistema:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows DLL Loader = "c:\windows\system32\defragfatz.exe"
Trata de conectarse al siguiente servidor a través del puerto TCP/10500:
link .is-a-geek .org
Abre un "Ident Daemon" (demonio de identificación) que escucha por el puerto TCP/113. Un "demonio" es un proceso que se ejecuta en segundo plano en forma autónoma.
Si un atacante remoto logra conectarse a esta puerta trasera, podrá realizar acciones como las siguientes:
- Actualizar o desinstalar el BOT
- Copiarse a si mismo en recursos compartidos
- Crear y modificar archivos del sistema
- Descargar y ejecutar archivos
- Escanear puertos
- Finalizar procesos en ejecución
- Iniciar un servidor de socket
- Medir la velocidad de la conexión
- Obtener información del sistema
- Robar contraseñas
Nota: Un "socket" es un canal de comunicación que se abre entre dos computadoras.
Reparación
IMPORTANTE:Descargue y ejecute este parche antes de proceder al resto de la limpieza:
MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htmDeshabilitar cualquier conexión a Internet o una redEs importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza.
AntivirusActualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virusDesde el Explorador de Windows, localice y borre el siguiente archivo:
c:\windows\system32\defragfatz.exe
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registroNota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Windows DLL Loader
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Cambio de contraseñas
Limpieza de virus en Windows Me y XPSi el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información:
http://www.vsantivirus.com/poebot-nab.htm
