Autor Tema: SdBot.DUD. Control remoto del PC vía IRC  (Leído 2498 veces)

Desconectado Danae

  • Administrator
  • *
  • Mensajes: 3210
  • Casi siempre en el armario.
    • windowsfacil,  primeros pasos con windows y el pc
SdBot.DUD. Control remoto del PC vía IRC
« en: 31 de Marzo de 2005, 07:06:28 pm »
IRC/SdBot.DUD. Control remoto del PC vía IRC

Nombre: IRC/SdBot.DUD
Nombre NOD32: IRC/SdBot.DUD
Tipo: Caballo de Troya
Alias: SdBot.DUD, Backdoor.RBot.56EF8FD2, Backdoor.Win32.SdBot.gen, IRC/SdBot.DUD, W32/Backdoor, W32/Gaobot.gen.worm, W32/Sdbot.worm.gen.g, Win32.HLLW.MyBot, Win32/IRCBot.Variant!Trojan, Win32/IRCBot.Variant!Trojan, NewHeur_PE (detectado con heurística NOD32)
Plataforma: Windows 32-bit
Tamaño: 99,840 bytes

Troyano que se propaga utilizando recursos compartidos en redes, deshabilita la ejecución de varios programas, impide acceder a algunas herramientas de Windows, y permite que un atacante tome el control remoto del equipo infectado y ejecute diversos comandos a través de un canal de IRC.

Puede presentarse con cualquier nombre, aunque las muestras detectadas poseían el siguiente:
Microsft-XP-8293k-fix.exe
El troyano intenta localizar la presencia en el escritorio de la ventana del mIRC, popular cliente de IRC (Internet Relay Chat).

Si existe, crea el siguiente archivo en la carpeta de Windows, y borra el archivo original:
C:\WINDOWS\SYSTEM\scvhost.exe

Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Microsoft Critical System Services = "scvhost.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Microsoft Critical System Services = "scvhost.exe"
HKCU\Software\Microsoft\OLE
Microsoft Critical System Services = "scvhost.exe"
NOTA: SVCHOST.EXE (Generic Host Process for Win32 Services), es un archivo legítimo de Windows XP, utilizado para la ejecución de servicios. El nombre del archivo del troyano es casi similar, pero tiene algunas letras intercambiadas para intentar camuflarse como un archivo legítimo (SCV en lugar de SVC).

Luego, busca que se haya establecido una conexión a Internet. Si ello ocurre, se conecta al siguiente servidor a través del puerto TCP 6667:
pownage.net
También intenta conectarse al canal "#anti-school" de un determinado servidor de IRC. Para ello utiliza los siguientes datos:
nickname NOR
username ezkieya.
Para no ejecutarse más de una vez en memoria, el troyano crea el siguiente mutex:
UrxBotie
Un atacante puede tomar el control remoto del equipo infectado, a través de la puerta trasera creada al conectarse al canal de IRC. Otras posibles acciones:
- Realizar ataques de denegación de servicio
- Matar procesos e hilos de ejecución
- Descargar y ejecutar archivos
- Auto actualizarse
El componente troyano realiza sus conexiones utilizando el puerto (TCP/113). Esto es requerido por algunos servidores de IRC por razones de autenticación.

El troyano también evita que algunas aplicaciones sean ejecutadas mientras él se encuentre activo en memoria. Ello incluye algunos antivirus y herramientas del sistema.

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre el siguiente archivo:
C:\WINDOWS\SYSTEM\scvhost.exe
IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\SVCHOST.EXE, ya que es un archivo legítimo de Windows.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\OLE
3. Haga clic en la carpeta "OLE" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Microsoft Critical System Services = "scvhost.exe"
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Microsoft Critical System Services = "scvhost.exe"
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Microsoft Critical System Services = "scvhost.exe"
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/irc-sdbot-dud.htm

Desconectado destroyer

  • Administrator
  • ******
  • Mensajes: 15865
  • Si quieres cambiar al mundo, cámbiate a ti mismo
    • cajondesastres.com De todo un poco
SdBot.DUD. Control remoto del PC vía IRC
« Respuesta #1 en: 31 de Marzo de 2005, 07:12:13 pm »
Gracias Danae

Un saludo

 

Aviso Legal | Política de Privacidad | Política de Cookies

el contenido de la web se rige bajo licencia
Creative Commons License