Spy.Bancos.HY. Roba información de cuentas bancariasNombre: Spy.Bancos.HY
Nombre NOD32: Win32/Spy.Bancos.HY
Tipo: Caballo de Troya
Alias: Bancos.HY, Banker.L-pws, PWS-Banker.gen.l, TR/Spy.Bancos.HY, Trj/Banbra.AKU, Trojan-Spy.Win32.Bancos.hy, Win32/Spy.Bancos.HY
Plataforma: Windows 32-bit
Tamaño: 131,072 bytes
Caballo de Troya que se mimetiza con la interfase de acceso on-line de ciertos bancos de origen brasileño, para intentar robar los datos de las cuentas de sus clientes.
Cuando se ejecuta, el troyano crea el siguiente archivo en el sistema:
C:\Windows\System\Taskmnger_g.exe
También crea los siguientes archivos:
C:\WINDOWS\All Users\Menu Iniciar
\Programas\Iniciar\Taskmnger.lnk
C:\WINDOWS\All Users\Menu Iniciar
\Programas\Iniciar\Taskmnger_g.lnk
C:\WINDOWS\All Users\Menu Iniciar
\Programas\Iniciar\Explorer.lnk
C:\WINDOWS\Menu Iniciar\Programas\Iniciar\Explorer.lnk
C:\Documents and Settings\All Users\Menu Iniciar
\Programas\Inicializar\Taskmnger_g.lnk
C:\Documents and Settings\All Users\Menu Iniciar
\Programas\Inicializar\Explorer.lnk
Se agrega al registro de Windows, para autoejecutarse en cada reinicio:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Win32 = C:\Windows\System\Taskmngk.exe
Cuando está activo, el troyano monitorea todas las ventanas del Internet Explorer que sean abiertas. Cuando la página visitada corresponda a ciertas instituciones bancarias, el troyano muestra otra ventana, de acuerdo al título de la página y del banco visitado.
Las páginas e instituciones afectadas son las siguientes:
http:://www.bb.com.br
http:://www.bradesco.com.br
http:://www.banespa.com.br
http:://www.itau.com.br
http:://www.caixa.com.br
http:://www.nossacaixa.com.br
http:://www.hsbc.com.br
http:://www.unibanco.com.br
http:://www.bancoreal.com.br
http:://www.itaupersonnalite.com.br
En todas, la ventana falsa pretende obtener datos como nombre de usuario, contraseñas, etc.
Estos datos podrían ser subidos luego a un sitio FTP controlado por el autor del troyano.
El troyano copia también su propia versión de la librería de Visual Basic 6, MSVBVM60.DLL:
c:\windows\system\MSVBVM60.DLL
No posee rutina de propagación, pero un archivo infectado podría ser enviado en forma premeditada o accidental, por correo electrónico, o descargada de sitios maliciosos, o a través de redes P2P.
Reparación AntivirusActualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virusDesde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Cómo recuperar MSVBVM60.DLLEn Windows 98:1. Desde Inicio, Ejecutar, escriba SFC y pulse Enter.
2. Marque "Extraer un archivo del disco de instalación"
3. En la ventana "Especifique el archivo del sistema que desea restaurar", escriba el nombre del archivo a restaurar:
MSVBVM60.DLL
4. Pinche en "Iniciar".
5. En "Restaurar de" escriba el camino completo a los archivos de instalación de Windows (en el CD, generalmente es D:\WIN98, si la unidad de CD fuera la D:, de lo contrario busque su ubicación en el disco duro, donde se suelen copiar antes de una instalación).
6. En "Guardar archivo en" asegúrese de tener "C:\WINDOWS\SYSTEM" (sin las comillas).
7. Pinche en "Aceptar".
8. Confirme la carpeta para copias de seguridad y pinche nuevamente en "Aceptar" (si no existe, tal vez se genere ahora esta carpeta, generalmente: "C:\WINDOWS\Helpdesk\SFC").
En Windows Me:1. Desde Inicio, Ejecutar, escriba MSCONFIG y pulse Enter.
2. Pinche en el botón "Extraer archivo"
3. En "Especifique el nombre del archivo que desea restaurar" escriba el nombre del archivo a restaurar:
MSVBVM60.DLL
4. Pinche en "Iniciar".
5. En "Restaurar de" escriba el camino completo a los archivos de instalación de Windows (en el CD, generalmente es D:\WIN9X, si la unidad de CD fuera la D:, de lo contrario busque su ubicación en el disco duro, donde se suelen copiar antes de una instalación).
6. En "Guardar archivo en" asegúrese de tener "C:\WINDOWS\SYSTEM" (sin las comillas).
7. Pinche en "Aceptar".
8. Confirme la carpeta para copias de seguridad y pinche nuevamente en "Aceptar" (si no existe, tal vez se genere ahora esta carpeta, generalmente: "C:\WINDOWS\MSConfigs\Backups").
En Windows XP:1. Desde Inicio, Ejecutar, escriba MSCONFIG y pulse Enter.
2. Pinche en el botón "Expandir archivo"
3. En "Archivo para restaurar" escriba el nombre del archivo a restaurar:
MSVBVM60.DLL
4. En "Restaurar desde" escriba el camino completo a los archivos de instalación de Windows (en el CD, generalmente es D:\WIN9X, si la unidad de CD fuera la D:, de lo contrario busque su ubicación en el disco duro, donde se suelen copiar antes de una instalación).
6. En "Guardar archivo en" asegúrese de tener "C:\WINDOWS\SYSTEM32" (sin las comillas).
7. Pinche en "Expandir".
Cómo recuperar OFFICEIE.CABSi existe el siguiente archivo en el raíz de la unidad C:
C:\officeIE.CAB
Muévalo a la siguiente ubicación para recuperar la funcionalidad de su software de conexión al banco:
C:\BancoBrasil\officeIE\officeIE.CAB
Editar el registroNota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XPSi el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información:
http://www.vsantivirus.com/spy-bancos-hy.htm
