Tema: Beastdoor. Permite el control remoto total del PC

[Danae]

Beastdoor. Permite el control remoto total del PC

Nombre: Beastdoor
Nombre NOD32: Win32/Beastdoor (variante de)
Tipo: Caballo de Troya de acceso remoto
Alias: Beastdoor, Beasty, BackDoor.Beast.207, Backdoor.Beastdoor.206.d, Backdoor.Beastdoor.L, Backdoor.Beastdoor.l, BackDoor.Generic.HJA, Backdoor.Win32.Beastdoor.L, Backdoor.Win32.Beastdoor.l, Backdoor/Beastdoor.l, Backor.Win32.Beastdoor.L, Bck/BeastDoor.BG, BDS/Beastdoor.L.32, beastdoor-207, Malware.h, NewHeur_PE, PE_PATCH.MORPHINE, Possible_Threat, Troj/BeastDo-V, W32/Startpage.DU-dr, Win32/Beastdoor, Win32/Beastdoor.207
Plataforma: Windows 32-bit
Tamaño: 36,352 bytes (PE_PATCH.MORPHINE, MORPHINE)

Este troyano, habilita a un usuario malicioso el acceso remoto a una computadora infectada, posibilitando las siguientes acciones (entre otras):
- Abrir un shell (consola de comandos) remoto
- Captura de pantalla y webcam
- Captura del teclado
- Descargar y ejecutar archivos desde Internet
- Deshabilitar Restaurar Sistema
- Enviar mensajes con o sin adjuntos
- Finalizar servicios
- Listar todos los archivos del disco duro
- Modificar el registro
- Obtener información del sistema
- Obtener lista de procesos
- Terminar procesos
Nota: cómo el troyano puede ser configurado totalmente, ya que es parte de un kit de construcción, esta información solo debe ser tomada como referencia.

Está compuesto por dos componentes. El que se copia en la computadora infectada, es el servidor. El usuario es notificado generalmente por IRC de su instalación, y puede entonces acceder a través de él a la computadora infectada, utilizando el segundo componente, el cliente.

Esta descripción se refiere al servidor, el componente que se copia en la computadora del usuario infectado.

El troyano puede arribar al ser liberado por un dropper.

Cuando el adjunto se ejecuta, puede crear los siguientes archivos en el disco de su víctima (los nombres pueden cambiar):
c:\windows\system32\msbfqp.com
c:\windows\system32\mshost.exe
También puede liberar otra copia de si mismo en el directorio del MSAgent (generalmente \windows\msagent), la carpeta donde Windows almacena los asistentes animados de la ayuda de Microsoft:
c:\windows\msagent\msqyux.com

Una vez activo, el troyano queda a la escucha de instrucciones, abriendo los puertos 666 o 6070 (por defecto). Esto habilita a un usuario remoto las acciones ya mencionadas.

Las siguientes claves del registro son creadas o modificadas:
HKCU\Software\Microsoft\Windows
\CurrentVersion\Policies\Explorer\Run
COM Service = "c:\windows\msagent\msqyux.com"

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Policies\Explorer\Run
COM Service = "c:\windows\msagent\msqyux.com"

HKLM\SOFTWARE\Microsoft
\Active Setup\Installed Components
\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath = "c:\windows\system32\msbfqp.com"

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\
Start = "dword:00000004"
También puede borrar entradas de la siguiente rama del registro:
HKLM\SOFTWARE\Microsoft\EventSystem
\{26c409cc-ae86-11d1-b616-00805fc79216}\Subscriptions\

El troyano deshabilita los procesos de autodiscado (RAS AutoDial) y la restauración del sistema en Windows Me, XP y 2000 (System Restore), modificando la siguiente entrada:
HKCU\Software\Microsoft\RAS Autodial\Control\
LoginSessionDisable = "dword:00000001"
No posee rutina de propagación, pero un archivo infectado podría ser enviado en forma premeditada o accidental, por correo electrónico, o descargada de sitios maliciosos, o a través de redes P2P.

Reparación Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Borrado manual de los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre los archivos que hayan sido detectados como infectados.
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Active Setup
\Installed Components
\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
3. Pinche en la carpeta "{42CE4021-DE03-E3CC-EA32-40BB12E6015D}" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
StubPath
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
\Run
5. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
COM Service
6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
\Run
7. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
COM Service
8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_ROOT
\exefile
9. Pinche en la carpeta "exefile" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
NeverShowExt
10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\SharedAccess
11. Haga clic en la carpeta "SharedAccess" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor de la siguiente entrada por "2" en hexadecimal:
Start = "dword:00000002"
12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\RAS AutoDial
\Control
13. Pinche en la carpeta "Control", y asegúrese que en el panel de la derecha, la siguiente entrada tenga el valor "dword:00000000" (cero en hexadecimal), o cámbialo para que quede así:
LoginSessionDisable = "dword:00000000"
14. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
15. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/beastdoor.htm