Foros de daboweb
SEGURIDAD INFORMATICA, Firewall, parches, vacunas, antivirus, anti troyanos, spyware etc => Seguridad Informatica - Firewall - Virus - Troyanos - Spyware - Ad Aware - Malware => Mensaje iniciado por: Danae en 13 de Septiembre de 2005, 07:39:20 pm
-
Gedza.NAB. Infecta archivos, se propaga como gusano
Nombre: Gedza.NAB
Nombre NOD32: Win32/Gedza.NAB
Tipo: Gusano de Internet y virus infector de ejecutables
Alias: Gedza.NAB, IRC-Worm.Win32.Lile.a, IRC-Worm.Win32.Lile.A, IRC-Worm/Lile.A, I-Worm.Lile.a, W32/Borg.A.drp, W32/Lile-A, W32/Lisima@MM, W32/Lisima-mm, Win32.HLLC.Lile.A, Win32/Gedza.NAB, Worm/Lile.A
Plataforma: Windows 32-bit
Tamaño: 122,821 bytes
Virus y gusano de Internet, que se propaga a través de canales de IRC, redes P2P, y servicios de AOL Instant Messenger y Yahoo Pager, la versión de Yahoo! de mensajería instantánea.
También es capaz de infectar archivos ejecutables de Windows, y de copiarse a si mismo en todas las unidades de disco disponibles.
Cuando infecta ejecutables (archivos en formato PE, Portable Executable de Windows 32-bit), agrega su código al principio, y utiliza la cadena "BORG" al final del archivo, como marca de infección.
Evita infectar archivos en las carpetas de Windows, Archivos de programa, y las utilizadas por el mIRC, el conocido cliente de IRC.
Cuando se ejecuta, se copia con alguno de los siguientes nombres:
c:\windows\msrundll32.exe
c:\windows\lel.exe
También crea los siguientes archivos:
c:\gedzac.txt
c:\hst.sys
c:\l.reg
c:\leliel.hta
c:\leliel.txt
c:\mi.inf
c:\vi.inf
c:\windows\leliel.zip
c:\windows\readme.hlp
c:\windows\wininit.ini
Intenta copiarse a todas las unidades de disco disponibles, con los siguientes nombres:
dibujitos.jpg.pif
Image012.jpg.pif
PrimeraCita.txt.pif
RutaDelPlacer.doc.pif
Yanet.jpg.pif
Crea la siguiente entrada en el registro:
HKCR\Software\Classes\Directory\shell\Asimilar\command
c:\windows\msrundll32.exe "%1" %*
Para propagarse a través del servicio de mensajería Yahoo Pager, crea una carpeta llamada YMSG, y se copia en ella con los siguientes nombres:
amor_love.zip
chicas_girls.zip
Mi foto.zip
mi poema.zip
Video.zip
Para propagarse a otros equipos en una red, intenta copiarse en la carpeta de inicio de cada unidad identificada con una letra, a la que pueda acceder, con el siguiente nombre:
[carpeta de inicio]\gedzac.exe
NOTA: [carpeta de inicio] puede ser una de las siguientes:
* Windows XP, 2000 (español e inglés)
c:\documents and settings
\all users\menú inicio\programas\inicio
c:\documents and settings
\all users\start menu\programs\startup
c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio
c:\documents and settings
\[nombre usuario]\start menu\programs\startup
* Windows 95, 98, Me (español e inglés)
c:\windows\all users\menú inicio\programas\inicio
c:\windows\all users\start menu\programs\startup
c:\windows\menú inicio\programas\inicio
c:\windows\start menu\programs\startup
c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio
c:\windows\profiles\[nombre usuario]
\start menu\programs\startup
Puede modificar también el archivo WIN.INI (en Windows 95, 98 o Me), para ejecutar GEDZAC.EXE en cada reinicio de los equipos infectados.
Intenta descargar un archivo de determinados sitios de Internet, y copiarlo como LIRC.EXE.
También intenta finalizar la ejecución de determinados procesos activos relacionados con conocidas aplicaciones de seguridad, si sus nombres coinciden con las siguientes cadenas:
avg
avp
bitdefender
clean
firewall
mcafee
norman
norton
panda
process
remover
scan
security
shopos
symantec
thav
the hacker
trojan
troyan
virus
Para impedir el acceso del usuario a determinados sitios de Internet (incluido VSAntivirus.com), el gusano reemplaza el archivo HOSTS de Windows, por el contenido de HST.SYS, liberado por el gusano:
127 .0 .0 .1 alerta-antivirus .red .es
127 .0 .0 .1 antivirus .cai .com
127 .0 .0 .1 avp .com
127 .0 .0 .1 avp .ch
127 .0 .0 .1 avp .ru
127 .0 .0 .1 ca .com
127 .0 .0 .1 customer .symantec .com
127 .0 .0 .1 de .trendmicro-europe .com
127 .0 .0 .1 dispatch .mcafee .com
127 .0 .0 .1 download .mcafee .com
127 .0 .0 .1 download .microsoft .com
127 .0 .0 .1 downloads .microsoft .com
127 .0 .0 .1 downloads1 .kaspersky-labs .com
127 .0 .0 .1 downloads2 .kaspersky-labs .com
127 .0 .0 .1 downloads3 .kaspersky-labs .com
127 .0 .0 .1 downloads4 .kaspersky-labs .com
127 .0 .0 .1 downloads-eu1 .kaspersky-labs .com
127 .0 .0 .1 downloads-us1 .kaspersky-labs .com
127 .0 .0 .1 free .grisoft .com
127 .0 .0 .1 free-av .com
127 .0 .0 .1 f-secure .com
127 .0 .0 .1 ftp .avp .ch
127 .0 .0 .1 ftp .f-secure .com
127 .0 .0 .1 ftp .kasperskylab .ru
127 .0 .0 .1 ftp .perantivirus .com
127 .0 .0 .1 ftp .sophos .com
127 .0 .0 .1 go .microsoft .com
127 .0 .0 .1 grisoft .com
127 .0 .0 .1 housecall .antivirus .com
127 .0 .0 .1 housecall .trendmicro .com
127 .0 .0 .1 ids .kaspersky-labs .com
127 .0 .0 .1 kaspersky .com
127 .0 .0 .1 kaspersky .ru
127 .0 .0 .1 kaspersky-labs .com
127 .0 .0 .1 liveupdate .symantec .com
127 .0 .0 .1 liveupdate .symantecliveupdate .com
127 .0 .0 .1 mast .mcafee .com
127 .0 .0 .1 mcafee .com
127 .0 .0 .1 my-etrust .com
127 .0 .0 .1 nai .com
127 .0 .0 .1 networkassociates .com
127 .0 .0 .1 office .microsoft .com
127 .0 .0 .1 rads .mcafee .com
127 .0 .0 .1 sandbox .norman .no
127 .0 .0 .1 secure .nai .com
127 .0 .0 .1 securityresponse .symantec .com
127 .0 .0 .1 service1 .symantec .com
127 .0 .0 .1 sophos .com
127 .0 .0 .1 support .microsoft .com
127 .0 .0 .1 symantec .com
127 .0 .0 .1 trendmicro .com
127 .0 .0 .1 uk .trendmicro-europe .com
127 .0 .0 .1 update .symantec .com
127 .0 .0 .1 updates .symantec .com
127 .0 .0 .1 updates1 .kaspersky-labs .com
127 .0 .0 .1 updates2 .kaspersky-labs .com
127 .0 .0 .1 updates3 .kaspersky-labs .com
127 .0 .0 .1 updates4 .kaspersky-labs .com
127 .0 .0 .1 updates5 .kaspersky-labs .com
127 .0 .0 .1 us .mcafee .com
127 .0 .0 .1 v4 .windowsupdate .microsoft .com
127 .0 .0 .1 vil .nai .com
127 .0 .0 .1 viruslist .com
127 .0 .0 .1 viruslist .ru
127 .0 .0 .1 windowsupdate .microsoft .com
127 .0 .0 .1 www .alerta-antivirus .es
127 .0 .0 .1 www .antivirus .com .ar
127 .0 .0 .1 www .antivirusgratis .com .es
127 .0 .0 .1 www .avast .com
127 .0 .0 .1 www .avp .com
127 .0 .0 .1 www .avp .ru
127 .0 .0 .1 www .bitdefender .com
127 .0 .0 .1 www .ca .com
127 .0 .0 .1 www .clamav .com
127 .0 .0 .1 www .clamwin .com
127 .0 .0 .1 www .drsolomon .com
127 .0 .0 .1 www .drweb .com
127 .0 .0 .1 www .eset .com
127 .0 .0 .1 www .fortinet .com
127 .0 .0 .1 www .free-av .com
127 .0 .0 .1 www .f-secure .com
127 .0 .0 .1 www .gecadnet .ro
127 .0 .0 .1 www .globalhauri .com
127 .0 .0 .1 www .grisoft .com
127 .0 .0 .1 www .hacksoft .com .pe
127 .0 .0 .1 www .hacksoft .net
127 .0 .0 .1 www .hbedv .com
127 .0 .0 .1 www .ikarus .at
127 .0 .0 .1 www .kaspersky .com
127 .0 .0 .1 www .kaspersky .ru
127 .0 .0 .1 www .kaspersky-labs .com
127 .0 .0 .1 www .mcafee .com
127 .0 .0 .1 www .microsoft .com
127 .0 .0 .1 www .my-etrust .com
127 .0 .0 .1 www .nai .com
127 .0 .0 .1 www .networkassociates .com
127 .0 .0 .1 www .nod32 .com
127 .0 .0 .1 www .nod32-es .com
127 .0 .0 .1 www .norman .com
127 .0 .0 .1 www .pandasoftware .com
127 .0 .0 .1 www .pandasoftware .es
127 .0 .0 .1 www .perantivirus .com
127 .0 .0 .1 www .perantivirus .net
127 .0 .0 .1 www .perantivirus .org
127 .0 .0 .1 www .perantivirus .us
127 .0 .0 .1 www .persystems .com
127 .0 .0 .1 www .persystems .net
127 .0 .0 .1 www .preventix .net
127 .0 .0 .1 www .ravantivirus .com
127 .0 .0 .1 www .sarc .com
127 .0 .0 .1 www .softpedia .com
127 .0 .0 .1 www .sophos .com
127 .0 .0 .1 www .sybari .com
127 .0 .0 .1 www .symantec .com
127 .0 .0 .1 www .trendmicro .com
127 .0 .0 .1 www .vsantivirus .com
127 .0 .0 .1 www .zonavirus .com
127 .0 .0 .1 www .zonelabs .com
127 .0 .0 .1 www3 .ca .com
127 .0 .0 .1 zonelabs .com
Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Repare (*) los archivos detectados como infectados
(*) Algunos archivos solo podrán ser borrados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_ROOT
\Software
\Classes
\Directory
3. Haga clic en la carpeta "Directory" y bórrela.
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
Editar el archivo WIN.INI
1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.
2. Busque en la línea "Run" bajo la etiqueta "[Windows]" toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus", y bórrelos.
3. Grabe los cambios y salga del bloc de notas.
Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.
6. Reinicie su computadora.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/gedza-nab.htm
-
Virus y gusano de Internet, que se propaga a través de canales de IRC, redes P2P, y servicios de AOL Instant Messenger y Yahoo Pager, la versión de Yahoo! de mensajería instantánea.
También es capaz de infectar archivos ejecutables de Windows, y de copiarse a si mismo en todas las unidades de disco disponibles.
Cuando infecta ejecutables (archivos en formato PE, Portable Executable de Windows 32-bit), agrega su código al principio, y utiliza la cadena "BORG" al final del archivo, como marca de infección.
Evita infectar archivos en las carpetas de Windows, Archivos de programa, y las utilizadas por el mIRC, el conocido cliente de IRC.
Gracias danae
Un saludo