Protocolo 7

Miércoles, 11 de enero de 2006

Quitar gusano del MSN, Foto.exe

Archivado en: Internet

Como sacar el molesto foto.exe...

Para empezar, debemos saber que foto.exe es un Win32.TrojanDownloader.Banload.ID y es de bajo nivel (casi sin importancia, es molesto). Cuando ejecutas el archivo "foto.exe" se copia a %windir%\system32\service\navupdt.exe y luego baja un archivo JPG fake, que se guarda como services.exe.
También existe en esa carpeta el archivo services.exe que al abrirlo con note pad vemos que es el código fuente de una web con el titulo Brasil Online con varios textos, al final hay adjunto un archivo JavaScript que no tiene nada de malicioso a primera vista pero son direcciones que bloquea (todo antivirus on-line brasileños).

Arxivo service.dll - Configuración

[VERSAO]
1

[MODULO]
http://mdcoco01.vila.bol.com.br/md_coco.jpg
http://mdcoco01.vila.bol.com.br/md_coco.jpg

[SMTP]
smtp.mail.yahoo.co.jp
smtps.uol.com.br

[CONTAS]
1:relarotios@yahoo.co.jp:cpp171
2:japocagora@uol.com.br:cpp171

[DESTINO]
depredador68@gmail.com

[EMAILS_CONTATOS]
depredador68@cantv.net

[MensagemMSN]
Mira las fotos >>> http://hometown.aol.com.au/miralafoto/foto.exe

[END]

La solución para borrar el archivo/virus tan molesto no es complicado... Primero para saber seguro que el programa esta funcionando debemos usar el Administrador de Tareas de Windows (accedemos con Control+Alt+Supr), una vez ahí vamos a ver los procesos y los ordenamos por nombre de usuario de manera que veremos el programa "services.exe" ejecutado con el nombre de nuestro usuario (habrá otro como SYSTEM, que es el real). Debemos parar el "service.exe" ejecutado como nuestro usuario para que deje de causar molestias pulsando Terminar proceso (Puede que no te deje cerrarlo por ello te explico como librarnos de él a continuación).
Service
Ahora es hora de quitarlo de nuestro Windows, para tal cosa deberemos reiniciar nuestro ordenador, pero a "Modo a Prueba de Fallos" (tambien conocido como "Modo Seguro"). Para reniciarlo a Modo Seguro deberemos pulasr repetidas veces F8 después de que nuestro ordenador chekee la memoria RAM (es un poco después pero es algo dificil contarlo). Nos saldrá una lista de "boots", Modo Seguro, Modo Seguro con Funciones de red, Iniciar Windows normalmente... vamos a Modo Seguro, el primero de todos. Cargará nuestro Windows y nos saldrá la pantalla para escojer la cuenta con la que iniciar, selecionad Administrador.

Ya vemos nuestro escritorio, aunque es algo diferente, ¿verdad? Ahora vamos a nuestro Disco Duro donde tenemos Windows (por defecto es C: y la carpeta WINDOWS\). De tal modo que accedemos a Windows\System32\service y ahi veremos varios archivos y eso significa que debemos borrarlos al completo para que no se ejecuten de nuevo.

Creo que esta es la manera mas sencilla de describir como "neutralizar" este molesto virus inofensivo.