¿Tiene un problema? - Dr. Tecno

Una simple linea de codigo puede permitir ejecutar codigo malicioso usando PHP en este software gratuito: linkSpheric v0.74 beta 6.

Para solucionar esto, se debe editar el archivo ” viewListing.php”  y cambiar la siguiente linea:

$result = mysql_query(”SELECT * FROM listings WHERE id = $listID “);

por

$result = mysql_query(”SELECT * FROM listings WHERE id = ‘$listID’ “);

Actualizar este archivo en la pagina Web.

Hoy apareció una infección bastante peculiar: una variante de Win32.Besso disfrazada como Kavo? Y de paso un H8i.com escondido por alli…

Solución

1. Identificar al virus: encontré las típicas infecciones como en los Pen Drive (Win32:AuCrypt), es decir, los discos duros tenían un autorun.inf que afectaba la función de autoplay de Windows XP Mediacenter Edition, pues al dar doble click en My Computer se ejecutaba este .inf que a su vez llamaba al virus, una variante del Win32.Besso. El autorun.inf se muestra aquí:

   ;iwCwlLdk1os9F5a2aJiwKdjjlak1k2k3cAsal
   [AutoRun]
   ;k4r29cKik8wA7F1Doir13k4la2ja8e3AaqssqwO23epAI…
   open=1.bat
   ;KjkLrsc23lwiiek6a927
   shell\open\Command=1.bat
   ;3sO4AeXoiw73wwLKioDa3dsfK53aoc2wIw3d8Kkr0Ls…
   shell\open\Default=1
   ;akwos1LKi89jsli1rJ72L5lj45wi734o0D2D39dI3kA9…
   shell\explore\Command=1.bat
   ;Aw30r209adoarqiADdpk3qwSa72io24wcs6DlAAo…
   
   Como se puede notar, llama a un supuesto archivo de procesos por lotes 1.bat que en realidad es un ejecutable (ubicado siempre en el directorio principal… al borrar ambos archivos -1.bat y autorun.inf- reaparecían nuevamente segundos después… típico de un virus), con la variante del virus Win32.Besso, que se guardó a sí mismo como kavo.exe, kavo0.dll y kavo1.dll. Los “kavo” se guardaron en %System%, y encontré varios procesos kavo0.dll atachados a programas que se estaban corriendo en el equipo (Microsoft Word, Microsoft Outlook, etc.). El programa responsable de cargar todo, estaba disfrazado como “Microsoft Updater” con el nombre de svehost.exe, intentando confundir con el programa válido de Microsoft: svhost.exe También encontré rastros de H8i.com

2. Una vez identificados, reiniciar el equipo en modo a prueba de fallos. Es necesario.
3. Ya en modo a prueba de fallos, asegurarnos de no tener más sorpresas con el Avast Free Cleaning tool (descargar aquí). Ojo que esto no reemplaza el tener un buen antivirus, detecta y elimina un poco de “complicados”.
4. Abrir una ventana de comandos. Hay que reestablecer los atributos de los archivos de virus a archivos simples, normalmente tienen atributos de Solo lectura, Sistema, Escondido. Como iniciamos en modo a prueba de fallos, el svehost.exe no se cargó y por ende no existían los seudo archivos 1.bat, pero si los autorun.inf, que no se pueden ver normalmente con el Explorador de Windows ni en DOS. La forma mas segura de detectarlos, es con la ventana de comando y poner:C:\> attrib
   
   El comando attrib mostrará un listado con todos los archivos y sus atributos. Vimos el autorun.inf con atributos RHS (Read Only, Hidden, System), así que debemos resetear los atributos:

   C:\> attrib -r -h -s autorun.inf

   Ahora debemos borrar el autorun.inf:

   C:\> del autorun.inf
   

5. Attrib no nos muestra ningún 1.bat, lo que es una buena señal, significa que el virus no está corriendo (al menos no en el modo identificado). Repetimos el mismo proceso de borrado del autorun.inf en todos los discos del sistema, incluyendo los removibles.
6. Hay que asegurarse de que no existan más archivos de ese tipo, así que usamos el attrib para que lo busque por nosotros (no sale normalmente con dir ni con el Explorador de Windows):C:\> attrib 1.bat /s | more(el “| more” es opcional, si hay muchos archivos, permite pausar por pantallas). Se repite lo mismo en todos los discos. Ahora hay que buscar a todos los “kavo”:

   C:\> attrib kav*.* /s | more
   
   Encontramos los 3 archivos en %system% (C:\WINDOWS\SYSTEM32). Nos cambiamos a ese directorio y cambiamos los atributos, para posteriormente borrarlos:

   C:\> cd windows\system32

   C:\> attrib -r -h -s kav*.*

   C:\> del kav*.*

7. Se usan las mismas instrucciones para buscar y borrar todos los “kavo” en los discos, por seguridad (sólo encontramos “kavo” en %system%), y se repiten los procesos para buscar y eliminar todos los h8i.com
8. Ahora cargamos regedit (Start Menu / Run / regedit). Buscamos todas las referencias a 1.bat y cada llave que encontremos con esa referencia, debemos borrarla y continuar la búsqueda con F3, borrar todo hasta no encontrar ninguna referencia.
9. Asegurarnos de irnos al principio nuevamente en el regedit y buscar ahora las referencias a kav. Borrar todos los kavo.exe y kavoX.dll
10. Ir nuevamente al principio en el regedit, y buscar ahora todas las referencias a h8i.com para eliminarlas.
11. Por último, nuevamente al principio en regedit, y buscar todas las referencias a svehost.exe para borrarlas.
12. Reinciar el equipo en modo normal, debería estar ya desinfectado. Usar una vesión actualizada de avast (con soporte en Guayaquil y Ecuador).

Existen diversos virus y malware que desactivan las opciones de carpeta (folder options) para prevenir que un usuario pueda habilitar el poder ver archivos y carpetas invisibles, así como carpetas de sistema.

La solución es habilitarlo directamente desde el Registry.

Esta es la llave que hay que modificar:

[ H K E Y _ C U R R E N T _ U S E R \ S o f t w a r e \ M i c r o s o f t \ W i n d o w s \ C u r r e n t V e r s i o n \ P o l i c i e s ]

“NoFolderOptions“=dword:00000000

Descargar solucion

Bienvenido a Tecno-Soft. Este blog está dedicado a aspectos técnicos, soluciones a problemas diversos que enfrentan usuarios y equipos de sistemas.
No olviden visitar nuestra Web: http://www.tecno-soft.com