.: La WeB dE ZaKaTRoN :. :: Ver tema

javichete · Usuari@

Estas indicaciones son para andar por casa no son un manual técnico

pero si suficientes para quitarse este molesto virus de encima...

Ultimamente habia notado que en el firewall había muchos intentos de conexión por el puerto TCP/445, las alarmas eran constantes...
pero el firewall resistía y no pasaba nada...pero despues de visitar paginas de de seriales,etc osea de reputacion dudosa....
se me infecto el ordenata con el virus sasser
esto fue antes de salir por la tele
los sintomas son los siguientes:
si tienes firewall verás que intenta conectarse y va probando puertos
si haces un escaner de puertos abiertos te aparecera el TCP/5554
y es que primero se cuela por el 445 y luego te abre el 5554 por donde
te abre un ftp para descargarte el ejecutable de gusano. Este se instala en la carpeta de windows \system32. El nombre del archivo descargado será [numero]_up.exe, donde [numero] equivale a una serie de dígitos al azar, por ejemplo 23983_up.exe.

Ademas el consumo de la cpu se dispara y disminuye el rendimiento
hasta bloquear y salir el mensajito de que en menos de un minuto se apagara...

El virus es parecido al blaster no causa daños permanentes
una vez borrado no deja rastro....

El virus instala el siguiente archivo en la carpeta windows "avserve.exe" con un tamaño de 15.872 bytes, y añade la siguiente clave en el registro de Windows para asegurarse su ejecución en cada inicio de sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "avserve.exe"="%Windir%\avserve.exe"
aunque a mi se me instaló con otro nombre por lo que no encontre nada en todo el google mundial "avserve2.exe"
pero el comportamiento es el mismo
La mayoria de los metodos de protección no lo detentan por que aun no estan actualizados(me refiero a los tenemos nosotros instalados).
la desinfeccion manual es muy sencilla
Basta con borrar la entrada del registro y los dos archivos "avserve2.exe" y "23983_up.exe."(el nº puede cambiar)
para ello hemos de ir al administrador de tareas y finalizar los procesos de estos archivos para que una vez que no esten en uso se puedan borrar
y ya esta!!!! listo
para prevenir de futuras infecciones ir a la pagina de microsoft y descargaros este parche

http://www.microsoft.com/downloads/details.aspx?displaylang=es&FamilyID=EA17D1CB-075E-4B63-BC45-06EBBF41C6B5

Si en el tiempo de la infeccion se han hecho copias de seguridad o punto de restauracion tomar precauciones, ademas también puede borrarse el archivo win.log de la raíz de la unidad C:, creado por el gusano. aunque este último es inofensivo, mas bien una cagadita.
Incluso borrando solo los dos archivos "avserve2.exe" y "23983_up.exe."(el nº puede cambiar) sería suficiente si es que no quereis tocar en el registro.
Apartir de ahora despues de formatear se han de instalar los parches de del blaster y el sasser: la infección puede ser es inmediata!!!

alvarez · Usuari@

Muy bien explicado creo que hayudara a muvha gente que no save lo que le esta pasando al pc , en definitiva otra "cagadita de windows" ¿cuantos parches habra que seguir poniendo ? joder parese windows una patera Rolling Eyes

javichete · Usuari@

Hola

Se me han olvidado un par de cositas este virus
no afecta w98 ywme... osea solo a s.operativos nuevos de windows
y que el parche que puse es para win-xp con o sin sp1. Microsoft tiene parche para las demas aplicaciones.
Ademas insistir que a mi se me ha colado a pasar del fierwall por dos veces... en la que casualmente estaba mirando esas paginas "malignas"
de astalavista por lo que ojito con estas paginas que cada da estan mas llenas de dialers, virus y troyanos que se instalan solo con visitarlas.... los antitroyanos solo me detectaban la actividad en los puertos mencionados ..y le pase tres! (lo tenia actualizados).
Zaka si lo tienes a bien, enriqueciendolo con alguna direcccion de parches, podias dejarlo como manual mientras el virus este vigente.
Ya que. la verdad. a parte del ruido mediatico, para los consumidores domesticos se trata de un virus mas inorportuno que destructivo que con cuatro clips nos lo quitamos de encima.
Hasta pronto Laughing