Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Categoría: 1 (muy bajo riesgo)
Tipo: Troyano
Sistemas afectados: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Medio de contagio: Puertos 6667 y 9999 usando el TCP
Fecha de descubrimiento: 17 de enero de 2005
Acciones que toma:

1. Crea una copia de si mismo en la máquina infectada en %Windir%\msdevmgr32.exe.
2. Crea esta entrada: "Microsoft Device Manager" = "%Windir%\msdevmgr32.exe" en esta clave del registro HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run , de manera que cada vez que windows arranca, el troyano se inicia.
3. Se conecta al servidor de IRC xpsgamemail.gotdns.com en el puerto TCP 6667 y se une al canal ##rofl.
4. Abre una puerta trasera en el puerto 9999 y espera por los comandos del atacante remoto.
5. El atacante puede tomar una de las siguiente acciones
   • Descargar y ejecutar archivos
   • Borrar archivos
   • Desinstalar la puerta trasera
   • Descargar e instalar actualizaciones
   • Realizar un ataque de denegación de servicios en una tercera computadora
   • Hacer capturas de pantalla
   • Captura imágenes desde una webcam
   • Captura secuencias de teclado
   • Busca servidores SQL en los que el Administrador no ha asignado una clave
   • Busca computadoras con esta vulnerabilidad
6. Crea una mutación de si mismo llamada «winsockdevice32» y solo una copia del virus se ejecuta al mismo tiempo.

Eliminación:

Automaticamente:
Actualizar las definiciones del antivirus y ejecutarlo efectuando un análisis profundo y completo del sistema.

Manualmente:

1. Eliminar este valor: "Microsoft Device Manager" = "%Windir%\msdevmgr32.exe" de la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run.
2. Ejecutar el antivirus en modo análisis completo y borrar los archivos infectados

---

Comentario:
Es un virus con efectos bastante desagradables e incómodos dado que puede robar información personal, sin embargo, en estos momentos, el canal de IRC está bloqueado y el virus se elimina con casi cualquier antivirus, por lo que no debe ser un problema en absoluto

Páginas de referencia:
Inglés