Nuevo virus “Backdoor Control Total” que se disfraza con falso icono de EliPen y con nombre SVCHOST.EXE

Como sea que nuestra utilidad ELIPEN es muy utilizada por gran cantidad de usuarios con el fin de protegerse contra la propagación de virus de dispositivos de almacenamiento USB, tan de moda últimamente, han creado un nuevo y peligroso virus denominado BACKDOOR CONTROL TOTAL con dos trampas para confundir al usuario:

• La primera es utilizar, para el mismo, el nombre del conocido fichero SVCHOST.EXE, que es el lanzador de aplicaciones de Windows, propio del sistema (evidentemente en otra carpeta)

• La segunda y que nos fastidia especialmente, es que dicho virus utiliza como icono el de nuestra utilidad ELIPEN, con lo que fácilmente se puede ejecutar por error, creyendo que se está lanzando nuestra utilidad, y al no ser controlado todavía por los actuales antivirus, quedar residente el backdoor en cuestión.

El usuario se dará cuenta de que no es la aplicación en cuestión, pero ya tendrá instalado y residente el malware. Conviene tener cuidado de no ejecutar aplicaciones de origen desconocido, aunque el nombre o el icono sea conocido.

Su tamaño lo delata, en lugar de los 10 a 15 KB del SVCHOST.EXE según versión y parches aplicados, y similar tamaño del ELIPEN actual, este farsante tiene más de 80 KB
 

Acciones

Abre una puerta trasera del sistema, con los peligros que ello entraña.

Como dato anexo, este backdoor excluye del escaneo de algunos antivirus, los nombres de los ficheros que usa, para que así, aunque pase a ser controlado, no sean detectados y consecuentemente eliminados por el antivirus.

Crea tres ficheros en C:\windows\ con extensión .win y la habilita como ejecutable en el registro de sistema, también crea 3 claves para ejecutarse automáticamente al iniciar el sistema, y crea una copia de sí mismo en dicha carpeta, programando su ejecución como servicio.

Otras consecuencias son que deshabilita el cortafuegos de Windows y el editor de registro de sistema.

Propiedades

La siguiente imagen es una captura de pantalla de las “propiedades” del fichero, donde se ve el icono usado y el nombre utilizado, así como su tamaño y ubicación:

Eliminación

Se puede detectar y eliminar con nuestra utilidad EliTriIP a partir de la v4.64.

También con EliTriIP pasamos a controlar a partir de ahora esta nueva extensión .WIN , eliminamos dichos ficheros y restauramos las modificaciones efectuadas al respecto.

Ya se ha enviado muestra urgente a McAfee para su control en próximas versiones, lo cual ahora solo hacen heurísticamente como New Malware.

Pulse aqui para descargar la utilidad EliTriIP

SATINFO, SERVICIO DE ASISTENCIA TÉCNICA INFORMATICA   25 de Abril de 2008

Anterior