Antivirus, Antispam, Antispyware » Malware

Registry Optimizer de Aido

AntiVirus — Tue, 18 Aug 2009 10:29:06 +0000

El Rogue Registry Optimizer de Aido se basa en el gusano Harakit.D, que tras ser ejecutado se descarga una actualización sin contar con la intermediación del equipo infectado. Este gusano realiza una serie de modificaciones sobre el registro de Windows, que hace que se ejecute en cada reinicio del sistema y cuando se abre el navegador de internet, además de, obviamente, propagarse a otros equipos.

Registry Optimizer de Aido

Con una gran interfaz de usuario, donde hasta se puede ver un contrato de licencia (CLU) y una serie de premios que “ha recibido” el falso software, el Rogue Registry Optimizer de Aido que hacen que el usuario mas confiado “pique” y permita que el software se aloje en su equipo.

Como se propaga

Se propaga como casi todos los software maliciosos, o bien por unidades de red compartidas o por medio de dispositivos USB, haciendo una copia de si mismo en el directorio raíz del dispositivo, creando un fichero autorun.inf para reproducirse automáticamente en cuanto se enchufe el dispositivo.

Que es Registry Optimizer de Aido

Por su parte, Registry Optimizer es un nuevo ejemplar de los cada vez más comunes falsos antivirus. Recomendamos, una vez mas, que cada vez que se descargue algún antivirus se contraste la fuente con la lista de fabricantes de antivirus verdaderos, para evitar, en la medida de lo posible, errores en la descarga y que, en caso de ser un “antivirus de pago” (que existen) el creador del malware es capaz de robar los datos bancarios o tarjetas de crédito de los usuarios a la hora de realizar la transacción económica.

Registry Optimizer de Aido

En la imagen podeis ver que el Registry Optimizer, una vez instalado, lanza un supuesto análisis del PC, para mostrar una serie de amenazas (todas falsas, como no), crear un icono en el escritorio y abrirse cada vez que el ordenador se reinicia, dando opción al usuario a registrar el producto a cambio del pago de la licencia, con lo que consigue, además, los datos bancarios como hemos dicho antes.

Como saber si se está infectado con el Registry Optimizer de Aido. ¿Como saber si tienes el Registry Optimizer?

En caso de que aparezcan en tu ordenador los siguientes ficheros:

%Archivos de Programa%\Adio Registry Optimizer\DIORO.exe
%Archivos de Programa%\Adio Registry Optimizer\UNINST.EXE

Y en el registro de Windows las siguientes claves

Clave: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor: Adio Registry Optimizer = C:\Archivos de programa\Adio Registry Optimizer\adioro.exe /s
Mediante esta entrada, RegistryOptimizer consigue ejecutarse cada vez que Windows se inicia.
Clave: : HKEY_CURRENT_USER\Software\Adio Registry Optimizer\adioro\UI
Valor: Valor: Last Scan = %fecha y hora%
Clave: HKEY_CURRENT_USER\Software\Adio Registry Optimizer\adioro\UI
Valor: Last Scan Result = 4E, 00, 00, 00
Clave: HKEY_CURRENT_USER\Software\Adio Registry Optimizer\adioro\UI
Valor: Selected Modules = 01, 01, 01, 01, 01, 01, 01, 01, 01, 01, 01, 01, 01
Clave: HKEY_LOCAL_MACHINE\SOFTWARE\Adio Registry Optimizer
aid = 5
Clave: HKEY_LOCAL_MACHINE\SOFTWARE\Adio Registry Optimizer
Installdate = %fecha y hora%
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ App Paths\ adioro.exe
(Default) = C:\Archivos de programa\Adio Registry Optimizer\adioro.exe
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: DisplayIcon = C:\Archivos de programa\Adio Registry Optimizer\adioro.exe
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: DisplayName = Adio Registry Optimizer 1.5
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: DisplayVersion = 1.5
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: NSIS:StartMenuDir = Adio Registry Optimizer
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: Publisher = AdioSoft Inc
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: UninstallString = C:\Archivos de programa\Adio Registry Optimizer\uninst.exe
Clave: HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Adio Registry Optimizer
Valor: URLInfoAbout = hxxp://www.adioro.com

Como eliminar y quitar el Registry Optimizer de Aido

Para eliminar el Registry Optimizer de Aido intente restaurar el sistema a una fecha anterior a la infección, a un punto de restauración anterior, en caso de que sepa cuando fué infectado. Recuerde que esto también afectará a los programas y ficheros que usted haya podido modificar, crear o instalar a posteriori de la fecha de restauración.

En caso de que no funcione o no pueda restaurar el sistema, para quitar el Registry Optimizer de Aido pruebe lo siguiente:

Desactivar temporalmente la Restauración del Sistema.
Reiniciar el ordenador a Modo a Prueba de Fallos.
Con un antivirus actualizado, borre y ataque todos los archivos infectados.
Elimine los archivos explicados en ¿Como saber si está infectado?
En caso de no poder eliminar el virus por estar en ejecución, abra el Administrador de Tareas y detenga el nombre del Proceso que esté trabajando en ese momento activo por el virus y vuelva al paso numero 4.
Edite el registro y elimine los parámetros explicados en ¿Como saber si está infectado?
Eliminar archivos temporales
Reiniciar el ordenador

Como se propaga el Registry Optimizer de Aido

La propagación habitual de este tipo de aplicaciones fraudulentas se realiza a través de las redes para compartir archivos y los usuarios suelen descargarlos involuntariamente al estar bajo otro nombre o junto a contenidos deseados. Otra manera por la que puede propagarse es mediante páginas que anuncian las bondades del programa y permiten que el usuario lo descargue voluntariamente, pensando que es una muestra gratuita o de prueba y que va a resolver sus necesidades. En el caso de este programa fraudulento, la página mostraba incluso premios “otorgados” para mostrarse más creíble.

Fuente: Enciclopedia de Panda Security +

Posts relacionados

Surgen dos nuevos malware para Mac

AntiVirus — Fri, 12 Jun 2009 07:43:58 +0000

El primero de los malware, Tred-Fam, es un gusano que se expande a través de los adjuntos del correo electrónico, y es una variante de la conocida familia Tored de malware que está circulando desde el año pasado. El gusano recoge direcciones de correo electrónico y se envía a sí mismo. Los análisis de la empresa de seguridad Sophos sugieren que se está utilizando para crear un botnet de Mac denominado Raedbot, creado por un escritor de malware apodado Ag_Raed.

El segundo malware es un troyano llamado Jahlav-C que está incluido en un sitio online aparentemente de pornografía. Se enmascara como un códec de vídeo ActiveX que necesita descargarse para poder ver el contenido.

Graham Cluley, consultor tecnológico de Sophos dice que aunque hay mucha gente que compra ordenadores Apple porque son más atractivos en cuanto a diseño, otros muchos se pasan a Mac “porque están hartos del spyware, ventanas emergentes y ataques de virus”. Pero con el tiempo es probable que los problemas de seguridad de Windows se trasladen a Mac.

Fuente: Rosalía Arroyo [11-06-2009]

Posts relacionados

Antivirus para Apple (0)

FakePowav.B

AntiVirus — Mon, 18 May 2009 12:49:09 +0000

Este troyano es una variante de la familia Win32/FakePowav que imita a la perfección la herramienta de eliminación de software malintencionado de la compañía Microsoft. Cuando el troyano se ejecuta, va mostrando falsos mensajes de alarma, mensajes de compras de software de seguridad y similares, en busca de que el atacado realice transacciones en sus páginas y hacerse con los códigos de la tarjeta de crédito. El troyano no puede difundirse por si mismo, sino que requiere la participación de que el usuario se lo descargue y se lo instale.

Microsoft Malicious Software Removal Tool is installed. Click this message to start scanning process or it will start automatically in 10 seconds.

FakePowaw.b. Primera muestra de ataque

Si se realiza el clic o si se agotan los 10 segundos que muestra la pantalla, el siguiente pop-up aparecerá, simulando que realiza operaciones de análisis en el ordenador atacado. Decimos simulando por que el análisis no se lleva a cabo en realidad.

Quick scan in progress. The tool is scanning your computer for prevalent malicious software.

FakePowaw.b Segundo pantallazo

El falso antisoftware malicioso FakePowav.B “encuentra” una serie de infecciones en el equipo atacado:

Kelogger.Stawin
Spyware.ActivityKey
W32.Rinbot.H
W32.Rinbot.H

FakePowaw.b Pantallazo3

Y te “incita” a adquirir un antivirus con el siguiente mensaje:

The tool can’t remove all malicious software shown in the scan results. Because malicious software is present on your computer, you should use an antivirus product to scan for and remove all malicious software.

Mostrando una ventana donde podrás “comprar” los softwares de antivirus mas famosos del mercado: Norton, McAfee,…

OEM Purchase Center. This service helps keep your computer more secure and up to date with latest software for Windows.

FakePowaw.b Pantallazo de compra

Puedes cerrar la ventana sin comprar, pero aparecerá una burbuja en la barra de tareas inferior donde aparece el siguiente texto:

Security warning. Your computer is infected with malicious software. You should use antivirus product to remove it. Click this message to purchase recommended antivirus software.

FakePowaw.b Burbuja remanente

Sin embargo, en caso de que el atacado sea incauto y se dirija a la compra del software de antivirus, la web que se abrirá será oem-micro-store.com

El troyano FakePowav.B se mostrará con la siguiente pantalla, donde imitará al Windows Security Center, y le mostrará como si el antivirus, la protección contra virus estuviera deshabilitada.

Troyano FakePowav.B Security Center.exe

Como saber si se está infectado con el FakePowav.B. ¿Como saber si tienes el FakePowav.B?

En caso de que aparezcan en tu ordenador los siguientes ficheros:

Carpeta de Archivos de programas\MalwareRemoval\MalwareRemoval.exe
Carpeta de Archivos de programas\MalwareRemoval\Security Center.exe
X:\Windows\Profiles\{nombre de usuario}\Application Data\1\spl.ini
X:\Windows\Profiles\{nombre de usuario}\Application Data\MalwareRemoval\MalwareRemoval.ini

En caso de manejar otros Windows como el NT, la carpeta de Archivos de Programas podría ser C:\Program Files y en el caso de la carpeta de Application Data C:\WINNT\Profiles\{nombre de usuario}\Application Data

En caso de manejar windows 2000, XP o Server 2003, la carpeta de Aplication Data sería C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data

Como eliminar y quitar el FakePowav.B

Para eliminar el FakePowav.B intente restaurar el sistema a una fecha anterior a la infección, a un punto de restauración anterior, en caso de que sepa cuando fué infectado. Recuerde que esto también afectará a los programas y ficheros que usted haya podido modificar, crear o instalar a posteriori de la fecha de restauración.

En caso de que no funcione o no pueda restaurar el sistema, para quitar el FakePowav.B pruebe lo siguiente:

Desactivar temporalmente la Restauración del Sistema.
Reiniciar el ordenador a Modo a Prueba de Fallos.
Con un antivirus actualizado, borre y ataque todos los archivos infectados.
Elimine los archivos explicados en ¿Como saber si está infectado?
En caso de no poder eliminar el virus por estar en ejecución, abra el Administrador de Tareas y detenga el nombre del Proceso que esté trabajando en ese momento activo por el virus y vuelva al paso numero 4.
Edite el registro y elimine los parámetros explicados en ¿Como saber si está infectado?
Eliminar archivos temporales
Reiniciar el ordenador

Fuente: Microsoft(+)

Posts relacionados

Tercera variante del Downandup/Conficker: W32 Downandup C

AntiVirus — Mon, 09 Mar 2009 16:19:10 +0000

Como no podía ser de otra forma, ya apareció una nueva variante del Downandup, mucho mas virulenta que la anterior y permite el ejecutar instrucciones mucho mas poderosas y peligrosas, como desactivar el software del antivirus, así como el correr herramientas de análisis para poner en peligro el ordenador infectado.

El W32 Downandup C, la nueva versión del Conficker, consiste en un componente modular dirigido contra máquinas ya infectadas con el gusano. La buena noticia es que este componente no está diseñado para autoreplicarse, que hace asemejarse el nuevo módulo a un troyano, en vez de un gusano, como ocurría con el Downandup A y el Downandup B.

Vincent Weafer, vicepresidente de Symantec Security Response declaró:

Debe pensarse en este malware como si se tratara de un módulo de actualización que hace al software original más agresivo, más fuerte y capaz de defenderse a sí mismo.

El viernes pasado la compañía de seguridad Symantec puso sobre aviso a la comunidad tras ser descubierta por uno de los “cebos” y, en plena fase de investigación, se espera poder mostrar la información obtenida en pocos dias.

Las máquinas, basadas en Windows, que ya estén infectadas de las variantes anteriores del Downandup / Conficker deben protegerse sobremanera de esta nueva mutación, porque el malware está diseñado principalemnte para desactivar el software antivirus, con todo lo que esto conlleva.

Posts relacionados

Ataques a redes sociales

AntiVirus — Sun, 28 Dec 2008 11:41:21 +0000

En una entrevista realizada a Eugene Kaspersky, presidente de la firma de Antivirus Kapersky Lab, el señor Kaspersky afirmó que los ataques no sólo se dan en la Web 2.0, sino también en instituciones bancarias, con el fin de robar identidades, lucrarse con ellas y obtener jugosas ganancias. Además comentó que los cyber-atacantes no son orihundos de estos paises, sino mas bien de China y Rusia.

Los ataques por uso de codigo malicioso, virus, troyanos y similares son los mas usados para hacerse con las transacciones bancarias a través del acceso para posterior robo de sus bases de datos. Así pues el modus operandi es claro: acceso a los sistemas de instituciones financieras para la obtención de cuentas de correo electrónicos y conseguir hacerse con el control de los usuarios de bancos, muchos mas facil de “timar” que una gran entidad bancaria.

También habló Dmitry Bestuzhev, analista de virus para América Latina de Kaspersky Lab.,

estos ataques son producidos en la impunidad total, ya que en la región, en especial en México, no hay una regulación adecuada para atacar a los delincuentes cibernéticos. Si bien en el país existe una Policía Informática, la Agencia Federal de Investigación (AFI) sólo se concentra en investigar redes de criminales de pornografía infantil que utilizan la Internet, sin considerar que existen otras áreas descuidadas como es el robo de identidad y la sustracción de recursos a través de transacciones bancarias, e incluso, en las nuevas modalidades para robar recursos vía SMS en celulares.

A través del engaño a usuarios desprevenidos los cibercriminales cometen sus fechorías. Mediante supuestos premios obtenidos en concursos, se envían mensajes SMS, diciendo que se ganó un premio, y sólo debe reenviar el mensaje con alguna leyenda. Con ello, los delincuentes roban identidad y el saldo del teléfono celular.

La mayor parte de estos robos se deben, sobre todo, al descuido de los usuarios que carecen de una cultura informática que dejan “abiertas las puertas” a los cyber-delincuentes: son los mas propensos a contestar ataques de phishing, contestar mensajes en los teléfonos moviles y similares.

Números de la ciberdelincuencia

Cada dos segundos se genera un virus malicioso (malware) de toda especie, desde troyanos hasta gusanos y códigos spyware. China es la nación que más genera virus en el mundo, con alrededor de 100 mil virus por día, muchos de los cuales violan la seguridad de los antivirus.

Posts relacionados

Como quitar el virus ·ANTIVIRUS 2009·

AntiVirus — Mon, 27 Oct 2008 22:20:07 +0000

El falso antivirus 2009 se promociona como un antivirus gratuito, pero en realidad, es un falso antivirus, en otras palabras, es un software malicioso: un spyware. La palabra usada para este tipo de programas se ha heredado del inglés y se denomina ”Rogue”. El falso antivirus 2009 es un clon, una copia del falso antivirus 2008 y, a su vez, tiene varios clones que se eliminan de la misma forma: System Antivirus 2008, Ultimate Antivirus 2008, Vista Antivirus 2008, XP Antivirus 2008 etc.

Como sus predecesores, el Antivirus2009 usa troyanos tales como Zlob o Vundo para entrar en tu ordenador. Estos troyanos suelen venir camuflados en codecs de video o juegos de descarga gratuitos de dudosa procedencia. Una vez que los troyanos se instalan, van soltando pop-ups con falsos anuncios en el que te avisan de que tu ordenador ha sido infectado. Debido a estos continuos anuncios de virus, muchos de los usuarios clican en los anuncios que aparecen una y otra vez. Estos popups avisan de falsos virus y falsos programas espias.

El falso antivirus 2009 secuestra google

Si el usuario intenta hacerse con un antivirus de los conocidos, como www.mysecuritycenter.com, el troyano redirige a los sitios GoogleScanners-360.com, BestAntivirusScan.com and SecureClick1.com sitios de venta de programas de malware. Así pues, el usuario del ordenador

Asi pues, el falso “antivirus 2009″ es un spyware malicioso que utiliza un montón (decenas) de avisos falsos, avisos publicitarios en forma de pop-ups, mostrando información falsa sobre infecciones, eliminacion de esas falsas infecciones y asustar al usuario, con lo que incitas al internauta a bajarte el nuevo antivirus 2009, de forma gratuita.

Y el internauta suele “picar”.

Como eliminar este falso Antivirus 2009

Recomendamos, siempre, antes de navegar por internet, comprar un buen antivirus. Si el virus ya se ha instalado, recomendamos realizar los siguientes pasos:

Desactivar la opcion de “Restaurar el Sistema”
Descargar el CCleaner
Descargar el Ad-aware
Descargar el Spybot Search & DestroyBueno, si ya tenemos todos los programas en nuestro poder (OJO, NO INSTALADOS), seguimos:
Reiniciar el PC y antes de que windows se ejecute, pulsar F8
Elegir la opcion “Modo Seguro” (con la ejecución en “Modo Seguro” evitamos que, temporalmente, ese virus llamado “Antivirus 2009″ se active)
Ejecutar limpieza con el CCleaner y seleccionar la opcion de eliminar las cookies y los archivos temporales
Pasar el Ad-Aware en “Análisis completo”, con lo que eliminaremos las posibles entradas sospechosas
Analizar con el Spybot Search & Destroy, buscando el “Analizar problemas”, con lo que intentaremos eliminar cualquier posible entrada comparativa que se nos haya escapado en los pasos 6 y 7

En este momento sería el mejor momento para instalar el antivirus de MySecurityCenter. Con un escaneo de tu antivirus, al reinicar el PC, en circunstancias normales, ya no debe estar.

Otra forma de eliminar este falso Antivirus 2009

Descargar el programa que elimina unos softwares de antispyware denominado Malwarebytes Anti-malware
Reiniciar el PC y antes de que windows se ejecute, pulsar F8
Ejectuar el Malwarebytes Anti-malware y “analizar”
Cuando aparezcan los programas, hay que seleccionar la opcion de quitar de la lista.
Reiniciar el equipo

Comportamiento del Antivirus 2009

Ralentizar el PC.
Produce falsos positivos (realmente produce ventanas simulando el antivirus).
Secuestra la página de Google (como hemos visto en la imagen anterior), con la recomendación de comprar la versión de pago.

Posts relacionados

No Related Post