problemas con W32/Sdbot.BHV.worm

Jorge Muñoz · Mensaje por **Jorge Muñoz** » 08 Mar 2005, 12:32

HOla, espero me puedan ayudar a eliminar este bicharraco que se encontré en mi pc.... me lo detectó Panda, pero no lo puede eliminar, por su ayuda gracias....

Mensaje por **maura63** » 08 Mar 2005, 12:41

Has pasado Panda desactivando rstaurar sistema y lanzandolo en modo seguro?

Saludos

maura63

Jorge Muñoz · Mensaje por **Jorge Muñoz** » 08 Mar 2005, 12:47

Mira, sólo pasé el panda free, y me dijo que este virus no lo podía eliminar, al parecer es un virus espía...... ¿hay algo para eliminar los espias?...

Mensaje por **maura63** » 08 Mar 2005, 12:54

Prueba esta utilidad a ver si contempla la variante

https://foros.zonavirus.com/viewtopic.php?p=83#83

Saludos

maura63

Jorge Muñoz · Mensaje por **Jorge Muñoz** » 08 Mar 2005, 13:23

Lo corrí, y no lo contempla...

Mensaje por **msc hotline sat** » 08 Mar 2005, 13:32

Pues arranca en modo seguro con funciones de red y restauracion de sistema deshabilitada y lanza este antivirus ONLINE que te lo eliminará

https://www.virustotal.com/es/

saludos

ms, 8-03-2005

Mensaje por **msc hotline sat** » 08 Mar 2005, 13:47

Buscando informacion de este virus Sdbot.BHV, no encontramos documentacion tecnica suficiente para añadirlo al ELITRIIP.EXE

Mira si puedes enviarnos muestra del fichero que te detecta infectado (el gusano) a zonavirus@satinfo.es anexado a un mail cuyo texto sea un copiar y pegar de este post para poder contestarte como respuesta de este tema

saludos

ms, 8-03-2005

Mensaje por **maura63** » 08 Mar 2005, 15:02

Informacion

WORM_SDBOT.AIX

Alias: W32/Sdbot.worm.gen.h, Backdoor.Win32.SdBot.gen, W32/Sdbot.BRL, Backdoor/SDBot.Server.Variant, Win32.Slinbot.VB, Win32.IRC.Bot.based, [color=red]W32/Sdbot.BHV.worm[/color], IRC/BackDoor.SdBot.104.AI

Worm/Backdoor

Pericolosità: Bassa

Sistemi operativi interessati: Win9x/ME/NT/2000/XP

Data scoperta: 2005-01-12

a cura dello staff di http://www.alground.com

A cura di: Amvinfe

Si propaga principalmente attraverso programmi P2P (Kazaa, Emule...) , capace di risiedere in memoria sfrutta la funzione NetBEUI per individuare user e password della macchina appena infettata attraverso un bug conosciuto ( RPC DCOM ) su sistemi non patchati. Compresso con l'tulity Yoda Crypt e scritto in Microsoft Visual C++ è capace d'infettare tutti i sistemi su piattaforma Windows, ha capacità di backdoor connettendosi da remoto ad un server IRC

· Channel: ##rbot##

· Nick: monitor

· Server: http://www.slaimer.gigan.to

Potrà quindi terminare il sistema, avere informazioni della macchina, terminare processi, ma anche scaricare od inviare files, inoltre può rubare informazioni attraverso chiavi di registro collegate a programmi o giochi installati sulla macchina infetta. Ha inoltre la capacità di terminare programmi antivirus e firewall.

Installa nella %SysDir% il file WIN32S.EXE (76,3 KB) e per assicurarsi di venir caricato ad ogni riavvio aggiunge il valore Sysgate Personal Firewall = "win32s.exe" nelle chiavi

HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices

HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run

Soluzione: N.B. Prima della rimozione fare il backup del registro. Riavviamo in Modalità provvisoria (premendo il tasto F8 al caricamento del sistema), entriamo nella Task (Ctrl+Alt+Canc nei sistemi operativi 9x e ME o Ctrl+Shift+Esc nei sistemi operativi NT, 2000 e XP), e terminiamo, se presente, l'applicazione aggiunta dal worm. Chiudiamo la Task. Cerchiamo ed eliminiamo (anche dal cestino) il file WIN32S.EXE dalla %SysDir%.

Portarsi in

HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices

HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run

cliccare sulla cartellina gialla della chiave "Run" e "RunServices", nella finestra di dx cliccare di dx sul valore Sysgate Personal Firewall = "win32s.exe" e successivamente su Elimina.

Riavviare il computer.

Fare una scansione, sempre dalla modalità provvisoria, con l'antivirus aggiornato. Riavviare in modalità normale. N.B. Prima della procedura di rimozione ricordarsi che su sistemi operativi WinME e WinXP si consiglia di disabilitare il Ripristino di configurazione del sistema (System Restore). Procedure per il Ripristino di configurazione del sistema: Su Sistemi Operativi WinME: Click su Start, da Impostazioni click su Pannello di Controllo, doppio click su Sistema e cliccate sulla scheda Prestazioni. Click su File System quindi sulla scheda Risoluzione dei problemi e selezionate Disattiva ripristino configurazione di sistema, date OK quindi cliccate su Chiudi, vi verrà chiesto di riavviare il computer. Su Sistemi Operativi WinXP: Click su Start, click con il tasto dx del mouse su Risorse del Computer poi su Proprietà. Click sulla scheda Ripristino configurazione di sistema mettere la spunta su Disattiva Ripristino configurazione di sistema o su Disattiva Ripristino configurazione di sistema su tutte le unità, click su Applica click su Sì e poi su OK, riavviare. N.B. Terminata la rimozione del virus, riattivare il Ripristino di configurazione del sistema.

Nota: installare un firewall

Categoria: Worm/Backdoor

Data: 2005/01/12

[color=red]Aliases[/color]: W32/Sdbot.worm.gen.h, Backdoor.Win32.SdBot.gen, W32/Sdbot.BRL, Backdoor/SDBot.Server.Variant, Win32.Slinbot.VB, Win32.IRC.Bot.based, [color=red]W32/Sdbot.BHV.worm[/color], IRC/BackDoor.SdBot.104.AI

Piattaforme interessate: Win9x/ME/NT/2000/XP

Saludos

maura63