Foros de Emudesc

Últimamente en algunas máquinas que he revisado en mi universidad he encontrado un malware llamado VenoM. Lo considero un gusano pues a pesar de que no he revisado si tiene más métodos de propagación, sí he notado que se copia a memorias flash USB y genera un archivo autoejecutable (un autorun.inf) para que el malware se ejecute al conectar la memoria USB al PC.

No es un malware que presente mucha dificultad para eliminarlo, si bien la desinfección manual puede ser un poco laboriosa, sólo basta con seguir los pasos que aquí describo.

Entre los síntomas que pude observar se encuentran:


La aparición de uno o varios mensajes en el Bloc de Notas diciendo: "El juego ha terminado. Tu has sido derrotado por VenoM", seguido por la palabra VenoM dibujada ccon ceros.
Deshabilita el editor del registro.
Deshabilita el administrador de procesos.
Oculta la opción "Opciones de Carpeta" del menú Herramientas (o en el menú Ver según la versión de Windows) del Explorador de Windows.
Oculta los archivos ocultos y las extensiones de archivos.
Oculta la carpeta del sistema (Windows) y crea un archivo ejecutable con ícono de carpeta de nombre Windows en la unidad del sistema.
En algunas carpetas crea un archivo autorun.inf para que al entrar a dicha carpeta, se ejecute el virus.
Crea varias entradas en el registro de Windows.
Crea varios archivos ejecutables en diferentes ubicaciones del sistema. Se caracterizan por ser ejecutables con íconos de carpeta, generalmente con nombres de carpetas existentes. Poseen un tamaño alrededor de 180 a 185 KB.

No estoy seguro al 100% de qué archivos son los que realmente pertenecen a este malware, pues entre las máquinas que he revisado he encontrado señales de otras infecciones. Pero aquí dejo una guía de cómo eliminar los principales archivos de VenoM y evitar que siga corriendo en el sistema.

La única herramienta que necesitaremos será HijackThis 1.99.1 o superior.

Ejecuta HijackThis y realiza un escaneo del sistema. A continuación presiona el botón Config..., luego Misc Tools y por último selecciona Open process manager. Aparecerán todos los procesos que corren en tu sistema.

En específico, tienes que terminar los siguientes procesos (en este caso específico la letra de la unidad es C:\, es posible que no todos los procesos aparezcan):

C:\WINDOWS\System\winlogon.exe <-- Ojo, está ubicado en la carpeta System y no en System32
C:\Documents and Settings\usuario\Menú Inicio\Programas\Inicio\MS-DOS.pif
C:\VenoM.666\explorer.exe
C:\WINDOWS\system32\cmd.exe <-- Este es el archivo real de Windows, pero hay que finalizar su proceso para poder realizar la desinfección
C:\Documents and Settings\usuario\Datos de programa\lsass.exe

Para terminar un proceso lo único que debes hacer es seleccionar el proceso y presionar el botón Kill process. Para eliminar varios procesos a la vez, mantén presionada la tecla Shift mientras seleccionas cada proceso.

Una vez terminados los procesos anteriores, presiona el botón Back en HijackThis. Regresarás al escaneo que realizaste anteriormente. Ahora marca las casillas de las siguientes entradas:

O4 - HKLM\..\Run: [CFTMON.EXE] C:\WINDOWS\System\winlogon.exe
O4 - HKCU\..\Run: [CFTMON.EXE] C:\Documents and Settings\usuario\Datos de programa\smss.exe
O4 - Startup: MS-DOS.pif = ?
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1

Una vez seleccionadas dichas casillas, presiona el botón Fix checked. Realiza otro escaneo para asegurarte que las entradas ya no aparecen. Una vez eliminadas estas entradas puedes cerrar HijackThis.

Ahora ya podrás abrir el Editor de registros. Dirígete a Inicio >> Ejecutar >> y escribe "regedit" (sin las comillas por supuesto) y presiona Aceptar.

Una vez adentro expande la carpeta (o clave) correspondiente a HKEY_CURRENT_USER. Podrás notar de inmediato que exiten unas claves que dicen VenoM y un número aleatorio. Elimina todas las claves dando click derecho sobre la clave y seleccionando Eliminar. Es posible que veas aquí muchas entradas relativas al VenoM, así que una forma más rápida de eliminarlas es usando sólo el teclado. Selecciona la clave de hasta arriba y todo es cuestión de presionar la tecla Suprimir (Supr) y luego Enter sucesivamente.

Una vez eliminadas todas esas claves, expande las claves siguiendo la siguiente secuencia: HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies.
Debajo de Policies hay dos claves: Explorer y System. Entra a System y elimina los valores llamados DisableTaskManager y DisableCMD, dando click derecho sobre el valor y seleccionando eliminar. Ahora dirígete a la clave Explorer, donde sólo queda eliminar el valor NoFolderOptions.

Cierra el Editor del registro y ahora abre el Explorador de Windows. Puedes abrirlo dirigiendote a Inicio >> Programas >> Accesorios >> Explorador de Windows o presionando la tecla Windows y la tecla E al mismo tiempo (Windows+E). Aquí el Explorador de Windows es importante, porque tenemos que explorar las carpetas desde la estructura de árbol de la izquierda para no ejecutar los archivos autorun.inf que se encuentran en algunas carpetas, como en C:\ por ejemplo. Navega por las carpetas de esta forma por lo menos hasta haber quitado la infección.

Primero intenta mostrar los archivos ocultos de nuevo. En Windows XP la opción estará en el menú Herramientas >> Opciones de Carpeta. En versiones anteriores de Windows la opción estará en el menú Ver. Si la opción no aparece tendrás que reiniciar el sistema. No debería haber problema de reinfección pues hemos eliminado todas las entradas de arranque del malware. Si la opción Opciones de Carpeta aparece, entonces selecciónala, dirígete a la pestaña Ver y selecciona la opción "Mostrar todos los archivos y carpetas ocultos". También desmarca las casillas "Ocultar archivos protegidos del sistema operativo" y "Ocultar las extensiones de archivo para tipos de archivo conocidos". Presiona el botón Aceptar.

En el Explorador de Windows dirígete a la unidad del sistema (generalmente es C:\). Una vez ahí elimina la carpeta oculta VenoM.666 y los archivos crsvc.exe y autorun.inf. También elimina el archivo Windows.exe, asegúrate de que sea el ejecutable porque de otro modo estarías intentando borrar la carpeta del sistema (que puede aparecer como oculta, cambia sus propiedades seleccionando la carpeta con un click derecho >> Propiedades, y desmarca la casilla Oculto). También es probable que tengas un archivo ejecutable cuyo nombre sea el nombre de tu usuario y el texto "100%". Por ejemplo: "usuario 100%.exe" o "100% usuario.exe"

Sigue utilizando el Explorador de Windows para borrar los siguientes archivos. Antes de eliminar estos archivos, anota la fecha de creación y modificación (puedes verlas en el recuadro o tooltip que aparece al colocar el cursor encima del archivo o seleccionando la opción Propiedades al dar click derecho sobre el archivo) , las vas a necesitar después para buscar más archivos sospechosos.

C:\WINDOWS\System\winlogon.exe
C:\Documents and Settings\[usuario]\Datos de programa\smss.exe
C:\Documents and Settings\[usuario]\Datos de programa\services.exe <-- Puede no estar
C:\Documents and Settings\[usuario]\Datos de programa\winlogon.exe <-- Puede no estar
C:\Documents and Settings\[usuario]\Datos de programa\autorun.inf <-- Puede no estar
C:\Documents and Settings\usuario\Menú Inicio\Programas\Inicio\MS-DOS.pif

Abre el buscador de archivos (Tecla Windows + F o en Inicio >> Buscar) y en la opción Buscar todos los archivos y carpetas, escribe autorun.inf y realiza la búsqueda. Es posible que encuentres varios autorun.inf si tienes guardadas en el disco duro imágenes de CD's o DVD's. En ese caso ignóralas. Pero si ves archivos autorun.inf en otra ubicación revísalos (para revisar un autorun.inf basta con dar click derecho, seleccionar Abrir con.. y selecciona el Bloc de Notas para abrirlo) y si hacen referencia a algún archivo de los que acabas de borrar, o hace referencia a VenoM, entonces elimínalos.

Ahora realiza una búsqueda de todos los archivos ejecutables con iconos de carpeta que estarán regados entre tus archivos para eliminarlos. Podrías infectarte de nuevo si accidentalmente ejecutas uno de estos archivos.

La forma más fácil de buscarlos es escribir en el campo de búsqueda *.exe y usar las opciones "¿Cuándo fue modificado?" y "¿Qué tamaño tiene?" que ofrece el buscador de archivos de Windows. Establece la fecha que te pedí que anotarás previamente (intenta la búsqueda con fecha de creación y fecha de modificación). El tamaño de los archivos no pasa de 185 KB, pero para asegurarte establece un tamaño máximo de 190 KB.

Ahora sólo quedaría buscar por el archivo del dichoso mensaje del VenoM, el venom.txt. Utiliza el buscador para ubicarlo rápidamente. Generalmente se encuentra en las carpetas de los usuarios.

Existen muchas dudas en cuando a como eliminar este virus de las memorias usb, anteriormente les habíamos mostrado como hacerlo de su sistema operativo, pero no mencionamos como hacerlo de una memoria USB.

Antes que nada deberas conectar tu memoria usb infectada a tu pc, si tienes configurado tu windows para que te haga un scan de los dispositivos que le conectas dejalo hacer su trabajo y en el cuadro de dialogo que abre selecciona la opción cancelar



Ahora te vas a Inicio->Ejecutar-> cmd

Y te abrira el prompt de MS-DOS, verificamos cual la letra que se le asigno a nuestra USB en mi caso H: y nos cambiamos a ese directorio.

Una vez dentro de nuestra USB escribimos attrib -h -s el tiempo que tarda en ejecutarse esta instrucción es casi instantáneo, nos sirve quitarle los atributos de sistema y ocultos que se asigna automáticamente el virus. haciendo con esto es mucho mas fácil su eliminación.



Ok, si ya has realizado estos pasos lo siguiente es eliminar los archivos de nuestra usb abriremos el explorador de windows y nos ubicaremos en nuestra memoria usb. ES MUY IMPORTANTE QUE LA ABRAS DANDO CLIC DERECHO EXPLORAR, NUNCA DOBLE CLIC. De esta forma evitaremos el la ejecución del virus. Si haces doble clic el virus se duplicara nuevamente en tu pc.



Una vez dentro notaremos algunos archivos y carpetas nuevas en nuestra pc, estos son los archivos del virus, estos puedes eliminarlos manualmente sin mayor preocupación asi como cualquier otro archivo que contenga “100% algo”



Finalmente puedes hacer un scan a tu usb con cualquier antivirus, ( Yo uso el nod32 y me da buenos resultados) para eliminar cualquier otro fichero infectado.

Puede que a futuro salgan nuevas versiones de este virus, la clave para eliminar su ejecución esta en descubrirlo de la misma manera con el comando attrib -h -s y analizando el archivo autorun.inf (este lo puedes abrir con el bloc de notas sin mayor preocupacion)

En el caso del virus venom este es su contenido:

[autorun]
open=VenoM.666\Explorer.exe
shell\Open=
shell\Open\Command=.\VenoM.666\Explorer.exe
shell\Explore\=
shell\Explore\Command=.\VenoM.666\Explorer.exe
shell\find\=
shell\find\Command=.\VenoM.666\Explorer.exe
shell\CMD=Sïmbolo del sistema
shell\CMD\Command=.\VenoM.666\Explorer.exe

Ya con esto podemos darnos una idea de en que directorio de nuestra usb se encuentra alojado este molesto virus

La nueva versión presenta los siguientes síntomas:


Al intentar ejecutar o abrir archivos de extensión .inf, .ini, .js, .msc, .txt, .vbe y .vbs muestra el siguiente mensaje: "La fuente de voltaje no es suficiente para el correcto funcionamiento , QUÉMATE EN EL INFIERNO UN RATO e intentelo mas tarde." y una pantalla negra que muestra la palabra VenoM? formada por ceros.
Crea diversas claves en el registro con la frase: "Tú has sido derrotado de nuevo por VenoM"
Impide la ejecución de los siguientes ejecutables:

notepad.exe
cmd.exe
ibprocman.exe
explorer.exe
integrator.exe.exe
HijackThis.exe
wordpad.exe
rstrui.exe
msconfig.exe
regedit.exe
HiJackthis_v2.exe
Deshabilita la Búsqueda de Windows, la ventana de Propiedades de Mi PC, la Papelera de Reciclaje y oculta las Opciones de Carpeta. No permite ver archivos ocultos, del sistema, ni las extensiones de archivos.
Se copia a dispositivos de almacenamiento externo como memorias Flash USB, discos duros externos, etc.
Registra un controlador o driver como "driver lucifer (Satanas Resurrection Of The Hell 'Black Metal')".
Genera archivos ejecutables de 54 KB (algunas personas reportan tamaños diferentes) con icono de carpeta. Estos archivos ejecutables se crean dentro de la carpeta Mis Documentos y todas las carpetas dentro de ésta, creando un ejecutable (del mismo nombre de la carpeta) por cada carpeta existente.

Métodos de Propagación

Aparentemente este malware se propaga por medio de dispositivos de almacenamiento externo, como memorias USB, discos duros externos, etc.

Método de Desinfección (en sistemas Windows XP)

Actualizado al 7 de Septiembre, 2008: Ahora pueden usar la herramienta AntiVenoM, creada por Otr3puR, para desinfectar sus sistemas automáticamente: http://rapidshare.com/files/14292601...M_6.1.0.10.exe

Las siguientes instrucciones siguen disponibles para las personas que las encuentren útiles.

Las siguientes instrucciones son para Windows XP. Actualmente desconozco si esta versión de VenoM.Lucifer afecta a otras versiones de Windows. Hasta ahora no he visto reportes de usuarios que digan que afecten a Windows Vista u otras versiones.

Para la desinfección es necesario descargar la herramienta EliStarA (versión 16.84 o superior), que puede ser obtenida aquí: http://www.zonavirus.com/datos/desca...8/EliStarA.asp

Una vez descargado EliStarA sólo hay que ejecutarlo. Cuando EliStarA nos pregunte si deseamos limpiar el archivo HOSTS seleccionamos “Sí”. Esto debido a que VenoM agrega varias entradas al archivo HOSTS. Las demás preguntas que EliStarA hace con relación a Internet Explorer las podemos responder según lo consideremos útil (preguntará si deseamos eliminar las páginas de inicio y búsqueda y los archivos temporales, pero ninguna de estas tiene relación con esta variante de VenoM).

Cuando aparezca la ventana principal de EliStarA, éste probablemente ya habrá iniciado el escaneo y procederá a eliminar los archivos pertenecientes a VenoM que encuentre por el sistema, siempre y cuando la casilla “Eliminar ficheros automáticamente” esté seleccionada.

EliStarA hace todo el trabajo pesado por nosotros, matando procesos, borrando archivos, eliminando entradas del registro, restaurando configuraciones, etc. Hace un buen trabajo pero deja algunas entradas en el registro sin restaurar que pueden resultar molestas si no las cambiamos. Por ejemplo, cada vez que queramos abrir un archivo .txt, nos aparecerá un errorm pues en la información del registro se apunta a uno de los archivos de VenoM que fue eliminado por EliStarA.

Abrimos el Editor del Registro (Inicio >> Ejecutar >> y escribimos “regedit” sin las comillas). Una vez abierto expandimos la clave HKEY_CURRENT_USER y bajo esa clave veremos varias claves llamadas VenoM.LucifeR.xxx (donde xxx corresponde a un número de varios dígitos). Las eliminamos simplemente dando click derecho sobre cada clave y seleccionando la opción “Eliminar”.

Ahora navegamos por el árbol de directorios de la izquierda hasta llegar a la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\App Paths\VenoM.exe y también la eliminamos.

Para las siguientes claves hay que editar sus valores. A continuación coloco una lista de las claves que hay que editar y el valor que deben contener.

HKEY_CLASSES_ROOT\htmlfile\shell\open\command editar su valor predeterminado a C:\Archivos de Programa\Internet Explorer\iexplore.exe “%1”
HKEY_CLASSES_ROOT\inffile\shell\open\command editar su valor predeterminado a %SystemRoot%\NOTEPAD.EXE %1
HKEY_CLASSES_ROOT\inifile\shell\open\command editar su valor predeterminado a %SystemRoot%\NOTEPAD.EXE %1
HKEY_CLASSES_ROOT\jsfile\shell\open\command editar su valor predeterminado a %SystemRoot%\system32\WScript.exe “%1” %*
HKEY_CLASSES_ROOT\mscFile\shell\open\command editar su valor predeterminado a %SystemRoot%\system32\mmc.exe “%1” %*
HKEY_CLASSES_ROOT\txtfile\shell\open\command editar su valor predeterminado a %SystemRoot%\NOTEPAD.EXE %1
HKEY_CLASSES_ROOT\vbefile\shell\open\command editar su valor predeterminado a %SystemRoot%\system32\WScript.exe “%1” %*
HKEY_CLASSES_ROOT\vbsfile\shell\open\command editar su valor predeterminado a %SystemRoot%\system32\WScript.exe “%1” %*

Doy un ejemplo, explicando el procedimiento para editar la primera clave (editar las demás es prácticamente igual):

Navegamos hasta la clave HKEY_CLASSES_ROOT\htmlfile\shell\open\command, y en la ventana de la derecha veremos el valor predeterminado, que tendrá como datos el texto C:\Windows\system32\mshta.exe “%userprofile%\Plantillas\Leviathan.hta”. Modificamos este valor dando click derecho sobre el nombre (Predeterminado) y seleccionamos la opción Modificar, y sustituimos el valor anterior por el texto C:\Archivos de Programa\Internet Explorer\iexplore.exe “%1”.

EliStarA tampoco elimina los archivos AutoruN.inf que VenoM crea en cada unidad de disco. A esta altura estos archivos ya no sirven para nada así que simplemente eliminamos cualquier AutoruN.inf que se encuentre en la carpeta raíz de cada unidad de disco que tengamos visible en Mi PC.

Hasta aquí llegan los pasos que hay que realizar para desinfectar nuestro sistema de VenoM.Lucifer.

En los dispositivos externos crea una carpeta oculta llamada System Volume Information y dentro el ejecutable LucifeR.exe, crea un AutoruN.inf en el directorio raíz de la unidad y crea los ejecutables (copias de VenoM) con icono de carpeta, un ejecutable por cada carpeta existente. Incluso dentro de otras carpetas.

Un dispositivo externo (al que se le dé una letra de unidad -D:, E:, F:, etc.-) puede ser escaneado y desinfectado con el propio EliStarA, seleccionando la unidad correspondiente en la ventana principal de EliStarA. EliStarA dejará el archivo AutoruN.inf, por lo que este habrá que borrarlo manualmente.

Sin EliStarA la desinfección de dispositivos externos no es tan difícil. Basta con eliminar la carpeta System Volume Information (es necesario poder ver los archivos ocultos), el archivo AutoruN.inf y los archivos .exe con icono de carpeta (para identificarlos mejor es recomendable poder ver las extensiones de archivos). Con identificar un ejecutable con icono de carpeta y obtener su tamaño de archivo o fecha de creación podemos utilizar el Buscador de Windows (Inicio >> Buscar) para ubicar todos los ejecutables y borrarlos fácilmente.