winsys.exe (Virus)

[Txiki]

es un troyano que le ha entrado a mi hermano...

dicen que se coge a través del kazza y el no tiene kazaa....


sabeis como quitar el virus?


grascias

[Somey]

que habra echo 


http://www.alertaantivirus.es/
bueno cuentanos algo mas ya sabes
si puede que se meta en lo de panda y haga un scan online y sino echale un ojo a la pag de panda 

[Brubaker]

Mas info para mentes inquietas....

http://www.anti-spy.info/process/winsys.exe.html

Saludetes 

[Txiki]

Mas info para mentes inquietas....

http://www.anti-spy.info/process/winsys.exe.html

Saludetes 

ya pero esta en inglés.... y no me he enterado ni papa...

pero merci de todas

[Lider]

mira a ver si con algun admin de procesos detallado como el task manager te sale la ruta del virus y lo borras manualmente, a ver si cuela

[Melkor]

>  INFORMACION
 Nueva variante de este gusano capaz de propagarse por correo electrónico, aplicaciones P2P además de instalar un troyano de puerta trasera.

 
 >  CARACTERISTICAS
 Al ser ejecutado el virus se copia a si mismo en en el directorio de sistema de Windows con los siguientes nombres:

winsys.exe
winsys.exeopen
winsys.exeopenopen

El directorio varía según el sistema operativo:

C:\Windows\System (Win 95/98/ME)
C:\Winnt\System32 (Win NT/2000)
C:\Windows\System32 (Win XP)

Luego, es agregado el valor "ssate.exe"="C:\Windows\System\winsys.exe" bajo la clave HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run logrando de esta manera ejecutarse en cada inicio de Windows.

Abre además el puerto TCP 2745 y queda a la espera de instrucciones por parte del atacante. Éste, podrá enviar comandos para descargar archivos y luego almacenarlos en el directorio de Windows con el nombre iuplda(*).exe donde (*) es una cadena aleatoria de caracteres.

A través del puerto 80 envía, mediante un pedido HTTP GET, el puerto en el cual el troyano escucha y la dirección IP de la víctima
 

Para aprovechar las redes P2P de intercambio de archivo, el virus escanea todos los directorios del sistema y se copia en los que posean en su nombre la cadena "shar" utilizando los siguientes nombres de archivo:

ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno pics arhive, xxx.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe

Por último, utilizando su propio motor SMTP y su propia rutina de encodeo MIME se envía por correo electrónico a todas las direcciones encontradas



>  INSTRUCCIONES PARA ELIMINARLO

Eliminación Automática:

Future Time S.r.l., distribuidor italiano de NOD32, ha publicado una herramienta gratuita para desinfectar ordenadores afectados por este gusano sin necesidad de realizar pasos manuales y que puede ser descargada desde la siguiente dirección:

http://www.nod32.it/cgi-bin/mapdl.pl?tool=Bagle