Infected

[badny99]

olas!!
tengo un problemilla-problemon.creo q toy infectado del subseven.me gustaria saber como actua, sus consecuencias y como eliminarlo.he pasao un antivirus(el panda este pueco q dan de freeware en internautas.org)y al final se kea bloqueado, supongo q sera por el virus.he bajao un antidoto q es un fichero .reg, pero no funciona.
aparte d esto, kisiera saber los pasos para eliminarlo de mi pc y para q no m vuelva a pasar.por lo q me enterao, alguien ha dao mi ip mi puerto y mi pass por irc, creo q se kien es, pero eso da igual, no?
q debo hacer?
gracias brothers

[TseTse]

http://www.megasecurity.org/Cleaners.html

El subseven es un troyano programado en delphi que también se le conoce como Sub 7, BackDoor-G.cfg, BackDoor-G.srv, BackDoor-G.cli,Pinkworm, SubStealth, BackDoor-G2, Backdoor.SubSeven , .LOG, Sub7, suele usar los puertos TCP:
1243, 1999, 2773, 2774, 6667, 6711, 6712, 6713, 6776, 7000, 7215,16959, 27374, 27573, 54283 .... también el puerto puede ser cambiado, por lo que haciendo un netstat -a -n miras los puertos que tienes a la escucha (listening) y los comparas.
Te puedes encontrar con éstos archivos dentro de tu directorio windows y system32:
Subseven.exe - 308,224 bytes Subseven.exe - 312,320 bytes Subseven.exe - 381,440 bytes Subseven.exe - 388,096 bytes Subseven.exe - 428,469 bytes Subseven.exe - 623,104 bytes Subseven.exe - 624,128 bytes Sub7.exe - 468,992 bytes Sub7.exe - 479,232 bytes Sub7.exe - 491,520 bytes Sub7.exe - 493,056 bytes Sub7.exe - 519,680 bytes Server.exe - 250,368 bytes Server.exe - 251,904 bytes Server.exe - 333,547 bytes Server.exe - 335,237 bytes Server.exe - 335,799 bytes Server.exe - 336,867 bytes Server.exe - 336,934 bytes Server.exe - 342,042 bytes Server.exe - 352,287 bytes Server.exe - 380,835 bytes Server.exe - 382,371 bytes Server.exe - 385,858 bytes Server.exe - 867,840 bytes Editserver.exe - 186,368 bytes Editserver.exe - 195,584 bytes Editserver.exe - 221,184 bytes Editserver.exe - 303,802 bytes Editserver.exe - 404,992 bytes Editserver.exe - 484,352 bytes Systrayicon.exe - 768 bytes Systray.exe - 33,280 bytes Icqmapi.dll - 58,368 bytes Icqmapi.dll - 58,880 bytes Kerne1.exe - Kernel16.dl - Kernel32.dl - Explore.exe - Msrexe.exe - 399,267 bytes Mueexe.exe - Fueovs.exe - Uabmruua.exe - Windos.exe - Win32.exe - Nodll.exe - 32,768 bytes Nodll.exe - 33,230 bytes Subseven.ini - Skin.ini - 454 bytes Skin.ini - 464 bytes Skin.ini - 468 bytes Skin.ini - 481 bytes Rundll1.exe - Rundll16.exe - S7undetec.exe - 321,476 bytes Subpas1.cab - 1,312,768 bytes Subpas2.cab - 145,273 bytes Setup.exe - 140,800 bytes Ssetup.exe - 140,800 bytes Setup.lst - 3,656 bytes Ssetup.lst - 3,656 bytes Task_bar.exe - Mvokh_32.dll - Favpnmcfee.dll - Watching.dll - Run.exe - 11,371 bytes Sub7bonus.exe - Wandows.com -
....

Crea entradas en las claves del registro. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices\
HKEY_LOCAL_MACHINE\SOFTWARE\exefile\shell\open\com mand\

En el archivo win.ini crea una entrada (por ejemplo a msrexe.exe):
run=MSREXE.EXE la cual debes borrar.
SHELL=EXPLORER.EXE KERNE123.DLL aquí borras solo la referencia al archivo kernel123.dll.
Tambien crea algo en el system.ini

Todo esto en las versiones 1.0, 1.1, 1.2, 1.3, 1.4, 1.5, 1.6, 1.7, 1.8, 1.9, 1.9b, 2.0, 2.1, 2.1a, 2.1b, 2.1c, 2.1d, 2.1e, 2.13 y hay más como el subseven gold y tal....

En definitiva que tienes que dar más información acerca de la versión del troyano y sobre tu ordenador (empezando por el sistema operativo)...

TseTse

[badny99]

tse tse, gracias por ayudarme tio, pero soy novatillo y tal y el 90% de lo q pones, no lo entiendo.nadie nace sabiendo, no?
dime q informacion kieres q te de y por favor ayudame con pasos q pueda entender.
gracias tio

[TseTse]

En definitiva que tienes que dar más información acerca de la versión del troyano y sobre tu ordenador (empezando por el sistema operativo)...

¿Qué es lo que no entiendes de esa frase?
Las preguntas con claras.
¿Qué versión de subseven tienes?
¿Qué sistema operativo tienes?

TseTse

[badny99]

win 98 s.e y la version del subseven, dnd lo miro?'??

[TseTse]

¿Has mirado la URL que te he puesto al principio del post?
¿Has comprobado alguna entrada o verificado la existencia de algunos archivos que te he dicho?
Pasa un antivirus online http://www.pandasoftware.es/activescan/activescan.asp?language=1&Country=62&Partner=1&Ref=PR-AS-104
http://housecall.antivirus.com/
http://www.ravantivirus.com/scan/
http://www.commandondemand.com/eval/index.cfm#Form
http://security1.norton.com/ssc/vc_about.asp?langid=us&venid=sym&plfid=23&pkj=BOOZLSIVFWMFKPXKBQW
Tambien puedes scanearte para troyanos en:
http://security1.norton.com/ssc/sc_i...SIVFWMFKPXKBQW
http://scan.sygatetech.com/
http://www.anti-trojan.net/at.asp?l=en&t=onlinecheck
http://seguridad.internautas.org/scanonline.php
http://www.eaglepro.net/antivirus/
http://www.blackcode.com/scan/
O descargate un antivirus de alguna página de warez http://www.google.com/search?hl=es&lr=lang_es&ie=UTF-8&oe=UTF-8&q=antivirus+warez&spell=1

Pon algo de tu parte.

TseTse