Cómo eliminar el malware LOBSHOT de su ordenador
Escrito por Tomas Meskauskas el
¿Qué es LOBSHOT?
LOBSHOT es un tipo de malware con una función llamada hVNC (Hidden Virtual Network Computing) que permite a los atacantes acceder al ordenador de la víctima sin ser detectados. El componente hVNC es eficaz para eludir los sistemas de detección de fraudes. Además, LOBSHOT se está utilizando para llevar a cabo delitos financieros mediante el uso de troyanos bancarios y funcionalidades de robo de información.
Más información sobre LOBSHOT
Inicialmente, LOBSHOT crea un marco personalizado que abarca un catálogo de información como el GUID de la máquina, la edición de Windows, el nombre del ordenador y el nombre de usuario, los detalles del objeto de escritorio de Windows, el número de procesos en ejecución, el ID del proceso de malware y el proceso padre, la resolución de pantalla, la información del dispositivo de visualización, el DPI de la(s) pantalla(s), así como los manejadores de los objetos de escritorio y las ventanas.
Una vez ejecutado, LOBSHOT crea un duplicado de sí mismo en el directorio "C:\ProgramData", inicia un nuevo proceso utilizando explorer.exe, finaliza el proceso original y, a continuación, elimina el archivo original. Este método se utiliza para ocultar el linaje del árbol de procesos y dificultar su detección por parte de los analistas.
LOBSHOT utiliza el método de persistencia de claves de ejecución del Registro para mantener su persistencia. Una vez que LOBSHOT establece su mecanismo de persistencia, inicia un nuevo hilo para activar su función de robo. Este proceso comienza apuntando a extensiones de navegador relacionadas con criptomonedas (incluyendo numerosas extensiones de monedero de Chrome, Edge y Firefox).
El módulo hVNC de LOBSHOT es otra capacidad significativa del malware. En este punto, la máquina comprometida comienza a enviar capturas de pantalla del escritorio encubierto a un cliente de escucha bajo el control del atacante. El atacante tiene el control remoto completo del dispositivo utilizando el cliente para manipular el teclado, pulsar botones y mover el ratón.
El módulo hVNC de LOBSHOT permite al atacante ejecutar varios comandos. Estos comandos incluyen iniciar un nuevo proceso explorer.exe, iniciar el comando Run de Windows, iniciar un nuevo proceso de Windows con un comando proporcionado, iniciar navegadores de Internet como Internet Explorer, Edge y Firefox, finalizar procesos explorer.exe existentes, manipular la configuración de sonido de Windows, establecer o recuperar texto del Portapapeles y activar el Menú Inicio.
| Nombre | Virus "LOBSHOT" |
| Tipo de amenaza | Robo de información, troyano de acceso remoto |
| Nombres de detección (LOBSHOT) | Avast (Win32:BackdoorX-gen [Trj]), Combo Cleaner (Gen:Variant.Lazy.271868), ESET-NOD32 (Una variante de Win32/Agent.AEYE), Kaspersky (Backdoor.Win32.DarkVNC.rr), Microsoft (Trojan:Win32/Sdaloog.C), Lista completa (VirusTotal) |
| Dominio relacionado | anydeskcloud[.]tech |
| Nombres de detección (anydeskcloud[.]tech) | AlphaSOC (Malware), Combo Cleaner (Malware), ESET (Malware), Forcepoint ThreatSeeker (Malicioso), G-Data (Malware), Lista completa de detecciones (VirusTotal) |
| Síntomas | LOBSHOT está diseñado para infiltrarse sigilosamente en el ordenador de la víctima y permanecer ocultos, por lo que no hay síntomas particulares claramente visibles en una máquina infectada |
| Métodos de distribución | Anuncios maliciosos en línea, sitios web falsos, instaladores maliciosos |
| Daños | Robo de contraseñas e información bancaria, suplantación de identidad, infecciones adicionales, pérdidas monetarias, etc. |
| Eliminación de Malware | Para eliminar posibles infecciones de malware, escanee su computadora con un software antivirus legítimo. Nuestros investigadores de seguridad recomiendan usar Combo Cleaner. |
Posibles daños
Los ciberdelincuentes pueden utilizar LOBSHOT para diversas actividades maliciosas. Se ha observado que LOBSHOT emplea troyanos bancarios y capacidades de robo de información, lo que significa que puede robar datos confidenciales del ordenador de la víctima, incluida información financiera.
Con su módulo hVNC, los atacantes pueden obtener el control remoto total del dispositivo infectado, lo que les permite ejecutar una amplia gama de actividades maliciosas. Además, LOBSHOT puede iniciar nuevos procesos y modificar la configuración de sonido de Windows. En general, LOBSHOT puede causar daños significativos en el ordenador de la víctima y poner en riesgo su información confidencial.
¿Cómo se infiltró LOBSHOT en mi ordenador?
Esta cadena de infección comienza cuando un usuario realiza una búsqueda en Internet de software legítimo (por ejemplo, AnyDesk). Sin embargo, uno de los resultados de la búsqueda en los que el usuario hace clic es un anuncio de Google, que le lleva a una página de aterrizaje enmascarada para la descarga del software. El usuario descarga y ejecuta un instalador de MS desde esta página, que inicia PowerShell.
A continuación, PowerShell descarga el malware LOBSHOT y lo ejecuta a través de rundll32. Una vez ejecutado LOBSHOT, comienza sus actividades maliciosas, que incluyen robar información sensible y proporcionar acceso remoto al atacante a través de su módulo hVNC.
¿Cómo evitar la instalación de malware?
Tenga cuidado al descargar e instalar software de fuentes desconocidas, especialmente si se trata de una versión crackeada o pirateada. Asegúrese de mantener su sistema operativo y todo el software actualizado con los últimos parches y actualizaciones de seguridad. Utilice un antivirus o programa de seguridad de confianza y manténgalo actualizado.
Desconfíe de archivos adjuntos, enlaces o ventanas emergentes sospechosos y evite hacer clic en ellos. Descargue software y archivos sólo de fuentes fiables (páginas y tiendas oficiales). Si cree que su ordenador ya está infectado, le recomendamos que ejecute un análisis con Combo Cleaner para eliminar automáticamente el malware infiltrado.
Página web falsa de AnyDesk que distribuye LOBSHOT:
Eliminación automática instantánea de malware:
La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:
▼ DESCARGAR Combo Cleaner
El detector gratuito verifica si su equipo está infectado. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por Rcs Lt, la empresa matriz de PCRisk. Leer más. Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso.
Menú rápido:
- ¿Qué es LOBSHOT?
- PASO 1. Eliminación manual del malware LOBSHOT.
- PASO 2. Comprobar si su ordenador está libre de virus.
¿Cómo eliminar malware manualmente?
La eliminación manual de malware es una tarea complicada - normalmente es mejor dejar que los programas antivirus o anti-malware lo hagan automáticamente. Para eliminar este malware recomendamos utilizar Combo Cleaner.
Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que está intentando eliminar. He aquí un ejemplo de un programa sospechoso que se ejecuta en el ordenador de un usuario:
Si ha comprobado la lista de programas que se ejecutan en su ordenador, por ejemplo, utilizando el administrador de tareas, y ha identificado un programa que parece sospechoso, debe continuar con estos pasos:
Descargar un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:
Reiniciar su ordenador en Modo Seguro:
Usuarios de Windows XP y Windows 7: Inicie su ordenador en Modo Seguro. Haga clic en Inicio, en Apagar, en Reiniciar y en Aceptar. Durante el proceso de inicio del ordenador, pulse la tecla F8 del teclado varias veces hasta que aparezca el menú de opciones avanzadas de Windows y, a continuación, seleccione Modo seguro con funciones de red en la lista.
Vídeo que demuestra cómo iniciar Windows 7 en "Modo seguro con funciones de red":
Usuarios de Windows 8: Iniciar Windows 8 en Modo seguro con funciones de red - Vaya a la pantalla de inicio de Windows 8, escriba Avanzado, en los resultados de la búsqueda seleccione Configuración. Haga clic en Opciones avanzadas de inicio, en la ventana abierta "Configuración general del PC", seleccione Inicio avanzado.
Haga clic en el botón "Reiniciar ahora". Su ordenador se reiniciará en el menú "Opciones avanzadas de inicio". Haga clic en el botón "Solucionar problemas" y, a continuación, en el botón "Opciones avanzadas". En la pantalla de opciones avanzadas, haga clic en "Configuración de inicio".
Haz clic en el botón "Reiniciar". Haga clic en el botón "Reiniciar". Su PC se reiniciará en la pantalla de configuración de inicio. Pulse F5 para arrancar en Modo seguro con funciones de red.
Vídeo que demuestra cómo iniciar Windows 8 en "Modo seguro con funciones de red":
Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú que se abre, haga clic en "Reiniciar" mientras mantiene pulsada la tecla "Mayús" del teclado. En la ventana "elegir una opción" haga clic en "Solucionar problemas", a continuación seleccione "Opciones avanzadas".
En el menú de opciones avanzadas seleccione "Configuración de inicio" y haga clic en el botón "Reiniciar". En la siguiente ventana pulse la tecla "F5" de su teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.
Vídeo que demuestra cómo iniciar Windows 10 en "Modo seguro con funciones de red":
Extraer el archivo descargado y ejecutar el archivo Autoruns.exe.
En la aplicación Autoruns, haga clic en "Opciones" en la parte superior y desmarque las opciones "Ocultar ubicaciones vacías" y "Ocultar entradas de Windows". Después de este procedimiento, haga clic en el icono "Actualizar".
Revisar la lista proporcionada por la aplicación Autoruns y localizar el archivo de malware que se desea eliminar.
Anote su ruta completa y su nombre. Tenga en cuenta que algunos programas maliciosos ocultan nombres de procesos bajo nombres de procesos legítimos de Windows. En esta fase, es muy importante evitar eliminar archivos del sistema. Una vez localizado el programa sospechoso que desea eliminar, haga clic con el botón derecho del ratón sobre su nombre y elija "Eliminar".
Tras eliminar el malware a través de la aplicación Autoruns (esto garantiza que el malware no se ejecutará automáticamente en el siguiente inicio del sistema), debe buscar el nombre del malware en su ordenador. Asegúrese de activar los archivos y carpetas ocultosantes de continuar. Si encuentra el nombre de archivo del malware, asegúrese de eliminarlo.
Reinicie su ordenador en modo normal. Al seguir estos pasos se debería eliminar el malware de su ordenador. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no dispone de estos conocimientos, deje la eliminación de malware en manos de programas antivirus y antimalware.
Es posible que estos pasos no funcionen con infecciones avanzadas de malware. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener el ordenador seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su ordenador está libre de infecciones de malware, le recomendamos que lo analice con Combo Cleaner.
Preguntas frecuentes (FAQ)
Mi ordenador está infectado con el malware LOBSHOT, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?
Formatear el dispositivo de almacenamiento puede eliminar el malware LOBSHOT, pero es un paso drástico que provocará la pérdida de todos los datos del dispositivo afectado. Antes de tomar esta medida, se recomienda intentar eliminar el malware utilizando un software antimalware fiable.
¿Cuáles son los mayores problemas que puede causar el malware?
Las consecuencias de la infección por malware pueden variar y pueden incluir robo de identidad, daños financieros, disminución del rendimiento del ordenador, infecciones adicionales y otros daños.
¿Cuál es el propósito del malware LOBSHOT?
El objetivo del malware LOBSHOT es robar información confidencial, como contraseñas y credenciales de monederos de criptomonedas, de los sistemas infectados. También tiene capacidades para el control remoto total del dispositivo infectado, lo que permite al atacante ejecutar comandos e interactuar con el sistema a través de un módulo informático de red virtual oculto.
¿Cómo se infiltró el malware LOBSHOT en mi ordenador?
El malware LOBSHOT se infiltró en su ordenador después de que usted hiciera clic en un anuncio de Google, que conducía a un sitio web falso que se hacía pasar por una descarga legítima de software. A continuación, descargó y ejecutó un instalador de MS desde esta página, que iniciaba PowerShell. A través de PowerShell, LOBSHOT se descargó y ejecutó a través de rundll32, lo que le permitió llevar a cabo sus actividades maliciosas.
¿Me protegerá Combo Cleaner del malware?
Combo Cleaner puede detectar y eliminar la mayoría de los tipos de malware conocidos. Sin embargo, es importante tener en cuenta que el malware sofisticado a menudo se oculta profundamente dentro del sistema. Por lo tanto, se recomienda realizar un análisis completo del sistema para garantizar su eliminación.
¡Excelente!
▼ Mostrar discusión.