| |
VSantivirus No. 852 - Año 7 - Miércoles 6 noviembre de 2002
W32/Antiqfx.F. Suplanta a Mscdex.exe y se propaga en red
http://www.vsantivirus.com/antiqfx-f.htm
Nombre: W32/Antiqfx.F
Tipo: Gusano de Internet
Fecha: 4/nov/02
Alias: W32.Antiqfx.F, Win32.HLLW.AntiQFX.f, W32.Antiqfx.F.Worm
Tamaño: 458,752 bytes
Plataforma: Windows 32-bits
Es una variante del W32/Antiqfx.Worm (W32/Antiqfx.C, http://www.vsantivirus.com/antiqfx-c.htm).
Su principal diferencia es el tamaño del archivo del gusano. Es un virus escrito en C++ y comprimido con la utilidad PePACK, que además está protegido con otra utilidad, HASP layer.
Se ejecuta con el nombre MSCDEX.EXE (existe un archivo de Windows con ese nombre en
C:\Windows\Command, el cuál se utiliza bajo MS-DOS para asignar unidades de CD-ROMS al sistema). El tamaño de esta versión es de 458,752 bytes (el Mscdex.exe de Windows ocupa unos 24 Kb). Esta variante se propaga solo en una red local.
El gusano enumera los recursos de red disponibles, y se copia a si mismo en la carpeta
"\WINDOWS\Menú Inicio\Programas\Inicio" de todas las computadoras remotas que compartan recursos.
También crea llamadas en tres entradas del registro, para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
cdrom = C:\Windows\mscdex.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
cdrom = C:\Windows\mscdex.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
cdrom = C:\Windows\mscdex.exe
En ciertas ocasiones, también modifica el archivo
C:\AUTOEXEC.BAT para ejecutarse al inicio de Windows:
@echo off
mscdex.exe
El gusano solo ejecuta una copia de si mismo al mismo tiempo.
Luego, busca archivos con las siguientes extensiones, y procede a borrarlos:
.bth
.mar
.gly
.isp
.pos
.bru
.qfo
.que
.cat
.lut
.lso
También borra los siguientes ejecutables:
Qfxwin.exe
Qfxwin.ini
Qfxwin1.dll
Qfxcc.dll
Aver.ini
Amwin1.dll
Amcc.dll
Avermagic.exe
Amagic.exe
Reparación manual
Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.
1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecútelos en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados
Nota: Los archivos borrados deberán ser reinstalados o copiados de un respaldo anterior. Sugerimos que se llame a un servicio técnico especializado para realizar estas tareas si no desea arriesgarse a perder información valiosa de su computadora.
Borrar los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre el siguiente archivo (no lo confunda con
C:\Windows\Command\mscdex.exe):
C:\Windows\mscdex.exe
Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir cada una de las siguientes ramas (una por vez):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINESOFTWARE\Microsoft
\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\RunOnce
3. Pinche en las carpetas "Run", "RunServices" o "RunOnce" y en el panel de la derecha busque y borre en los tres casos, la siguiente entrada:
cdrom = C:\Windows\mscdex.exe
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Método para revisar Autoexec.bat
Esto sólo es necesario en computadoras bajo Windows 95/98 y Me.
Usuarios de Windows Me solamente:
En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo AUTOEXEC.BAT en la carpeta C:\Windows\Recent.
Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre Autoexec.bat. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos.
Usuarios de Windows 95, 98 y Me:
1. Pulse el botón Inicio y luego Ejecutar
2. Escriba lo siguiente y pulse OK.
edit c:\autoexec.bat
Se abrirá el editor de MS-DOS con el contenido de c:\autoexec.bat
3. Borre todas las líneas que contengan lo siguiente:
@echo off
mscdex.exe
4. Seleccione Archivo, Guardar, para grabar los cambios, y luego reinicie su PC.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
