Asunto: (esta variante deja en blanco el Asunto)
Texto: Trashing Turkey Tactics!! Fresh From Brazil Coach!!
Datos adjuntos: Marcos.bat

Si se ejecuta el adjunto, el gusano crea los siguientes archivos en el directorio actual:

Anderson.reg 
Denilson.vbs 
Vx.vbs

VX.VBS es una copia del gusano original.

Se crea la carpeta 'This_Is_Just_A_Simple_Worm_by_Galaxynet_IRC_#VX' y dentro se copia el archivo RONALDO.JPG.BAT.

Además, los siguientes archivos son creados:

C:\Lucio.vbs
C:\Marcos.bat
C:\Windows\Dida.bat 
C:\Windows\Kaka.bat 
C:\Windows\Carlos.vbs 
C:\Windows\Chmxc.bat 
C:\Windows\Paulista.bat 
C:\Windows\Silva.bat 
C:\Windows\System\Wini.bat
C:\WINDOWS\Menú Inicio\Programas\Inicio\kleberson.bat
A:\Cafu.bat

Luego de enviarse a toda la libreta de direcciones, en un mensaje idéntico al recibido, el gusano renombra el archivo C:\Autoexec.bat como C:\Cafu.bat y sobrescribe los archivos con extensiones .reg, .vbs, .bat, .ifk, .pif, y .lnk que encuentre en el disco duro de su víctima infectada.

Para propagarse a través del IRC, debe estar presente el programa mIRC, en cuyo caso se modifica el archivo SCRIPT.INI para incluir los comandos que permiten el envío del gusano a los usuarios conectados a los canales de chat visitados. El nombre del adjunto enviado a los usuarios de IRC es el siguiente:

C:\This_Is_Just_A_Simple_Worm_By_Galaxynet_IRC_#VX\ronaldo.jpg.bat

Otra de sus rutinas intenta el borrado de archivos pertenecientes a conocidos antivirus, solo si se encuentran en las siguientes ubicaciones:

C:\Prlandgra~1\Kasper~1\Avp32.exe 
C:\Prlandgra~1\Norton~1\*.exe 
C:\Prlandgra~1\Trojan~1\Tc.exe 
C:\Prlandgra\Norton~1\S32integ.dll 
C:\Progra\F-Prot95\Fpwm32.dll 
C:\Progra \Mcafee\Scan.dat 
C:\Prlandgra\Tbav\Tbav.dat 
C:\Progra\Avpersonal\Antivir.vdf 
C:\Tbavw95\Tbscan.sig

Debido a algunos errores en su código, el virus no siempre funciona correctamente, aunque si lo hace la rutina de envío masivo.

Luego de su ejecución, el virus muestra el siguiente mensaje:

Brazil shall win the World Cup 2002!!

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Reemplace archivos sobrescritos con un respaldo limpio o reinstale lo necesario.

5. Si tiene Windows 95, 98 o Me, renombre el archivo C:\CAFU.BAT como C:\AUTOEXEC.BAT, para ello, usando el Explorador de Windows, localice en el raíz de la unidad C: el archivo 'cafu.bat'.

6. Haga clic con el botón derecho sobre este archivo y seleccione 'Cambiar nombre'.

7. Cambie el nombre por 'Autoexec.bat' (si existe 'Autoexec.bat' bórrelo antes).

8. Desde Inicio, Ejecutar, escriba SYSTEM.INI y pulse Enter

9. Busque cualquier referencia a los archivos mencionados del gusano, y borre la línea correspondiente que lo contenga.

10. Use Archivo, Salir y guarde los cambios hechos.

11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com