W32/Bihup.A. Asunto y texto en koreano

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 760 - Año 6 - Miércoles 7 de agosto de 2002

W32/Bihup.A. Asunto y texto en koreano
http://www.vsantivirus.com/bihup-a.htm

Nombre: W32/Bihup.A
Tipo: Gusano de Internet
Alias: WORM_BIHUP.A
Fecha: 7/ago/02
Plataforma: Windows 32-bits
Tamaño: 176,173 bytes

Cuando se ejecuta, este gusano carga algunas funciones MAPI (Mail Application Programming Interface), que utiliza para el envío de sus mensajes.

Examina que exista una ventana "Outlook Express" activa, y en caso positivo busca en su almacén de mensajes, todos aquellos que no hayan sido leídos. Por cada mensaje no leído, extrae la dirección de correo del remitente, y envía a la misma un mensaje con una copia del propio gusano como adjunto. El asunto y el propio texto del mensaje están escritos en koreano. El nombre del adjunto puede ser uno de los siguientes:

Heddink.exe
Go Korea.exe
RedDevil.exe
WorldCup.exe
2002.exe

Al ejecutarse, el virus crea una copia de si mismo en la carpeta System de Windows (por defecto 'C:\Windows\System' en Windows 9x/ME, 'C:\WinNT\System32' en Windows NT/2000 y 'C:\Windows\System32' en Windows XP). El nombre del archivo es seleccionado al azar de la siguiente lista:

User32Rem.exe
UserGDL.exe
BihUpdate.exe
SysRtw2.exe
Win32.Dll.exe
MsCrt32.exe
Temp32.exe

También se copia en el directorio de Windows (C:\Windows, C:\WinNT), con el siguiente nombre:

Krn32Dll.exe

Luego de ello, realiza diferentes acciones de acuerdo a la fecha y hora del sistema.

Si el día actual es jueves, despliega una ventana con un texto en koreano y el siguiente título en inglés:

Message From A

Si el mes actual es junio, despliega el siguiente texto en la ventana abierta en ese momento:

Here We Go! World Cup Corea!

Sigue un texto en koreano.

Si el mes es noviembre, intercambia las funciones de los botones del ratón (izquierdo por derecho y viceversa).

Si la fecha actual es 7 de julio, congela el cursor del ratón en la pantalla.

Si el mes actual es diciembre, acomoda todas las ventanas en forma de mosaico.

Si la fecha es 1 de enero, limita los movimientos del cursor del ratón a determinada área de la pantalla.

El gusano también modifica el registro de Windows para autoejecutarse en cada reinicio de la computadora infectada.

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Explorer32 = C:\Windows\System\[nombre del gusano]

'C:\Windows\System' varía de acuerdo a la versión de Windows instalada, y [nombre del gusano] corresponde a la copia generada en ese directorio, que puede ser cualquiera de las mencionadas anteriormente.

Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecútelos en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

Explorer32

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com