| |
VSantivirus No. 718 - Año 6 - Martes 25 de junio de 2002
Bat/Bwg.F. Asunto: Korean New Tactics To Defeat Germans
http://www.vsantivirus.com/bwg-f.htm
Nombre: Bat/Bwg.F
Tipo: Gusano de Internet (MS-DOS Batch)
Alias: Worm/BWG.F, Worm/BWG.F, BAT.WCup.B@mm, BAT/WCup.B
Fecha: 24/jun/02
Tamaño: 10,054 bytes
Fuente: Central Command
Existe una herramienta que genera virus del sub-tipo MS-DOS Batch. Los archivos .BAT son archivos de procesos por lotes (un archivo de texto con una lista de comandos de DOS), que se pueden ejecutar desde una sesión DOS en Windows, o bajo una ventana.
Con dicha herramienta (llamada BWG, Batch Worm Generator), se han creado varios virus capaces de propagarse a través de Internet (posee un componente en VBS, Visual Basic Script que permite esto), enviándose a toda la libreta de direcciones del Outlook.
Las últimas versiones, están relacionadas con el campeonato mundial de fútbol Japón-Corea 2002.
Esta versión, además de enviarse a toda la libreta de direcciones, puede propagarse a través de los canales de IRC (Internet Relay Chat).
El gusano llega en un mensaje con estas características:
Asunto: Korean New Tactics To Defeat Germans
Texto: Tactics to win over the Germans!
Datos adjuntos: germany_sucks.vbs
Si se ejecuta el adjunto, el gusano se copia a si mismo en el directorio actual (donde se descargó el adjunto) bajo el nombre
KOREANS.BAT.
También se copia en el raíz de la unidad C:\ con los nombres de
GERMANT_SUCKS.VBS y GERMANY_SUCKS.BAT.
Luego de enviarse, estos archivos son borrados, y el archivo SYSTEM.INI de la carpeta \Windows es modificado para autoejecutarse en próximos reinicios. Adicionalmente, los siguientes archivos son creados:
C:\Windows\germani_suxs.bat
C:\Windows\worldcup2002_korea.bat
C:\Windows\worldcup2002_korea.vbs
C:\Windows\Korea_rulez.vbs
C:\Windows\Korea_wins.vbs
C:\Windows\Korea_worldcup.vbs
C:\Windows\Korea_worldcup2002.bat
C:\Windows\Korea_win_worldcup2002.vbs
C:\pif.lnk
C:\galaxynet.bat
Para propagarse a través del IRC, debe estar presente el programa
mIRC, en cuyo caso se modifica el archivo SCRIPT.INI para incluir los comandos que permiten el envío del gusano a los usuarios conectados a los canales de chat visitados.
Otra de sus rutinas intenta el borrado de archivos pertenecientes a conocidos antivirus:
avp32.exe
antivir.vdf
tc.exe
scan.dat
tbav.dat
fpw32.dll
Y varias aplicaciones de Norton.
El gusano contiene en su código el siguiente texto:
a worm made in Korea..
to warn the germans.. to hell with them!
Korea confirm will win WorldCup 2002
Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.
Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.
En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como
"send" o "get" y comandos
como "/run" y "/dll". Si su
software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados por el virus
4. Desde Inicio, Ejecutar, escriba SYSTEM.INI y pulse Enter
5. Busque cualquier referencia a los archivos mencionados del gusano, y borre la línea correspondiente que lo contenga.
6. Use Archivo, Salir y guarde los cambios hechos.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Modificaciones:
28/jun/02 - Alias: Worm/BWG.F, BAT.WCup.B@mm, BAT/WCup.B
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
