| |
VSantivirus No. 746 - Año 6 - Miércoles 24 de julio de 2002
BAT/Bwg.I. Asunto: PoloRalphLauren NEED part-timers!!!!!
http://www.vsantivirus.com/bwg-i.htm
Nombre: BAT/Bwg.I
Tipo: Gusano de Internet (MS-DOS Batch)
Alias: Worm/BWG.I, PoloBoy, BAT/Polo
Fecha: 17/jul/02
Tamaño: 10,888 bytes
Este gusano está creado con la herramienta Batch Worm Generator
(BWG), y posee un componente en VBS (Visual Basic Script) que le permite propagarse a través de Internet, enviándose a toda la libreta de direcciones del Outlook y también a través de los canales de IRC (Internet Relay Chat).
El mensaje enviado tiene estas características:
Asunto:
PoloRalphLauren NEED part-timers!!!!!
Texto:
Polo Ralph Lauren Need YOU!
Datos adjuntos:
PoloBoy.vbs
Cuando el usuario hace doble clic sobre el adjunto, el gusano se copia a si mismo en el directorio en que se ejecutó con el nombre de
'Polo_Ralph_Lauren.BAT'.
También se crean los siguientes archivos:
C:\Windows\poloboys.bat
C:\Windows\polokids.bat
C:\Windows\pologers.bat
C:\Windows\pologirls.vbs
C:\Windows\polo_jeans.bat
C:\Windows\polo_scotts.bat
C:\pif.pif
C:\pif.lnk (enlace a C:\Windows\polodropper.vbs)
C:\Windows\Menú Inicio\Programas\Inicio\poloforkiddies.bat
C:\A_Simple_Yet_Weird_Worm_By_Polo_Ralph_Lauren\PoloBoy.jpg.BAT
Una vez que la rutina de propagación finaliza, todos los archivos creados por el virus son borrados y el archivo
SYSTEM.INI de la carpeta \Windows es modificado.
'\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto
C:\WINDOWS en Windows 9x/ME/XP o C:\WINNT en Windows NT/2000)
También examina el registro para averiguar si está instalado el cliente de chat mIRC, a los efectos de propagarse en los canales compartidos por la víctima.
Si localiza el programa, crea o modifica el archivo SCRIPT.INI para agregar las instrucciones que permiten enviar sus copias infectadas.
Otra de sus rutinas intenta el borrado de archivos pertenecientes a conocidos antivirus:
avp32.exe
antivir.vdf
tc.exe
scan.dat
tbav.dat
fpw32.dll
También borra varias aplicaciones de Norton.
Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.
Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.
En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como
"send" o "get" y comandos como
"/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados por el virus
4. Desde Inicio, Ejecutar, escriba SYSTEM.INI y pulse Enter
5. Busque cualquier referencia a los archivos mencionados del gusano, y borre la línea correspondiente que lo contenga.
6. Use Archivo, Salir y guarde los cambios hechos.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
