Asunto: Carmina Pic's
Texto: Hello Check this photo
Datos adjuntos: Carmina.Gif.vbs (8 KB)

También utiliza la red de intercambio de archivos KaZaa.

El gusano puede formatear el disco duro, luego de borrar o deshabilitar algunos conocidos antivirus. Y aunque el asunto y el texto del mensaje que utiliza para propagarse se encuentran en inglés, su código contiene instrucciones y algunas leyendas en español, que hacen suponer que su autor es sudamericano.

El código presenta una estructura desordenada, con la intención de confundir a los antivirus.

Cuando el usuario ejecuta el adjunto CARMINA.GIF.VBS (la extensión .VBS no será visible en una configuración por defecto de Windows), el gusano se copia en memoria donde queda activo hasta el próximo reinicio del sistema.

También crea el siguiente archivo:

C:\Reg.reg

Al mismo tiempo muestra la siguiente ventana de mensajes, sin título:

Haz Click en Aceptar para descompactar
las Fotos Porn de Carmina
[    Aceptar    ]

Al pulsar en el botón [Aceptar] el gusano crea la carpeta C:\System y crea allí una copia de si mismo con el siguiente nombre:

C:\System\Kernel32.dll.vbs

También crea la siguiente entrada en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
(Predeterminado) = C:\Reg.reg

Después de ello, muestra una segunda ventana de mensajes con el siguiente contenido:

Error
Error No se Descompactaran las fotos Porn DE Carmina
[    Aceptar    ]

Al pulsar en [Aceptar], el gusano se copia a si mismo en el raíz de C:

C:\.vbs

Luego, vuelve a modificar la siguiente entrada en el registro, con la intención de autoejecutarse en próximos reinicios del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
(Predeterminado) = C:\.vbs

Y muestra este último mensaje:

VBScript
Intentalo de Nuevo
[    Aceptar    ]

Entonces, el gusano vuelve a autocopiarse, ahora con los siguientes nombres y ubicaciones:

C:\Windows\CGCC.vbs
C:\Recycled\Carmina.vbs
C:\Recycler\Carmina.vbs
C:\Carmina.Gif.vbs

Después de ello, ejecutará el archivo C:\Reg.reg (un archivo del tipo registro de Windows), de modo que se pasa su contenido al registro de Windows. Las líneas agregadas son las siguientes (la segunda clave para propagarse a través de KaZaa):

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Carmina = C:\.vbs
Antivirus = C:\Recycled\Carmina.vbs
Mp3 = C:\Windows\CGCC.vbs
System = C:\System\Kernel32.dll.vbs

HKEY_CURRENT_USER\Software\Kazaa\LocalContent
DisableSharing = 0
Dir0 = 012345:C:\CGCC

Después de ello, el gusano busca la siguiente entrada del registro:

HKEY_CURRENT_USER\software\Carmina
execution = 0

En caso de no encontrarla, creará dicha entrada.

Si el valor de 'Execution' es mayor o igual a '2', mostrará la siguiente ventana de mensajes, sin ningún botón en este caso:

Carmina
"Carmina"

Al mismo tiempo, intentará modificar el archivo AUTOEXEC.BAT con las instrucciones necesarias para formatear el disco duro en los próximos reinicios del sistema.

@ECHO OFF
@ECHO ===============================
@Echo Carmina
@ECHO ===============================
Pause > Nul
For!mat C: /Autotest
@ECHO ===============================
@Echo Como lo siento..
@ECHO ===============================

Finalmente, buscará y borrará los archivos en los siguientes directorios, pertenecientes todos ellos a conocidos antivirus:

C:\Archivos de Programa\Kaspersky Lab\Kaspersky Antivirus Personal Pro\*.*
C:\Archivos de Programa\Kaspersky Lab\Kaspersky Antivirus Personal\*.*
C:\Archivos de Programa\Antiviral Toolkit Pro\*.*
C:\Archivos de Programa\AVPersonal\*.*
C:\Archivos de Programa\Trend PC-cillin 98\*.*
C:\Archivos de Programa\Trend Micro\PC-cillin 2002\*.*
C:\Archivos de Programa\McAfee\McAfee VirusScan\*.*
C:\Archivos de Programa\Norton AntiVirus\*.*
C:\Archivos de Programa\Perav\*.*

También intentará borrar el editor del registro de Windows:

C:\Windows\Regedit.exe (Windows 95/98/Me)
C:\Windows\System32\Regedt32.exe (Windows NT/2000/XP) 

Al final, el gusano crea y luego ejecuta el siguiente archivo:

C:\mail.vbs

Este contiene las instrucciones para la propagación a través del correo electrónico del gusano, haciendo uso de funciones MAPI (Messaging Application Programming Interface).

El mensaje infectado, igual al descripto al principio, es enviado a todos los contactos de la libreta de direcciones de Microsoft Outlook.

También crea la carpeta C:\Carmina y los siguientes archivos:

C:\Carmina\Porno.gif.vbs
C:\Carmina\Shakira.mp3.vbs
C:\Carmina\BritneySpears.gif.vbs
C:\Carmina\StarCraft.exe.vbs
C:\Carmina\DiabloInstaller.exe.vbs
C:\Carmina\Windows Xp.Exe.vbs
C:\Carmina\Morpheus.EXE.vbs
C:\Carmina\Asereje.mp3.vbs
C:\Carmina\In The End.mp3.vbs
C:\Carmina\Linkin Park.vbs
C:\Carmina\Pink.vbs
C:\Carmina\Get The Party Started.vbs

Estos archivos estarán disponibles para propagarse a través de KaZaa.

En el código del gusano, se encuentra el siguiente texto:

Todos te Amamos Carmina nadie te resiste eres muy Sexy Que le podemos hacer no nos culpes

Rem Dedicado a la mujer mas bella del World, Carmina
Rem Pink también te adoramos a si que est0 es también dedicado a ti.. y visita )v(xK0 y has un concierto y no olvides cantar Get
The Party Started..

En el caso de haberse borrado las carpetas de algunos antivirus, se deberá proceder a su reinstalación.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este programa, hasta haber quitado el gusano del sistema, para prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: Tools > Options.

3. Deshabilite las carpetas compartidas (Shared Kazaa folders) bajo la lengüeta 'Traffic'.


Reparación manual

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Borrar en forma manual los archivos creados por el gusano

Con el explorador de Windows, busque y borre los siguientes archivos:

Carmina.Gif.vbs
C:\Reg.reg
C:\.vbs
C:\Windows\CGCC.vbs
C:\Recycled\Carmina.vbs
C:\Recycler\Carmina.vbs
C:\Carmina.Gif.vbs
C:\mail.vbs

También borre las siguientes carpetas y su contenido:

C:\System\
C:\Carmina\

Editar el registro

Nota: En el caso de haberse borrado el editor del registro (REGEDIT o REGEDT32), proceda a recuperarlo con el uso de SFC como se indica aquí:

VSantivirus No. 498 - 18/nov/01
Cómo recuperar archivos con SFC en Windows 98 y Me
http://www.vsantivirus.com/faq-sfc.htm

Luego de ello, siga estas instrucciones:

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre las siguientes entradas:

(Predeterminado)
Carmina
Antivirus
Mp3
System

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

5. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre las siguientes entradas:

Dir0 = 012345:C:\CGCC

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Método para revisar Autoexec.bat

Esto sólo es necesario en computadoras bajo Windows 95/98 y Me.

* Usuarios de Windows Me solamente:

En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo AUTOEXEC.BAT en la carpeta C:\Windows\Recent.

Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre Autoexec.bat. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos.

* Usuarios de Windows 95, 98 y Me:

1. Pulse el botón Inicio y luego Ejecutar

2. Escriba lo siguiente y pulse OK.

edit c:\autoexec.bat 

Se abrirá el editor de MS-DOS con el contenido de c:\autoexec.bat

3. Borre todas las líneas que contengan el comando FORMAT si ésta existiera: 

4. Seleccione Archivo, Guardar, para grabar los cambios, y luego reinicie su PC.


Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:

VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán. 

VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com