Asunto: FWD : The life of bill gates

Texto:
Bill gates, the president of Mocosoft and the man more
fuck in the world
Regards

Datos adjuntos: Mocosoft.chm

Cuando el usuario ejecuta este adjunto, se crean uno o dos archivos (dependiendo exista el cliente mIRC en la máquina atacada o no).

Si existe, se generan los archivos Mocosoft.chm y Script.ini. Si no hay cliente de IRC, el segundo archivo no se crea.

Los siguientes cambios son hechos en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion
Chm = "1"

Para propagarse a través del IRC (Internet Relay Chat), el gusano crea un archivo SCRIPT.INI, donde coloca los comandos para enviarse a otros usuarios conectados al mismo canal donde se conecte la víctima.

Cuando el usuario ejecuta el archivo .CHM por primera vez, una advertencia de Windows es desplegada:

Internet Explorer

Un control ActiveX de esta página podría no ser seguro
al interactuar con otras partes de la página. ¿Desea
permitir esta interacción?

[      Si      ]    [     No     ]

Seleccionando [ No ], el gusano no se ejecutará, ni afectará ningún archivo de la computadora infectada.

Si la respuesta fue [ Si ], el gusano busca la presencia del archivo MIRC.INI, usado parra la configuración del programa cliente de chat, mIRC.

El gusano también se copia con el nombre de Mocosoft.chm en el directorio de Windows.

C:\Windows\Mocosoft.chm

El primer mensaje mostrado en el visor de archivos de ayuda HTML, instalado en todas las versiones actuales de Windows con Internet Explorer, se muestra la siguiente leyenda bajo un fondo rojo y la foto de Bill Gates:

This video request the
aprobation of Active X for look.

[ foto Bill Gates ]

The secrets of bill gates 1o Part

Luego muestra una serie de ventanas con los siguientes mensajes:

VBScript: I-Worm.Brit.D

Error , need the aprobate of Active X
Need the software Windows 98 for look the video 
Connection to Internet explorer Failure

[      Aceptar      ]



VBScript: I-Worm.Brit.D

¡Saludos a nuestros buenos amigos!
Hoko and Nemesizz
and the friends of Zonavirus
atte: neoDRako And Kuasanagui

[      Aceptar      ]



VBScript: I-Worm.Brit.D

Live Spain and México
Variant make by
neoDRako And Kuasanagui

[      Aceptar      ]

Finalmente muestra la letra de una supuesta canción llena de insultos obscenos, en una ventana de la ayuda de Windows, con el título "HTML Help":

Bill Gates The Man In The Mocosof

The sing of bill gates in spanish

Quien conoce a bill gates
sabe que es un gran puton
es un maricon un super gran cabron
hay que ver que cabron que es
!Hijo puta! !Hijo puta! 
!Hijo puta! !Hijo puta!
Es un puton un super gran cabron

!!TODOS NUESTROS ORDENADORES
ESTAN CONDENADOS POR USAR TU VENTANAS 98
MICROSOFT AND WINDOS , FUCKKKKK !!

Störendes Verhalten

NeoDRakO And Kuasanagui

[01 DE MAYO DE 2002]

Limpieza de un sistema infectado

Para limpiar un sistema infectado, ejecute uno o dos antivirus actualizados, y borre los archivos que aparezcan infectados por el gusano.

Si ha recibido el gusano a través del correo electrónico o de un canal de IRC, elimine el mensaje de la bandeja de entrada y de la bandeja de elementos eliminados.

Ninguna otra acción es requerida (la modificación del registro hecha por el gusano es conveniente conservarla, ya que hace la veces de vacuna).

Notas

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin
revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:

VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán. 

VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com