Asunto: RE: Jeniffer Lopez
Datos adjuntos: Jennifer.chm

Texto:
See all more interesting of Jennifer Lopez,
Enjoy the information and images of the file...
Regards,

[Nombre del remitente]

Escrito en Visual Basic Script, aparece como un archivo CHM, un formato compilado de archivos HELP, que contiene el script (VBS) con las instrucciones para propagarse, utilizando las funciones MAPI.

El gusano se envía a través del correo electrónico, seleccionando como destinatario, la primera entrada en la libreta de direcciones. Mediante marcas creadas en el registro, el gusano se envía una sola vez, aún cuando vuelva a infectar la misma computadora en el futuro (si no se reinstaló Windows).

El mensaje enviado es similar al descripto antes.

Cuando el usuario ejecuta el adjunto, se abre el visor de archivos de ayuda HTML, instalado en todas las versiones actuales de Windows con Internet Explorer. Al mismo tiempo, una advertencia de Windows es desplegada:

Internet Explorer 

Un control ActiveX de esta página podría no ser seguro
al interactuar con otras partes de la página. ¿Desea
permitir esta interacción?

[   Si   ] [   No   ]

Seleccionando [ No ], el gusano no se ejecutará, ni afectará ningún archivo de la computadora infectada.

Si la respuesta es [ Si ], el gusano se ejecuta, y luego se copia a si mismo en el siguiente archivo:

C:\Windows\Jennifer.chm

Luego procede a propagarse a través del correo electrónico como se explicó al comienzo.

Los siguientes cambios son hechos en el registro: 

HKLM\Software\Microsoft\Windows\CurrentVersion
Chm = "1"

Si la fecha actual es 30 de setiembre, una ventana con el siguiente mensaje, es desplegada:

VBScript
You Are Died. The Final Day
[    Aceptar    ]

Reparación manual

Para limpiar un sistema infectado, ejecute uno o dos antivirus actualizados, y borre los archivos que aparezcan infectados por el gusano.

Si ha recibido el gusano a través del correo electrónico, elimine el mensaje de la bandeja de entrada y de la bandeja de elementos eliminados.

Ninguna otra acción es requerida (la modificación del registro hecha por el gusano es conveniente conservarla, ya que hace la veces de vacuna).


Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:

VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán. 

VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com