Asunto: A Calvin And Hobbes Comic Strip

Texto:
-------------- McAfee Online Scanner ------------
The attached file doesn't contain any malicious routines
-------------------------------------------------

Datos adjuntos: Calvin&Hobbes.bat

Cuando se ejecuta el archivo BAT adjunto, el virus se copia a si mismo con los siguientes nombres en el directorio raíz:

c:\aut0exec.bat 
c:\calvin&hobbes.bat

La letra "O" en Aut0exec, en realidad es el número cero.

También agrega al registro la siguiente entrada, para ejecutarse en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
ddd = "c:\aut0exec.bat"

El virus también crea los siguientes archivos en la carpeta de Windows:

C:\Windows\23.COM
C:\Windows\17.COM

En el caso de Windows NT:

C:\WinNT\23.COM
C:\WinNT\17.COM

El primer archivo (17.COM) a pesar de su extensión .COM, es un archivo .BAT encriptado que contiene el código del virus en Visual Basic Script (VBS/Cobbes.A).

El segundo (23.COM), es un ejecutable DOS usado por el virus para encriptar y desencriptar el archivo 17.COM.

El virus VBS/Cobbes.A contiene las instrucciones para enviarse por correo electrónico a toda la lista de direcciones de la PC infectada, usando el Outlook.

• El Virus VBS/Cobbes.A

El virus contiene, además de las rutinas de envío vía e-mail, instrucciones para sobrescribir todos los archivos .BAT del disco duro (unidad C: solamente) de la computadora infectada.

El virus VBS/Cobbes.A genera además los siguientes archivos al ejecutarse:

NET.VBS 
INFECT.VBS 
COMIC.VBS

El primero (NET.VBS), contiene el código de envío masivo vía correo electrónico.

Durante su ejecución, el virus genera una lista con todas las direcciones de la libreta del usuario infectado. Luego utiliza el Outlook para enviar su mensaje a todos los contactos en la lista mencionada.

INFECT.VBS contiene la rutina de infección. Cuando se ejecuta, el virus busca archivos de proceso por lotes (.BAT), en el raíz de la unidad C:\, y al encontrarlos, los sobrescribe con el contenido del propio BAT/Cobbes.A, presente en un archivo de nombre "aut0exec.bat" (la "0" en realidad es el número cero y no la letra "O").

COMIC.VBS despliega una ventana de mensajes con el botón [ OK ] y el siguiente texto:

Here goes your comic strip:
[    OK    ]

Cuando el usuario infectado hace clic en ese botón, se despliega otra ventana de mensajes, que muestra el contorno de una mano.

Luego copia este archivo (COMIC.VBS), en una carpeta que hará que el gusano se ejecute en cada reinicio de Windows, pero solo funciona en la versión en alemán de Windows:

C:\Windows\startmenü\programme\autostart

Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

3. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:

ddd      "c:\aut0exec.bat"

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

6. Actualice sus antivirus

7. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

8. Borre los archivos detectados como infectados por el virus


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Windows Scripting Host y Script Defender

Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:

VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm

Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán. 

VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com