Asunto: Hi, I sent you an eCard from BlueMountain.com
Datos adjuntos: BlueMountaineCard.pif

Texto del mensaje:

To view your eCard, open the attachment

If you have any comments or questions, please visit
htto://www.bluemountain.com/customer/index.pd

Thanks for using BlueMountain.com.

El adjunto es el gusano propiamente dicho, el cuál simula ser una tarjeta electrónica de salutación.

Cuando el usuario intenta abrirla, el gusano se copia a si mismo en la carpeta System ("C:\Windows\System" en Windows 9x/ME, "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).

C:\Windows\System\iexplorer.exe

El gusano se agrega al registro en las siguientes claves, para autoejecutarse en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
sysconfig = iexplorer.exe

Si el sistema operativo es Windows 95, 98 o Me, el gusano se registra como un proceso del tipo servicio, de este modo no es visible al examinar la lista de tareas activas (CTRL+ALT+SUPR), y está disponible para todos los usuarios si se usa cerrar sesión.

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
sysconfig = iexplorer.exe

El componente troyano backdoor del gusano se conecta a algunos canales de IRC (no utiliza ningún cliente previamente instalado en la computadora infectada), y notifica al atacante su presencia. Luego queda a la espera de los comandos que éste pueda enviarle.

Una computadora infectada, puede ser accedida entonces en forma remota, vía Internet, y las siguientes acciones realizadas (entre otras):

• Envío de información privada y del sistema al atacante
• Descarga y ejecución de archivos
• Actualización dinámica del propio gusano, agregando nuevas características
• Envío del gusano a otros canales de IRC para infectar otras computadoras
• Ejecución de la rutina de envío masivo vía e-mail

El gusano se conecta en forma alternativa a varios servidores SMTP indicados en una lista interna en su código, para enviar sus mensajes infectados, como el descripto al principio.

Se envía a todos los contactos de la libreta de direcciones de Windows (WAB, Windows Address Book). También recoge direcciones en los archivos temporales de la memoria caché y otros.

Los mensajes enviados poseen una dirección de remitente falsa. Los mensajes son armados de acuerdo al siguiente criterio:

1. Selecciona el nombre del remitente de una lista de 100 nombres comunes, encriptados en su propio código. Por ejemplo:

Gammons
Kaylee
Lighthall
McRaney
Peter
Raker
Sandra
Sandy Michel
Selnes
Vittorini
[Etc.]

2. Selecciona como destinatario un nombre ficticio seleccionado de una cadena cifrada de un máximo de 8 caracteres, agregándole uno de los siguientes dominios:

Earthlink.net
email.com
hotmail.com
msn.com
Roadrunner.com
yahoo.com

Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

C:\Windows\System\iexplorer.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

sysconfig

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\RunServices

5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

sysconfig

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

El IRC y los virus

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos que usted ha pedido, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Vea también:

Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

08/abr/03 - Alias: W32/BluECard.B, Win32.Cult.F, Backdoor/SDBot.Server




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com