a:\CUESTIONARIO.HTML .exe

La extensión verdadera (.exe), permanece oculta en una configuración por defecto de Windows (ver "Mostrar las extensiones verdaderas de los archivos").

Cuando el usuario hace doble clic sobre el presunto HTML, el código del gusano se ejecuta, copiándose a si mismo en la siguiente ubicación:

C:\WINDOWS\SYSTEM\Systemtray.exe

Luego agrega al registro, la siguiente clave para autoejecutarse en cada reinicio del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
System Tray = systemtray.exe

Recuerde que existe una entrada legítima de Windows con un nombre similar que usted no debe borrar (SystemTray, que es una sola palabra), mientras que el gusano genera un nombre de dos palabras: "System Tray".

También modifica el archivo SYSTEM.INI:

[boot]
shell=Explorer.exe systemtray.exe

El gusano realiza las siguientes acciones destructivas:

• Borra los archivos *.EXE y *.DLL de las carpetas Windows y Windows\System
• Borra partes de archivos *.INI en Windows
• Modifica el registro para que no se pueda ejecutar el editor

Además, se copia al raíz de cualquier disquete desprotegido colocado en A:, con el siguiente nombre:

a:\CUESTIONARIO.HTML .exe

Y finalmente reemplaza el papel tapiz del escritorio de Windows por la imagen de la bandera del Perú y el siguiente texto:

VIVA!! EL PERU CARAJO!!!!

Reparación manual

1. Actualice sus antivirus
2. Ejecútelos en modo escaneo, revisando todos sus discos y disquetes
3. Borre los archivos detectados como infectados

Nota: Los archivos sobrescritos deberán ser reinstalados o copiados de un respaldo anterior. Sugerimos que se llame a un servicio técnico especializado para realizar estas tareas si no desea arriesgarse a perder información valiosa de su computadora.


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

a:\CUESTIONARIO.HTML .exe
C:\WINDOWS\SYSTEM\Systemtray.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Cómo recuperar el editor del registro

Para recobrar el uso de REGEDIT.EXE, descargue (por ejemplo en el escritorio de Windows) el archivo "restore.reg" de nuestro sitio: http://www.videosoft.net.uy/restore.reg

Luego, haga doble clic sobre el archivo "restore.reg" recién descargado, y confirme las preguntas del sistema respondiendo afirmativamente la acción de combinar el archivo con el registro.

Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Editar el registro

1. Ejecute el editor de registro (si se recuperó antes con el paso anterior): Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

System Tray = systemtray.exe

No confundir con lo siguiente, que NO debe ser borrado:

SystemTray = SysTray.Exe

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Editar el archivo SYSTEM.INI

1. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.

2. Busque lo siguiente:

[boot]
shell=Explorer.exe systemtray.exe

y déjelo así:

[boot]
shell=Explorer.exe

3. Grabe los cambios y salga del bloc de notas

4. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com