C:\Windows\Scandsk32.exe
C:\Windows\[cualquier nombre].exe

'C:\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto 'C:\Windows' en Windows 9x/ME/XP o 'C:\WinNT' en Windows NT/2000).

También intenta crear un archivo en JavaScript llamado .JS en el mismo directorio donde el gusano es ejecutado.

Luego de registrarse como un proceso y permanecer en memoria, el gusano utiliza funciones MAPI para enviar copias de si mismo vía e-mail, enviando mensajes como el siguiente cada determinada cantidad de tiempo, a toda la libreta de direcciones de Windows:

Asunto: [nada]

Texto:
==================================

"Free Gift" Requested For: [destinatario]

This email was originally requested by this very
kind person to send you a free gift! Your free
gift (in the atachments) is an installation package
that will download your free software (along with a
setup file) from our home page [dirección]

If you have any setup difficulties or troubleshooting
on how to use the setup, contact [dirección de una
lista predefinida] and you will be emailed back
shortly.

===================================

Send a free gift to everyone you love,
even if it means sending this gift back to the person
who sent it to you.

Datos adjuntos: [nombre al azar].JS (90,112 bytes)

El archivo en JavaScript creado, también puede utilizar las funciones MAPI para enviar un segundo mensaje con las siguientes características a todos los contactos de la libreta de direcciones de Windows:

a. Utiliza uno de los siguientes "Asuntos":

[destinatario] Your download is here!
[destinatario], Collect your download!
[destinatario], Collect your gift!
[destinatario], Collect your prize!
[destinatario], Collect your software!
[destinatario], Your gift is here!
[destinatario], Your prize is here!
[destinatario], Your software is here!
Hello [destinatario]
How are you [destinatario]

[Destinatario] es el nombre o dirección electrónica del destinatario del mensaje.

b. Agrega el siguiente texto en el cuerpo del mensaje:

FREE Gift requested for: [destinatario]

Hello!

This email was originally requested by a very kind
person to send you a FREE Gift! Your Free gift (in the
attachments) is an installation package that will
connect to our main download site, and begin
downloading your FREE Gift!

Your Free gift (in the attachments) is an installation
package that will connect to our main download site,
and begin downloading your FREE Gift!

If you have any questions or comments, contact
[dirección de una lista predefinida] and one of our
technical help and support technicians will contact
you shortly.

Have fun with your free gift!

c. Cómo datos adjuntos, se agrega un archivo de 4,490 bytes (el JavaScript), con alguno de estos nombres:

.js
Free_Gift.js
FreeGift.js
FreeGiftCentral.js
FreeGiftDownload.js
StartDownload.js
YourGift.js

Cuando uno de estos adjuntos es ejecutado, esta parte del gusano en JavaScript, hace lo siguiente:

a. Se copia a si mismo con los siguientes nombres en las carpetas "C:\Windows" o "C:\Windows\System":

Readme.js
FreeGift.js
License.js

b. Modifica el registro para asegurarse su autoejecución en cada reinicio del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
MSKernel32 = [Nombre y camino del gusano]

c. Crea o modifica también las siguientes claves:

HKEY_CLASSES_ROOT\txtfile\shell\open\command
(Predeterminado) = [Nombre y camino del gusano]

HKEY_CURRENT_USER\Software\FreeGift\Jscript
FreeGift = [Nombre y camino del gusano]

d. Se copia en el disco duro usando los siguientes nombres:

[nombre del archivo original ejecutado]
AIM_Passowrd_List.js
Confidential.js"
Cracking ICQ Passwords.js
Cracking Word document passwords.js
Guide to easy hacking.js
How to crack MSN Passwords.js
How to crack windows passwords.js
How to hack remote Networks.txt js
how to make a computer virus.js
Learn C++ in 21 days.js
Learn Visual Basic 6 in 21 days.js
Learn Visual FoxPro in 21 days.js
Learn Windows XP the Professional way.js
Microsoft visual C++ 6 tutorial (advanced).js
Network_passwords.js
Readme.js
Resume.txt.js
User_information.js

Los archivos anteriores, son copiados en algunos de los siguientes directorios:

C:\Kazaa\My Shared Folder
C:\Program Files\Bearshare\Shared
C:\Program Files\Edonkey2000
C:\Program Files\Grokster\My Grokster
C:\Program Files\ICQ\\shared files
C:\Program Files\Kazaa\My Shared Folder
C:\Program Files\Morpheus\My Shared Folder

En el código del JavaScript puede leerse el siguiente texto como comentario:

FreeGift JScript worm by Zed & FrostByte

Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este programa, hasta haber quitado el gusano del sistema, para prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: Tools > Options.

3. Deshabilite las carpetas compartidas (Shared Kazaa folders) bajo la lengüeta 'Traffic'.


Reparación manual

1. Actualice sus antivirus con las últimas definiciones

2. Ejecútelos en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados

Borre también los mensajes electrónicos similares al descripto antes.

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre cualquiera de las siguientes entradas:

MSKernel32
MSDisk32

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\txtfile
\shell
\open
\command

5. Pinche en la carpeta "Command" y en el panel de la derecha pinche en (Predeterminado) y cambie el contenido anterior (en "Información del valor") por lo siguiente:

C:\WINDOWS\NOTEPAD.EXE %1

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\FreeGift

7. Pinche en la carpeta "FreeGift" y bórrela.

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Relacionados:

W32/Fregit.A. Datos adjuntos: "FreeGift.scr"
http://www.vsantivirus.com/fregit.htm

W32/Fregit.B. Datos adjuntos: "Free_Gift.scr"
http://www.vsantivirus.com/fregit-b.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com