Asunto: [caracteres chinos]
Datos adjuntos: photo.gif.exe
Texto del mensaje: [caracteres chinos]

El gusano puede robar las contraseñas de la versión china del ICQ (OICQ). Aparte de ello, su acción afecta a todas las demás versiones de Windows, incluida la española.

Cuando se ejecuta, el gusano crea las siguientes copias de si mismo:

C:\Windows\System\windll.exe
C:\Windows\System\photo.gif.exe
C:\Windows\System\notepads.exe
C:\Program Files\Tencent\QQ2000b.exe
C:\QQ2002.exe

'C:\Windows\System' puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como 'C:\WinNT\System32' en Windows NT/2000 y 'C:\Windows\System32' en Windows XP).

También crea un acceso directo al ICQ (OICQ) en el escritorio de Windows. Este acceso directo, a pesar del nombre, apunta en realidad a alguna de las copias del gusano.

Además, modifica la clave del registro que le permitirá autoejecutarse en próximos reinicios del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
WinIme = C:\Windows\System\windll.exe

Para propagarse a través del correo electrónico, envía un mensaje con las características ya vistas, a todos los contactos de la libreta de direcciones de Windows. Para ello, se conecta a alguno de los siguientes servidores SMTP:

smtp.163.net
stmp.263.net
smtp.sohu.com
smtp.163.com
smtp.china.com
smtp.sina.com

También puede propagarse a través de las unidades compartidas en red. Para ello, el gusano busca todos los discos o carpetas compartidos con accesos de lectura y escritura, copiándose en cada disco o carpeta con el nombre de "QQ2002.exe".

En las versiones chinas de Windows, intentará robar las contraseñas de la versión también china del ICQ (conocido como OICQ).

También enviará esa información, así como los nombres de usuarios de la computadora infectada y sus contraseñas, a la dirección de correo del usuario infectado.

También modifica el registro para ejecutar su archivo NOTEPADS.EXE cada vez que se intenta abrir un archivo de texto (note que existe un archivo legítimo de Windows que se llama NOTEPAD.EXE, el bloc de notas).

Para ello, realiza los siguientes cambios:

HKEY_CLASSES_ROOT\txtfile\shell\open\command
(Predeterminado) = C:\Windows\System\notepads.exe %1

Aquí suplanta al archivo legítimo NOTEPAD.EXE por el nuevo NOTEPADS.EXE (solo hay una letra "S" de más.


Reparación manual

Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

C:\Windows\System\windll.exe
C:\Windows\System\photo.gif.exe
C:\Windows\System\notepads.exe (no lo confunda con NOTEPAD.EXE)
C:\Program Files\Tencent\QQ2000b.exe
C:\QQ2002.exe

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

WinIme

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\txtfile
\shell
\open
\command

3. Pinche en la carpeta "command" y en el panel de la derecha busque la siguiente entrada:

(Predeterminado) = C:\Windows\System\notepads.exe %1

4. Haga doble clic sobre (Predeterminado) y cambie el valor "C:\Windows\System\notepads.exe %1" por el siguiente:

C:\WINDOWS\NOTEPAD.EXE %1

5. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

6. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com