VSantivirus No. 820 - Año 6 - Sábado 5 de octubre 2002
W32/Ipamor. Infecta todos los .EXE y elimina antivirus
http://www.vsantivirus.com/ipamor.htm
Nombre: W32/Ipamor
Tipo: Virus
Alias: W32.HLLP.Ipamor
Fecha: 2/oct/02
Plataforma: Windows 32-bits
Tamaño: 65,554 bytes (65,536 + 18 bytes)
Este virus, escrito en Microsoft C++, intenta agregarse al principio de los archivos con extensión .EXE que infecta. También es capaz de terminar la acción de los procesos pertenecientes a ciertos antivirus y cortafuegos que pudieran estar activos en la máquina infectada.
Cuando un archivo infectado se ejecuta, el virus realiza las siguientes acciones:
1. Crea el siguiente archivo:
C:\Windows\Mswdm.exe
'C:\Windows' puede variar de acuerdo a la versión de Windows instalada (por defecto 'C:\Windows' en Windows 9x/ME/XP o 'C:\WinNT' en Windows NT/2000).
Este archivo es el código puro del virus. El archivo es puesto con el atributo de oculto activo (+H).
2. Crea las siguientes entradas en el registro (con esto logrará ejecutarse en forma automática en cada reinicio del sistema infectado):
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WDM = MSWDM.EXE
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
WDM = MSWDM.EXE
3. El virus examina en la computadora la presencia o no del siguiente archivo:
C:\Mswdm.pro
Si dicho archivo existe, el virus no infectará ningún ejecutable más.
Si no existe, intenta crear el siguiente archivo en cada unidad de disco local, empezando por la "D" (si la unidad D no existe o pertenece a la lectora de CD, la copia falla):
D:\Sys.try
E:\Sys.try
[etc.]
Si alguno de estos archivos ha sido creado exitosamente, el virus busca todos los archivos .EXE en la unidad y agrega su código al principio de estos.
Al final del archivo infectado, agrega otros 18 bytes, con lo cual el .EXE aumenta su tamaño en
65,554 bytes.
4. El virus intenta también finalizar los procesos en memoria de conocidos antivirus y cortafuegos.
Reparación manual
1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecútelos en modo escaneo, revisando todos sus discos duros
3. Borre o repare los archivos detectados como infectados
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Borrar los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre los siguientes archivos:
C:\Windows\Mswdm.exe
C:\Mswdm.pro
D:\Sys.try
E:\Sys.try
[etc.]
[busque Sys.try en todas las unidades raíz después de la D]
Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.
Borre también los mensajes electrónicos similares al descripto antes.
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
WDM = MSWDM.EXE
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
3. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:
WDM = MSWDM.EXE
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
