W32/Kazoa.B (Benjamin.B). Se propaga a través del Kazaa

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 733 - Año 6 - Miércoles 10 de julio de 2002

W32/Kazoa.B (Benjamin.B). Se propaga a través del Kazaa
http://www.vsantivirus.com/kazoa-b.htm

Nombre: W32/Kazoa.B (Benjamin.B)
Tipo: Gusano de Internet (Kazaa)
Alias: Win32.Worm.Banjamin.B, W32/Banjamin.B, Worm.Kazaa.Benjamion (KAV)
Fecha: 08/jul/02
Tamaño: 450 a 600 Kb aprox. (comprimido con ASPack)
Fuente: BitDefender

Esta nueva versión del Kazoa (o Benjamin.A), se trata también de un gusano escrito en Borland Delphi, que intenta utilizar el popular programa de intercambio de archivos vía Internet, Kazaa.

Esta variante no se disfraza como archivos con diferentes nombres de temas musicales o películas, como la primera versión.

Cuando se ejecuta por primera vez, el virus crea la siguiente clave del registro:

HKLM\Software\Microsoft
syscod = [un valor hexadecimal aleatorio]

Esto es usado por el gusano para auto comprobar que ya está instalado en el sistema.

Luego se copia en el directorio System de Windows:

C:\Windows\System\explorer.scr

En todos los casos, 'C:\Windows' y 'C:\Windows\System' pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, y como 'C:\WinNT', 'C:\WinNT\System32' en Windows NT/2000/XP).

También se crea la carpeta 'sys32' en el directorio TEMP de Windows:

C:\Windows\TEMP\sys32

Y también se copia en la carpeta compartida del programa KaZaa, utilizando el valor de la siguiente entrada del registro:

HKCU\Software\Kazaa\LocalContent\DirX

'DirX' puede ser cualquier directorio

Cuando se ejecuta el programa KaZaa se muestra el siguiente mensaje de error falso, para cubrir su verdadera acción:

Error
Access error #03A:94574
File possibly corrupted
[ Aceptar ]

Si el usuario responde afirmativamente [Aceptar], el gusano continúa su acción, creando la siguiente entrada en el registro, para permitir su autoejecución en próximos reinicios de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
System-Service = C:\Windows\System\Explorer.scr

Cada vez que el virus se ejecuta, crea dos copias de sí mismo en la subcarpeta TEMP\SYS32 por cada archivo de cualquier tipo ubicado en la carpeta compartida del KaZaa. Estas copias tendrán el mismo nombre pero con diferentes extensiones (.EXE, .SCR).

En ocasiones el gusano intenta abrir una página Web (benjamin.xww.de).

Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Si fuera necesario, desde el Explorador de Windows, borre los siguientes archivos (si aparecen):

C:\Windows\System\Explorer.scr
C:\Windows\TEMP\sys32\

(borre la carpeta "sys32" que cuelga de \TEMP\ completa)

5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

7. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

System-Service

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com