JS/Menger. Gusano que nos contagia al visitar ciertos Web

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 587 - Año 6 - Jueves 14 de febrero de 2002

JS/Menger (Coolnow). Nos contagia al visitar ciertos Web
http://www.vsantivirus.com/menger.htm

Nombre: JS/Menger (Coolnow)
Tipo: Gusano de JavaScript, virus de HTML
Alias: JS_MENGER.GEN, MENGER.GEN, Js/Messenger-Exploit, JS/CoolNow, JScript/CoolNow.Worm, Menger.
Plataforma: Windows
Fecha: 13/feb/02

Si al visitar un sitio, se abre un enlace y una ventana a pantalla completa del browser, corremos el riesgo de haber sido infectados por este virus, conocido como JS/Menger o JS/CoolNow.

Este gusano nos contagia al visitar determinadas páginas Web, las que contienen el código viral (un Javascript). Para dirigirnos a dicha página, podemos recibir vía MSN Messenger, un mensaje con un enlace a la misma.

Si ejecutamos el enlace y se nos abre en nuestro explorador dicho sitio, el virus se activa en nuestra computadora. Para ello engancha el manejador del evento ONLOAD con su función principal. La primera acción visible es configurar el browser para conectarse a ese sitio en el modo Pantalla completa:

res://<nombre del sitio>/blank.htm

Modifica el texto de la pantalla o el título de la ventana para que muestre el mensaje "Please Wait...".

Utiliza una de las vulnerabilidades que corrige el último parche acumulativo de Microsoft, en la librería MSHTML.DLL para invocar e iniciar automáticamente una sesión en MSN.

El gusano también puede robar datos de nuestra configuración del MSN Messenger. Estos datos son enviados en formato HTML al autor del gusano.

El virus envía la información de la solicitud HTTP a un servidor Web específico, cuya dirección está oculta en la página visitada.

El gusano envía entonces notificaciones a todos los usuarios listados en MSN Messenger, invitándolos a visitar determinado sitio.

Según los últimos reportes, el gusano está presente en numerosos sitios, existiendo diferentes variantes que alteran el nombre dado en el mensaje enviado por el MSN.

Un ejemplo:

ATTeNT!oN - Go to: http://www.<nombre del sitio>.com/elite_Xjp/teztx1.htm Now

El parche que corrige la falla que permite esto, está en el paquete del boletín MS02-005 (ver VSA #585, Parche crítico para 6 vulnerabilidades (MS02-005)).

Para remover el gusano de un sistema infectado, ejecute uno o más antivirus actualizados, y borre los archivos identificados como JS/Menger o similar.

Para evitar su ejecución, actualice su Internet Explorer con el parche acumulativo de MS02-005, según se explica en el artículo mencionado antes.

Mientras tanto, evite seguir el enlace a páginas Web que aparezcan en cualquier mensaje no solicitado.

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com