W32/Netres. Utiliza nombres extraños, incluido en ruso

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 630 - Año 6 - Viernes 29 de marzo de 2002

W32/Netres. Utiliza nombres extraños, incluido en ruso
http://www.vsantivirus.com/netres.htm

Nombre: W32/Netres
Tipo: Gusano de Internet
Alias: Worm.Netres
Plataforma: Windows 32-bit
Tamaño: 380 a 400 Kb de acuerdo a la versión
Fecha: 26/mar/02

Se trata de un peligroso virus que funciona solo en sistemas Win32. El gusano se propaga a través de máquinas que comparten recursos (discos y carpetas) a través de una red local o corporativa.

El algunas versiones, el gusano se copia en subdirectorios de la unidad de disco raíz y en disquetes insertados en la unidad A.

Existen por lo menos diez variantes conocidas. El virus es un archivo en formato PE EXE, escrito en Delphi, y de un tamaño que varía entre 380 y 400 Kb (de acuerdo a la versión).

El gusano se copia a si mismo con diferentes nombres seleccionados al azar, algunos poseen numerosos espacios en blanco delante del .EXE (para hacer pasar desapercibida la verdadera extensión), y otros poseen caracteres en ruso, que son visualizados incorrectamente en una computadora con el lenguaje estándar (inglés o español).

AntiVP.exe
NetCheck.exe
Free pics.htm                    .exe
®á®âà¨ íâ®.jpg                  .exe
’® çâ® ®¡¥é « .xls               .exe
‚á¥£¤ â¢®ï.doc                   .exe
£àãèª                            .exe
¥ § ¯ãáª âì!!!                  .exe
à®áâ® ªà á¨¢ ï ª àâ¨ª .jpg     .exe
Œãá®à.doc                        .exe
‘ «î¡®¢ìî.jpg                    .exe

Por ejemplo, "Free pics.htm .exe" debería ser "Free pics.htm.exe". La separación de la última extensión, hace que sea visualizado en la ventana del explorador como "Free pics.htm", aunque sigue ejecutándose como .EXE.

También existen nombres que pueden ser construidos al azar de las siguientes variantes:

Nombre de la columna 1 + extensión (columna 2) + .exe:

 Columna 1   Columna 2
 ~~~~~~~~~   ~~~~~~~~~
 document  +   .exe   +   .exe
 Doom          .jpg
 Heretic       .bat
 hot pics      .xls
 track01       .doc
 Delphi        .log
 C++           .txt
 Pascal        .mp3
 Parus         .wav
 1SB-Win
 ‹î¡¨®©
 ®¡¥é ®¥
 á¥ªà¥â
 ª¨áª 
 „®ªã¥â
 Š àâ

Ejemplos:

 C++.exe                        .exe
 C++.jpg                        .exe
 Doom.doc                       .exe
 Heretic.mp3                    .exe
 Parus.exe                      .exe
 Pascal.txt                     .exe
 track01.log                    .exe
 „®ªã¥â.log                     .exe
 ‹î¡¨®©.doc                     .exe
 á¥ªà¥â.log                     .exe
 á¥ªà¥â.mp3                     .exe

El gusano, mueve todos los archivos de la carpeta System de Windows a un nuevo subdirectorio llamado \Restop\:

c:\windows\system\*.* -> c:\windows\restop\

Esta acción, puede provocar el cuelgue del sistema, al no localizarse archivos vitales.

El gusano crea un archivo de registro donde reporta todas sus acciones. El nombre de este log depende de la versión del virus:

C:\v1.log
C:\v3.log

La limpieza manual del virus consiste en la ejecución de uno o más antivirus actualizados, el borrado de los archivos infectados, y luego la recuperación del sistema operativo, a través de una copia de respaldo, o reinstalando Windows arrancando desde un disquete y seleccionando el instalador INSTALAR.EXE, y como ubicación la MISMA carpeta actual (generalmente C:\WINDOWS). Esto restituirá los archivos del sistema borrados, manteniendo todos los demás programas y configuraciones de Windows anteriores.

Luego de la reinstalación, borre la carpeta C:\WINDOWS\RESTOP\ y todo su contenido.

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com