De: MAILER-DAEMON@[dominio del destinatario]
Asunto: FAILED DELIVERY
Datos adjuntos: mail.hta

Texto del mensaje:

Unfortunately, it was not possible to deliver one or
more of your messages. For more information, please,
take a look in the attachment.

Versión 2:

De: MAILER-DAEMON@[dominio del destinatario]
Asunto: FAILED DELIVERY
Datos adjuntos: mail.hta

Texto del mensaje:

Your message, attached did not reach the reciepent.
%number%@%recipient domain% #5.5.0 smtp; 550 Requested
action not taken: mailbox unavailable.

El adjunto MAIL.HTA muestra un falso mensaje de publicidad de una crema de belleza, en formato HTML:

Warning

---

The following message was sent to you as an opt-in subscriber to EmailStimulator or its affiliates. We will continue to bring you valuable offers on the products and services that interest you most. To no longer receive these offers, please click here.Unsubscribe.

---

We are so positive that this remarkable, new cream will perform like no other cream you have ever tried that we are offering you a trial sample at absolutely no cost to you. You'll discover that within a few short weeks of using Perfection by Paradise your skin will undergo such a magnificent transformation that you will never want to be without it again. Perfection by Paradise offers you a totally unique approach to achieving ageless, smooth, and vitally young skin. Perfection saturates layer after layer of thirsty skin cells with humectants to hold in moisture and protein to revitalize. The result? Skin cells that are plumped up, not dry, and packed with healthy protein...and a massive reduction in lines, signs of stress, roughness and skin damage. Our supply is extremely limited and the demand is staggering so please take advantage of our incredible offer before it's too late. Just click the link provided below for the best skin of your life.

Click Here!

---

The message above was sent to you as an opt-in subscriber to EmailStimulator or its affiliates. We will continue to bring you valuable offers on the products and services that interest you most. To no longer receive these offers, please click here. Unsubscribe.
http://unsubscribe.e54.org/g/unsubscribe.php

To have your email address removed by postal mail or fax...
Email Stimulator, Inc.
5500 Military Trail, Suite 22-111
Jupiter, FL 33458

443.785.2646 (Fax)

El código de MAIL.HTA, incluye además un script de Visual Basic (VBS) que libera un archivo con alguno de los siguientes nombres o ubicaciones y luego lo ejecuta:

C:\sys615.scr
C:\Progra~1\Outloo~1\outl32.scr

El archivo creado y luego ejecutado, es el troyano "Troj/Inor.A" ("Troj/Dloader-BO", etc.).


Reparación manual

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Borrar los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el archivo con alguno de estos nombres que aparezca:

C:\sys615.scr
C:\Progra~1\Outloo~1\outl32.scr

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.

Borre también los mensajes electrónicos similares al descripto antes (MAIL.HTA).


Sobre el troyano "Troj/Inor.A"

Siga las siguientes instrucciones para limpiar la infección con este troyano:

VSantivirus No. 859 - 13/nov/02
Troj/Inor.A. Descarga y ejecuta al troyano "Jeem.A"
http://www.vsantivirus.com/inor-a.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Referencias:

Troj/Inor.A. Descarga y ejecuta al troyano "Jeem.A"
http://www.vsantivirus.com/inor-a.htm

Nueva forma de ataques masivos a través de troyanos
http://www.vsantivirus.com/13-11-02.htm

Troj/Backdoor.Jeem.A. Lo instala el troyano "Inor.A"
http://www.vsantivirus.com/back-jeem-a.htm


Actualizaciones:
22/nov/02



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com