X97M/Reten.d. Infecta todos los libros de trabajo

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 647 - Año 6 - Lunes 15 de abril de 2002

X97M/Reten.d. Infecta todos los libros de trabajo
http://www.vsantivirus.com/reten-d.htm

Nombre: X97M/Reten.d
Tipo: Virus de macro de Excel
Fecha: 11/abr/02
Fuente: NAI

Con origen en Indonesia, este virus afecta documentos de Excel 97 y 2000.

El documento infectado guarda el código del virus en el módulo de macros PROJECT_P, y utiliza la carpeta de inicio de Excel (\Microsoft Office\Office\InicioXL), para liberar un archivo llamado VALERIANET.XLM.

El virus intercepta cada vez que un documento es abierto o cerrado para ejecutar su propio código. Cuando este archivo se ejecuta (lo hace automáticamente al iniciarse Excel una vez creado en esa carpeta), se produce la infección de todos los libros de trabajo presentes en el disco.

También puede ejecutarse cada vez que una hoja de cálculos es abierta. Si el virus está activo, intentará borrar las opciones Herramientas/Macro, Herramientas/Personalizar.

El siguiente texto es mostrado en la barra de estado de la ventana abierta. Un mensaje similar es desplegado en la barra de estado de todos los documentos infectados:

Assalammu'alaikum Warrohmatullah..

Al cerrarse un libro de trabajo infectado, el virus crea un archivo de texto en C:\AlQuran.txt, el cuál contiene mensajes en indonesio.

El texto de la barra de captación de Excel, es cambiado por el siguiente:

TELKOMSEL,Begitu Dekat Begitu Nyata....

El virus también crea un documento llamado Palestina.html y otro AsiaGirls.html, conteniendo solo texto (no contiene código viral).

Si la fecha del sistema es 26 de cualquier mes, y la hora posterior a las 10:26 de la mañana, una ventana con el siguiente contenido es mostrada:

Valerianet Security System - Telkomsel

Thank you for Choosing Our Firewall System Security for Server and DataCenter. This Program Protected The INTERNATIONAL TREATY and LAW. ,For more information and Need Help; please contact: @mailcity..,or Our Mobile Phones. For Indonesia Area please Contact: 0811793763

[ OK ]

Si el día es igual al minuto (por ejemplo el día 15 de abril, todas las horas XX:15 (12:15, 18:15, 22:15, etc.) se mostrará el siguiente mensaje:

Telkomsel Dekat Begitu Nyata... Pilih Kartu Pilih, Kartu, Pilin Kartu HalO atau SimPati Nusantara.

[ OK ]

Para borrar el virus de un sistema infectado, ejecute un antivirus que se especialice en este tema, por ejemplo F-Macrow, antivirus de F-Prot solo para virus macros, gratuito para uso personal, y que se actualiza con MACRO.DEF (MACRDEF2.ZIP).

Programa y actualización pueden ser descargados de nuestro sitio: http://www.vsantivirus.com/f-prot.htm

Puede borrar también los siguientes archivos, si aún están presentes en un sistema infectado.

\Microsoft Office\Office\InicioXL\ValeriaNET.XLM
C:\AsiaGirls.html
C:\Palestina.html
C:\AlQuran.txt

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com