Asunto: Yaser Arafat secrets
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

all secrets about Yaser Arafat in attachment

Ejemplo 2:

Asunto: Happy new year
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

this is my great gift 4 u,in 2005 see it in attachment

Ejemplo 3:

Asunto: All Abu gharib jail secrets in iraq
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

this all secrets about Abu gharib secrets movies & 
photos see it in attachment

Ejemplo 4:

Asunto: best 10 sex movies
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

in attachment u can see the best 10 movies in 2004

Ejemplo 5:

Asunto: Best 3 games in 2004
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

wat?? is the best 3 games in 2004 in attachment file
you 'll find its with its crack and secret serial no 
(new&free)

Ejemplo 6:

Asunto: PARPAROSA party (free)
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

hi,happy new year... in attachment u can see movies of 
the best party in 2004 all over the world

Ejemplo 7:

Asunto: SHABAB NET presents
Datos adjuntos: Britny spears marriage with Bnladen son.zip.exe

Texto del mensaje:

hi... welcome 4 u in shabab net world due to new year we 
present new magic cam which enables u to see all cam in 
all chat types whith out any request!!(Dawoud MAGIC 
CAM)!!its free with its crack in attachment

Intenta propagarse además, a través del mIRC, redes de archivos compartidos (P2P), y también a través de recursos compartidos de redes.

El envío masivo de los mensajes, causa una notoria degradación del rendimiento de la conexión a Internet.

Cuando se ejecuta, muestra una ventana de error falsa con el siguiente texto:

system error
error in winzip due to PARPAROSA tsunami
[   Aceptar   ]

Crea las siguientes carpetas:

c:\hard core hook from web
c:\magic_cam
c:\windows\all users\desktop\magic
d:\hook all sex movies from webs
d:\secrets
e:\real sex telephones

Y se copia con los siguientes nombres en dichas carpetas:

C:\BEST 10 SEX MOVIES IN 2004.zip
C:\Documents and Settings\All Users\DESKTOP\holywood stuff film.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\a7meedye graphices maker.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\sisqoo^^007 progs.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\sisqoo^^007 progs.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\salga.b.exe
C:\Documents and Settings\All Users\Start Menu\white fang sex.zip.exe
C:\hard core hook from web\setup.zip.exe
C:\magic_cam\magic_cam.ZIP.EXE
C:\Program Files\Accessories\Nicole kidman.zip...............exe
C:\Program Files\mirc\Britny spears marriage with Bnladen son.zip.exe
C:\Program Files\mirc32\Britny spears marriage with Bnladen son.zip.exe
c:\windows\acdsee demo.exe
c:\windows\All Users\Desktop\magic\sex photoes of monika.zip.exe
c:\windows\All Users\Start Menu\Programs\StartUp\salga.b.exe
c:\windows\Start Menu\mob xp10 net speeder.zip.exe
c:\windows\start menu\mob xp10 net speeder.zip.exe
c:\windows\start menu\programs\DR.BLACK PERSON chat prog.zip.exe
c:\windows\start menu\programs\DR.BLACK PERSON.zip.exe
c:\windows\system\system copy.exe
c:\windows\system32\egywormo[gen2].exe
D:\FUN.ZIP.EXE
D:\girlfriends emails.zip.exe
D:\hook all sex movies from webs\setup.zip.exe
E:\blood of fetch sex.zip.exe
E:\Messenger 9.00.ZIP.EXE
E:\real sex telephones\call from me.zip.exe

Genera las siguientes entradas en el registro, para autoejecutarse en cada reinicio del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
system xp = "c:\windows\acdsee demo.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
windows = "c:\windows\system\system copy.exe"

También crea la siguiente entrada para deshabilitar la restauración automática en aquellos Windows que lo soporten:

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
DisableConfig = "1"
DisableSR = "1"

Intenta sobrescribir los siguientes archivos:

C:\program files\mIRC\script.ini
C:\program files\mIRC32\script.ini

Con ello, utilizará el mIRC para enviar el siguiente archivo (una copia de si mismo), a usuarios conectados a los mismos canales de chat que visite el usuario infectado:

Britny spears marriage with Bnladen son.zip.exe

Crea un archivo AUTORUN.INF en el raíz de la unidad D: (si existe y no es un CD), conteniendo las siguientes líneas:

[autorun]
open=FUN.ZIP.EXE

Crea un archivo AUTORUN.INF en el raíz de la unidad E: (si existe y no es un CD), conteniendo las siguientes líneas:

[autorun]
open=Messenger 9.00.ZIP.EXE

Si no existem crea la siguiente carpeta:

C:\Program Files\Kazaa\My Shared Folder\Shared

Se copia en ella con los siguientes nombres de archivo:

[SWF] - Harry Potter and the philosophers ston.zip.........exe
[SWF] - Swordfish.........exe
[SWF] - The Fast and the Furious.zip.........exe
anti hackers.zip.........exe
antibiotics side effects.zip.........exe
aol2005 frexe and new.zip.........exe
best and strong firewall in 2004.zip.........exe
best anti virus in 2004 (new&frexe).zip........exe
best xxl movies in 2004 .zip.........exe
big one in the world.zip.........exe
Britny spears and Madona sex viedio in 24 minnly.zip.................exe
Britny Spears sex pics.zip.........exe
bundes lega.zip.........exe
Cat attacks child.zip.........exe
cocacola new chat prog.zip.........exe
Comedy video.zip.........exe
computer programs in 2020.zip.........exe
Dracola realy appears in japan.zip.........exe
FBI secrets ( how can them catch hekers.zip........exe
fear FACTOR FLASH MOVEIS.zip.........exe
FlashMovie.zip.........exe
Game_Crack_Genie_v0.5.zip.........exe
hard core new films.zip.........exe
i robot 2nd part .zip.........exe
Iraq war.zip.................exe
last messengers versions.zip.................exe
learn 3dstoudio in 3 days.zip.........exe
learn allvisual basic projects.zip.........exe
LEARN autocade IN 3 days.zip.........exe
learn photo shop in 3 days only.zip................exe
lesbien chat frexe.zip.........exe
MacroMedia Flash 6.0.zip.........exe
MAGIC_ programs.zip.........exe
mirc_antworms.zip.........exe
ms games.zip.........exe
MsDos_PortScanner.zip.........exe
msn 9.00+its plus frexe and new.zip...............exe
NEW abu gharib secrets movies and photos.zip........exe
new cupied photos.zip.................exe
new film_alond shwanzinger 2004.zip.........ex
new girls emails with there phone numbers.zip................exe
new sex .zip.........exe
news paper(clot).zip.........exe
norton 2005+its crack (frexe&new).zip.........exe
office 2005 frexe &new.zip.........exe
pebsi with mice heheheheh.zip.........exe
photoshop LAST VER 2005.zip.........exe
sex animal photos.zip.........exe
Shockwave Flash.zip.........exe
Simpsons Episode (#10)..zip.........exe
songs of sexy films.zip.........exe
ssPamela_Anderson_(Naked Screxen Saver).scr........exe
ssParis_Hilton_(Nude Screxen Saver).scr............exe
striper brests program v 1.7.00.zip.exe
strong fire wall allover the world with thelasupdate of norton.zip.................exe
SWF.zip.........exe
SWF_Movie.zip.........exe
tourism IN TURKY FRexe.zip.........exe
TOY 2010 new film of me.zip.........exe
Tutorial Video on Hacking.........exe
UK DENGEROUS SECRETS secrets.zip.........exe
USA discvered water in mars yesterday.doc.zip................exe
viagra frexe only gift 4 u in 2004.zip.........xe
Virtual_3D_Pinball.zip.........exe
virus cleaner 2005 (frexe).zip.........exe
water in mars exclusion.zip.........exe
Win32System_Tweaks_v1.0.zip.........exe
Wmplayer_Celebrity_Skins.zip.........exe
wwf_TRIBLE H.zip.........exe
XXX video.zip.........exe
yahoo2005 frexe & new.zip.........exe
yaser arafat death secrets.zip.........exe

También crea la siguiente entrada en el registro, para compartir dicha carpeta al iniciarse el KaZaa:

HKCU\Software\Kazaa\Transfer
StartKazaa -SilentRun =
"C:\Program Files\Kazaa\My Shared Folder\Shared"

Busca todas las carpetas que en su nombre contengan la cadena "SHAR", y se copia con los siguientes nombres en ellas:

Britny spears and Madona sex viedio in 24 minnly.zip.................exe
Iraq war.zip.................exe
last messengers versions.zip.................exe
learn photo shop in 3 days only.zip................exe
new cupied photos.zip.................exe
new girls emails with there phone numbers.zip................exe
strong fire wall allover the world with thelas update of norton.zip.................exe
USA discvered water in mars yesterday.doc.zip................exe

También busca los recursos compartidos C$, IPC$ y ADMIN$, e intenta copiarse en ellos con los siguientes nombres:

admin$\system32\best intersting films in our network.zip...................................exe
admin$\system32\best intersting films in our network.zip...................................exe
C$\documment and settings\all users\documents\secret documents with secret photos packed.zip......................exe
C$\my favourite sex movies.zip.........................................................exe
C$\shared\secret credits.zip..........................................................exe
C$\windows\system32\pass word of all users stored here.zip................................exe
C$\winnt\systemm32\best programs in 2004 with its crack.zip.............................exe
D$\dengerous secret movies.zip.........................................................exe
ipc$\sexy photoes from my chat.zip...............................exe

Crea una carpeta de red compartida con el nombre de "magic_cam", y la mapea con el siguiente nombre:

C:\magic_cam

Envía el siguiente mensaje a otros usuarios:

Message from [nombre equipo infectado] to [workgroup]
on [fecha]:

* hi welcome in our network you can see the new film 
of Britny spears from the computer which shown it is 
very interesting film or see it also from any shared 
folder <<habby interesting time in our net cafe bi>>

Abre una ventana del navegador, apuntando al siguiente dominio:

originalicons .com

Dentro de la carpeta creada antes, crea el siguiente archivo:

D:\new computer worm alert\virus alert.txt

VIRUS ALERT.TXT contiene el siguiente texto:

your computer have been infected by:- Egywormo[gen2]=w32.salga.b@mm this is modefication version of salga.a worm profile aim of this just modification of salga.a creation by XP10 VIRUS MASTER MR(PARPAROSA)+ MYDOOM WORM DESIGNER MR(HUSS) thanx 4 DAWOUD,A7MEEDYE,WHITE FANG,SISQOO^^007 AND DR.BLACK PERSON AND MORE THX 4 MOB contact us in <azurgi@hotmail.com>

Utiliza el Microsoft Outlook y Outlook Express para enviar mensajes al autor, con las siguientes características:

Mensaje 1:

Para: azurgi @ hotmail .com
Asunto: mr:PARPAROSA new victem

Texto del mensaje:

Hi:PARPA i'm your server Egywormo[gen2](salga.b_worm) 
this is new victem who has own outlook machine i 
caputred his contacts and go there to infect them.... ok 
i'll go now and see you soon when i infect more 
......bibi PARPAROSA

Mensaje 2:

Para: azurgi @ hotmail .com
Asunto: www .hotmail .com

Texto del mensaje:

You must write your email in yahoo or hotmail and write 
your password acuratly to convert your email with 
previous advantages

Mensaje 3:

Para: Azurgi @ hotmail .com
Asunto: Salga give her sir email of victem

Texto del mensaje:

Password of victem email

El gusano modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde una máquina infectada:

89 .com
avp .com
ca .com
customer .symantec .com
dispatch .macafee .com
download .com
download .macafee .com
f-secure .com
kaspersky .com
kaspersky-labs .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .
macafee .com
mast .macafee .com
my-etrust .com
nai .com
networkassociates .com
pandasoftware .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sex .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .macafee .com
virusalert .info
viruslist .com
virustotal .com
www .89 .com
www .avp .com
www .ca .com
www .download .com
www .f-secure .com
www .kaspersky .com
www .macafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .pandasoftware .com
www .sex .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .virusalert .info
www .viruslist .com
www .virustotal .com
www .xxl .com
xxl .com

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).


Reparación manual

Deshabilitar cualquier conexión a Internet o una red

Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\Transfer

3. Haga clic en la carpeta "Transfer" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

StartKazaa -SilentRun

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las entradas que aparezcan de esta lista:

system xp
windows

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Policies
\Microsoft
\Windows NT
\SystemRestore

7. Haga clic en la carpeta "SystemRestore" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las entradas que aparezcan de esta lista:

DisableConfig = "1"
DisableSR = "1"

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com