De: [cualquier dirección]

Las direcciones no corresponden a las de las personas infectadas, sino que son extraídas aleatoriamente de la libreta de direcciones de Windows y del MSN Messenger, (técnica denominada "mail spoofing", ya que no muestra al verdadero remitente). En ocasiones, utiliza la siguiente dirección:

demionklaz@hotmail.com

Asunto: [Uno de los siguientes]

• Baile paso a paso aprendera a bailar rapido
• el grupo esta buenazo muy buen video
• espero que te guste a mi me gsuto :p
• espero que te guste los nuevos pasos
• este es el video verdad espero que sea de tu agrado
• hay te envio el video que me pediste ta buenazo
• Nuevos pasos viva la musica
• trancebaile

Texto: [vacío]

Datos adjuntos: Alanis.exe

El archivo adjunto (ALANIS.EXE), muestra el icono de una película:

Cuando se ejecuta este archivo, muestra una ventana con un mensaje de error falso:

Error interno en la aplicacion ¡intente en algunos momentos!

el mismo se copia a si mismo en las siguientes ubicaciones:

c:\alanis morri.mcg
c:\avril lavig.mcg
c:\cleanmgr.mcg
c:\destino2.mcg
c:\evange.mcg
c:\freesoft.avi.scr
c:\kerneldll32.api
c:\metalica.mcg
c:\molani.scr
c:\mope.scr
c:\ova13.mcg
c:\pamxx.mcg
c:\picsxxx.mcg
c:\piratas.mcg
c:\saint.mcg
c:\seaevil.mcg
c:\termi.mcg
c:\windows\alanis morri.mcg
c:\windows\avril lavig.mcg
c:\windows\cleanmgr.mcg
c:\windows\destino2.mcg
c:\windows\evange.mcg
c:\windows\freesoft.avi.scr
c:\windows\kerneldll32.api
c:\windows\metalica.mcg
c:\windows\molani.scr
c:\windows\mope.scr
c:\windows\ova13.mcg
c:\windows\pamxx.mcg
c:\windows\picsxxx.mcg
c:\windows\piratas.mcg
c:\windows\saint.mcg
c:\windows\seaevil.mcg
c:\windows\termi.mcg
c:\windows\system\alanis morri.mcg
c:\windows\system\avril lavig.mcg
c:\windows\system\cleanmgr.mcg
c:\windows\system\destino2.mcg
c:\windows\system\evange.mcg
c:\windows\system\freesoft.avi.scr
c:\windows\system\kerneldll32.api
c:\windows\system\metalica.mcg
c:\windows\system\molani.scr
c:\windows\system\mope.scr
c:\windows\system\ova13.mcg
c:\windows\system\pamxx.mcg
c:\windows\system\picsxxx.mcg
c:\windows\system\piratas.mcg
c:\windows\system\saint.mcg
c:\windows\system\seaevil.mcg
c:\windows\system\termi.mcg

NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", etc.).

También crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
w32alanis = c:\windows\system\mope.scr

Crea o modifica la siguiente clave del registro, para deshabilitar el editor del mismo (REGEDIT.EXE):

HKCU\Software\Microsoft\Windows
\CurrentVersion\Policies\System
DisableRegistryTools = dword:00000001

Esto produce el mensaje "El administrador ha deshabilitado
la edición del registro" cuando se intenta ejecutar REGEDIT.

Además crea las siguientes entradas en el registro, para agregar la extensión .MCG como "Clip de video" asignándole el icono de Windows Media Player:

HKLM\Software\CLASSES\.mcg
(Predeterminado) = mcgfile

HKLM\Software\CLASSES\mcgfile
(Predeterminado) = "clip de vídeo"
NeverShowExt = ""

HKLM\Software\CLASSES\mcgfile\Shell\Open\Command
(Predeterminado) = "\"%1\" %*"

HKLM\Software\CLASSES\mcgfile\DefaultIcon
(Predeterminado) = C:\ARCHIV~1\REPROD~1\wmplayer.exe,-120

En Windows 95, 98 y Me, el gusano modifica el archivo SYSTEM.INI para autoejecutarse en cada reinicio:

[windows]
shell = explorer.exe c:\windows\system\cleanmgr.mcg

El gusano intenta copiarse cada 3 minutos en cualquier disquete insertado en la unidad A, que no esté protegido contra escritura, con cualquiera de los siguientes nombres:

a:\axebah.exe
a:\badboys!!.scr
a:\piratas.scr
a:\ring.exe

También crea los siguientes archivos:

c:\alanis.html
c:\avril.html
c:\evan.html
c:\nemo.html
c:\pamelaxxx.html
c:\mis documentos\alanis.html
c:\mis documentos\avril.html
c:\mis documentos\evan.html
c:\mis documentos\nemo.html
c:\mis documentos\pamelaxxx.html

El código HTML contiene una rutina en JavaScript, que se ejecuta cuando es abierto con el Internet Explorer, aprovechándose de una vulnerabilidad conocida en el manipulador MHTML de Outlook Express, descripto en el boletín MS03-014 (ver http://www.vsantivirus.com/vulms03-014.htm), por medio de la cual un intruso puede ejecutar un archivo en un sistema remoto.

Cuando ello ocurre, se crea una copia de ALANIS.EXE (embebido en el HTML), en una carpeta temporal y luego se ejecuta, todo sin ningún tipo de aviso que le permita al usuario sospechar.

El gusano puede propagarse por las siguientes redes P2P (además del ICQ):

Edonkey2000
Grokster
ICQ
KaZaA Lite
KaZaA
Morpheus
WinMX

Para ello se copia en las siguientes carpetas, con los nombres que se muestran más abajo:

c:\archivos de programa\edonkey2000\incoming\
c:\archivos de programa\grokster\my grokster\
c:\archivos de programa\icq\shared files\
c:\archivos de programa\kazaa lite\my shared folder\
c:\archivos de programa\kazaa\my shared folder\
c:\archivos de programa\morpheus\my shared folder\
c:\archivos de programa\winmx\my shared folder\

Nombres de archivos:

axebah.exe
badboys!!.scr
freesoft.avi.scr
molani.scr
mope.scr
piratas.scr
ring.exe

El gusano también crea el siguiente archivo de texto, con la figura de un conocido personaje, en caracteres ASCII:

C:\tazmania.txt

El contenido de ese archivo es el siguiente (si se visualiza con caracteres proporcionales, como "Courier" por ejemplo):

          demionklaz@hotmail.com

              ,   .-'"'=;_  ,
              |\.'-~`-.`-`;/|
              \.` '.'~-.` './
              (\`,__=-'__,'/)
           _.-'-.( d\_/b ).-'-._
         /'.-'   ' .---. '   '-.`\
       /'  .' (=    (_)    =) '.  `\
      /'  .',  `-.__.-.__.-'  ,'.  `\
     (     .'.   V       V  ; '.     )
     (    |::  `-,__.-.__,-'  ::|    )
     |   /|`:.               .:'|\   |
     |  / | `:.              :' |`\  |
     | |  (  :.             .:  )  | |
     | |   ( `:.            :' )   | |
     | |    \ :.           .: /    | |
     | |     \`:.         .:'/     | |
     ) (      `\`:.     .:'/'      ) (
     (  `)_     ) `:._.:' (     _(`  )
     \  ' _)  .'           `.  (_ `  /
      \  '_) /   .'"```"'.   \ (_`  /
       `'"`  \  (         )  /  `"'`
   ___        `.`.       .'.'        ___
 .`   ``"""'''--`_)     (_'--'''"""``   `.
(_(_(___...--'"'`         `'"'--...___)_)_)

    [DemionKlaz]..................[DK]

El código del gusano, contiene también el siguiente texto:

por que te quiero tanto fiorela

Reparación manual

Editar el registro

1. Descargue el siguiente archivo (Restore.reg):

http://www.videosoft.net.uy/restore.reg

2. Una vez en su computadora, haga doble clic sobre él para agregar su contenido al registro.

3. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

5. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

w32alanis

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES
\.mcg

7. Pinche en la carpeta ".mcg" y en el panel de la derecha busque y borre la siguiente entrada:

(Predeterminado) = mcgfile

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES
\mcgfile

9. Pinche en la carpeta "mcgfile" y bórrela

10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Modificar SYSTEM.INI

1. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.

2. Busque lo siguiente:

[boot]
shell = explorer.exe c:\windows\system\cleanmgr.mcg

y déjelo así:

[boot]
shell = explorer.exe

3. Grabe los cambios y salga del bloc de notas


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos y disquetes
3. Borre los archivos detectados como infectados, incluso disquetes
4. Reinicie su computadora


Información adicional

Habilitando la protección antivirus en KaZaa

Desde la versión 2.0, KaZaa ofrece la opción de utilizar un software antivirus incorporado, con la intención de proteger a sus usuarios de la proliferación de gusanos que utilizan este tipo de programas.

Habilitando la protección antivirus en KaZaa
http://www.vsantivirus.com/kazaa-antivirus.htm


Sobre las redes de intercambio de archivos

Si usted utiliza algún software de intercambio de archivos entre usuarios (P2P), debe ser estricto para revisar con dos o más antivirus actualizados, cualquier clase de archivo descargado desde estas redes antes de ejecutarlo o abrirlo en su sistema.

En el caso que el programa incorpore alguna protección antivirus (como KaZaa), habilitarla es una opción aconsejada, pero los riesgos de seguridad en el intercambio de archivos siempre estarán presentes, por lo que se deben tener en cuenta las mismas precauciones utilizadas con cualquier otro medio de ingreso de información a nuestra computadora (correo electrónico, descargas de programas desde sitios de Internet, etc.).

De cualquier modo, recuerde que la instalación de este tipo de programas, puede terminar ocasionando graves problemas en la estabilidad del sistema operativo.

Debido a los riesgos de seguridad que implica, se desaconseja totalmente su uso en ambientes empresariales, donde además es muy notorio e improductivo el ancho de banda consumido por el programa.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

12/nov/03 - Alias: W32/Alanis-A, I-Worm.Alanis, W32/Sinala, Win32/Sinala.A
12/nov/03 - Ampliación de la descripción




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com