De: support@symantec.com
Asunto: Symantec-Virus-Warning
Datos adjuntos: varios

Texto:
New virus in "The Wild" called "W32/Cow".Spreads
through e-mail and IRC.A solution is this free
program.Send this message to your friends.
Thank you, Symantec

Ejemplo 2:

De: piadeiros@risadinha.com.br
Asunto: Piada do Paciente Galo
Datos adjuntos: varios

Texto:
Um paciente chegou com o psiquiatra e disse:
- Doutor, eu sou um galo...

Ejemplo 3:

De: jonas.rc@yahoo.com.br
Asunto: Ei, psiu...
Datos adjuntos: varios

Texto:
Nada. Te peguei...Gosto muito de voc, viu ? Estou
com saudades. De seu amigo, Jonas.

Ejemplo 4:

De: notice@programese.kit.net
Asunto: Bom dia !!!
Datos adjuntos: varios

Texto:
Feliz Aniversrio !!!

En todos los casos, utiliza como datos adjuntos archivos con diferentes nombres y extensión .EXE.

La infección se produce cuando el usuario ejecuta dicho archivo. Cuando ello sucede, el gusano crea el siguiente directorio si no existe (sin importar la versión de Windows):

c:\windows\temp

Se copia luego con uno de los siguientes nombres:

c:\windows\temp\Taskmgr320.exe
c:\windows\temp\Taskmgr321.exe
c:\windows\temp\Taskmgr322.exe
c:\windows\temp\Taskmgr323.exe
c:\windows\temp\Taskmgr324.exe
c:\windows\temp\Taskmgr325.exe
c:\windows\temp\Taskmgr326.exe
c:\windows\temp\Taskmgr327.exe
c:\windows\temp\Taskmgr328.exe
c:\windows\temp\Taskmgr329.exe

Crea un archivo ZIP con un nombre que representa la cantidad de veces que el gusano se ha ejecutado en esa computadora. Por ejemplo, cuando se ejecutó 20 veces, este sería el nombre:

c:\windows\temp\20.zip

El ZIP contiene información obtenida de la computadora infectada.

El gusano crea además un directorio con un nombre de 12 dígitos que representa el día mes y año, más la hora de su ejecución [DDMMAAHHmmss], en un formato como el siguiente:

c:\windows\temp\día+mes+año+hora+minutos+segundos\

Por ejemplo, si se ejecutó a las 12:30:54 del 22 de agosto de 2003:

c:\windows\temp\220803123054\

También agrega los siguientes valores al registro, para poder autoejecutarse en cada reinicio:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
cftmon32 = [uno de los ejecutables del gusano]

Además crea las siguientes entradas:

HKCU\Software\Microsoft\Windows\
cftmon32 = "Java Compiler"
jto = [nombre del directorio DDMMAAHHmmss]
pcount = [veces que se ejecutó]

Luego, busca direcciones electrónicas en archivos con extensión HTML en la máquina infectada, para autoenviarse a ellas, como un adjunto en mensajes como los ya vistos. Para el envío se conecta al servidor SMTP, smtp.uol.com.br.

Por último, intenta enviar al autor del gusano, el archivo .ZIP creado antes.

Symantec advierte que en agosto de 2003, también fueron detectados mensajes falsos, aparentemente enviados por este fabricante en forma de spam, en un mensaje con estas características:

De: symantec-bb [symantec-bb@uol.com.br]
Asunto: Alerta de Segurança da Symantec

Texto:
[en formato HTML con el logo de la empresa,
y el siguiente texto entre otros:]

Alerta da Segurança da Symantec

Tome cuidado com os e-mails que
caem em sua caixa de mensagens.
Agora, Banco do Brasil e Symantec
se unem nessa luta contra os
hackers. Com o novo Internet
Instant Security você previne seu
computador de ser atacado e
infectado. Instale já e garanta sua
sgurança.

Symantec

Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

KEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

cftmon32

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows

5. Pinche en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas:

cftmon32
jto
pcount

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com