Video Soft BBS


Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Las Noticias
Galería
Chat

Controlado desde el 19/10/97 por NedStat

VSAntivirus   
Esta página es un servicio gratuito de Video Soft BBS -
SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número  desde el 12 de agosto de 1996

W32/Sowsat. Uno de sus mensajes simula ser un antídoto
 
VSantivirus No. 662 - Año 6 - Martes 30 de abril de 2002

W32/Sowsat. Uno de sus mensajes simula ser un antídoto
http://www.vsantivirus.com/sowsat.htm

Nombre: W32/Sowsat
Tipo: Gusano de Internet
Alias: W32/Sowsat@MM, I-Worm.Sowsat
Fecha: 26/abr/02
Tamaño: 155,648 bytes (comprimido con UPX)

Este gusano de correo electrónico, se envía a si mismo a direcciones extraídas de archivos *.HTM y *.HTML, en el directorio Windows de la máquina infectada.

También es capaz de propagarse vía IRC, creando para ello un archivo SCRIPT.INI en la carpeta del mIRC, un conocido programa de chat.

El gusano contiene su propia rutina SMTP, y utiliza para enviar sus mensajes infectados, un servidor SMTP público, cuya dirección figura en el código del gusano, siendo por lo tanto fija.

El mensaje recibido, así como los enviados por el gusano, tienen estas características:

De: Screensaver-Demo coder (DEMOS@SCREENSAVE.ORG)
Asunto: Kewl FX screensaver
Datos adjuntos: setupc.exe
Texto:
A nice FX-screensaver.Better than the last one!


De: AVP-Team (AVP.MAILER@AVP.COM)
Asunto: AVP-Virus-Warning
Datos adjuntos: setupc.exe
Texto:
New virus in "The Wild" called "W32/Cow".Spreads through e-mail and IRC.A solution is this free program. Send this message to your friends. Thank you, AVP Team


De: Your friend (JOHN@YAHOO.COM) 
Asunto: My cool, litle program 
Datos adjuntos: setupc.exe 
Texto:
Something I programmed.It's really cool!


De: Crazy Games inc. -New gaming company (Crazygames@crazygamez.com) 
Asunto: freeware nice game 
Datos adjuntos: setupc.exe 
Texto:
hya, chaeck this cool freeware!

En su código, el gusano contiene el siguiente texto, no mostrado durante su ejecución:

I-Worm/Cow
[Team A] kicks [Team B]'s ass!

El gusano se copia a si mismo en el directorio C:\Windows con los nombres "setupc.exe" y "syscX.exe", donde la "X" representa un número del 0 al 9, por ejemplo: "sysc8.exe".

El gusano modifica la siguiente rama del registro para autoejecutarse en próximos reinicios del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
"Cow" = c:\windows\syscX.exe

También crea esta entrada en el registro:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
"Cow" = Moooo

Además, examina si está instalado el WinZip (compresor de archivos), y si lo está crea otra copia de si mismo pero comprimida y con extensión .ZIP, modificando el registro para que en próximos reinicios se ejecute al principio el WinZip.

El archivo comprimido tendrá este nombre: "oscX.zip" (la X representa un dígito de 0 a 9).


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el gusano

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

"Cow"         c:\windows\syscX.exe

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2002 Video Soft BBS