Asunto: SpongeBob Wallpaper
Datos adjuntos: Spongy.exe

Texto: Send this to your friends and make them laugh...

La primera vez que se ejecuta, el gusano muestra una ventana con el siguiente texto:

SponGeBoB
kn0x - aCe1 - kiDD....b0yZ 4 LiFe....kn0x_0wnz@hotmail.com
[    OK    ]

El gusano crea los siguientes archivos en la máquina infectada:

C:\SpongeBob_Game.exe
C:\SpongeBob.scr
C:\SpongeBob.com
C:\Jokes.pif
C:\SpongeBob.eml
C:\porno.scr
C:\Explore\Help.exe
C:\WINDOWS\kn0x\ace1.com
C:\WINDOWS\TEMP\Jokes.pif
C:\WINDOWS\TEMP\SpongeBob.com
C:\WINDOWS\TEMP\SpongeBob.scr
C:\WINDOWS\TEMP\SpongeBob_Game.exe

El archivo "C:\SpongeBob.eml" es una copia en formato de correo electrónico del gusano.

En todos los casos, 'C:\Windows' y 'C:\Windows\System' pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como 'C:\WinNT', 'C:\WinNT\System32' en Windows NT/2000 y 'C:\Windows\System32' en Windows XP).

El gusano también crea las siguientes entradas en el registro, haciendo que el archivo ACE1.COM (el propio gusano) se ejecute automáticamente cada vez que Windows se reinicie:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
*WlNRUN = C:\Windows\kn0x\ace1.com

El gusano sobrescribe todos los archivos con extensiones .SCR y .PIF de la máquina infectada.

También posee un componente de virus macro, capaz de infectar los documentos de Word cada vez que uno de esos archivos es cerrado. Para esto, infecta primero la plantilla por defecto de este programa (NORMAL.DOT), utilizando el archivo temporal C:\README.TXT. También utiliza el archivo temporal C:\XPLOIT.MMM para copiar el código en cada documento.

Los documentos infectados ejecutarán la versión del gusano almacenada en el archivo C:\PORNO.SCR. También la protección de ejecución de macros en Word, será deshabilitada.

Además, agrega a los archivos .HTM y .HTML, el código necesario para que el gusano se ejecute al visualizar uno de estos archivos. Un sitio con una página infectada, podría también infectar al usuario que la visite. Sin embargo, un error de programación impide que el gusano se active desde los archivos HTM.


Reparación manual

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecútelos en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados

Nota: Los archivos sobrescritos deberán ser reinstalados o copiados de un respaldo anterior. Sugerimos que se llame a un servicio técnico especializado para realizar estas tareas si no desea arriesgarse a perder información valiosa de su computadora.


Borrar los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

C:\SpongeBob_Game.exe
C:\SpongeBob.scr
C:\SpongeBob.com
C:\Jokes.pif
C:\SpongeBob.eml
C:\porno.scr
C:\Explore\Help.exe
C:\WINDOWS\kn0x\ace1.com
C:\WINDOWS\TEMP\Jokes.pif
C:\WINDOWS\TEMP\SpongeBob.com
C:\WINDOWS\TEMP\SpongeBob.scr
C:\WINDOWS\TEMP\SpongeBob_Game.exe

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

3. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:

*WlNRUN = C:\Windows\kn0x\ace1.com

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Como limpiar documentos de Word infectados

Ejecute uno o más antivirus actualizados. Recomendamos el uso de F-Macrow, antivirus de F-Prot solo para virus macros, gratuito para uso personal, y que se actualiza con MACRO.DEF (MACRDEF2.ZIP).

Programa y actualización pueden ser descargados de nuestro sitio: http://www.vsantivirus.com/f-prot.htm


Medidas complementarias con los macros

En Word 97, seleccione Herramientas, Opciones, pinche en la lengüeta General, y marque la última casilla: "Protección antivirus en macros" y "Confirmar conversiones al abrir". En Word 2000 y XP, vaya a Herramientas, Macro, Seguridad, y cambie el nivel a Alto.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:
12/nov/02 - Alias: Win32.Sponge, I-Worm.Sponbob
12/nov/02 - Alias: HTML/Sponge.Worm, W32.Sponge@mm(html)



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com