Asunto: Re: [el asunto de un mensaje recibido]
Datos adjuntos: [variable con doble extensión] 49,5 Kb

Texto del mensaje:

Hi [el remitente de un mensaje recibido], you wrote me :
##########
- [el texto de un mensaje recibido]
smtp.yahoo.com
##########

auto-reply:

I can not reply now.
Look at this attachment and mail me if you have some
suggests

Note que el hecho de simular ser la respuesta a un mensaje auténtico, aumenta las posibilidades de propagación de este gusano.

Cómo datos adjuntos al mensaje, el gusano incluye un archivo con doble extensión (la última es .EXE, .PIF, .SCR o .COM).

El nombre del adjunto consiste de tres partes. La primera es seleccionada al azar de la siguiente lista:

Clickme
Foru
Hello
Important
Lookthis
Newgame
Readme
Urgent
Winanholiday

La segunda parte del nombre (la primera extensión) es seleccionada también al azar de la siguiente lista:

.gif
.htm
.jpg
.mp3
.mpe
.mpg
.rar
.vbs
.zip

La última parte (segunda y verdadera extensión del archivo), es una de las siguientes:

.com
.exe
.pif
.scr

Ejemplos:

Readme.mpe.exe
Urgent.zip.pif
Winanholiday.htm.scr

El tamaño del archivo es de 50,688 bytes (49,5 Kb).

Cuando el gusano se ejecuta, verifica si lo está haciendo como C:\%system%\Msie32.exe.

La variable %system% puede variar de acuerdo al sistema operativo instalado ('C:\Windows\System' en Windows 9x/ME, 'C:\WinNT\System32' en Windows NT/2000 y 'C:\Windows\System32' en Windows XP).

Si no se está ejecutando como Msie32.exe, muestra una ventana de advertencia con el siguiente mensaje:

SETUP
Software installed on the system.
[   Aceptar   ]

Luego se copia a si mismo como C:\%system%\Msie32.exe, y agrega el siguiente valor al registro de Windows para poder autoejecutarse en próximos reinicios del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft IE = C:\%System%\MSIE32.EXE

Luego de modificar el registro, el gusano termina su ejecución sin enviarse por correo ni realizar ninguna otra acción.

La próxima vez (y cada vez que se ejecute como "Msie32.exe"), el gusano lanza su rutina de envío masivo de mensajes infectados, con las características ya mencionadas.


Reparación manual

1. Actualice sus antivirus

2. Ejecútelos en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

Microsoft IE

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com