Asunto: Mira el salvapantallas de Shakira!
Texto: Shakira!! Mejor que la farlopa!! Miralo!!
Datos adjuntos: shakira.scr (96 KB)

Cuando el usuario ejecuta el supuesto salvador de pantallas, el virus realiza las siguientes acciones:

Primero, se copia a si mismo en las siguientes ubicaciones y con los siguientes nombres:

c:\  .exe
a:\shakira.scr
c:\shakira.scr

También crea el script (Visual Basic Script):

c:\  .vbs

Note que el nombre (como el de C:\  .exe) contiene un espacio en blanco (en realidad es el código ALT 255), lo que dificulta su visualización, y más aún si se tiene configurado Windows para no mostrar las extensiones de los archivos más conocidos (por defecto).

El mencionado archivo .VBS es el encargado del envío del gusano en un mensaje infectado (igual al recibido) a toda la lista de contactos de la libreta de direcciones del Outlook de la máquina infectada.

Luego, el gusano modifica las siguientes entradas del registro, para ejecutarse automáticamente en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
(Predeterminado) = c:\  .vbs

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
(Predeterminado) = c:\  .vbs

El gusano busca también archivos con extensión .EXE (la mayoría de los ejecutables), los renombra quitándole la extensión, y se copia a si mismo con el nombre original del archivo.

Esta acción lo convierte en un virus "de compañía" (companion). Se les llama virus de compañía, a aquellos que no infectan directamente a otro archivo, sino que toman su nombre, se ejecutan primero, y luego le pasan el control al archivo original, o sea "acompañan" al archivo que será su víctima, sin infectarlo directamente (más allá de renombrarlo).

Ejemplo: un archivo llamado NOMBRE.EXE, será renombrado como NOMBRE (sin extensión alguna), y el gusano se copiará a si mismo como NOMBRE.EXE, ejecutándose cada vez que el archivo NOMBRE.EXE es llamado.

Finalmente, el gusano despliega los siguientes mensajes en español:

W32/Trilisa.c by Zirkov
SHAKIRA PARA MI AMIGO KUASA
[    Aceptar    ]

W32/Trilisa.c by Zirkov
NEODRAKO LA WEB PRONTO ESTARA ACABADA!!
[    Aceptar    ]

W32/Trilisa.c by Zirkov
LA VARIANTE B DE ESTE GUSANO ES LAME Y NO HA SIDO HECHA POR MI
[    Aceptar    ]

W32/Trilisa.c by Zirkov
TODOS MIS GUSANOS LLEVAN MI NOMBRE
[    Aceptar    ]

W32/Trilisa.c by Zirkov
UN SALUDO A TODOS MIS AMIGOS DE LOS PIKA Y DEL BURGER DE GRAN VIA
[    Aceptar    ]

W32/Trilisa.c by Zirkov
BLADE,CHUCKY22,GUASA,EXPECTRO,GOKU,MAGUS (SI! MAGUS TAMBIEN!),PELITOX,ETC
[    Aceptar    ]

W32/Trilisa.c by Zirkov
Y POR SUPUESTO PARA MI NOVIA LO QUE ELLA SABE :P
[    Aceptar    ]

Cómo limpiar el virus en forma manual

Para borrar este gusano, ejecute uno o más antivirus al día y borre todos los archivos infectados.

El procedimiento de limpieza, puede ser algo engorroso (se deben renombrar todos los archivos sin extensión a *.EXE en la carpeta C:\Windows). La opción recomendada es reinstalar los programas necesarios, incluso Windows, iniciando la computadora desde un disquete (si se reinstala sobre el Windows anterior, no se pierden ni los programas, ni las configuraciones). En este caso, ejecute primero F-PROT desde un disquete como se explica aquí:

VSantivirus No. 158 - 13/dic/2000
Cómo ejecutar F-PROT en un disquete (actualizado)
http://www.vsantivirus.com/fprot-disq.htm

Para limpiar manualmente este gusano de un equipo infectado, siga este procedimiento:

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER (si REGEDIT fue borrado, utilice la herramienta SFC para recuperar este archivo. Vea "Cómo Recuperar archivos con SFC en Windows 98 y Me" http://www.vsantivirus.com/faq-sfc.htm)

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en "Run" y en el panel de la derecha, borre la entrada "(Predeterminado)"

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\RunServices

5. Pinche en "RunServices" y en el panel de la derecha, borre la entrada "(Predeterminado)"

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Apague su computadora (Inicio, Apagar el sistema, Apagar el sistema).

8. Ejecute uno o más antivirus, y borre todo archivo infectado.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Referencias:

VSantivirus No. 651 - 19/abr/02
W32/Orkiz.A (Trilisa). El gusano de "Operación Triunfo"
http://www.vsantivirus.com/orkiz-a.htm

VSantivirus No. 672 - 10/may/02
W32/Trilisa.B. Simula ser una actualización del AVP
http://www.vsantivirus.com/trilisa-b.htm


Modificaciones:
24/jun/02 - Alias: VBS_TRILISSA.C, TRILISSA.C, I-worm.trilissa.c



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com