- security@microsoft.com
- security@trendmicro.com
- securityresponse@symantec.com

Asunto: [uno de los siguientes]

- Warning - you have been infected!
- Your computer may have been infected

Texto del mensaje:

Your message was undeliverable due to the following 
reason(s):

Your message could not be delivered because the 
destination server was unreachable within the allowed 
queue period. The amount of time a message is queued 
before it is returned depends on local configuration 
parameters. Most likely there is a network problem that 
prevented delivery, but it is also possible that the 
computer is turned off, or does not have a mail system 
running right now.

Your original message has been attached.

Datos adjuntos: [uno de los siguientes]

- message.pif
- message.scr
- netsky_removal.exe
- removal_tool.exe

Para propagarse por MSN Messenger, el gusano envía copias de si mismo a todos los contactos que tenga el usuario infectado, en un archivo con alguno de los siguientes nombres:

awesome.???
gross.???
mypic.???
naked lesbian twister.???
paris hilton.???
picture.???
us together.???

Donde "???" es una de las siguientes extensiones:

.exe
.scr

Cuando ello ocurre, también muestra alguno de los siguientes mensajes:

- lol check this out, it freaked me out :S
- LOL! look at this, I can't explain it in words...
- omg check this out, it's just wrong :O
- ROFL!! you have to see this... wtf...
- you have to see this, it's amazing!

El gusano modifica el archivo HOSTS para prevenir que el usuario acceda a determinados sitios, incluyendo la actualización de sus antivirus en algunos casos.

Abre una puerta trasera que se conecta a un servidor remoto de IRC, desde donde puede recibir instrucciones. Los comandos recibidos se ejecutarán localmente en el equipo infectado, pudiendo un atacante tomar el control total del equipo.

También puede utilizar cada equipo infectado para lanzar ataques de denegación de servicio (DoS) a determinados sitios de Internet.

El gusano contiene una herramienta de recuperación de contraseñas, con las que puede robar los passwords de varias aplicaciones de mensajería instantánea.

Cuando se ejecuta por primera vez, muestra un mensaje de error falso con el siguiente texto:

Run-time Error
Run-time error #7: Out of memory.
[  Aceptar  ]

Luego se copia en las siguientes ubicaciones:

c:\windows\system32\[nombre de carpeta al azar]\csrss.dat
c:\windows\system32\[nombre de carpeta al azar]\csrss.exe
c:\windows\system32\[nombre de carpeta al azar]\csrss.ini
c:\windows\system32\cpu.dll
[carpeta de inicio]\csrss.lnk

CSRSS.DAT es un archivo no malicioso, utilizado para almacenar la información obtenida.
CSRSS.EXE es una copia del propio gusano.
CSRSS.INI sirve para almacenar su propia configuración.
CPU.DLL es un DLL no malicioso, utilizado para sus rutinas.

NOTA 1: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME)

NOTA 2: La [carpeta de inicio] puede ser una de las siguientes:

* Windows XP, 2000 (español e inglés)

c:\documents and settings
\all users\menú inicio\programas\inicio

c:\documents and settings
\all users\start menu\programs\startup

c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio

c:\documents and settings
\[nombre usuario]\start menu\programs\startup

* Windows 95, 98, Me (español e inglés)

c:\windows\all users\menú inicio\programas\inicio

c:\windows\all users\start menu\programs\startup

c:\windows\menú inicio\programas\inicio

c:\windows\start menu\programs\startup

c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio

c:\windows\profiles\[nombre usuario]
\start menu\programs\startup

El gusano crea las siguientes entradas en el registro, para autoejecutarse en cada reinicio:

HKEY_CLASSES_ROOT\Chode
Installed = "1"

HKEY_LOCAL_MACHINE\Software\Classes\Chode
Installed = "1"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Csrss = c:\windows\system32\[nombre de carpeta al azar]\csrss.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Csrss = c:\windows\system32\[nombre de carpeta al azar]\csrss.exe

En Windows NT, 2000 y XP, también crea esta entrada para ejecutarse en cada reinicio:

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
Load = c:\windows\system32\[nombre de carpeta al azar]\csrss.exe
Run = c:\windows\system32\[nombre de carpeta al azar]\csrss.exe

En Windows 95, 98 y me, también modifica el archivo C:\WINDOWS\WIN.INI para autoejecutarse en cada reinicio:

[windows]
Load = c:\windows\system32\[carpeta]\csrss.exe
Run = c:\windows\system32\[carpeta]\csrss.exe

Realiza las siguientes modificaciones en el registro, para deshabilitar herramientas como el editor del registro, la restauración automática del sistema, y para ocultar los archivos liberados:

HKCU\Software\Microsoft
\Windows\CurrentVersion\Policies\System
DisableRegistryTools = "1"

HKCU\Software\Microsoft
\Windows\CurrentVersion\Policies\System
NoAdminPage = "1"

HKLM\Software\Microsoft
\Windows NT\CurrentVersion\SystemRestore
DisableSR= "1"

HKCU\Software\Microsoft
\Windows\CurrentVersion\Explorer\Advanced
Hidden = "2"
SuperHidden = "0"
ShowSuperHidden = "0"

El gusano busca direcciones a las que enviar sus mensajes infectados, en archivos del equipo infectado con las siguientes extensiones:

.adb
.asp
.cg
.ctt
.dbx
.dhtm
.doc
.eml
.htm
.html
.msg
.oft
.php
.pl
.rtf
.sht
.shtm
.sql
.tbb
.txt
.uin
.vbs
.wab
.xml

Evita enviarse a direcciones que contengan las siguientes cadenas en sus nombres:

antivirus
avp
bitdefender
f-pro
f-secure
mcafee
messagelabs
Microsoft
spam
symantec

Los mensajes enviados tienen las características vistas al principio.

Modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde una máquina infectada:

avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
fastclick .net
ftp .f-secure .com
ftp .sophos .com
grisoft .com
housecall .trendmicro .com
kaspersky .com
liveupdate .symantec .com
mast .mcafee .com
mcafee .com
merijn .org
my-etrust .com
nai .com
networkassociates .com
pandasoftware .com
phpbb .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
service1 .symantec .com
sophos .com
spywareinfo .com
support .microsoft .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
vil .nai .com
viruslist .com
www .avp .com
www .awaps .net
www .ca .com
www .f-secure .com
www .fastclick .net
www .grisoft .com
www .kaspersky .com
www .mcafee .com
www .merijn .org
www .microsoft .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .pandasoftware .com
www .phpbb .com
www .sophos .com
www .spywareinfo .com
www .symantec .com
www .trendmicro .com
www .viruslist .com
www .zonelabs .com
www3 .ca .com
zonelabs .com

Puede detener los siguientes procesos, algunos de ellos pertenecientes a conocidos antivirus y cortafuegos, y también a otros malwares:

bbeagle.exe
ccapp.exe
ccevtmgr.exe
ccproxy.exe
ccsetmgr.exe
d3dupdate.exe
enterprise.exe
gcasdtserv.exe
gcasserv.exe
hijackthis.exe
i11r54n4.exe
irun4.exe
isafe.exe
issvc.exe
kav.exe
kavsvc.exe
mcagent.exe
mcdash.exe
mcinfo.exe
mcmnhdlr.exe
mcshield.exe
mcvsescn.exe
mcvsftsn.exe
mcvsshld.exe
mpfagent.exe
mpfservice.exe
mpftray.exe
msblast.exe
msconfig.exe
mscvb32.exe
mskagent.exe
mwincfg32.exe
navapsvc.exe
navapw32.exe
navw32.exe
npfmntor.exe
outpost.exe
pandaavengine.exe
penis32.exe
regedit.exe
smc.exe
sndsrvc.exe
spbbcsvc.exe
symlcsvc.exe
sysinfo.exe
sysmonxp.exe
teekids.exe
usrprmpt.exe
vsmon.exe
wincfg32.exe
winsys.exe

Borra también el caché de direcciones IP resueltas, lo que perjudica el rendimiento de las conexiones a Internet.

El gusano puede deshabilitar algunos cortafuegos de los sistemas afectados, incluyendo ZoneAlarm, herramientas como HijackThis, algunos antivirus y el Microsoft Antispyware.

Para todo ello, intenta deshabilitar los siguientes servicios:

gcasServ
hijackthis*
KAVPersonal50
microsoft antispyware*
Outpost Firewall
services
Symantec NetDriver Monitor
Zone Labs Client

También borra de la clave HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run, los siguientes valores:

al50
CAISafe
ccApp
ccEvtMgr
ccProxy
ccPwdSvc
ccSetMgr
CleanUp
Firewall
gcasServ
hijackthis
ISSVC
KAVPerson
l
MCAgentExe
MCUpdateExe
mcvsrte.exe
microsoftantispyware
navapsvc
net stop
Online
Outpost
OutpostFirewal
Run\LC
SAVScan
SBService
scconfig 
services
SmcService
SNDSrvc
SPBBCSvc
Symantec NetDriver Monitor
Symantec
VirusScan
vsmon
VSOCheckTask
Zone Labs Client

Su componente backdoor se conecta a un canal específico de un servidor de IRC remoto, y a través de esta conexión puede recibir los comandos de un usuario remoto para realizar acciones como las siguientes (entre otras posibles):

- Instala y desinstala un servidor de IRC (IRCD)
- Apaga la computadora
- Reinicia el sistema
- Iniciar el envío de correo infectado
- Obtener dirección IP o nombre del host
- Iniciar el envío de mensajes por MSN
- Descargar archivos
- Realizar ataques de denegación de servicio (DoS)

En este último caso los ataques a servidores predeterminados, pueden ser hechos con las siguientes modalidades:

HTTP flood
Ping flood
TCP flood
UDP flood

El gusano puede recuperar las contraseñas de las siguientes aplicaciones, si alguna de ellas está o estuvo instalada en el equipo infectado:

Intelligent TCPIP.SYS patcher
MessenPass
Protected Storage PassView

También puede obtener las contraseñas de las siguientes aplicaciones:

AOL Instant Messenger (versiones antiguas)
AOL Instant Messenger/Netscape 7
GAIM
ICQ Lite 4.x/2003
Miranda
MSN Messenger
Trillian
Windows Messenger (en Windows XP)
Yahoo Messenger (Versiones 5.x y 6.x)

Reparación manual

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.

IMPORTANTE: Note que estas instrucciones de limpieza se dan únicamente como una guía de referencia, ya que la recuperación de las entradas del registro borradas, dependerá del daño causado por el troyano desde el momento de ocurrida la infección, hasta el momento de su detección, y amerita la reinstalación de los programas afectados.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\system32\[nombre de carpeta al azar]\csrss.dat
c:\windows\system32\[nombre de carpeta al azar]\csrss.exe
c:\windows\system32\[nombre de carpeta al azar]\csrss.ini
c:\windows\system32\cpu.dll
[carpeta de inicio]\csrss.lnk

NOTA 1: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME)

NOTA 2: La [carpeta de inicio] puede ser una de las siguientes:

* Windows XP, 2000 (español e inglés)

c:\documents and settings
\all users\menú inicio\programas\inicio

c:\documents and settings
\all users\start menu\programs\startup

c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio

c:\documents and settings
\[nombre usuario]\start menu\programs\startup

* Windows 95, 98, Me (español e inglés)

c:\windows\all users\menú inicio\programas\inicio

c:\windows\all users\start menu\programs\startup

c:\windows\menú inicio\programas\inicio

c:\windows\start menu\programs\startup

c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio

c:\windows\profiles\[nombre usuario]
\start menu\programs\startup

Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Reparación manual

Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Descargue el siguiente archivo:

http://www.videosoft.net.uy/restaurar.reg

2. Una vez en su computadora, haga doble clic sobre él para agregar su contenido al registro.

3. Ejecute el editor de registro. Desde una ventana MS-DOS o "Símbolo del sistema", escriba REGEDIT y pulse ENTER

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\Chode

5. Borre la carpeta "Chode"

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Classes
\Chode

7. Borre la carpeta "Chode"

8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Csrss

10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Csrss

12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Windows

13. Haga clic en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas:

Load = c:\windows\system32\[carpeta]\csrss.exe
Run = c:\windows\system32\[carpeta]\csrss.exe

14. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

15. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Modificar WIN.INI

Usuarios de Windows Me solamente:

En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo WIN.INI en la carpeta C:\Windows\Recent.

Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre WIN.INI. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos.

Usuarios de Windows 95, 98 y Me:

1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

2. Si existe alguna referencia como las siguientes bajo la sección [windows], bórrelas.

Por ejemplo:

[windows]
Load = c:\windows\system32\[carpeta]\csrss.exe
Run = c:\windows\system32\[carpeta]\csrss.exe

Debe quedar como:

[windows]
Load =
Run =

3. Grabe los cambios y salga del bloc de notas.


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1    localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.


Información adicional

Cambio de contraseñas

En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com