Asunto: God loves kittens!
Texto del mensaje: haha look at this!
Datos adjuntos: Setup.vbe (4,487 bytes)

Los destinatarios del mensaje serán todos los contactos de la libreta de direcciones del Outlook, o los usuarios que comparten los mismos canales de chat que visite la víctima, si utiliza para ello el programa mIRC.

El adjunto debe ser ejecutado con un doble clic por el usuario que lo recibe (no abra adjuntos no solicitados).

Si ello ocurre, el gusano se copia a si mismo en estas carpetas (de acuerdo al sistema operativo, Windows en Windows 9x, Me, y Winnt en Windows 2000):

C:\Windows\System\Setup.vbe
C:\Winnt\System32\Setup.vbe

Luego agrega el siguiente valor al archivo de registro de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Mirc32 = "wscript.exe C:%Windows\system%\setup.vbe %"

Esto hace que el gusano se ejecute en cada reinicio de Windows.

Luego, el gusano busca el archivo C:\Mirc\Mirc.ini. Si existe, el gusano copia su código en el archivo C:\Mirc\Mirc32.dat, y crea otro archivo llamado C:\Mirc\Mirc32.ini. El gusano utiliza el componente Mirc32.ini del mIRC para propagarse en los canales de chat.

Luego, el gusano busca el siguiente valor en el registro:

HKEY_Current_User\Software\Setup\Installed

Si el valor de esta clave es diferente de 1, entonces el gusano intenta enviarse vía correo electrónico a todos los contactos de la libreta de direcciones del Outlook. Luego de esta acción, el valor de la clave será puesta a "1". De este modo, el gusano no volverá a propagarse desde ésta máquina.

Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por VBS/Vbswg2b.B o similar

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

Mirc32 = "wscript.exe C:%Windows\system%\setup.vbe %"

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

8. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Sobre el IRC

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin
revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com