De: god
Para: god@yahoo.com
Datos adjuntos: [copia del gusano]

Cuando la víctima ejecuta el adjunto, el gusano abre el navegador de Internet, en una página para adultos:

http://www.pla[xxxx].com

Al mismo tiempo, crea una ventana minimizada con el siguiente texto:

! ! ! ! ! ! ! A L A R M ! ! ! ! ! ! ! 
Did you know that sex makes life better? Yes it dows. We have found out that sex benigns your life to be longer. Sex is good for the heart. Sex is what the holy book told us to do to propagate life. Sex makes life good. Sex is healthy. Sex is not bad. Just look at the person beside you. Crave with him or her. He or she will not hesitate to do this. Sex made my life better. To do is to believe. Trust me. vandEEd0

Al mismo tiempo, realiza los siguientes cambios en el sistema infectado:

1. Se copia a si mismo en las siguientes ubicaciones y con los siguientes nombres:

C:\Zephyr Song.mp3.EXe
C:\Fire.mp3.EXe
C:\ReignoFire.mp3.EXe
C:\HULK.mpg.EXe
C:\TheTuxedo.mpeg.EXe
C:\HULK.mpeg.EXe
C:\Reign of Fire.mpeg.EXe
C:\Pentium 5.doc.EXe
C:\Pentium 5.rtf.EXe
C:\How to make viruses.txt.EXe
C:\Playboy 9.mpeg.EXe
C:\Setup.exe.EXe
A:\The Incredible Hulk.EXe

El virus permanece luego en memoria con el nombre original (el recibido en el correo electrónico).

2. Modifica el registro para que cada vez que un ejecutable sea lanzado, sea el virus el que se ejecute antes:

HKEY_CLASSES_ROOT\exefile\shell\open\command\
(Predeterminado) = start.exe [camino y nombre del virus]

3. Se envía en forma masiva a través del correo electrónico, usando su propio motor SMTP (Simple Mail Transfer Protocol), en mensajes infectados similares al descripto al comienzo. El adjunto es uno seleccionado al azar de las diferentes copias del gusano.

El gusano también puede propagarse a través del KaZaa, compartiendo el directorio raíz de la unidad C y la carpeta "Mis documentos" de la máquina infectada.


Reparación manual

Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

Luego, debe renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al troyano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

  Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.EXE, etc.).

2. Desde Inicio, Ejecutar, teclee REGEDIT.COM y pulse Enter

3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\exefile
\shell
\open
\command

4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) = start.exe [camino y nombre del virus]

5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del cargador (start.exe) y dejar solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

"%1" %*

6. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

7. Pinche en la carpeta "LocalContent" y en el panel de la derecha busque y borre la siguiente entrada:

DisableSharing = "0"

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Actualice sus antivirus

10. Ejecútelos en modo escaneo, revisando todos sus discos duros

11. Borre los archivos detectados como infectados y luego reinicie su computadora.


Borrar los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

C:\Zephyr Song.mp3.EXe
C:\Fire.mp3.EXe
C:\ReignoFire.mp3.EXe
C:\HULK.mpg.EXe
C:\TheTuxedo.mpeg.EXe
C:\HULK.mpeg.EXe
C:\Reign of Fire.mpeg.EXe
C:\Pentium 5.doc.EXe
C:\Pentium 5.rtf.EXe
C:\How to make viruses.txt.EXe
C:\Playboy 9.mpeg.EXe
C:\Setup.exe.EXe

En cualquier disquete que podría haber quedado infectado, busque y borre el siguiente archivo:

A:\The Incredible Hulk.EXe

Pinche con el botón derecho sobre el icono de la 'Papelera de reciclaje' en el escritorio, y seleccione 'Vaciar la papelera de reciclaje'.

Borre también los mensajes electrónicos similares al descripto antes.


Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer

1. Cierre todas las ventanas del Internet Explorer abiertas

2. Seleccione "Mi PC", "Panel de control".

3. Pinche en el icono "Opciones de Internet".

4. Seleccione la lengüeta "Programas".

5. Pinche en el botón "Restablecer configuración Web"

6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI.

7. Pinche en "Aceptar".


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com