Asunto: World Cup News!
Texto: read me for more world cup news!
Datos adjuntos: WorldCup.Bat

Si el usuario ejecuta el adjunto, el gusano se copia a si mismo en el directorio actual, con el nombre de ARGENTINA.BAT.

También se copia en el raíz de la unidad C, con estos nombres:

world.cup.score.vbs
WorldCup.bat

Luego inicia su rutina de propagación, enviándose a los contactos de la libreta de direcciones de Outlook, en un mensaje idéntico al recibido.

Cuando se ejecuta, el gusano crea, ejecuta y en ocasiones borra los archivos:

worldcup_score.vbs
eyeball.reg
japan.vbs
england.vbs
ireland.vbs
uraguay.vbs
argentina.bat

Worldcup_score.vbs es el archivo que ejecuta el envío masivo de mensajes infectados. Un mensaje con las características vistas antes, es enviado a todos los contactos de la libreta de direcciones del Outlook.

Por otra parte cada uno de los demás archivos, realiza estas acciones:

Eyeball.reg crea esta entrada en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\cqlyg

Con ella, el gusano se ejecuta en cada reinicio de Windows.

El gusano intenta copiar eyeball.reg sobre todos los archivos .REG que encuentre en la unidad C, incluidas todas las carpetas y subcarpetas.

Japan.vbs intenta iniciar la ejecución de una copia del gusano llamada argentina.bat.
También es hecho un intento para copiar el archivo japan.vbs sobre todos los archivos .VBS que encuentre en la unidad C, incluidas todas las carpetas y subcarpetas.

England.vbs genera la siguiente entrada en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\eifxi

Esto también hace que una copia del gusano se ejecute en cada reinicio de Windows.

Ireland.vbs intenta crear un acceso directo llamado pif.lnk en el directorio raíz, apuntando a una copia del gusano.

Uraguay.vbs intenta crear un enlace directo al archivo brazil.vbs, que a su vez intentará ejecutar el script paraguay.vbs (el cuál no existe).

Los siguientes archivos pertenecientes a productos antivirus intentan ser borrados:

C:\progra~1\norton~1\*.exe
C:\progra~1\kasper~1\avp32.exe
C:\progra~1\trojan~1\tc.exe
C:\progra~1\norton~1\s32integ.dll
C:\progra~1\f-prot95\fpwm32.dll
C:\progra~1\tbav\tbav.dat
C:\progra~1\mcafee\scan.dat
C:\progra~1\avpersonal\antivir.vdf
C:\tbavw95\tbscan.sig

El gusano busca una instalación del mIRC y crea un archivo SCRIPT.INI si existe mIRC en la máquina infectada.

El archivo SCRIPT.INI tiene las instrucciones para enviar una copia del gusano a los que se unan a los mismos canales de chat que visite el usuario infectado.

Después de ello, los archivos creados son borrados, y se genera un directorio llamado "ThisIsOnlyASimpleWorm" con el archivo "WorldCup.BAT" en él:

C:\ThisIsOnlyASimpleWorm\WorldCup.BAT

Adicionalmente, el archivo SYSTEM.INI es modificado para autoejecutarse y los siguientes archivos creados en la carpeta de Windows:

germany.bat
china.bat
world_cup_.bat 
italy.bat
spain.bat
russia.bat
denmark.bat
costarica.bat
uraguay.vbs
ireland.vbs
brazil.vbs
japan.vbs
england.vbs

El gusano contiene el siguiente texto en su cuerpo:

this w0rm is d0ne t0 make pe0ple aware of w0rldcup! :P

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Desde Inicio, Ejecutar, escriba SYSTEM.INI y pulse Enter

5. Busque cualquier referencia a los archivos mencionados del gusano, y borre la línea correspondiente que lo contenga.

6. Use Archivo, Salir y guarde los cambios hechos.

7. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

9. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre cualquiera de las siguientes entradas:

cqlyg
eifxi

10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Modificaciones:
13/jun/02 - Alias Bat/Cup-A, BAT.WCup@mm
13/jun/02 - Cambio de nombre Bat/WCup.A


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com