W32/Yaha.D. Aunque falla, toma el control de los .EXE

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 682 - Año 6 - Lunes 20 de mayo de 2002

W32/Yaha.D. Aunque falla, toma el control de los .EXE
http://www.vsantivirus.com/yaha-d.htm

Nombre: W32/Yaha.D
Tipo: Gusano de Internet
Alias: W32/Yaha.d@MM, WORM_YAHA.D
Fecha: 19/may/02
Plataformas: Windows 98/XP
Tamaño del virus: 25,619 bytes
Fuente: Trend

El gusano arriba como adjunto a un correo electrónico. Cuando se ejecuta, el se copia a si mismo, con el atributo de oculto (+H), en una variable de seis letras en la carpeta de la papelera de reciclaje de Windows (C:\RECYCLED).

Luego, modifica la siguiente clave del registro de tal modo que se ejecuta cada vez que una aplicación o cualquier programa (.EXE) es llamado:

HKLM\Software\Classes\Exefile\shell\open\command
(Predeterminado) = "c:\recycled\XXXXXX "%1" %*"

Las "XXXXXX" representan las 6 letras al azar de su nombre.

Después de ello, crea otro archivo, con el mismo nombre, pero con la extensión .TXT y el siguiente contenido:

<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>

w32.yAHa.D
aUThor :H^H,h2h@achayans.com
oRigIN :inDia,kERala(gODs oWn cOUntrY)

kANagaaa ,mANdi pEnnee nJan Ninne sNEhikkunnuu..

oRu sITe kITTiyirunnegggil.. hACk CHEyyyamayirunnuuu..
<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>

Las rutinas de envío en masa de esta versión del gusano fallan en su intento, en algunas plataformas como Windows 95, NT y 2000, donde faltan algunas librerías necesarias para ejecutar su código. En Windows 98 y XP falla por errores en su código.

Sin embargo, toma el control de los archivos .EXE al ser ejecutados, por lo que debe ser eliminada su presencia en un sistema infectado.

Para eliminar el virus de un sistema infectado

Primero debe renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al gusano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.EXE, etc.).

2. Desde Inicio, Ejecutar, teclee REGEDIT.COM y pulse Enter

3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
exefile
shell
open
command

4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) c:\recycled\[nombre al azar] %1 %*

5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el cargador: (c:\recycled\[nombre al azar]) y dejar solo esto (comilla, porcentaje, número uno, comilla, espacio, porcentaje, asterisco):

"%1" %*

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

8. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

Command /c Rename C:\Windows\Regedit.com Regedit.exe

Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.COM, etc.).

9. Ejecute un antivirus actualizado, y borre todas las referencias al virus.

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com