VSantivirus No. 894 - Año 7 - Miércoles 18 diciembre de 2002
W32/Yaha.H. Ataca antivirus y cortafuegos
http://www.vsantivirus.com/yaha-h.htm
Nombre: W32/Yaha.H (Lentin.H)
Tipo: Gusano de Internet
Alias: W32.Yaha.H@mm, I-WORM.Lentin.h, Worm/Yaha.H, W32/Yaha-H, Yaha.H, Lentin.H, I-Worm.Lentin.H, Yaha.H
Fecha: 16/dic/02
Plataforma: Windows 32-bits
Tamaño: 53,248 bytes
Se trata de una modificación del W32/Yaha.A (Valentine.scr), un gusano de Internet que se propaga a través del correo electrónico a todos los contactos de la libreta de direcciones de Windows (WAB, Windows Address Book), lista de contactos de MSN Messenger y Yahoo Pager, así como a direcciones extractadas de archivos temporales y del caché de Internet (archivos HTM, HTML y HTA).
A diferencia de otras variantes, esta no presenta al ejecutarse la pantalla que mostraba un texto repetido, volando y en diferentes colores. Tampoco utiliza la vulnerabilidad IFRAME, de modo que el adjunto no se ejecuta solo por leer o visualizar el mensaje.
El gusano se propaga en un mensaje con el siguiente formato:
Asunto: [seleccionado al azar]
Datos adjuntos: [varios nombres].scr
Los adjuntos pueden variar, y casi siempre usan doble extensión, siendo la última .SCR. Las primeras pueden ser cualquiera de las siguientes:
.PDF
.GIF
.PPT
.JPG
.DOC
Por ejemplo:
nombre.pdf .scr
nombre.jpg .scr
Entre ambas extensiones, se incluyen 23 espacios en blanco con la intención de dificultar aún más la identificación de la verdadera extensión del archivo.
Texto del mensaje:
<HTML><HEAD></HEAD><BODY>
<FONT></FONT>
<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
This e-mail is never sent unsolicited. If you need to
unsubscribe,
follow the instructions at the bottom of the message.
**********************************************
Enjoy this friendship Screen Saver and Check ur friends circle...
Send this screensaver from www.truefriends.net to everyone you consider a FRIEND, even if it means sending it back to the person who sent it to you. If it comes back to you, then you'll know youhave a circle of friends.
* To remove yourself from this mailing list, point your browser to: http://truefriends.net/remove?freescreensaver
* Enter your email address in the field provided and click "Unsubscribe".
OR...
* Reply to this message with the word "REMOVE" in the subject line.
<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
**********************************************
</BODY></HTML>
Cuando se ejecuta, el gusano se copia a si mismo en la carpeta System de Windows con varios nombres:
C:\Windows\System\Msnmsg32.exe
C:\Windows\System\Nav32.exe
C:\Windows\System\WinReg.exe
Los tres archivos se crean con los atributos de ocultos (+H)
En ocasiones, el virus puede copiarse en el directorio Windows con uno de los siguientes nombres:
C:\Windows\bestfriend.scr
C:\Windows\Escort.scr
C:\Windows\EvilDaemon.scr
C:\Windows\Honey.scr
C:\Windows\HotShot.scr
C:\Windows\Love.scr
C:\Windows\LoverScreenSaver.scr
C:\Windows\mAtRiX.scr
C:\Windows\NeverMind.scr
C:\Windows\ScreenSaver.scr
En todos los casos, "C:\Windows" y "C:\Windows\System" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "C:\WinNT", "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).
También se modifica el registro para que el gusano se ejecute automáticamente cada vez que Windows se reinicia:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
winReg = C:\WINDOWS\SYSTEM\winReg.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
winReg = C:\WINDOWS\SYSTEM\winReg.exe
También modifica las siguientes claves:
HKEY_CLASSES_ROOT\exefile\shell\open\command
(Predeterminado) = "C:\Windows\System\nav32.exe" %1 %*"
Esto hace que se ejecute el virus cada vez que una aplicación ejecutable es llamada por el sistema. Esto dificulta la limpieza del virus, ya que cualquier programa que se ejecute, incluido el antivirus, lanza al gusano en memoria.
"C:\Windows\System\nav32.exe" representa el nombre y ubicación del ejecutable del gusano una vez que se instaló en nuestro PC. En principio suele ser el que se indica, pero podría ser alguno de las otras copias del gusano.
El gusano intenta acabar con la ejecución de una larga lista de programas de seguridad, como antivirus, cortafuegos, etc., matando en memoria los procesos que contengan cualquiera de las siguientes cadenas:
ALERTSVC
AMON.EXE
ANTIVIR
APACHE.EXE
ATRACK
AVCONSOL
AVP.EXE
AVP32
AVPCC.EXE
AVPM.EXE
AVSYNMGR
CFINET
CFINET32
ESAFE.EXE
F-PROT95
FP-WIN
FRW.EXE
F-STOPW
IAMAPP
IAMSERV.EXE
ICMON
IOMON98
LOCKDOWN2000
LOCKDOWNADVANCED
LUALL
LUCOMSERVER
MCAFEE
NAVAPSVC
NAVAPW32
NAVLU32
NAVRUNR
NAVW32
NAVWNT
NISSERV
NISUM
NMAIN
NORTON
NSCHED32
NVC95
PCCIOMON
PCCMAIN
PCCWIN98
PCFWALLICON
POP3TRAP
PVIEW95
RESCUE32
SAFEWEB
SCAN32
SYMPROXYSVC
TDS2-98
TDS2-NT
VETTRAY
VSECOMR
VSHWIN32
VSSTAT
WEBSCANX
WEBTRAP
ZONEALARM
El gusano obtiene las direcciones a las que se envía de la libreta de Windows (WAB), todos los contactos, caché de Messenger, Yahoo Pager, páginas Web, etc.
Por cada dirección obtenida, el gusano consulta a un servidor DNS en la dirección 12.127.17.71 y luego intenta localizar un servidor SMTP anónimo para enviarse.
La rutina de composición de esta variante es sumamente compleja. El gusano selecciona al azar o inventa direcciones para el campo "reply-to" de los mensajes (dirección de respuesta para el mensaje). También inventa nombres de remitentes, asuntos y nombres de adjuntos.
El asunto del mensaje infectado puede ser uno de los siguientes:
Are you In Love
Check this
Experience the smooooth music
Friendship ScreenSaver
Help someone..
mAtRiX
Missing your best friend ?
Pamela 4 U
Still Dreaming..
Wanna be a hacker ?
El nombre del adjunto (la copia del gusano), puede ser alguno de los siguientes:
Bestfriend.scr
Escort.scr
EvilDaemon.scr
Honey.scr
HotShot.scr
Love.scr
LoverScreenSaver.scr
mAtRiX.scr
NeverMind.scr
ScreenSaver.scr
Aunque la mayoría de las veces, los nombres de los archivos adjuntos presentan una doble extensión (con 23 espacios vacíos entre ambas):
.doc
.scr
.gif
.scr
.jpg
.scr
.pdf
.scr
.ppt
.scr
El cuerpo del mensaje es siempre el descripto más arriba.
Esta versión no utiliza ninguna vulnerabilidad para autoejecutarse con solo leer o ver en el panel de vista previa un mensaje infectado. Para ejecutarse el usuario debe premeditadamente hacer doble clic sobre el adjunto, lo que disminuye su capacidad de propagación.
Para eliminar el virus de un sistema infectado
1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados
Modificación del registro
Es necesario renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al gusano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.
1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:
Command /c Rename C:\Windows\Regedit.exe Regedit.com
Si Windows no está instalado en "C:\Windows", debe cambiar esta referencia (Ej.:
"C:\Nombre\Regedit.exe", etc.).
2. Desde Inicio, Ejecutar, teclee "Regedit.com" y pulse Enter
3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_ROOT
\exefile
\shell
\open
\command
4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:
(Predeterminado) = "C:\Windows\System\nav32.exe" %1 %*"
5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el cargador: (C:\Windows\System\nav32.exe) y dejar solo esto (comillas, porcentaje, número uno, comillas, espacio, porcentaje, asterisco):
(Predeterminado) = "%1" %*
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
8. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:
Command /c Rename C:\Windows\Regedit.com Regedit.exe
Si windows no está instalado en "C:\Windows", debe cambiar esta referencia (ej.: "C:\Nombre\Regedit.com", etc.).
9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
10. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
winReg
11. Repita los pasos 9 y 10 (pinchando en "RunServices") con la siguiente rama del registro:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
12. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
14. Ejecute uno o más antivirus actualizados.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
