Asunto: [seleccionado al azar]
Datos adjuntos: [varios nombres].scr

Los adjuntos pueden variar, y casi siempre usan doble extensión, siendo la última .SCR. Las primeras pueden ser cualquiera de las siguientes:

PDF
GIF
PPT
JPG
DOC

Por ejemplo:

nombre.pdf                         .scr
nombre.jpg                         .scr

Entre ambas extensiones, se incluyen 23 espacios en blanco con la intención de dificultar aún más la identificación de la verdadera extensión del archivo.

Texto del mensaje:

<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>

This e-mail is never sent unsolicited. If you need to unsubscribe,
follow the instructions at the bottom of the message.
****************************************************

Enjoy this friendship Screen Saver and Check ur friends circle...

Send this screensaver from www.truefriends.net to everyone you
consider a FRIEND, even if it means sending it back to the person
who sent it to you. If it comes back to you, then you'll know you
have a circle of friends.

* To remove yourself from this mailing list, point your browser to:
http://truefriends.net/remove?freescreensaver

* Enter your email address in the field provided and click "Unsubscribe".

OR...

* Reply to this message with the word "REMOVE" in the subject line.

<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>

Cuando se ejecuta, el gusano se copia a si mismo en la carpeta System de Windows con varios nombres:

C:\Windows\System\msnmsg32.exe
C:\Windows\System\nav32.exe
C:\Windows\System\winReg.exe

Los tres archivos se crean con los atributos de ocultos (+H)

En ocasiones, el virus puede copiarse en el directorio Windows con uno de los siguientes nombres:

C:\Windows\bestfriend.scr
C:\Windows\Escort.scr
C:\Windows\EvilDaemon.scr
C:\Windows\Honey.scr
C:\Windows\HotShot.scr
C:\Windows\Love.scr
C:\Windows\LoverScreenSaver.scr
C:\Windows\mAtRiX.scr
C:\Windows\NeverMind.scr
C:\Windows\ScreenSaver.scr

En todos los casos, "C:\Windows" y "C:\Windows\System" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "C:\WinNT", "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).

También se modifica el registro para que el gusano se ejecute automáticamente cada vez que Windows se reinicia:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
winReg = C:\WINDOWS\SYSTEM\winReg.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
winReg = C:\WINDOWS\SYSTEM\winReg.exe

También modifica las siguientes claves:

HKEY_CLASSES_ROOT\exefile\shell\open\command
(Predeterminado) = "C:\Windows\System\nav32.exe" %1 %*"

Esto hace que se ejecute el virus cada vez que una aplicación ejecutable es llamada por el sistema. Esto dificulta la limpieza del virus, ya que cualquier programa que se ejecute, incluido el antivirus, lanza al gusano en memoria.

"C:\Windows\System\nav32.exe" representa el nombre y ubicación del ejecutable del gusano una vez que se instaló en nuestro PC. En principio suele ser el que se indica, pero podría ser alguno de las otras copias del gusano.

El gusano intenta acabar con la ejecución de una larga lista de programas de seguridad, como antivirus, cortafuegos, etc., matando en memoria los procesos que contengan cualquiera de las siguientes cadenas:

alertsvc
amon.exe
Antivir
apache.exe
atrack
avconsol
avp.exe
avp32
avpcc.exe
avpm.exe
avsynmgr
ccmain
cfinet
cfinet32
esafe.exe
f-prot95
fp-win
frw.exe
f-stopw
iamapp
iamserv.exe
icmon
iomon98
lockdown2000
lockdownadvanced
luall
lucomserver
mcafee
navapsvc
navapw32
navlu32
navrunr
navw32
navwnt
nisserv
nisum
nmain
norton
nsched32
nvc95
pcciomon
pccwin98
pcfwallicon
pop3trap
pview95
rescue32
safeweb
scan32
symproxysvc
tds2-98
tds2-nt
vettray
vsecomr
vshwin32
vsstat
webscanx
webtrap
zonealarm

Luego de su primera ejecución, muestra una ventana con el siguiente mensaje de error falso:

Error
Application initilisation error
[   OK   ]

El gusano crea también un archivo "zEsT.txt" en la carpeta Windows:

C:\Windows\zEsT.txt

Este archivo contiene el siguiente texto:

====================================================
r^0^x~X pR3$@Nt$ @Y3rH$.@',0Ah


tHi$ i$ jU$t tH3 b3gInNiNg..
w3 ar3 tH3 gR3@t 1nD1@N$..


w3 k1cK pAk1 a$$..
====================================================

El gusano crea numerosos hilos de ejecución de si mismo que actualizan sus propias entradas del registro continuamente, aún si fueran borradas. También restaura al propio gusano, si algunos de sus archivos son borrados mientras el gusano permanece activo en memoria. Por ello es importante reiniciar en modo a prueba de fallos cuando se proceda a quitar el gusano de un equipo infectado.

El gusano obtiene las direcciones a las que se envía de la libreta de Windows (WAB), todos los contactos, caché de Messenger, páginas Web, etc.

Por cada dirección obtenida, el gusano consulta a un servidor DNS en la dirección 12.127.17.71 y luego intenta localizar un servidor SMTP anónimo para enviarse.

La rutina de composición de esta variante es sumamente compleja. El gusano selecciona al azar o inventa direcciones para el campo "reply-to" de los mensajes (dirección de respuesta para el mensaje). También inventa nombres de remitentes, asuntos y nombres de adjuntos.

El asunto del mensaje infectado puede ser uno de los siguientes:

Accoustic Screensavers
Are you in Love
Are you In Love
Bill Gates
Check this
Dedicated to kYo-3
Devon Loves Bill Gates
Do you love your wife
Electric Screensavers
Enjoy the fragrance of Love
Experience the smooooth music
Friendship ScreenSaver
Friendship Screensaver Inc.
Good Luck
Happy Cristmas
Happy Valentines Day
Hardcore Screensavers
Help someone..
Horny Britney Spears Screensavers
IBM Screensavers
Kevin Mitnick
KOF Screensavers
Leona and Ralph
Lover's Scnreensaver
Marcos D'Costa
mAtRiX
Microsoft Screensavers
Missing your best friend ?
Mission Impossible
Pamela 4 U
Pamela Anderson Screensavers
Patriotic Screensavers
Sexy Screensavers
So Sweet
Still Dreaming..
Sunrise Screensavers
Valentine Screensaver
Wanna be a hacker ?
Who is your best friend
You are my best friend

El nombre del remitente falso puede ser uno de los siguientes:

Amino Extolden
Bernard Lewis
Britney Johnson
Carmen Vidal
Cathy Stevens
Dead Man Inc.
Dreamz of Love Inc.
Friendship Screensaver Inc.
Gavin Lawson
Girl Friends
Kevin Mitnick
Love Inc.
Lover's Corner
Passionate
Paul Smith
Rick Stenquin
Susan Sarandon
Susy Aminot
Sweetheart
The Great Indians
Viivi Josefiina Torronen
Zeus Gavinson
Zeusita

Cómo dirección falsa del remitente, puede usar una de las siguientes:

almst@strong.com
arnold@schwarzeneggar.com
britney@britneyspears.org
bryan@adams.com
christina@aguilera.com
g@guninski.com
gates@microsoft.com
hulk@hogan.com
jennifer@lopez.com
kevin_m@freekevin.com
kk@alkk.com
lex@lugar.com
linus@use_secure_linux.com
mentor@m.com
mick@foley.com
paul@microsoft.com
peter@p.com
rick@enrique.com
steve@wwe.com
sussy@sussybaby.com
sylvester@stallone.com
vin@suckass.com
vince@wwe.com

El nombre del adjunto (la copia del gusano), en ocasiones puede ser uno de los siguientes:

bestfriend.scr
Escort.scr
EvilDaemon.scr
Honey.scr
HotShot.scr
Love.scr
LoverScreenSaver.scr
mAtRiX.scr
NeverMind.scr
ScreenSaver.scr

Aunque la mayoría de las veces, los nombres de los archivos adjuntos presentan una doble extensión (con 23 espacios vacíos entre ambas):

.doc                       .scr
.gif                        .scr
.jpg                       .scr
.pdf                       .scr
.ppt                       .scr

El cuerpo del mensaje es siempre el descripto más arriba.

Esta versión también manda numerosos mensajes con el mismo cuerpo, pero sin adjuntos, a las siguientes direcciones:

Admin@firewall.cx
admin@focusindia.com
c_doser@hotmail.com
CE@pak.gov.pk
deepu_the_king@yahoo.com
dharian25@hotmail.com
evil_n_genious@hotmail.com
gates@micrsoft.com
GETADMIN@cyberexploits.com
hackermind@sify.com
info@microsoft.com
jack_king2002@hotmail.com
Lucky@lucky-web.net
method3411@aasp.net
nhsboys@vsnl.net
rhytha@hotmail.com
roxx@achayans.com
sweta_18@hotmail.com
yeshodhank@rediffmail.com

Esta versión, a diferencia de las anteriores, no utiliza ninguna vulnerabilidad para autoejecutarse con solo leer o ver en el panel de vista previa un mensaje infectado. Para ejecutarse el usuario debe premeditadamente hacer doble clic sobre el adjunto, lo que disminuye su capacidad de propagación.

Esta variante fue enviada a numerosos grupos de Yahoo en un mensaje con las siguientes características (este mensaje no es el que luego envía el propio gusano):

De: HotGal4U2Fuk@Hotmail.Com
Para: member-of-one-of-the-yahoogroups-mailing-list
Asunto: joke

look attach very gooooode
bye

Datos adjuntos: love.gif .scr

Para eliminar el virus de un sistema infectado

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados


Modificación del registro

Es necesario renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al gusano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

    Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en "C:\Windows", debe cambiar esta referencia (Ej.: "C:\Nombre\Regedit.exe", etc.).

2. Desde Inicio, Ejecutar, teclee "Regedit.com" y pulse Enter

3. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
exefile
shell
open
command

4. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

(Predeterminado) = "C:\Windows\System\nav32.exe" %1 %*"

5. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el cargador: (C:\Windows\System\nav32.exe) y dejar solo esto (comillas, porcentaje, número uno, comillas, espacio, porcentaje, asterisco):

(Predeterminado) = "%1" %*

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

8. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

Command /c Rename C:\Windows\Regedit.com Regedit.exe

Si windows no está instalado en "C:\Windows", debe cambiar esta referencia (ej.: "C:\Nombre\Regedit.com", etc.).

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

10. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

winReg

11. Repita los pasos 9 y 10 (pinchando en "RunServices") con la siguiente rama del registro:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

12. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

14. Ejecute uno o más antivirus actualizados.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:
16/dic/02 - Alias: W32/Lentin.G, Lentin.G, W32/Lentin.J



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com