VSantivirus No. 697 - Año 6 - Martes 4 de junio de 2002
VBS/Zevach. Mensajes contra presidente venezolano
http://www.vsantivirus.com/zevach.htm
Nombre: VBS/Zevach
Tipo: Gusano de Visual Basic Script
Alias: VBS/Chavez, VBS.Zevach
Fecha: 3/jun/02
Plataformas: Windows
Tamaño: 25,159 bytes
Fuente: Panda, Symantec
Este gusano, escrito en Visual Basic Script, utiliza diferentes métodos para propagarse, además del clásico para este tipo de gusano a través del correo electrónico.
Intenta conectarse a dos páginas Web y muestra una gran variedad de mensajes, relacionados con el presidente de Venezuela. Genera además en la máquina infectada, una cantidad considerable de archivos.
Puede llegar a través de un e-mail, en disquetes, CDs, descargas de archivos desde Internet, etc.
Una vez ejecutado, si existe una conexión a Internet activa, el gusano intentará conectarse a esta página Web:
http://www.chistesdechavez.com/fotos/chavoz.htm
Luego de ello, muestra las siguientes ventanas de mensajes:
VBScript
VBS/Chavez By VeNeZuElA DeMoN
[ Aceptar ]
VBScript
Te amo Amanda!!
[ Aceptar
]
VBScript
Gracias Por Bajar Chavez.vbs!!
[ Aceptar
]
VBScript
Aqui Tienes Estas 2 Fotos Para Que Te Cagues De La Risa!!
[ Aceptar
]
VBScript
Que Las Disfrutes!!
[ Aceptar
]
VBScript
VBS/Chavez By VeNeZuElA DeMoN
[ Aceptar
]
VBScript
Gracias A...
[ Aceptar
]
VBScript
Litesys Y.........
[ Aceptar
]
VBScript
Kuasanagui
[ Aceptar ]
Después, se conecta a una segunda página Web, la cuál contiene una foto trucada del presidente venezolano Hugo Chavez:
http://www.chistesdechavez.com/fotos/sueno_venezolanos.htm
El gusano crea en el raíz de la unidad C:,
entre 200 y 300 archivos con extensiones .EXE y
.VBS al azar, apareciendo algunos duplicados. Un
ejemplo de algunos nombres:
C:\Venezuela.vbs
C:\4 de Febrero.vbs
C:\El Pueblo Unido Jamas Sera Vensido!!.vbs
C:\$$.vbs
C:\KkKkKkKkKkKkKkKk.vbs
C:\4545+45+.vbs
C:\Venezuela.exe
C:\11 de abril.exe
C:\VeNeZuElA DeMoN.exe
C:\485843594385.exe
También crea estos archivos (de acuerdo al Windows instalado):
Windows\System32\Amanda.scr
Windows\System\C.A.M.vbs
En uno y otro caso, son copias del propio gusano.
Y también copia estos archivos en el raíz de C:
C:\Win.ini
C:\Explorer.exe
C:\Asd.exe
C:\Command.com
C:\Win.com
Los archivos allí existentes con el mismo nombre, podrían ser sobrescritos.
También se crean estos archivos de texto (contienen lenguaje ofensivo que ha sido eliminado en el ejemplo)
Contiene el siguiente texto ofensivo (con faltas de ortografía):
Chavez Es Un Grandisimo
[xxxxx] Que A Destruido
A Venezuela Y A Todo El Pueblo Venezolano,!
Chavez Es La Peor Persona Del Mundo Malvado Y Perverso
Chavez Le A Robado Al Pueblo Chavez Merece La Muerte!!!
VeNeZuElA DeMoN
Contiene el siguiente texto (también con faltas de ortografía):
El Pueblo Unido Jamas Sera Vensido!! Ni Un Paso Atras!!
Pa Fuera Chavez!! Al Loco Al Loco Al Loco Le Queda Poco!!
Unidos Podremos Venser Al Tirano Y Crear Una Nueva
Venezuela!!
VeNeZuElA DeMoN Y Venezuela Contra Chavez!!
Contiene el siguiente texto:
Amanda Te Amo!!
Eres La Mejor!!
Quisiera Que Tu Sintieras Lo Mismo QUe Yo Siento Por Ti!!
Si Tu No Me QUieres No Importa, Yo Siempre Tendre Un Espacio En Mi Corazon!
VBS/Chavez By VeNeZuElA DeMoN
Gracias Litesys!!
En el código del gusano, existe el siguiente texto:
Virus Chavez Para Una Mejor Venezuela!
VeNeZuElA DeMoN Mayo Del 2002
Made In> VeNeZueLa
Hice Este Virus Para Ver Si Hasi El Mundo Se Da Cuenta De Lo Que Es Chavez Un Tirano, Un Opresor, Un Asesino!
Y No Me Importa Si Este Mensaje Le Tiene Que Llegar Al Mundo Por Medio De Un Virus Ya Que ya No Encuentro Otra Forma.
Te AMo Amanda.B.C.O!!
El gusano crea además, la siguiente clave en el registro de Windows:
HKLM\Software\Microsoft\Windows= Chavez
"C:\Chavez.vbs"
Para eliminar manualmente el gusano de un sistema infectado, siga estos pasos:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados por el virus
4. Compruebe con el buscador de Windows (Inicio, Buscar, Archivos o carpetas) que los siguientes archivos estén presentes (si el equipo estuviera infectado, el paso 2 y 3 podrían haberlos borrado, al haber sido sobrescritos por el gusano):
win.ini, win.com, command.com, asd.exe, explorer.exe
Si no se encuentran, deberá hacer una reinstalación de Windows, o intentar recuperarlos desde una unidad de respaldo, o con la utilidad SFC (ver Referencias).
5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
7. Pinche en la carpeta "Windows" y en el panel de la derecha busque y borre la siguiente entrada:
Chavez
"C:\Chavez.vbs"
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Referencias:
VSantivirus No. 498 - 18/nov/01
Cómo recuperar archivos con SFC en Windows 98 y Me
http://www.vsantivirus.com/faq-sfc.htm
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Windows Scripting Host y Script Defender
Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:
VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm
Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones
.VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán.
VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm
Modificaciones:
29/jul/02 - Complemento en la descripción
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
