De: [Dirección falsa]

Asunto: [uno de los siguientes]

^_^ meay-meay!
^_^ meay-meay!
^_^ mew-mew (-:
Aline
Anna
Audra
Bad girl
Barbi
beautiful
Caitie
caroline
ello! =))
Fotograf
Gallery photos
groom
Hey, dude, it',27h,'s me ^_^ :P
Hey, ya! =))
Hi! :-)
Hokki =)
Jammie
Juli
Julie
kate
Katrina
Katrina
Kelley
kleopatra
Lisa
Mandy
Mary
Mary-Anne
My beautiful person
My Name is Frenk
My photoalbum
My photos
Myphotos
Photoalbum
rebecca
Rena
Sara
stacy
Tammy
Wau... beautiful (-:
Weah, hello! :-)
Weeeeee! ;)))

Texto: [uno de los siguientes]

Argh, i don't like the plaintext :)

Fell free to chat with me I accept all ages.
Don''''t worry I don''''t bite........hope to 
hear from you soon!

If you are going to make me cry, at least be 
there to wipe away the tears *Right now the 
worst thing for you to tell me that I can find 
someone better than you, especially when you 
are all I want

Hey people whats goin on? If there is anything
you want to know about me ask me... I am pretty 
easygoing I won't bite....not at first anywayz 
hahaa.....one thing I will say on here tho I am 
not into the Cyber thing so don't even 
ask.....Ciao...

Hey, guys! by the way, I have no problems with 
my sexual life, so it's absolutly useless try 
to have icq sex or things like that. Thanks

Hi! My name is Shreya and I am a goof off!!! 
So, If you love the outdoors, travelling, 
books, music, movies, laffing, teasing and/or 
can poke fun at yourself... please come a 
hollerin'!!

I am from Taiwan but I study in Camden, New 
Jersey now. I like to know people from 
different places .

I enjoy clean conversations but am open to 
conversing with women and men with little ones 
as well. I am very open-minded. All 
authorization requests will be denied if I 
don't receive messages and get to know you 
first.

I like to be in a company of smart, delicate, 
and with a good sense of humor people. I am 
Bulgarian, currently getting my Master's in 
International Business in USA. Favorite actor: 
Michael Dudikoff

I love camping, dirt track racing, going for 
walks, and I have 2 cats - HotRod and Deebo 
(named from the movie 'Friday' and he lives up 
to it!). Life is ever changing, never always 
easy...

I love meeting new people and making new 
friends. I am a Mary Kay Beauty Consultant. I 
am married to a wonderful man. We have no 
children, exept for a minature schnauzer that 
thinks he is a child. Looking forward to 
meeting you.

I love to dance, read poetry, make people 
laugh, and hug as many people a day as i can.

I sit with elders of a gentle race, whose world 
is seldom seen.Who sit and talk of days for 
which they wait, when all will be revealed. 
These are song lyrics.

If I'm online, it problably means I'm pretty 
bored....so feel free to message me and say hi 
or whatever else comes to mind at the moment.

If you are going to make me cry, at least be 
there to wipe a way the tears *Right now the 
worst thing for you to tell me that I can find 
someone better than you, especially when you 
are all I want

I'm a social butterfly and a natural flirt. 
Very hard to get my complete attention. Very 
open and will answer almost anything. But 
please don't piss me off. I can be sweet and 
cuddly or a whatever mood I am in that day so 
everyday

I'm an open minded person and enjoy chatting w/ 
other people. I'm free and willing to chat 
about anything. So feel free to Imed me if you 
wanna chat.

I'm married and I stay at home. And I don't do 
cyber sex so leave me the fuck alone

i'm tall and skiny I'm studying in Pharm. D 
program in FL. i like music, movie, dancing, 
sports, SCUBA diving, traveling and make a lot 
friends.

Looking forward for a response :P

Love the outdoors, literature, writing, and 
athletics

My hobbies include crochet, sewing, painting 
lead figures and playing AD&D. Favorite 
activities include fishing and camping. I love 
cats, unicorns(go figure), and fantasy in 
general. 

Nice friends, nice men, nice sex and feeling 
great. I don't mind the odd bout of cybersex as 
I love to use my imagination when I masterbate.

Single Mom of 3, Full time college student, 
Graduate in December with an Associates of 
Applied Science in Computer Information Systems 
Love the internet.

When The Trust is Gone So Is The Love That 
Fades Like the Rain Washing Away All The 
Sorrows Of Yesterday Why I Ask Myself Must It 
End Like This Tomorrow, I Tell Myself, I'll Be 
Okay For Now, I'll Just Live In The Memories Of 
Our Life Together

You don’t know what you’ve got till it’s gone 
*You hurt me more than I deserve, how can you 
be so cruel? I love you more than you deserve, 
how can I be such a fool?

Si el adjunto es un ZIP con contraseña, el texto del mensaje agrega al final una de las siguientes líneas:

archive password: [contraseña]
pass: [contraseña]
password for archive: [contraseña]
password: [contraseña]

Donde [contraseña] es un número de cinco dígitos, siempre diferente, creada por una rutina del gusano.

Datos adjuntos: [uno de los siguientes]

Aline.exe
Aline.scr
Aline.zip
Anna.exe
Anna.scr
Anna.zip
Audra.exe
Audra.scr
Audra.zip
Bad girl.exe
Bad girl.scr
Bad girl.zip
Barbi.exe
Barbi.scr
Barbi.zip
Caitie.exe
Caitie.scr
Caitie.zip
caroline.exe
caroline.scr
caroline.zip
Gallery.exe
Gallery.scr
Gallery.zip
It_I.exe
It_I.scr
It_I.zip
Jammie.exe
Jammie.scr
Jammie.zip
Juli.exe
Juli.scr
Juli.zip
Julie.exe
Julie.scr
Julie.zip
kate.exe
kate.scr
kate.zip
Katrina.exe
Katrina.exe
Katrina.scr
Katrina.scr
Katrina.zip
Katrina.zip
Kelley.exe
Kelley.scr
Kelley.zip
kleopatra.exe
kleopatra.scr
kleopatra.zip
Lisa.exe
Lisa.scr
Lisa.zip
Mandy.exe
Mandy.scr
Mandy.zip
Mary.exe
Mary.scr
Mary.zip
Mary-Anne.exe
Mary-Anne.scr
Mary-Anne.zip
myfotos.exe
myfotos.scr
myfotos.zip
Photoalbum.exe
Photoalbum.scr
Photoalbum.zip
Photomontage.exe
Photomontage.scr
Photomontage.zip
Picture.exe
Picture.scr
Picture.zip
rebecca.exe
rebecca.scr
rebecca.zip
Rena.exe
Rena.scr
Rena.zip
Sara.exe
Sara.scr
Sara.zip
stacy.exe
stacy.scr
stacy.zip
Tammy.exe
Tammy.scr
Tammy.zip

El ejecutable muestra el icono de una carpeta de Windows.

Mientras tanto, examina si la fecha actual es 25 de marzo de 2004 o superior. Si lo es, finaliza su acción. En caso contrario, crea los siguiente archivos en la carpeta System de Windows:

c:\windows\system\i1ru54n4.exe
c:\windows\system\go54o.exe
c:\windows\system\ii5nj4.exe
c:\windows\system\i1ru54n4.exeopen

º I1RU54N4.EXE (22,528 a 24,033 bytes) es la copia del gusano
º GO54O.EXE (24,064 bytes), copia descomprimida de su código
º II5NJ4.EXE (1,536 bytes), componente usado por el gusano
º I1RU54N4.EXEOPEN (variable), ZIP conteniendo al gusano

NOTA: "c:\windows\system" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x y ME, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system32" en Windows XP y Windows Server 2003).

Crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
rate.exe = c:\windows\system\i1ru54n4.exe

Crea también la siguiente entrada para almacenar valores de su configuración actual:

HKCU\Software\Winword
frun = 1

El gusano inyecta el componente GO54O.EXE dentro del proceso EXPLORER.EXE de Windows, para permanecer residente en memoria.

Las direcciones que utiliza para propagarse, son obtenidas de archivos de la máquina infectada con las siguientes extensiones:

.adb
.asp
.cfg
.dbx
.eml
.htm
.mdx
.mmf
.nch
.ods
.php
.pl
.sht
.tbb
.txt
.wab
.xml

Ignora direcciones de correo que contengan las siguientes cadenas:

@avp
@hotmail.com
@microsoft
@msn.com
local
noreply
postmaster@
root@

El gusano también se copia en todas las carpetas cuyo nombre contenga la cadena "SHAR", lo que incluye a la mayoría de las carpetas compartidas de programas de intercambio de archivos entre usuarios. De ese modo puede propagarse por las redes P2P, y para ello utiliza los siguientes nombres:

ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
Backdoor Capabilities
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno pics arhive, xxx.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe

También intenta acceder a varios sitios de Internet, para notificar al autor vía HTTP, con una solicitud GET, cada determinada cantidad de tiempo, conectándose con un script PHP. El paquete enviado a las siguientes direcciones, contiene el número de puerto actual y una identificación:

http:/ /postertog.de/scr.php
http:/ /www.gfotxt.net/scr.php
http:/ /www.maiklibis.de/scr.php

Posee algunas características de troyano de acceso remoto y para ello abre el puerto TCP/2745, quedando a la espera de comandos. Esta opción sería usada para actualizar al propio gusano. Cuando ello sucede, se descarga la nueva versión que luego se ejecuta para suplantar la anterior. Utiliza el parámetro -UPD para ello.

El gusano no se ejecuta después del 25 de marzo de 2004. Si un archivo del gusano es ejecutado después de esa fecha, se auto invoca con el parámetro -DEL para desinstalarse del sistema.

También intenta finalizar los siguientes procesos:

atupdater.exe
aupdate.exe
autodown.exe
autotrace.exe
autoupdate.exe
avltmain.exe
avpupd.exe
avwupd32.exe
avxquar.exe
cfiaudit.exe
drwebupw.exe
icssuppnt.exe
icsupp95.exe
luall.exe
mcupdate.exe
nupgrade.exe
outpost.exe
update.exe

Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\system\i1ru54n4.exe
c:\windows\system\go54o.exe
c:\windows\system\ii5nj4.exe
c:\windows\system\i1ru54n4.exeopen

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

rate.exe

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Winword

5. Pinche en la carpeta "Winword" y bórrela.

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).

2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com