Asunto: FW: Your Hare is Balding

Texto:
Tired of your Hare getting bald...
here's an ad to help you out!

Ejemplo 2:

Asunto: RE: You New Hare

Texto:
Fushika tora ne. Kokoroto koitaboo..
solito madoto. soy poti okineto. kilasu
arati hasase. soki BUNNY HARE GAME.

Ejemplo 3:

Asunto: FW: FW: FW: The Hare

Texto:
Forwarded message in attachment.

Todos los mensajes tienen como adjunto al propio gusano, en un archivo con nombre variable.

Cuando el gusano se ejecuta por primera vez en un sistema, se copia en el sistema en las siguientes ubicaciones y nombres:

C:\[xxxx]\[xxxx]\[xxxx].SCR
A:\BunnyPictures\setup.exe
\Desktop\Bunny.jpg.pif

Donde [xxxx] son caracteres al azar.

NOTA: \Desktop\ se crea en la carpeta del usuario actual, Ej: "C:\Windows\Desktop\" en Windows 95, 98 y Me. En Windows XP y 2000 es "C:\Documents and Settings\[usuario]\Desktop" y en Windows NT "C:\WinNT\Profiles\[usuario]\Desktop". [Usuario] también puede ser [All Users].

También se crea y ejecuta un archivo llamado HARE.VBS que es el encargado del envío de los mensajes infectados.

El gusano crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio:

HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Explorer\User Shell Folders

Startup = C:\[xxxx]\[xxxx]\[xxxx].SCR

También cambia la siguiente entrada para esconder la extensión de su propio ejecutable:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\Advanced

HideFileExt = 1

El gusano muestra una ventana con alguno de los siguientes mensajes, si el día actual es 2 de enero, 15 de febrero, 2 de abril, 22 de abril, 5 de julio, 13 de agosto, 2 de octubre, 15 de noviembre o 26 de diciembre:

Administrator for vAndEEd0
This message pops out when there is a problem
in the computer. you may have run a setup
program that caused errors.
[ OK ]

Administrator
Your My Documents folder is causing Network
problems. Please empty your My Documents folder.
Thank you for your cooperation.
[ OK ]

Administrator
Check your mailbox immediately.
[ OK ]

Auto Quotes
Hate War, Make Love. -vAndEEd0-
[ OK ]

Greetz from vAndEEd0
To the VX scene.
[ OK ]

Para mostrar dichos mensajes, crea antes entradas como la siguiente en el registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Winlogin

LegalNoticeCaption = [título del mensaje]
LegalNoticeText = [texto del mensaje]
ShutdownWithoutLogin = "1"

Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

C:\[xxxx]\[xxxx]\[xxxx].SCR
A:\BunnyPictures\setup.exe
\Desktop\Bunny.jpg.pif

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\User Shell Folders

3. Pinche en la carpeta "User Shell Folders" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Startup

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced

5. Pinche en la carpeta "Advanced" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el valor "1" por "0" en la siguiente entrada:

HideFileExt = "0"

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Winlogin

7. Pinche en la carpeta "Winlogin" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas:

LegalNoticeText
LegalNoticeCaption

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

07/jun/03 - Alias: Win32.Wohar, I-Worm.Wohar, VBS.Wohar
07/jun/03 - Alias: W32/Wohar, Win32/P2P.Hare.Worm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com