Virus: W32/Funsoul. El adjunto infectado se llama FUNNY.SCR

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

W32/Funsoul. El adjunto infectado se llama FUNNY.SCR

VSantivirus No. 495 - Año 6 - Jueves 15 de noviembre de 2001

Nombre: W32/Funsoul
Tipo: Gusano de Internet
Alias: W32.Funsoul@mm
Fecha: 10/nov/01
Tamaño: 45,568 bytes

Este gusano se propaga a través de los contactos de la libreta de direcciones del Outlook. No se ejecuta adecuadamente si no existe una impresora conectada a la computadora infectada.

Cuando el virus se ejecuta, se realizan las siguientes acciones:

Se crean los siguientes archivos en el raiz de la unidad C:

C:\Protect.sys
C:\Help.bat
C:\Hide.bat
C:\Login.scr
C:\Funny.scr

Se sobrescribe el archivo C:\Autoexec.bat con un código capaz de discar al 911 (teléfono de emergencia en la mayoría de los países), cuando la computadora se inicia (Autoexec.Bat no funciona en Windows Me o superior).

Luego se modifica el registro para la ejecución del gusano en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
help = C:\help.bat

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HereAlso = C:\Login.scr

El gusano se envía en un mensaje infectado a todos los contactos de la libreta de direcciones del Outlook:

Asunto: Though you might find this funny !
Archivo adjunto: Funny.scr

También se cambia la página de inicio del Internet Explorer por la de un sitio Web que despliega un mensaje e imágenes de Timothy McVeigh.

Timothy J. McVeigh es el terrorista ejecutado en junio de 2001 en los Estados Unidos, acusado de haber asesinado a 168 personas en el cruento atentado de 6 años atrás, al edificio del FBI en la ciudad de Oklahoma.

Para remover el gusano de un sistema infectado

1. Ejecute uno o dos antivirus al día y borre los archivos identificados como W32/Funsoul

Importante (Windows 95 y 98): Si el archivo Autoexec.bat es detectado como infectado, debe borrarlo y reemplazarlo por una copia de respaldo.

2. Utilice el Explorador de Windows para buscar y borrar los siguientes archivos si estos aparecen:

C:\Protect.sys
C:\Help.bat
C:\Hide.bat
C:\Login.scr
C:\Funny.scr

3. Use REGEDIT para borrar las claves agregadas en el registro. Para ello, desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter.

4. Luego, en el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
RunServices

5. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre las siguientes entradas:

help C:\help.bat

6. En el panel izquierdo, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
Software
Microsoft
Windows
CurrentVersion
Run

7. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre las siguientes entradas:

HereAlso C:\Login.scr

8. Finalmente, utilice el menú "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Cambie la página de inicio del Internet Explorer desde Herramientas, Opciones de Internet, General, Página de inicio, por una de su preferencia.

10. Luego reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Fuente: Symantec

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com