c:\windows\system32\smssnt.exe

4. La entrada que agrega en el registro es la siguiente:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe smssnt.exe

5. Borra los siguientes archivos:

00thotkey.exe
acrotray.exe
agrsmmsg.exe
alogserv.exe
apntex.exe
apoint.exe
ares.exe
asm.exe
aucbpnp.exe
aupdate.exe
av.exe
basfipm.exe
bcmsmmsg.exe
bcmwltry.exe
bigfix.exe
bipvfm.exe
c:\av.exe
c:\esm2\ebrr.exe
c:\esm2\stms.exe
c:\officescan nt\ntrtscan.exe
c:\officescan nt\pccntmon.exe
c:\officescan nt\tmlisten.exe
c:\program files\altnet\Download Manager\asm.exe
c:\program files\apoint2k\apntex.exe
c:\program files\apoint2k\apoint.exe
c:\program files\ares\ares.exe
c:\program files\aws\weather\weather.exe
c:\program files\bigfix\bigfix.exe
c:\program files\clearsearch\loader.exe
c:\program files\clocksync\sync.exe
c:\program files\common files\cmeii\cmesys.exe
c:\program files\common files\gmt\gmt.exe
c:\program files\common files
        \microsoft shared\works shared\wkufind.exe
c:\program files\common files\real
        \update_ob\evntsvc.exe
c:\program files\common files\real
        \update_ob\realsched.exe
c:\program files\common files\services\wssdtu.exe
c:\program files\common files\services\wsys.exe
c:\program files\common files\support.com\client
        \bin\tgcmd.exe
c:\program files\commonname\toolbar\cnform.exe
c:\program files\date manager\datemanager.exe
c:\program files\delfin\promulgate\pgmonitr.exe
c:\program files\dell\support\alert\bin\damon.exe
c:\program files\dell\support\alert
        \bin\notifyalert.exe
c:\program files\digital line detect\dlg.exe
c:\program files\downloadware\dw.exe
c:\program files\hotbar\bin\4.1.8.0\reader\hbsrv.exe
c:\program files\hotbar\bin\4.3.5.0\hbinst.exe
c:\program files\istsvc\istsvc.exe
c:\program files\java\j2re1.4.2_01\bin\jushed.exe
c:\program files\javasoft\jre.3.1_04\bin\javaw.exe
c:\program files\memorymeter\memorymeter.exe
c:\program files\navnt\defwatch.exe
c:\program files\ncase\msbb.exe
c:\program files\Network Essentials\v11\ne.exe
c:\program files\orbit\update.exe
c:\program files\orbit\view.exe
c:\program files\precisiontime\precisiontime.exe
c:\program files\quicktime\qttask.exe
c:\program files\rb32\rb32.exe
c:\program files\save\save.exe
c:\program files\savenow\save.exe
c:\program files\system soap pro\soap.exe
c:\program files\systemidle\systemidle.exe
c:\program files\xupiter\xupiterstartup.exe
c:\winupdat.exe
carpserv.exe
cisvc.exe
cmd32.exe
cmdserv.exe
cmesys.exe
cnfgldr.exe
cnform.exe
cthelper.exe
ctsvccda.exe
cusrvc.exe
daemon.exe
damon.exe
datemanager.exe
dcfssvc.exe
defwatch.exe
desk98.exe
devldr32.exe
dla\tfswctrl.exe
dlg.exe
dllhost.exe
drivers\dcfssvc.exe
dsentry.exe
dw.exe
ebrr.exe
emsw.exe
evntsvc.exe
exchng32.exe
exshow.exe
exshow95.exe
ezsp_px.exe
glconf.exe
gmt.exe
gwmdmmsg.exe
hbinst.exe
hbsrv.exe
hkcmd.exe
hpconfig.exe
hphipm11.exe
hpsrvui.exe
hpsysdrv.exe
hpztsb07.exe
ico.exe
igfxtray.exe
istsvc.exe
javaw.exe
jusched.exe
loader.exe
loadqm.exe
lrohe95f.exe
lvcoms.exe
mlset32.exe
mostat.exe
mrtmngr.exe
msbb.exe
msblast.exe
msgsys.exe
mshta.exe
msmgt.exe
mspmspsv.exe
mssql.exe
mstasks.exe
mwd.exe
mwmdmsvc.exe
mwssw32.exe
mww32\manager\mwmdmsvc.exe
mww32\manager\mwssw32.exe
ne.exe
netstat.exe
nmssvc.exe
notifyalert.exe
ntrtscan.exe
packethsvc.exe
pccntmon.exe
pctspk.exe
pgmonitr.exe
precisiontime.exe
prmvr.exe
ps2.exe
qttask.exe
r_server.exe
radiosvr.exe
rb32.exe
realsched.exe
regsrvc.exe
regsvc.exe
regsvc32.exe
rle0hix.exe
rundll16.exe
runservice.exe
s24evmon.exe
s3apphk.exe
s3tray2.exe
sahagent.exe
save.exe
scardsvr32.exe
sk9910dm.exe
slserv.exe
snmp.exe
soap.exe
spool\drivers\w32x86\3\hpztsb07.exe
starter.exe
stms.exe
svchosts.exe
sync.exe
syncor.exe
sys32.exe
syscfg32.exe
sysmon16.exe
system32.exe
systemidle.exe
tbpanel.exe
tdispvol.exe
teekids.exe
tfnf5.exe
tfswctrl.exe
tftp.exe
tgcmd.exe
tmlisten.exe
tpwrtray.exe
tvmd.exe
update.exe
uptodate.exe
view.exe
wbem\wmiprvse.exe
wcmdmgr.exe
weather.exe
win32us.exe
wins\dllhost.exe
wins\svchost.exe
winsct32.exe
winservn.exe
winupdat.exe
wisptis.exe
wjview.exe
wkufind.exe
wltrysvc.exe
wm.exe
wmiprvse.exe
wssdsu.exe
wssdtu.exe
wsys.exe
wt\wcmdmgr.exe
wt\webdriver\wthost.exe
wthost.exe
wuaumqr.exe
xco0b3.exe
xcommsvr.exe
xmforgert.exe
xupiterstartup.exe
zcfgsvc.exe

Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre el siguiente archivo:

c:\windows\system32\smssnt.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

3. Pinche en la carpeta "Winlogon" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie la siguiente entrada:

Shell = Explorer.exe smssnt.exe

Por la siguiente:

Shell = Explorer.exe

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Vulnerabilidad en RPC (Remote Procedure Call)

Este troyano se aprovecha de un desbordamiento de búfer en la interface RPC (Remote Procedure Call) que permite la ejecución arbitraria de código. El Remote Procedure Call (RPC) permite el intercambio de información entre equipos, y está presente por defecto en el protocolo TCP bajo el puerto 135 en Windows NT 4.0, 2000 y XP.

Una falla en la parte de RPC encargada del intercambio de mensajes sobre TCP/IP, permite a un atacante ejecutar cualquier código con los privilegios locales (Mi PC).

Descargue y ejecute el parche correspondiente (MS03-026, MS03-039), desde el siguiente enlace:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm


IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano.


Activar cortafuegos de Windows XP (Internet Conexión Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet".

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com