c:\windows\system32\wincore332.exe

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

Agrega las siguientes entradas en el registro:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
WINCX = "wincore332.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WINCX = "wincore332.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
WINCX = "wincore332.exe"

Modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde una máquina infectada:

avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
kaspersky .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .viruslist .com

El gusano roba del PC infectado, los posibles identificadores y llaves (CD keys) de conocidos video juegos.

Posee además un componente de acceso remoto por puerta trasera vía IRC, que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. Algunas acciones posibles:

- Ejecutar comandos en forma remota
- Eliminar procesos seleccionados
- Examinar el tráfico HTTP, FTP, e IRC (sniffer)
- Finalizar servicios de Windows
- Listar los procesos activos
- Obtener archivos a través de FTP y HTTP
- Obtener direcciones de correo de la computadora infectada
- Obtener información del registro
- Obtener un determinado URL
- Realizar ataques del tipo "floods" (HTTP, ICMP, SYN, y UDP)
- Reiniciar la computadora
- Robar contraseñas

Cuando se ejecuta, puede detener los siguientes procesos, algunos de ellos pertenecientes a conocidos antivirus y cortafuegos, y también a otros gusanos o troyanos:

_avp32
_avpcc
_avpm
ackwin32
adaware
advxdwin
agentsvr
agentw
alertsvc
alevir
alogserv
amon9x
anti-trojan
antivirus
ants
apimonitor
aplica32
apvxdwin
arr
atcon
atguard
atro55en
atupdater
atwatch
au
aupdate
autodown
auto-protect.nav80try
autotrace
autoupdate
avconsol
ave32
avgcc32
avgctrl
avgnt
avgserv
avgserv9
avguard
avgw
avkpop
avkserv
avkservice
avkwctl9
avltmain
avnt
avp
avp32
avpcc
avpdos32
avpm
avptc32
avpupd
avsched32
avsynmgr
avwin95
avwinnt
avwupd
avwupd32
avwupsrv
avxmonitor9x
avxmonitornt
avxquar
backweb
bargains
bd_professional
beagle
belt
bidef
bidserver
bipcp
bipcpevalsetup
bisp
blackd
blackice
blss
bootconf
bootwarn
borg2
bpc
brasil
bs120
bundle
bvt
ccapp
ccevtmgr
ccpxysvc
cdp
cfd
cfgwiz
cfiadmin
cfiaudit
cfinet
cfinet32
claw95
claw95cf
clean
cleaner
cleaner3
cleanpc
click
cmd32
cmesys
cmgrdian
cmon016
connectionmonitor
cpd
cpf9x206
cpfnt206
ctrl
cv
cwnb181
cwntdwmo
datemanager
dcomx
defalert
defscangui
defwatch
deputy
divx
dllcache
dllreg
doors
dpf
dpfsetup
dpps2
drwatson
drweb32
drwebupw
dssagent
dvp95
dvp95_0
ecengine
efpeadm
emsw
ent
esafe
escanh95
escanhnt
escanv95
espwatch
ethereal
etrustcipe
evpn
exantivirus-cnet
exe.avxw
expert
explore
f-agnt95
fameh32
fast
fch32
fih32
findviru
firewall
flowprotector
fnrb32
fprot
f-prot
f-prot95
fp-win
fp-win_trial
frw
fsaa
fsav
fsav32
fsav530stbyb
fsav530wtbyb
fsav95
fsgk32
fsm32
fsma32
fsmb32
f-stopw
gator
gbmenu
gbpoll
generics
gmt
guard
guarddog
hacktracersetup
hbinst
hbsrv
hotactio
hotpatch
htlog
htpatch
hwpe
hxdl
hxiul
iamapp
iamserv
iamstats
ibmasn
ibmavsp
icload95
icloadnt
icmon
icsupp95
icsuppnt
idle
iedll
iedriver
iexplorer
iface
ifw2000
inetlnfo
infus
infwin
init
intdel
intren
iomon98
iparmor
iris
isass
isrv95
istsvc
jammer
jdbgmrg
jedi
kavlite40eng
kavpers40eng
kavpf
kazza
keenvalue
kerio-pf-213-en-win
kerio-wrl-421-en-win
kerio-wrp-421-en-win
kernel32
killprocesssetup161
launcher
ldnetmon
ldpro
ldpromenu
ldscan
lnetinfo
loader
localnet
lockdown
lockdown2000
lookout
lordpe
lsetup
luall
luau
lucomserver
luinit
luspt
mapisvc32
mcagent
mcmnhdlr
mcshield
mctool
mcupdate
mcvsrte
mcvsshld
md
mfin32
mfw2en
mfweng3.02d30
mgavrtcl
mgavrte
mghtml
mgui
minilog
mmod
monitor
moolive
mostat
mpfagent
mpfservice
mpftray
mrflux
msapp
msbb
msblast
mscache
msccn32
mscman
msconfig
msdm
msdos
msiexec16
msinfo32
mslaugh
msmgt
msmsgri32
mssmmc32
mssys
msvxd
mu0311ad
mwatch
n32scanw
nav
navap.navapsvc
navapsvc
navapw32
navdx
navengnavex15.navlu32
navlu32
navnt
navstub
navw32
navwnt
ncinst4
ndd32
neomonitor
neowatchlog
netarmor
netd32
netinfo
netmon
netscanpro
netspyhunter-1.2
netstat
netutils
nisserv
nisum
nmain
nod32
normist
norton_internet_secu_3.0_407
notstart
npf40_tw_98_nt_me_2k
npfmessenger
nprotect
npscheck
npssvc
nsched32
nssys32
nstask32
nsupdate
nt
ntrtscan
ntvdm
ntxconfig
nui
nupgrade
nvarch16
nvc95
nvsvc32
nwinst4
nwservice
nwtool16
ollydbg
onsrvr
optimize
ostronet
otfix
outpost
outpostinstall
outpostproinstall
padmin
panixk
patch
pavcl
pavproxy
pavsched
pavw
pcciomon
pccntmon
pccwin97
pccwin98
pcdsetup
pcfwallicon
pcscan
pdsetup
penis
periscope
persfw
perswf
pf2
pfwadmin
pgmonitr
pingscan
platin
pop3trap
poproxy
popscan
portdetective
portmonitor
powerscan
ppinupdt
pptbc
ppvstop
prizesurfer
prmt
prmvr
procdump
processmonitor
procexplorerv1.0
programauditor
proport
protectx
pspf
purge
pussy
pview95
qconsole
qserver
rapapp
rav7
rav7win
rav8win32eng
ray
rb32
rcsync
realmon
reged
regedit
regedt32
rescue
rescue32
rrguard
rshell
rtvscan
rtvscn95
rulaunch
run32dll
rundll
rundll16
ruxdll32
safeweb
sahagent
save
savenow
sbserv
sc
scam32
scan32
scan95
scanpm
scrscan
scrsvr
scvhost
sd
serv95
service
servlce
servlces
setup_flowprotector_us
setupvameeval
sfc
sgssfw32
sh
shellspyinstall
shn
showbehind
smc
sms
smss32
soap
sofi
sperm
spf
sphinx
spoler
spoolcv
spoolsv32
spyxx
srexe
srng
ss3edit
ssgrate
st2
start
stcloader
supftrl
support
supporter5
svc
svchostc
svchosts
svshost
sweep95
sweepnet.sweepsrv.sys.swnetsup
symproxysvc
symtray
sysedit
system
system32
sysupd
taskmg
taskmo
taskmon
taumon
tbscan
tc
tca
tcm
tds2-98
tds2-nt
tds-3
teekids
tfak
tfak5
tgbob
titanin
titaninxp
tracert
trickler
trjscan
trjsetup
trojantrap3
tsadbot
tvmd
tvtmd
undoboot
updat
update
upgrad
utpost
vbcmserv
vbcons
vbust
vbwin9x
vbwinntw
vcsetup
vet32
vet95
vettray
vfsetup
vir-help
virusmdpersonalfirewall
vnlan300
vnpc3000
vpc32
vpc42
vpfw30s
vptray
vscan40
vscenu6.02d30
vsched
vsecomr
vshwin32
vsisetup
vsmain
vsmon
vsstat
vswin9xe
vswinntse
vswinperse
w32dsm89
w9x
watchdog
webdav
webscanx
webtrap
wfindv32
wgfe95
whoswatchingme
wimmun32
win32
win32us
winactive
win-bugsfix
window
windows
wininetd
wininit
wininitx
winlogin
winmain
winnet
winppr32
winrecon
winservn
winssk32
winstart
winstart001
wintsk32
winupdate
wkufind
wnad
wnt
wradmin
wrctrl
wsbgate
wupdater
wupdt
wyvernworksfirewall
xpf202en
zapro
zapsetup3001
zatutor
zonalm2601
zonealarm

Reparación manual

IMPORTANTE:

Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces:

MS03-001 Vulnerabilidad en el Servicio Localizador
http://www.vsantivirus.com/vulms03-001-002-003.htm#1

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm


Métodos para detener el reinicio de Windows

La descarga del parche correspondiente, puede verse dificultada por el constante reinicio del equipo infectado (un efecto secundario del exploit que se vale de la vulnerabilidad RPC/DCOM). Para evitarlo, siga cualquiera de estos métodos:

1. Simplemente atrase el reloj del sistema una o dos horas (ajústelo nuevamente a la hora correcta luego de la instalación del parche).

2. Desde Inicio, Ejecutar, escriba CMD y pulse Enter. Luego ingrese el siguiente comando (más Enter):

shutdown   -a

Cortafuegos

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

WINCX

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

5. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

WINCX

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

7. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

WINCX

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\system32\wincore332.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1 localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Reinicie su computadora.


Información adicional

IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano.


Activar cortafuegos de Windows XP (Internet Conexión Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet".

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com