c:\windows\msrundll32.exe
c:\windows\lel.exe

También crea los siguientes archivos:

c:\gedzac.txt
c:\hst.sys
c:\l.reg
c:\leliel.hta
c:\leliel.txt
c:\mi.inf
c:\vi.inf
c:\windows\leliel.zip
c:\windows\readme.hlp
c:\windows\wininit.ini

Intenta copiarse a todas las unidades de disco disponibles, con los siguientes nombres:

dibujitos.jpg.pif
Image012.jpg.pif
PrimeraCita.txt.pif
RutaDelPlacer.doc.pif
Yanet.jpg.pif

Crea la siguiente entrada en el registro:

HKCR\Software\Classes\Directory\shell\Asimilar\command
c:\windows\msrundll32.exe "%1" %*

Para propagarse a través del servicio de mensajería Yahoo Pager, crea una carpeta llamada YMSG, y se copia en ella con los siguientes nombres:

amor_love.zip
chicas_girls.zip
Mi foto.zip
mi poema.zip
Video.zip

Para propagarse a otros equipos en una red, intenta copiarse en la carpeta de inicio de cada unidad identificada con una letra, a la que pueda acceder, con el siguiente nombre:

[carpeta de inicio]\gedzac.exe

NOTA: [carpeta de inicio] puede ser una de las siguientes:

* Windows XP, 2000 (español e inglés)

c:\documents and settings
\all users\menú inicio\programas\inicio

c:\documents and settings
\all users\start menu\programs\startup

c:\documents and settings
\[nombre usuario]\menú inicio\programas\inicio

c:\documents and settings
\[nombre usuario]\start menu\programs\startup

* Windows 95, 98, Me (español e inglés)

c:\windows\all users\menú inicio\programas\inicio

c:\windows\all users\start menu\programs\startup

c:\windows\menú inicio\programas\inicio

c:\windows\start menu\programs\startup

c:\windows\profiles\[nombre usuario]
\menú inicio\programas\inicio

c:\windows\profiles\[nombre usuario]
\start menu\programs\startup

Puede modificar también el archivo WIN.INI (en Windows 95, 98 o Me), para ejecutar GEDZAC.EXE en cada reinicio de los equipos infectados.

Intenta descargar un archivo de determinados sitios de Internet, y copiarlo como LIRC.EXE.

También intenta finalizar la ejecución de determinados procesos activos relacionados con conocidas aplicaciones de seguridad, si sus nombres coinciden con las siguientes cadenas:

avg
avp
bitdefender
clean
firewall
mcafee
norman
norton
panda
process
remover
scan
security
shopos
symantec
thav
the hacker
trojan
troyan
virus

Para impedir el acceso del usuario a determinados sitios de Internet (incluido VSAntivirus.com), el gusano reemplaza el archivo HOSTS de Windows, por el contenido de HST.SYS, liberado por el gusano:

127 .0 .0 .1 alerta-antivirus .red .es
127 .0 .0 .1 antivirus .cai .com
127 .0 .0 .1 avp .com
127 .0 .0 .1 avp .ch
127 .0 .0 .1 avp .ru
127 .0 .0 .1 ca .com
127 .0 .0 .1 customer .symantec .com
127 .0 .0 .1 de .trendmicro-europe .com
127 .0 .0 .1 dispatch .mcafee .com
127 .0 .0 .1 download .mcafee .com
127 .0 .0 .1 download .microsoft .com
127 .0 .0 .1 downloads .microsoft .com
127 .0 .0 .1 downloads1 .kaspersky-labs .com
127 .0 .0 .1 downloads2 .kaspersky-labs .com
127 .0 .0 .1 downloads3 .kaspersky-labs .com
127 .0 .0 .1 downloads4 .kaspersky-labs .com
127 .0 .0 .1 downloads-eu1 .kaspersky-labs .com
127 .0 .0 .1 downloads-us1 .kaspersky-labs .com
127 .0 .0 .1 free .grisoft .com
127 .0 .0 .1 free-av .com
127 .0 .0 .1 f-secure .com
127 .0 .0 .1 ftp .avp .ch
127 .0 .0 .1 ftp .f-secure .com
127 .0 .0 .1 ftp .kasperskylab .ru
127 .0 .0 .1 ftp .perantivirus .com
127 .0 .0 .1 ftp .sophos .com
127 .0 .0 .1 go .microsoft .com
127 .0 .0 .1 grisoft .com
127 .0 .0 .1 housecall .antivirus .com
127 .0 .0 .1 housecall .trendmicro .com
127 .0 .0 .1 ids .kaspersky-labs .com
127 .0 .0 .1 kaspersky .com
127 .0 .0 .1 kaspersky .ru
127 .0 .0 .1 kaspersky-labs .com
127 .0 .0 .1 liveupdate .symantec .com
127 .0 .0 .1 liveupdate .symantecliveupdate .com
127 .0 .0 .1 mast .mcafee .com
127 .0 .0 .1 mcafee .com
127 .0 .0 .1 my-etrust .com
127 .0 .0 .1 nai .com
127 .0 .0 .1 networkassociates .com
127 .0 .0 .1 office .microsoft .com
127 .0 .0 .1 rads .mcafee .com
127 .0 .0 .1 sandbox .norman .no
127 .0 .0 .1 secure .nai .com
127 .0 .0 .1 securityresponse .symantec .com
127 .0 .0 .1 service1 .symantec .com
127 .0 .0 .1 sophos .com
127 .0 .0 .1 support .microsoft .com
127 .0 .0 .1 symantec .com
127 .0 .0 .1 trendmicro .com
127 .0 .0 .1 uk .trendmicro-europe .com
127 .0 .0 .1 update .symantec .com
127 .0 .0 .1 updates .symantec .com
127 .0 .0 .1 updates1 .kaspersky-labs .com
127 .0 .0 .1 updates2 .kaspersky-labs .com
127 .0 .0 .1 updates3 .kaspersky-labs .com
127 .0 .0 .1 updates4 .kaspersky-labs .com
127 .0 .0 .1 updates5 .kaspersky-labs .com
127 .0 .0 .1 us .mcafee .com
127 .0 .0 .1 v4 .windowsupdate .microsoft .com
127 .0 .0 .1 vil .nai .com
127 .0 .0 .1 viruslist .com
127 .0 .0 .1 viruslist .ru
127 .0 .0 .1 windowsupdate .microsoft .com
127 .0 .0 .1 www .alerta-antivirus .es
127 .0 .0 .1 www .antivirus .com .ar
127 .0 .0 .1 www .antivirusgratis .com .es
127 .0 .0 .1 www .avast .com
127 .0 .0 .1 www .avp .com
127 .0 .0 .1 www .avp .ru
127 .0 .0 .1 www .bitdefender .com
127 .0 .0 .1 www .ca .com
127 .0 .0 .1 www .clamav .com
127 .0 .0 .1 www .clamwin .com
127 .0 .0 .1 www .drsolomon .com
127 .0 .0 .1 www .drweb .com
127 .0 .0 .1 www .eset .com
127 .0 .0 .1 www .fortinet .com
127 .0 .0 .1 www .free-av .com
127 .0 .0 .1 www .f-secure .com
127 .0 .0 .1 www .gecadnet .ro
127 .0 .0 .1 www .globalhauri .com
127 .0 .0 .1 www .grisoft .com
127 .0 .0 .1 www .hacksoft .com .pe
127 .0 .0 .1 www .hacksoft .net
127 .0 .0 .1 www .hbedv .com
127 .0 .0 .1 www .ikarus .at
127 .0 .0 .1 www .kaspersky .com
127 .0 .0 .1 www .kaspersky .ru
127 .0 .0 .1 www .kaspersky-labs .com
127 .0 .0 .1 www .mcafee .com
127 .0 .0 .1 www .microsoft .com
127 .0 .0 .1 www .my-etrust .com
127 .0 .0 .1 www .nai .com
127 .0 .0 .1 www .networkassociates .com
127 .0 .0 .1 www .nod32 .com
127 .0 .0 .1 www .nod32-es .com
127 .0 .0 .1 www .norman .com
127 .0 .0 .1 www .pandasoftware .com
127 .0 .0 .1 www .pandasoftware .es
127 .0 .0 .1 www .perantivirus .com
127 .0 .0 .1 www .perantivirus .net
127 .0 .0 .1 www .perantivirus .org
127 .0 .0 .1 www .perantivirus .us
127 .0 .0 .1 www .persystems .com
127 .0 .0 .1 www .persystems .net
127 .0 .0 .1 www .preventix .net
127 .0 .0 .1 www .ravantivirus .com
127 .0 .0 .1 www .sarc .com
127 .0 .0 .1 www .softpedia .com
127 .0 .0 .1 www .sophos .com
127 .0 .0 .1 www .sybari .com
127 .0 .0 .1 www .symantec .com
127 .0 .0 .1 www .trendmicro .com
127 .0 .0 .1 www .vsantivirus .com
127 .0 .0 .1 www .zonavirus .com
127 .0 .0 .1 www .zonelabs .com
127 .0 .0 .1 www3 .ca .com
127 .0 .0 .1 zonelabs .com

Reparación manual

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.


Sobre el componente troyano

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.

4. Repare (*) los archivos detectados como infectados

(*) Algunos archivos solo podrán ser borrados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".

Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\Software
\Classes
\Directory

3. Haga clic en la carpeta "Directory" y bórrela.

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Editar el archivo WIN.INI

1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

2. Busque en la línea "Run" bajo la etiqueta "[Windows]" toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus", y bórrelos.

3. Grabe los cambios y salga del bloc de notas.


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1   localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.

6. Reinicie su computadora.


Información adicional

Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).

2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com