Re: 0!~

El adjunto, de 59,904 bytes, es siempre creado con el siguiente nombre:

default.html [222 espacios vacíos] .pif

Aunque se tengan habilitadas las opciones para ver todas las extensiones (ver en las referencias "Mostrar las extensiones verdaderas de los archivos"), los 222 espacios en blanco hacen que la verdadera extensión (.PIF), quede oculta, por lo que es más probable que el usuario desprevenido, haga doble clic sobre lo que para él parece ser un archivo HTML (DEFAULT.HTM).

Cuando se ejecuta este archivo, el gusano se copia en las siguientes carpetas:

c:\windows\default.html[222 espacios vacíos].pif
c:\windows\system\default.html[222 espacios vacíos].pif

Por el mismo motivo anterior, la extensión .PIF no será mostrada en la columna Nombre si se examina con el Explorador de Windows.

También crea los siguientes archivos:

c:\windows\Gate.dll
c:\windows\Rundl132.exe
c:\windows\system\Gate.dll
c:\windows\system\Rundl132.exe

NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "c:\winnt", "c:\winnt\system32" en Windows NT/2000 y "c:\windows\system32" en Windows XP y Windows Server 2003).

Crea la siguiente entrada en el registro de Windows, para autoejecutarse en cada reinicio:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
PowerPrifile = rundl132 kernel.dll,PowerProfileEnable

En ocasiones, puede crear en su lugar la siguiente entrada:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
[nombre variable] = rundl132.exe [otros datos]

Donde [nombre variable] es una subclave ya existente en la misma rama (HKLM \Software \Microsoft \Windows \CurrentVersion \Run), que contenga la cadena "Rundll32", la que es cambiada por la del gusano, "Rundl132" (note que en lugar de la segunda "L" el archivo del gusano utiliza el número "1"). Esto puede provocar que alguna utilidad o programa deje de funcionar al reiniciarse Windows.

Muestra una ventana de diálogo, con el siguiente mensaje:

Welcome
Welcome Microsoft CD Key web site
Press OK to open the Web
[   OK   ]

Luego, abre el Internet Explorer e intenta conectarse a un sitio en donde se ofrecen números de registro de Windows (CD-Keys).

Finalmente, enumera los mensajes recibidos en el Microsoft Outlook y Outlook Express, y se envía como una falsa respuesta a los mismos, con las características ya vistas.


Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\default.html[222 espacios vacíos].pif
c:\windows\Gate.dll
c:\windows\Rundl132.exe
c:\windows\system\default.html[222 espacios vacíos].pif
c:\windows\system\Gate.dll
c:\windows\system\Rundl132.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

PowerPrifile = rundl132 kernel.dll,PowerProfileEnable

¡CUIDADO!. Existe una entrada real llamada "LoadPowerProfile", no la confunda con la del gusano (PowerPrifile).

4. En la misma carpeta, en el panel derecho, substituya todas las entradas que pertenezcan a "Rundl132.exe" (note el "1" antes del "32"), por "Rundll32.exe" (una letra "L" antes de "32").

5. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

6. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com