C:\Windows\System\Net_32.exe

También libera y ejecuta el siguiente archivo (de 225,634 bytes), que es el troyano "Backdoor.Assasin.F":

C:\Windows\System\Net_bak.tmp.exe

Luego crea la siguiente carpeta:

C:\Windows\Cache32

Allí se copia a si mismo con los siguientes nombres. En algunos casos, los archivos creados cambian su tamaño para simular ser más grandes. Todos son nombres de conocidos programas, juegos y aplicaciones multimedia:

ACDSee 5.5.exe
Ad-aware 6.5.exe
Age of Empires 2 crack.exe
Animated Screen 7.0b.exe
Anno 1503_crack.exe
AOL Instant Messenger.exe
AquaNox2 Crack.exe
Audiograbber 2.05.exe
BabeFest 2003 ScreenSaver 1.5.exe
Babylon 3.50b reg_crack.exe
Battlefield1942_bloodpatch.exe
Battlefield1942_keygen.exe
Business Card Designer Plus 7.9.exe
C&C Generals_crack.exe
C&C Renegade_crack.exe
Clone CD 5.0.0.3 (crack).exe
Clone CD 5.0.0.3.exe
Coffee Cup Free HTML 7.0b.exe
Cool Edit Pro v2.55.exe
Diablo 2 Crack.exe
DirectDVD 5.0.exe
DirectX Buster (all versions).exe
DirectX InfoTool.exe
DivX Video Bundle 6.5.exe
Download Accelerator Plus 6.1.exe
DVD Copy Plus v5.0.exe
DVD Region-Free 2.3.exe
FIFA2003 crack.exe
Final Fantasy VII XP Patch 1.5.exe
Flash MX crack (trial).exe
FlashGet 1.5.exe
FreeRAM XP Pro 1.9.exe
GetRight 5.0a.exe
Global DiVX Player 3.0.exe
Gothic 2 licence.exe
GTA 3 Crack.exe
GTA 3 patch (no cd).exe
Guitar Chords Library 5.5.exe
Hitman_2_no_cd_crack.exe
Hot Babes XXX Screen Saver.exe
ICQ Lite (new).exe
ICQ Pro 2003a.exe
ICQ Pro 2003b (new beta).exe
iMesh 3.6.exe
iMesh 3.7b (beta).exe
IrfanView 4.5.exe
KaZaA Hack 2.5.0.exe
KaZaA Lite (New).exe
KaZaA Speedup 3.6.exe
Links 2003 Golf game (crack).exe
Living Waterfalls 1.3.exe
Mafia_crack.exe
Matrix Screensaver 1.5.exe
MediaPlayer Update.exe
mIRC 6.40.exe
mp3Trim PRO 2.5.exe
MSN Messenger 5.2.exe
NBA2003_crack.exe
Need 4 Speed crack.exe
Nero Burning ROM crack.exe
Netfast 1.8.exe
Network Cable e ADSL Speed 2.0.5.exe
Neverwinter_Nights_licence.exe
NHL 2003 crack.exe
Nimo CodecPack (new) 8.0.exe
PalTalk 5.01b.exe
Popup Defender 6.5.exe
Pop-Up Stopper 3.5.exe
QuickTime_Pro_Crack.exe
Serials 2003 v.8.0 Full.exe
SmartFTP 2.0.0.exe
SmartRipper v2.7.exe
Space Invaders 1978.exe
Splinter_Cell_Crack.exe
Steinberg_WaveLab_5_crack.exe
Trillian 0.85 (free).exe
TweakAll 3.8.exe
Unreal2_bloodpatch.exe
Unreal2_crack.exe
UT2003_bloodpatch.exe
UT2003_keygen.exe
UT2003_no cd (crack).exe
UT2003_patch.exe
WarCraft_3_crack.exe
Winamp 3.8.exe
WindowBlinds 4.0.exe
WinOnCD 4 PE_crack.exe
WinZip 9.0b.exe
Yahoo Messenger 6.0.exe
Zelda Classic 2.00.exe

Luego, para propagarse a través de los programas de intercambio de archivos entre usuarios (KaZaa e iMesh), el troyano cambia el contenido de las siguientes claves del registro:

HKEY_Current_User\Software\Kazaa\LocalContent
DisableSharing = 0
dir0 = 012345:C:\Windows\Cache32
[etc.]

HKEY_Current_User\Software\iMesh\Client\LocalContent
DisableSharing = 0
dir0 = 012345:C:\Windows\Cache32
[etc.]

Esto hace que los usuarios descarguen archivos con KaZaa e iMesh, desde la carpeta "\Windows\Cache32". KaZaa o iMesh deben estar instalados para que el gusano pueda propagarse.

En todos los casos, "C:\Windows" y "C:\Windows\System" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "C:\WinNT", "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).


Vea la descripción del "Backdoor.Assasin.F" aquí:

Troj/Backdoor.Assasin.F. Troyano de acceso remoto
http://www.vsantivirus.com/back-assasin-f.htm


Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este programa, hasta haber quitado el gusano del sistema, para prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: "Tools" > "Options".

3. Deshabilite las carpetas compartidas (Shared Kazaa folders) bajo la lengüeta "Traffic".

4. Pinche en "Aceptar", etc.


Deshabilitar las carpetas compartidas en iMesh

1. Ejecute iMesh

2. Seleccione "Options" del menú "Preferences".

3. En la ventana de "Category" seleccione "Share" y desmarque la casilla "Allow other users to view my shared files option".

4. Seleccione el menú "Media Manager" y busque en la lista de carpetas, todas las que tengan una casilla grisácea a la derecha del nombre. Márquelas para que dejen de estar grisáceas, y luego desmárquela para que quede en blanco. Repítalo con todas las carpetas y subcarpetas que allí encuentre.

5. Pinche en "Aceptar", etc.


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Con el Explorador de Windows, borre los siguientes archivos (si aparecen):

C:\Windows\System\Net_32.exe
C:\Windows\Cache32\ [borre la carpeta "Cache32"]

5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

7. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\Cache32
dir1 = 012345:C:\Windows\Cache32

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\iMesh
\Client
\LocalContent

9. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\Cache32
dir1 = 012345:C:\Windows\Cache32

10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com