c:\windows\bearshare.exe
c:\windows\winbat.exe

NOTA: "C:\Windows" puede variar de acuerdo a la versión de Windows instalada (por defecto "C:\Windows" en Windows 9x/ME/XP o "C:\WinNT" en Windows NT/2000).

También crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
BearShare = c:\windows\bearshare.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
BearShare = c:\windows\bearshare.exe

También modifica el registro para que cada vez que se ejecute un archivo .BAT, lo haga antes el propio gusano:

HKLM\SOFTWARE\CLASSES\batfile\shell\open\command
(Predeterminado) = c:\windows\winbat.exe "%1" %*

Crea una subcarpeta llamada "Kernell" dentro de la carpeta de Windows, con atributos de oculta (+H):

c:\windows\Kernell\

Luego se copia a si mismo en ella, con múltiples nombres:

(Adult porn sex nude illegal gangbang) Website Password Cracker.exe
A+ Certification Ultimate Study Guide.exe
ACDSee 4.1 cracked.exe
Adobe 6 crack.exe
Adobe 6 full (iso).exe
Adobe 6.0 crack.exe
Adobe 6.0 full.exe
Adobe 6.0.exe
Adobe crack.exe
Adobe Photoshop 6 Ultimate Study Guide.exe
Adobe Photoshop 6.0.exe
Adobe Photoshop.exe
Adult movie.exe
adult(hardcore sex movie xxx)movie.exe
AdvZip Recovery.exe
AIM hacker.exe
AIM Pass stealer.exe
aim.exe
aimcracker.exe
aimhacker.exe
All Cliff notes (cliff's).exe
AMI BIOS Cracker.exe
anarchistcookbook.exe
anastasia anal.exe
anastasia naked.exe
anastasia nude.exe
Anonymous email.exe
ANSI C Ultimate Study Guide.exe
antistudy.exe
AOL Hacker.exe
aol.exe
Autocad 2002 Crack.exe
BabylonX Backdoor.exe
BabylonX password cracker.exe
Bandwidth Booster 4.2 for Cable.exe
BlackICE Defender.exe
Borland C++ Builder 8.0 iso.exe
Britney Spears anal movie.exe
Britney Spears Blowjob movie.exe
Britney Spears hardcore xx movie.exe
Britney Spears in bath (movie).exe
Britney Spears naked.exe
Britney Spears Nipple slip.exe
Britney Spears nude wallpaper.exe
BRUTAL FORCED PRETEEN ANAL SEX.exe
buttman.exe
C++ Ultimate Study Guide.exe
Cable Modem Anonymizer.exe
Cable Uncapper.exe
catherine zeta jones anal.exe
catherine zeta jones naked.exe
catherine zeta jones nude.exe
Christina Aguilera adult movie.exe
Christina Aguilera having sex(mov).exe
Christina Aguilera movie.exe
Christina Aguilera nude wallpaper (xxx lesbian).exe
Christina Aguilera sucks cock.exe
CloneCD Crack (all versions).exe
CloneCD Keygen.exe
CloneCD.exe
College Biology Ultimate Study Guide.exe
College Chemistry Ultimate Study Guide.exe
College Computer Engineering Ultimate Study Guide.exe
College Computer Science Ultimate Study Guide.exe
College English Ultimate Study Guide.exe
College Ethics Ultimate Study Guide.exe
College History Ultimate Study Guide.exe
College Philosophy Ultimate Study Guide.exe
Command and Conquer cnc c&c Generals iso.exe
Command and Conquer cnc c&c Renegade iso.exe
Conceal PC Firewall.exe
Copy (11) of ZoneAlarm Firewall Pro.exe
Copy of ZoneAlarm Firewall Pro.exe
Counter Strike CD Keygen.exe
counter-strike.exe
Crack XBOX live.exe
Credit Card number generator VERIFIER (cc cc#).exe
Dark Planet Battle For Natrolis cracked.exe
Delphi 5 Keygen.exe
Delphi 6 Keygen.exe
Delphi Ultimate Study Guide.exe
delphi.exe
Digimon.exe
DivX Codec 4.0 (codec only).exe
DivX Codec 5.0 (codec only).exe
DivX Codec 6.0 beta (codec only).exe
divx fix.exe
divx pro.exe
divx repair.exe
DoS Attacker.exe
Dreamcast Emulator.exe
driver.exe
DSL Anonymizer.exe
DSL Uncapper.exe
Easy CD Creator crack (all versions) (core).exe
edonkey serverlist.exe
Emailbomber.exe
End Of Twilight iso.exe
ESPN NFL Primetime 2002 iso.exe
ftp cracker.exe
ftp hacker.exe
fuck.exe
Gamecube Emulator.exe
Ghost Recon - Desert Siege.exe
Girls gone wild collection - sex porn nudity hardcore (self-extractor).exe
GTA 2 crack noCD.exe
GTA Vice City crack noCD.exe
GTA Vice City crack.exe
gta3.exe
hack aim.exe
Hack hotmail.exe
hacker utils 2002.exe
hacking tools 2002.exe
Half life Cd keygen.exe
happybirthday.exe
Hooligans iso.exe
host faker.exe
host spoofer.exe
HotGirls.exe
hotmail account sniffer.exe
hotmail hack.exe
hotmail hacker.exe
hotmailcracker.exe
hotmailhacker.exe
HOWTO Crack XBOX live.txt.exe
ICQ AIM Password stealer.exe
ICQ hack.exe
ICQ Hackingtools.exe
icqcracker.exe
icqhacker.exe
ident faker.exe
ident spoofer.exe
IIS shellbind exploit.exe
Incoming Forces iso.exe
invisible IP.exe
ip faker.exe
ip spoofer.exe
IRC hacker.exe
Kate Winslet adult movie.exe
Kazaa Advertisement Ad remover.exe
kazaa.exe
keygen all.exe
Keylogger v1.0.exe
kmd151 en.exe
learn how to hack.exe
linux root.exe
Linux rootaccess.exe
linux.exe
Macromedia Flash 5 Ultimate Study Guide.exe
Macromedia Flash 5.exe
Max Payne full iso.exe
Max Payne Multiplayer Addon.exe
MCSE Ultimate Study Guide.exe
Microsoft Office XP Upgrade (from older versions).exe
Microsoft Visual C++ 7.0 iso.exe
Might and Magic 1 crack.exe
Might and Magic 2 crack.exe
Might and Magic 3 crack.exe
Might and Magic 4 crack.exe
Might and Magic 5 crack.exe
Might and Magic 6 crack.exe
Might and Magic 7 crack.exe
Might and Magic 8 crack.exe
Might and Magic 9 crack.exe
Mirc 6.4.exe
mIRC backdoor hack.exe
Monsterville cracked.exe
MSN banner remover.exe
MSN hacker.exe
msn IP finder.exe
msncracker.exe
msnhacker.exe
Nero 5.5 Crack.exe
Nero Burning Rom 5 cracked.exe
Nero Burning Rom 5.5 Crack.exe
Nikki Cox nude.exe
Nikki cox Playboy session.exe
Nikki Cox sex movie.exe
Norton AntiVirus 2002.exe
Norton Internet Security 2002.exe
Norton Systemworks 2002.exe
Norton Utilities 2002.exe
Notron Utilities 2002.exe
Office key Gen.exe
Office XP Corporate Ed. iso.exe
Office XP crack.exe
Office Xp keygen.exe
OfficeXP Keygen.exe
Oni 2nd second edition.exe
Pamela Anderson adult movie.exe
pamela anderson anal.exe
Pamela Anderson and Tommy Lee hardcore holiday movie.exe
Pamela Anderson deepthroat.exe
Pamela Anderson gets fucked.exe
pamela anderson naked.exe
pamela anderson nude.exe
pamela anderson.exe
Perl Ultimate Study Guide.exe
PHP4 Ultimate Study Guide.exe
Playboy nude wallpaper.exe
Playstation 2 PS2 Emulator.exe
Pokemon.exe
porn account cracker.exe
porn account hacker.exe
PS1 BootCD.exe
PS2 BootCD.exe
PS2 emulator bleem.exe
Quake 3 cracked (works on all servers).exe
Quake 4 leaked beta (cracked).exe
Quicken Pro 2002 iso.exe
Ray Crisis iso.exe
Return to the Castle Wolfenstein iso.exe
sandra bullock naked.exe
sandra bullock nude.exe
sarah michelle gellar naked.exe
sarah michelle gellar nude.exe
serials2003.exe
shakira anal.exe
shakira a-sf--ked.exe
shakira naked.exe
shakira nude.exe
shakira paparazzi collection.exe
Soldier of Fortune 2 CD1 ISO.exe
Soldier of Fortune 2 CD2 ISO.exe
Sound Forge XP Studio + Serial.exe
Space Empires IV 4 Gold iso.exe
Spiderman SVCD CD1.exe
Spiderman SVCD CD2.exe
Spiderman SVCD CD3.exe
Sub7 masterpwd.exe
subseven.exe
tripod cracker.exe
tripod hacker.exe
VB6.exe
VirtuaSex.exe
visio.exe
wc3 keygen.exe
win2k pass decryptor.exe
Win2k reboot exploit.exe
win2k serial.exe
Winamp.exe
Windows 98 crack.exe
Windows 98 keygen.exe
Windows Keygen allver.exe
Windows ME crack.exe
Windows ME keygen.exe
Windows NT crack.exe
Windows NT keygen.exe
Windows XP crack.exe
Windows XP keygen.exe
winxp crack.exe
winxp cracker.exe
winxp hacker.exe
WinXP Keygen.exe
winxphack.exe
Winzip Pass Cracker.exe
Word Pass Cracker.exe
worldbook.exe
xbox emulator beta.exe
XP Box emulator.exe
XP DVD Plugin.exe
XP keygen.exe
XP ScreenSaver.exe
XP.exe
yahoo cracker.exe
yahoo hacker.exe
Yahoo mail cracker.exe

Luego modifica el registro para hacer que la carpeta "Kernell" sea compartida entre usuarios de las redes P2P como KaZaA, Grokster e iMesh:

HKCU\Software\Kazaa\LocalContent
dir0 = 012345:C:\WINDOWS\kernell

HKCU\Software\Grokster\LocalContent
dir0 = 012345:C:\WINDOWS\kernell

HKCU\Software\iMesh\Client\LocalContent
dir1 = 012345:C:\WINDOWS\kernell

HKCU\Software\iMesh\Client\LocalContent
dir2 = 012345:C:\WINDOWS\kernell

El gusano también se copia a si mismo a las carpetas compartidas por defecto de las utilidades de intercambio de archivo, KaZaA, KaZaA Lite, BearShare, Grokster y Morpheus, reemplazando todos los archivos ejecutables allí presentes con su propio código.


Reparación manual

Deshabilitar las carpetas compartidas por programas P2P

Si utiliza un programa de intercambio de archivos entre usuarios (KaZaa, Morpheus, iMesh, etc.), siga antes estas instrucciones:

Cómo deshabilitar compartir archivos en programas P2P
http://www.vsantivirus.com/deshabilitar-p2p.htm


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\bearshare.exe
c:\windows\winbat.exe

También borre la carpeta "Kernell" y su contenido:

c:\windows\Kernell\

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

BearShare

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

BearShare

6. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\CLASSES
\batfile
\shell
\open
\command

7. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

Nombre________ Datos
(Predeterminado) c:\windows\winbat.exe "%1" %*

8. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del ejecutable si existe, y dejar en "Datos" solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

Nombre________ Datos
(Predeterminado) "%1" %*

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

10. Pinche en la carpeta "LocalContent" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

dir0 = 012345:C:\WINDOWS\kernell

11. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Grokster
\LocalContent

12. Pinche en la carpeta "LocalContent" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

dir0 = 012345:C:\WINDOWS\kernell

13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\iMesh
\Client
\LocalContent

14. Pinche en la carpeta "LocalContent" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas:

dir1 = 012345:C:\WINDOWS\kernell
dir2 = 012345:C:\WINDOWS\kernell

15. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

16. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Habilitando la protección antivirus en KaZaa

Desde la versión 2.0, KaZaa ofrece la opción de utilizar un software antivirus incorporado, con la intención de proteger a sus usuarios de la proliferación de gusanos que utilizan este tipo de programas.

Habilitando la protección antivirus en KaZaa
http://www.vsantivirus.com/kazaa-antivirus.htm


Sobre las redes de intercambio de archivos

Si usted utiliza algún software de intercambio de archivos entre usuarios (P2P), debe ser estricto para revisar con dos o más antivirus actualizados, cualquier clase de archivo descargado desde estas redes antes de ejecutarlo o abrirlo en su sistema.

En el caso que el programa incorpore alguna protección antivirus (como KaZaa), habilitarla es una opción aconsejada, pero los riesgos de seguridad en el intercambio de archivos siempre estarán presentes, por lo que se deben tener en cuenta las mismas precauciones utilizadas con cualquier otro medio de ingreso de información a nuestra computadora (correo electrónico, descargas de programas desde sitios de Internet, etc.).

De cualquier modo, recuerde que la instalación de este tipo de programas, puede terminar ocasionando graves problemas en la estabilidad del sistema operativo.

Debido a los riesgos de seguridad que implica, se desaconseja totalmente su uso en ambientes empresariales, donde además es muy notorio e improductivo el ancho de banda consumido por el programa.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com