W32/Lerok.A. Asunto: "Mandar SMS Gratis!"

VSantivirus No. 1117 Año 7, Martes 29 de julio de 2003

W32/Lerok.A. Asunto: "Mandar SMS Gratis!"
http://www.vsantivirus.com/lerok-a.htm

Nombre: W32/Lerok.A
Tipo: Gusano de Internet
Alias: Lerok, W32/P2P.Lerok, Win32/Lerok.A
Plataforma: Windows 32-bit
Fecha: 26/jul/03
Tamaño: 117,48 bytes

Este gusano, escrito en Microsoft Visual Basic y comprimido con la herramienta Crunch 1.0, se propaga a través del correo electrónico.

Se presenta en un mensaje con las siguientes características:

Asunto: Mandar SMS Gratis!
Datos adjuntos: Smssender.exe

Texto:

Olas! Jeje por fin ha salido un programa para
mandar SMS, va perfectamente y ademas no se ha
de pagar nada y no pide ningun tipo de registro.
Espero que lo disfrutes;)

Cuando se ejecuta el adjunto, simula ser una utilidad para el envío gratuito de mensajes SMS (Short Message Service, un correo electrónico que puede ser leído en la pantalla del celular).

El título de la ventana es "SMS Sender", y su contenido, muestra algunos campos para el ingreso de datos:

              _________________
       Movil [_________________]
   ____________________________
  [                            ]
  [                            ]
  [                            ]
  [                            ]
  [____________________________]

               Caracteres   120

              Enviar

El gusano crea copias de si mismo en la máquina infectada, en las siguientes ubicaciones y con los siguientes nombres:

c:\klorel.txt
c:\windows\escritorio\klorel.txt
c:\windows\klorel.exe
c:\windows\smssender.exe

NOTA: "C:\Windows" puede variar de acuerdo a la versión de Windows instalada (por defecto "C:\Windows" en Windows 9x/ME/XP o "C:\WinNT" en Windows NT/2000).

La carpeta "c:\windows\escritorio\" puede ser también "c:\documents and settings\[usuario]\escritorio".

El gusano también crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
TaskManager = c:\windows\klorel.exe

Cada vez que se ejecuta, el gusano se envía a todos los contactos de la lista del MSN Messenger, en mensajes infectados como el ya visto.

El archivo KLOREL.TXT creado en el raíz del disco C y en el escritorio de Windows, contiene el siguiente texto:

Bueno ya he vuelto de vacaciones, perdona las molestias.
Reiniciame y todo volverá a la normalidad
Fuiste infectado por el virus klorel, espero que el
ordenador no se te vaya de vacaciones, otra vez;)

No posee ninguna otra rutina destructiva.

Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\klorel.txt
c:\windows\escritorio\klorel.txt
c:\windows\klorel.exe
c:\windows\smssender.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.

Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada (no confundir con TaskMonitor):

TaskManager

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com