*Hot Movie*
A Great Video
Arab sex DSC-00465.jpg
eBook.pdf
Fuckin Kama Sutra pics
Fw:
Fw: DSC-00465.jpg
Fw: Funny :)
Fw: Picturs
Fw: Real show
Fw: SeX.mpg
Fw: Sexy
Fwd: Crazy illegal Sex!
Fwd: image.jpg
Fwd: Photo
give me a kiss
Hello
Miss Lebanon 2006
My photos
Part 1 of 6 Video clipe
Photos
Re:
Re: Sex Video
School girl fantasies gone bad
The Best Videoclip Ever
the file
Word file
You Must View This Videoclip!

Texto del mensaje:

El cuerpo del mensaje, puede tener uno de los siguientes textos:

----- forwarded message -----
???????????????????????????? ????????????? ?????? ???????????
>> forwarded message
DSC-00465.jpg DSC-00466.jpg DSC-00467.jpg
forwarded message attached.
Fuckin Kama Sutra pics
hello,
hello, i send the file. bye
Helloi attached the details.
hi i send the details bye
Hot XXX Yahoo Groups
how are you?
how are you? i send the details. OK ?
i attached the details. Thank you
i just any one see my photos.
i just any one see my photos. It's Free :)
i send the details.
i send the file.
It's Free :)
Note: forwarded message attached.
Note: forwarded message attached. You Must View This Videoclip!
photo photo2 photo3
Please see the file.
Re: Sex Video
ready to be FUCKED ;)
Thank you
The Best Videoclip Ever
the file i send the details
VIDEOS! FREE! (US$ 0,00)
What?

También puede contener imágenes que no pueden ser visualizadas.

Datos adjuntos:

Los archivos adjuntos pueden ser ejecutables o archivos MIME (Multipurpose Internet Mail Extensions), un protocolo que especifica la codificación y formato de los contenidos de los mensajes.

Si son ejecutables, tendrá uno de los siguientes nombres:

007.pif
04.pif
392315089702606E-02,.scR
677.pif
Adults_9,zip.sCR
Arab sex DSC-00465.jpg
ATT01.zip.sCR
Attachments[001],B64.sCr
Clipe,zip.sCr
document.pif
DSC-00465.Pif
DSC-00465.pIf
eBook.pdf
eBook.PIF
image04.pif
New Video,zip
New_Document_file.pif
photo.pif
Photos,zip.sCR
School.pif
SeX,zip.scR
WinZip,zip.scR
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR

Si son archivos MIME, su nombre será uno de los siguientes:

3.92315089702606E02.UUE
392315089702606E-02.b64
392315089702606E-02.BHx
392315089702606E-02.HQX
392315089702606E-02.mim
392315089702606E-02.uu
392315089702606E-02.UUE
392315089702606E-02.XxE
Attachments[001].B64
Attachments00.HQX
Attachments001.BHX
Clipe.b64
Clipe.BHx
Clipe.HQX
Clipe.mim
Clipe.uu
Clipe.UUE
Clipe.XxE
eBook.Uu
Miss.b64
Miss.BHx
Miss.HQX
Miss.mim
Miss.uu
Miss.UUE
Miss.XxE
Original Message.B64
Photos.b64
Photos.BHx
Photos.HQX
Photos.mim
Photos.uu
Photos.UUE
Photos.XxE
Sex.mim
SeX.mim
Sweet_09.b64
Sweet_09.BHx
Sweet_09.HQX
Sweet_09.mim
Sweet_09.uu
Sweet_09.UUE
Sweet_09.XxE
Video_part.mim
WinZip.BHX
Word_Document.hqx
Word_Document.uu

Cuando dichos archivos MIME son decodificados, uno de los siguientes archivos ejecutables serán creados:

392315089702606E-02,UUE [ espacios ] .scr
Adults_9,zip [ espacios ] .scr
ATT01.zip [ espacios ] .scr
Atta[001],zip [ espacios ] .scr
Attachments,zip [ espacios ] .scr
Attachments[001],B64 [ espacios ] .scr
Clipe,zip [ espacios ] .scr
New Video,zip [ espacios ] .scr
Photos,zip [ espacios ] .scr
SeX,zip [ espacios ] .scr
WinZip,zip [ espacios ] .scr
WinZip.zip [ espacios ] .scr
Word XP.zip [ espacios ] .scr
Word.zip [ espacios ] .scr

NOTA: Algunos de estos formatos (como BHX), no se pueden decodificar sin tener la herramienta necesaria, por ejemplo BinHex.

Cuando el adjunto se ejecuta, el gusano se copia a si mismo con algunos de los siguientes nombres:

c:\windows\Rundll16.exe
c:\windows\system32\scanregw.exe
c:\windows\system32\Winzip.exe
c:\windows\system32\Update.exe
c:\windows\system32\WinZip_Tmp.exe
c:\windows\system32\New WinZip File.exe
movies.exe
Zipped Files.exe

También puede crear un archivo con el mismo nombre, pero extensión .ZIP y vacío, en la carpeta del sistema:

c:\windows\system32\scanregw.zip
c:\windows\system32\Winzip.zip
c:\windows\system32\Update.zip
c:\windows\system32\WinZip_Tmp.zip
c:\windows\system32\New WinZip File.zip

NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).

Crea o modifica las siguientes entradas del registro (la primera de ellas para autoejecutarse en cada reinicio de Windows):

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"

HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\Advanced
ShowSuperHidden = "0"
WebView = "0"

HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\CabinetState
FullPath = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses

HKCU\Control Panel\BMale

HKCU\Control Panel\DNS

Si existen, borra los siguientes archivos dentro de la carpeta [Archivos de programa], todos ellos relacionados con aplicaciones de seguridad:

\DAP\*.dll
\BearShare\*.dll
\Symantec\LiveUpdate\*.*
\Symantec\Common Files\Symantec Shared\*.*
\Norton AntiVirus\*.exe
\Alwil Software\Avast4\*.exe
\McAfee.com\VSO\*.exe
\McAfee.com\Agent\*.*
\McAfee.com\shared\*.*
\Trend Micro\PC-cillin 2002\*.exe
\Trend Micro\PC-cillin 2003\*.exe
\Trend Micro\Internet Security\*.exe
\NavNT\*.exe
\Morpheus\*.dll
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
\Grisoft\AVG7\*.dll
\TREND MICRO\OfficeScan\*.dll
\Trend Micro\OfficeScan Client\*.exe
\LimeWire\LimeWire 4.2.6\LimeWire.jar

NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

Busca nombres de archivos .EXE y .PPL en las siguientes claves del registro, y borra todos aquellos que existan en la PC infectada:

HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion

HKLM\SOFTWARE\KasperskyLab\Components\101

HKLM\SOFTWARE\KasperskyLab
\InstalledProducts\Kaspersky Anti-Virus Personal

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\App Paths\Iface.exe

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\Panda Antivirus 6.0 Platinum

HKLM\SOFTWARE\Symantec\InstalledApps

Examina las siguientes claves del registro:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices

Y si existen allí las referencias a las siguientes entradas, borra las mismas:

APVXDWIN
avast!
AVG_CC
AVG7_CC
AVG7_EMC
AVG7_Run
Avgserv9.exe
AVGW
BearShare
defwatch
DownloadAccelerator
kaspersky
KAVPersonal50
McAfeeVirusScanService
NAVAgent
OfficeScanNTMonitor
PCCClient.exe
pccguide.exe
PCCIOMON.exe
PccPfw
Pop3trap.exe
rtvscn95
ScanInicio
SSDPSRV
TMOutbreakAgent
Tmproxy
VetAlert
VetTray
vptray

Cierra todas las ventanas cuyo título contenga alguna de las siguientes cadenas:

FIX
KASPERSKY
MCAFEE
NORTON
REMOVAL
SCAN
SYMANTEC
TREND MICRO
VIRUS

Para propagarse por correo electrónico, busca direcciones de archivos con las siguientes extensiones:

.dbx
.eml
.htm
.imh
.mbx
.msf
.msg
.nws
.oft
.txt
.vcf

También obtiene direcciones de archivos cuyo nombre contenga alguna de las siguientes cadenas:

CONTENT.
TEMPORARY

El gusano también busca las siguientes carpetas compartidas en redes:

ADMIN$
C$

En todas las que encuentre, y cuya configuración de seguridad sea débil (contraseñas en blanco, acceso total, etc.), se copiará en ellas con el siguiente nombre:

WINZIP_TMP.exe

También intentará acceder a la siguiente dirección URL para incrementar un contador:

http: // webstats .web .rcn .net/Count.cgi?df=[valor]

Periódicamente intentará conectarse para descargar una versión actualizada de si mismo.

Si detecta la presencia de un software antivirus, el gusano intentará mostrar un icono en la barra de herramientas de Windows, con el siguiente texto:

Update Please wait

Todos los días 3 de cada mes, aproximadamente 30 minutos después del inicio del sistema, el gusano puede sobrescribir archivos con las siguientes extensiones, en unidades de disco locales (de la A a la Z):

.dmp
.doc
.mdb
.mde
.pdf
.pps
.ppt
.psd
.rar
.xls
.zip

Esto no afecta a unidades de disco mapeadas (unidades de red).

Tampoco sobrescribe archivos en la primer unidad disponible. Por ejemplo, si la primera unidad disponible es la C, el gusano sobrescribe los archivos de las unidades D a la Z. Si la primera unidad disponible es la A, entonces si puede sobrescribir archivos en la unidad C.

Los archivos no son totalmente sobrescritos, pero quedan corruptos o inutilizables, ya que en el comienzo de los mismos el gusano escribe la siguiente cadena:

DATA Error [47 0F 94 93 F4 F5]

Reparación manual

NOTA: Esta descripción se aplica a una variante específica de un determinado malware. Pueden existir numerosas versiones, detectadas por ESET NOD32 con el mismo nombre, que no necesariamente realizarán los mismos cambios en el sistema que aquí se describen.


Antivirus

1. Actualice su antivirus. En el caso de ESET NOD32, seleccione el Control Center, Módulos de actualización, NOD32 Update y haga clic en el botón "Actualizar ahora". Compruebe que la versión de firmas de virus sea la misma que aparece en http://www.nod32.com.uy o en http://www.vsantivirus.com/nod32.htm

2. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

3. Borre los archivos temporales como se indica en el siguiente enlace:

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

4. Seleccione la opción "Analizar y Desinfectar automáticamente" en su antivirus. En el caso de ESET NOD32, seleccione Control Center, NOD32 Scanner, haga clic en el botón "NOD32 Scanner", seleccione la casilla "Local", y haga clic en el botón "Analizar y desinfectar".

5. En el caso de NOD32, haga clic en el botón "Desinfectar" cuando aparezca, o en el botón "Eliminar" cuando el botón "Desinfectar" no esté activo. En cualquier otro caso, el antivirus le dará el mensaje "sin acciones" y la limpieza se efectuará al reiniciar.

6. Tome nota del nombre de los archivos desinfectados o eliminados.

7. Reinicie la computadora.

8. Vuelva a ejecutar la opción "Analizar y Desinfectar automáticamente".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Control Panel

3. Haga clic en la carpeta "Control Panel" y borre las siguientes carpetas:

BMale
DNS

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced

5. Haga clic en la carpeta "Advanced" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie los siguientes valores para que aparezca en ellos "1" en hexadecimal:

ShowSuperHidden = "1"
WebView = "1" 

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\CabinetState

7. Haga clic en la carpeta "CabinetState" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el siguiente valor para que aparezca en él "1" en hexadecimal:

FullPath = "1"

8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Classes
\Licenses

9. Haga clic en la carpeta "Licenses" y busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".

10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus". 

12. Cierre el editor del registro.

13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.

2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.

Nota: debe escribir también los signos "%" antes y después de "temp".

3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").

4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.

5. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm


Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet haga clic en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


Información adicional

Mostrar las extensiones y ver todos los archivos
http://www.vsantivirus.com/faq-mostrar-extensiones.htm

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

Cómo restaurar página de inicio y búsqueda en IE
http://www.vsantivirus.com/faq-inicio-busqueda.htm

Utilización de la Consola de Recuperación en Windows XP
http://www.vsantivirus.com/consola-recuperacion-xp.htm

Deshabilitar restauración del sistema en Windows Vista
http://www.vsantivirus.com/faq-winvista.htm

Deshabilitar restauración del sistema en Windows XP
http://www.vsantivirus.com/faq-winxp.htm

Deshabilitar restauración del sistema en Windows Me
http://www.vsantivirus.com/faq-winme.htm





(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com