WksPathc_Mutex

Una vez residente en memoria, se copia como SVCHOST.EXE en la carpeta DRIVERS del sistema de Windows:

c:\windows\system32\drivers\svchost.exe

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

Agrega la siguiente entrada en el registro para autoejecutarse como un servicio (WksPatch), en cada reinicio de Windows:

HKLM\System\CurrentControlSet\Services\WksPatch

El nombre mostrado por el servicio, es obtenido al azar con los siguientes componentes:

[Lista 1]+[Lista 2]+[Lista 3]

Donde:

Lista 1:

Internet
License
Network
Performance
Remote
Routing
Security
System

Lista 2:

Accounts
Event
Logging
Manager
Procedure

Lista 3:

Client
Messaging
Provider
Sharing

Ejemplos: Internet Logging Client, Network Event Sharing, etc.

El gusano se aprovecha de múltiples vulnerabilidades:

Vulnerabilidad RPC/DCOM (MS03-026)
http://www.vsantivirus.com/vulms03-026-027-028.htm

Falla crítica en servidores Microsoft IIS 5.0 (MS03-007)
http://www.vsantivirus.com/vulms03-007.htm

Vulnerabilidad en el Servicio Localizador (MS03-001)
http://www.vsantivirus.com/vulms03-001-002-003.htm

MS03-049 Falla en servicio Estación de Trabajo (828749)
http://www.vsantivirus.com/vulms03-049.htm

La primera (MS03-026), es la misma falla de la que se aprovecha el Lovsan (Blaster) y otros. Utiliza el puerto TCP/135. La falla se produce por un desbordamiento de búfer en la interface RPC (Remote Procedure Call) que permite la ejecución arbitraria de código. El parche existe desde julio de 2003.

El segundo fallo (MS03-007), es un desbordamiento de búfer existente en la librería "ntdll.dll" utilizada por el componente WebDAV de Microsoft IIS 5.0, que permite que al enviar una solicitud al servidor, un intruso puede ser capaz de ejecutar código arbitrariamente en el contexto de seguridad local, menos crítico, dándole al atacante el control completo sobre el sistema.

La vulnerabilidad en el Servicio Localizador (MS03-001), fue solucionada con un parche publicado en enero de 2003. Este fallo permite la ejecución remota de programas. El servicio Localizador de Microsoft es un servicio que mapea nombres lógicos a nombres específicos de una red, y se encuentra disponible en la instalación de Windows NT 4.0, 2000 y XP.

La última vulnerabilidad (MS03-049), es causada en las funciones de administración de red del servicio DCE/RPC y en una función de inicio de sesión implementada en el Servicio de Estación de Trabajo. Un atacante puede ejecutar código en forma arbitraria, con privilegios de sistema, o causar una denegación de servicio. El parche existe desde noviembre de 2003.

El gusano genera direcciones IP al azar, y envía datos a cada una de esas direcciones, al puerto TCP/135, para explotar la vulnerabilidad RPC/DCOM mencionada antes, o al puerto TCP/80 para explotar la vulnerabilidad en el componente WebDav. También al puerto TCP/139 y 445 para explotar el fallo en el servicio "Estación de Trabajo", en todos los casos, con la intención de propagarse e infectar esos sistemas.

El gusano examina la versión del sistema operativo, número del Service Pack instalado si existiera, y otra información similar, así como la existencia o no del parche correspondiente para la vulnerabilidad RPC/DCOM, en las siguientes ramas del registro (según el sistema):

HKLM\SOFTTWARE\Microsoft\Updates
\Windows 2000\SP5\KB823980

HKLM\SOFTTWARE\Microsoft\Updates
\Windows XP\SP1\KB823980

HKLM\SOFTTWARE\Microsoft\Updates
\Windows XP\SP2\KB823980

Si no existe por lo menos alguna de éstas entradas, intenta descargar y ejecutar dicha actualización del sitio de Microsoft, siempre que el idioma del sistema operativo sea Chino, Coreano o Inglés, tanto para Windows 2000 como para XP (32 bits). Si el sistema infectado está en otro idioma (incluido español), no descarga el parche.

Para comprobar si existe una conexión activa con Internet, intenta acceder a los siguientes sitios:

google.com
intel.com
microsoft.com

Si logra descargar e instalar el parche, reinicia el sistema.

También intenta eliminar a los gusanos Mydoom A y B, y Doomjuice A y B, si estos estuvieran instalados.

Para ello, intenta borrar los siguientes archivos:

c:\windows\system32\Explorer.exe (Mydoom.B)
c:\windows\system32\intrenat.exe (Doomjuice.A)
c:\windows\system32\Regedit.exe (Doomjuice.B)
c:\windows\system32\Taskmon.exe (Mydoom.A)

c:\windows\system32\ctfmon.dll (Mydoom.B)
c:\windows\system32\shimgapi.dll (Mydoom.A) 

Sin embargo, estos archivos no pueden ser borrados si el Mydoom se encuentra residente en memoria (el equipo deber ser iniciado en modo a prueba de fallos antes).

El gusano borra los valores "Explorer", "Gremlin", "NeroCheck" y "Taskmon" de las siguientes claves del registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Restaura los valores originales de la siguiente entrada:

HKLM\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}
\InProcServer32

Sobrescribe el archivo HOSTS con el siguiente texto:

#
#

127.0.0.1    localhost

También intenta finalizar y borrar del registro, los servicios creados por versiones anteriores del propio gusano.

Luego, ejecuta un servidor Web en un puerto TCP al azar de la nueva máquina infectada, para que los sistemas vulnerables puedan descargar y ejecutar el archivo WKSPATCH.EXE desde la máquina atacante.

Si el sistema operativo está en japonés, el gusano busca archivos con las siguientes extensiones en el servidor IIS, si existiera uno instalado (en "Virtual Roots" y "IIS Help folders):

.asp
.cgi
.htm
.html
.php
.shtm
.shtml
.stm

Sobrescribe los archivos que encuentre con un código HTML que contiene el siguiente texto relacionado con la Segunda Guerra Mundial y algunas fechas sobre las bombas atómicas:

LET HISTORY TELL FUTURE !

1931.9.18
1937.7.7
1937.12.13 300,000 !

1941.12.7
1945.8.6 Little boy
1945.8.9 Fatso

1945.8.15
Let history tell future !

Al igual que versiones anteriores, posee fecha de expiración: 1 de julio de 2004, o 120 días después de su primera ejecución (lo que ocurra primero).


Reparación manual

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Deshabilitar los recursos compartidos

Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\system32\drivers\svchost.exe

IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\SVCHOST.EXE, ya que es un archivo legítimo de Windows.

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\System
\CurrentControlSet
\Services
\WksPatch

3. Pinche en la carpeta "WksPatch" y bórrela.

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Recuperar archivos sobrescritos en el servidor IIS

En caso de haberse sobrescrito los archivos mencionados de un servidor IIS, se deberán recuperar éstos desde un respaldo anterior.


Información adicional

Sobre RPC y DCOM

RPC (Remote Procedure Call o Llamada de Procedimiento Remoto), es un protocolo utilizado por Windows para permitir que un programa que se ejecuta en un equipo, pueda acceder a los servicios de otro equipo conectado en red.

El fallo ocurre en el intercambio de mensajes entre procesos que se realiza sobre protocolos TCP/IP al utilizarse RPC, por un desbordamiento de búfer, y afectan la interface DCOM con RPC, que controla las solicitudes de activación de objetos de DCOM que las máquinas clientes envían al servidor.

DCOM (Distributed Component Object Model o Modelo de Objeto Componente Distribuido) es un protocolo que nos muestra un conjunto de interfaces que permiten a los clientes y servidores comunicarse entre sí. Los objetos de programa de un cliente pueden solicitar los servicios de objetos de programas servidores, en otras computadoras dentro de una red. Solo es necesario que todos se estén ejecutando en Windows 9x (95, 98 y Me) o NT (NT, 2000 y XP).

Usando una interface DCOM, un programa puede iniciar una Llamada de Procedimiento Remoto (Remote Procedure Call o RPC) a un objeto de otro programa especializado, que proporciona el procesamiento necesario y devuelve el resultado.

DCOM emplea a su vez protocolos TCP/IP y HTTP, y está incluido en las versiones posteriores a Windows 98 y NT. DCOM escucha en el puerto 135 de TCP/UDP y en los puertos 139, 445 y 593 de TCP.


Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).

2. Pinche con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com