| |
VSantivirus No. 1600 Año 8, martes 23 de noviembre de 2004
W32/Pawur.A. Se propaga con mensajes en español
http://www.vsantivirus.com/pawur-a.htm
Nombre: W32/Pawur.A
Nombre NOD32: Win32/Pawur.A
Tipo: Gusano de Internet
Alias: Pawur.A, Tasin.A, Anzae, I-Worm.Pawur.A, I-Worm.Pawur.a, I-Worm.VB.w, I-Worm/Pawur.A, NewHeur_PE, W32.Inzae.A, W32/Anzae.Worm, W32/Tasin.A.worm, Win32/Inzae.A.Dropper, Win32/Pawur.A, WORM_ANZAE.A, W32/Anzae-A, W32/Insae.A@mm, Email-Worm.Win32.Pawur.a, Win32.HLLM.Pawur
Fecha: 22/nov/04
Plataforma: Windows 32-bit
Tamaño: 49,331 bytes
Gusano que se propaga a través del correo electrónico con mensajes en español, utilizando su propio motor SMTP.
Cuando se ejecuta, es notoria la caída del rendimiento del sistema infectado. El gusano es capaz de borrar archivos, lo que puede afectar el funcionamiento del equipo.
Se propaga en mensajes con las siguientes características:
Asunto: [uno de los siguientes]
re:Amor verdadero
re:Como el aire...
re:Crees que puede ser verdad?
re:Déjate de rollos y vivé!!!
re:Eso con queso rima con...xD
re:La Luna
re:Neptuno y Mercurio
re:Pisología
re:Voodoo un tanto ps...
re:xD no me lo puedo creer!!
Texto del mensaje: [uno de los siguientes]
Crees en el amor de verdad?,miralo y ya
hablamos,ciaooo
Esa moribunda y solitaria Luna,Impresionante!chao.
Mira lo que te mando y ya verás que los detalles mas
pequeños son los que importan,ciaoo
No comment,xDD,Nos vemos!!
No veas que cosas xD,luego me cuentas,chao.
Qué relación tienen estos planetas?,miralo y luego me
cuentas,chao.
Renvíalo a todo que es que se meannn xD,nos vemos!
Será cierta la magia negra?,sal de dudas y ya me
cuentas,chao.
Test para ver si andas bien de las neuronassss!
xD,luego hablamos, chao
Ver es creer!!!!chaoo.
Datos adjuntos: [alguno de los siguientes]
el_rechazo.zip
gnito.zip
love-me.zip
moon(luna).zip
my life(mi vida).zip
para-brisas.zip
planetario.zip
quico-mix.zip
rimaz.zip
voodoo!.zip
La infección se produce solo si el usuario abre y ejecuta el adjunto con un doble clic.
Si ello ocurre y el gusano se ejecuta, la primera vez que lo hace, se muestran varias ventanas con los siguientes textos:
Wolas
Pulse aceptar para seguir...
[ Aceptar ]
Intro
Este juego solo trata de responder unas preguntas...Y
si se aciertan todas...Pues ustd se llevará el premio
xDDD. Pulse aceptar
[ Aceptar ]
Final..
Ya casi estamos listos para empezar si usted lo está
pulse aceptar...
[ Aceptar ]
Te jodes y cayao
Ahora por tonto contemos hasta 50 porque a mi me da la
GANA !!! QUE PAISA?
[ Aceptar ]
Y toma y dale y mas de lo mismo xDDD
Todos Juntos:>0
[ Aceptar ]
Repite esta ventana cambiando el contador hasta 16:
Y toma y dale y mas de lo mismo xDDD
Todos Juntos:>16
[ Aceptar ]
JURJUR
No te pongas nervioso, vale?
[ Aceptar ]
Y toma y dale y mas de lo mismo xDDD
Todos Juntos:>21
[ Aceptar ]
Repite esta ventana cambiando el contador hasta 50:
Y toma y dale y mas de lo mismo xDDD
Todos Juntos:>50
[ Aceptar ]
Vamos Pues...
Y ya se acabó, ahora si que empezó el juego....
[ Aceptar ]
Finalmente, muestra una pantalla totalmente blanca, que muestra únicamente el siguiente texto en letras grises:
Pulse CONTROL + 0 + 8 + N + 6 PARA PASAR VER LAS FOTOS
SIGUIENTES...
El sistema deja de responder a cualquier combinación de teclas (menos CTRL+ALT+SUPR).
En este punto, el gusano crea una tarea llamada PEGOTE (muestra el icono de un CD musical), y un proceso cuyo nombre de imagen es INZAX.EXE. En Windows XP, si el usuario pulsa CTRL+ALT+SUPR, puede matar el proceso creado por el gusano.
Los siguientes archivos pueden ser creados en el sistema:
c:\windows\system32\svchosl.pif
c:\windows\system32\m.zip
Dichos archivos son copias del propio gusano.
También crea los siguientes archivos:
c:\windows\system32\inzax.exe
c:\windows\system32\sw.exe
c:\windows\system32\sx.exe
c:\windows\system32\sz.exe
INZAX.EXE es el programa que muestra las ventanas de mensajes descriptos antes, y los tres restantes son utilizados por la rutina de propagación via correo electrónico, tarea para la cuál utiliza su propio motor SMTP.
También crea los siguientes archivos:
X:\codm
X:\extasis8.pif
X:\inzae.pif
X:\ph003.pif
X:\rd2_roberto.pif
X:\simbolic3.pif
X:\sin_mas_menos.pif
Donde "X" es una de las siguientes unidades de disco (o aquellas que existan):
c:\
d:\
e:\
f:\
Para ejecutarse en próximos reinicios, el gusano crea la siguiente entrada en el registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Svchost = c:\windows\system32\svchosl.pif
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).
El gusano intenta establecer una conexión HTTP con el siguiente sitio, desde donde intenta descargar otros archivos:
www .ecija .org
El código del gusano contiene el siguiente texto:
-Worm by cUk- : -name Paula- : -version a- : -Date 01/11/04- : -Made in Spanish-:
El gusano puede borrar archivos con las siguientes extensiones:
.asm
.asp
.bdsproj
.bmp
.cpp
.cs
.csproj
.css
.doc
.dpr
.frm
.gif
.htm
.html
.jpeg
.jpg
.mdb
.mp3
.nfm
.nrg
.pas
.pcx
.pdf
.php
.ppt
.rc
.rc2
.reg
.resx
.rpt
.sln
.txt
.vb
.vbp
.vbproj
.wav
.xls
Herramienta de limpieza automática:
Descargue y ejecute esta herramienta en su computadora, para una limpieza automática de la misma. Siga las instrucciones en pantalla.
Future Time Srl (NOD 32)
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Pawur
Reparación manual
IMPORTANTE: Note que estas instrucciones de limpieza se dan únicamente como una guía de referencia, ya que la recuperación de los archivos borrados, dependerá del daño causado por el gusano desde el momento de ocurrida la infección.
Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\system32\inzax.exe
c:\windows\system32\m.zip
c:\windows\system32\svchosl.pif
c:\windows\system32\sw.exe
c:\windows\system32\sx.exe
c:\windows\system32\sz.exe
X:\codm
X:\extasis8.pif
X:\inzae.pif
X:\ph003.pif
X:\rd2_roberto.pif
X:\simbolic3.pif
X:\sin_mas_menos.pif
Donde "X" es una de las siguientes unidades de disco (o aquellas que existan):
c:\
d:\
e:\
f:\
IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\SVCHOST.EXE, ya que es un archivo legítimo de Windows.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Svchost = c:\windows\system32\svchosl.pif
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Información adicional
Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.
4. Seleccione Aceptar, etc.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
Actualizaciones:
23/11/04 - 11:56 -0200 (Alias: W32/Anzae-A)
23/11/04 - 18:30 -0200 (Herramienta de limpieza NOD32)
24/11/04 - 01:02 -0200 (Ampliación de la descripción)
24/11/04 - 01:06 -0200 (Alias: W32/Insae.A@mm)
25/11/04 - 11:49 -0200 (Alias: Email-Worm.Win32.Pawur.a)
25/11/04 - 11:49 -0200 (Alias: Win32.HLLM.Pawur)
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
