(devil)
(happy)
(mm) kaip as taves noriu
(rofl)
:S
a ?
as net nezinau ka tavo vietoj daryciau.
cia biski su photoshopu pazaidziau bet bet irgi gerai atrodai :D
cia tu isimetei ?
esi?
geras ane ?
haha lol
hey
how are u ? :)
I used photoshop and edited it
kas cia tavim taip isderge ? =]]
labas
look
look what crazy photo Tiffany sent to me,looks cool
matai :D
now u populr
oh sry not for u
oops sorry please don't look there :S
ops
pala biski
patinka?
really funny
sky
this (happy) sexy one
u happy ?
vgeras ane ?
what ur friend name wich is in photo ?
where I put ur photo :D
you checked ?
your photos looks realy nice
zek kur tavo foto metos isdergta
ziurek kur tavo foto imeciau :D

Los mensajes contienen un enlace a una supuesta imagen en uno de los siguientes sitios:

http: // www .myimagespace .net/
http: // www .fakme .org/

Cuando el usuario hace clic en el enlace, descarga una copia del troyano, y al ejecutarse, los siguientes archivos pueden ser creados en el equipo infectado:

c:\windows\system32\drnnctop.exe
c:\windows\system32\mshtmldat32.exe
c:\windows\system32\sdrivew32.exe
c:\windows\system32\winlgcvers.exe
c:\windows\system32\wndrivs32.exe
c:\windows\system32\zjbs.exe

X:\game.exe
X:\autorun.inf

Donde "X:" es cualquier unidad de disco removible existente.

También se mostrará una imagen existente en algunas versiones de Windows (ésta imagen no será visible por lo tanto en todos los casos):

c:\windows\Soap Bubbles.bmp

Las siguientes entradas pueden ser creadas o modificadas en el registro:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Logon Settings = "mshtmldat32.exe"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Windows Sys = "explorer.exe mshtmldat32.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
Policies Options = "6D00"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
Services Start = "mshtmldat32.exe"

HKLM\SOFTWARE\RMX\cfg

El gusano buscará la lista de amigos conectados en el Skype, para enviarles un mensaje con las características ya descriptas.

Antes de enviar los mensajes, pondrá al usuario infectado en el Skype, como DND (Do Not Disturb), sin notificarlo, con lo que no recibirá ninguna notificación de llamadas o mensajes entrantes.

El gusano intenta además, finalizar cualquier proceso activo con alguno de los siguientes nombres:

_avp32
_avpcc
_avpm
53arch
ackwin32
adaware
advxdwin
agentsvr
agentw
alertsvc
alevir
alogserv
amon
amon9x
anti-trojan
antivirus
ants
apimonitor
aplica32
aports
apvxdwin
armkiller
arr
atcon
atguard
atro55en
atupdater
atwatch
aupdate
autodown
autotrace
autoupdate
avconsol
ave32
avgcc32
avgctrl
avgnt
avgserv
avgserv9
avguard
avgw
avkpop
avkserv
avkservice
avkwctl9
avltmain
avnt
avp
avp32
avpcc
avpdos32
avpm
avptc32
avpupd
avsched32
avsynmgr
avwin95
avwinnt
avwupd
avwupd32
avwupsrv
avxmonitor9x
avxmonitornt
avxquar
backweb
bargains
bcw
bd_professional
beagle
belt
bidef
bidserver
bipcp
bipcpevalsetup
bisp
blackd
blackice
blss
bootconf
bootwarn
borg2
bpc
brasil
bs120
bundle
bvt
ccapp
ccevtmgr
ccpxysvc
cdp
cfd
cfgwiz
cfiadmin
cfiaudit
cfinet
cfinet32
claw95
claw95cf
clean
cleaner
cleaner3
cleanpc
click
client
cmd32
cmesys
cmgrdian
cmon016
condom
cpd
cpf9x206
cpfnt206
cracker
ctrl
cwnb181
cwntdwmo
datemanager
dcomx
defalert
defscangui
defwatch
deputy
divx
dllcache
dllreg
doors
dpf
dpfsetup
dpps2
drwatson
drweb32
drwebupw
dssagent
dump
dvp95
dvp95_0
ecengine
efpeadm
emsw
ent
esafe
escanh95
escanhnt
escanv95
espwatch
ethereal
etrustcipe
evpn
exe.avxw
expert
explore
f-agnt95
f-agobot
fameh32
fast
fch32
fih32
findviru
firewall
flowprotector
fnrb32
fport
fprot
f-prot
f-prot95
fp-win
fp-win_trial
frhed
frw
fsaa
fsav
fsav32
fsav530stbyb
fsav95
fsgk32
fsm32
fsma32
fsmb32
f-stopw
gator
gbmenu
gbpoll
generics
gmt
guard
guarddog
hacktracersetup
hbinst
hbsrv
hijackthis
honeyd
hotactio
hotpatch
htlog
htpatch
hwpe
hxdl
hxiul
iamapp
iamserv
iamstats
ibmasn
ibmavsp
icesword
icload95
icloadnt
icmon
icsupp95
icsuppnt
idle
iedll
iedriver
iexplorer
iface
ifw2000
iislockd
inetlnfo
infus
infwin
init
intdel
intren
iomon98
iparmor
iris
isass
isrv95
istsvc
jammer
jdbgmrg
jedi
kav
kavlite40eng
kavpers40eng
kavpf
kavsvc
kazza
keenvalue
kernel32
launcher
ldnetmon
ldpro
ldpromenu
ldscan
lnetinfo
loader
localnet
lockdown
lockdown2000
logger
logviewer
lookout
lordpe
lsetup
luall
luau
lucomserver
luinit
luspt
mapisvc32
mcagent
mcmnhdlr
mcshield
mctool
mcupdate
mcvsrte
mcvsshld
mfin32
mfw2en
mfweng3.02d30
mgavrtcl
mgavrte
mghtml
mgui
minilog
mmod
monitor
moolive
mostat
mpfagent
mpfservice
mpftray
mrflux
msapp
msbb
msblast
mscache
msccn32
mscman
msconfig
msdm
msdos
msiexec16
msinfo32
mslaugh
msmgt
msmsgri32
mssmmc32
mssys
msvxd
mu0311ad
mwatch
n32scanw
nav
navap.navapsvc
navapsvc
navapw32
navdx
navlu32
navnt
navstub
navw32
navwnt
nc2000
ncinst4
ndd32
neomonitor
neowatchlog
netarmor
netd32
netinfo
netmon
netscanpro
netstat
netutils
nisserv
nisum
nmain
nod32
nod32cc
nod32krn
nod32kui
nod32m2
normist
notstart
npfmessenger
nprotect
npscheck
npssvc
nsched32
nssys32
nstask32
nsupdate
ntrtscan
ntvdm
ntxconfig
nui
nupgrade
nvarch16
nvc95
nvsvc32
nwinst4
nwservice
nwtool16
ollydbg
onsrvr
optimize
ostronet
otfix
outpost
outpostinstall
padmin
panixk
patch
pavcl
pavproxy
pavsched
pavw
pcc2002s902
pcc2k_76_1436
pcciomon
pccntmon
pccwin97
pccwin98
pcdsetup
pcfwallicon
pcip10117_0
pcscan
pdsetup
pedasm
penis
periscope
persfw
perswf
pexplorer
pf2
pfwadmin
pgmonitr
pingscan
platin
pmdump
pmon
pop3trap
poproxy
popscan
portdetective
portmonitor
powerscan
ppinupdt
pptbc
ppvstop
prizesurfer
prmt
prmvr
procdump
processmonitor
procexp
programauditor
proport
protectx
pspf
purge
pussy
pview95
qconsole
qserver
rapapp
rav7
rav7win
rav8win32eng
ray
rb32
rcsync
realmon
regcleaner
reged
regedit
regedt32
rergcleanr
rescue
rescue32
rrguard
rshell
rtvscan
rtvscn95
rulaunch
run32dll
rundll
rundll16
ruxdll32
safeweb
sahagent
save
savenow
sbserv
scam32
scan32
scan95
scanpm
scrscan
scrsvr
scvhost
serv95
service
servlce
servlces
setupvameeval
sfc
sgssfw32
shellspyinstall
shn
showbehind
smc
sms
smss32
soap
sofi
sperm
spf
sphinx
spoler
spoolcv
spoolsv32
spyxx
srexe
srin
srng
ss3edit
ssg_4104
ssgrate
st2
start
stcloader
supftrl
support
supporter5
svc
svchostc
svchosts
svshost
sweep95
symproxysvc
symtray
sysedit
system
system32
sysupd
taskmg
taskmo
taskmon
taumon
tbscan
tca
tcm
tcpview
tds2-98
tds2-nt
tds-3
teekids
test
tfak
tfak5
tgbob
titanin
titaninxp
tracert
trickler
trjscan
trjsetup
trojantrap3
tsadbot
tvmd
tvtmd
undoboot
updat
update
upgrad
utpost
vbcmserv
vbcons
vbust
vbwin9x
vbwinntw
vcsetup
vet32
vet95
vettray
vfsetup
vir-help
vnlan300
vnpc3000
vpc32
vpc42
vpfw30s
vptray
vscan40
vscenu6.02d30
vsched
vsecomr
vshwin32
vsisetup
vsmain
vsmon
vsstat
vswin9xe
vswinntse
vswinperse
w32dsm89
w32dsm89
w9x
watchdog
webdav
webscanx
webtrap
wfindv32
wgfe95
whoswatchingme
wimmun32
win32
win32us
winactive
win-bugsfix
windbg
window
windows
windump
wininetd
wininit
wininitx
winlogin
winmain
winnet
winppr32
winrecon
winservn
winssk32
winstart
winstart001
wintsk32
winupdate
wkufind
wnad
wnt
wradmin
wrctrl
wsbgate
wupdater
wupdt
xpf202en
zapro
zapsetup3001
zatutor
zonalm2601
zonealarm

También modifica el archivo HOSTS de Windows, para impedir el acceso a los siguientes sitios relacionados con compañías de seguridad:

antivirus. esaugumas. lt
aonealarm. com
avast. com
avp. com
barracudanetworks. com
bitdefender. com
bkav. com. vn
boss. drweb. comdrweb. com
ca. com
customer. symantec. com
dispatch. mcafee. com
dnl-us[#]. kaspersky-labs. com
download. mcafee. com
download[#]. avast. com
downloads[#]. kaspersky-labs. com
downloads-us1. kaspersky-labs. com
esaugumas. lt
esecurity. lt
eset. com
free-av. com
f-secure. com
ftp. downloads[#]. kaspersky-labs. com
grisoft. com
grisoft. czfree. grisoft. com
kaspersky. com
kaspersky. ru
kaspersky-labs. com
liveupdate. symantec. com
liveupdate. symantecliveupdate. com
mast. mcafee. com
mcafee. com
microsoft. com
msk[#]. drweb. com
my-etrust. com
nai. com
networkassociates. com
nod32. com
nod32. datsec. de
nod32. de
nod32. it
nod32. nl
nod32-es. com
norman. com
pandasecurity. com
pandasoftware. com
rads. mcafee. com
rs[#]. avast. com
s[#]. avast. com
sandbox. norman. com
secure. nai. com
security. symantec. com
sophos. com
symantec. comsecurityresponse. symantec. com
trendmicro. com
u[#]. eset. com
update. symantec. com
updates. symantec. com
updates[#]. kaspersky-labs. com
us. mcafee. com
viruslist. com
virusscan. jotti. org
virustotal. com
windowsupdate. microsoft. com
www. antivirus. esaugumas. lt
www. aonealarm. com
www. avast. com
www. avp. com
www. barracudanetworks. com
www. bitdefender. com
www. bkav. com. vn
www. boss. drweb. comdrweb. com
www. ca. com
www. customer. symantec. com
www. dispatch. mcafee. com
www. dnl-us[#]. kaspersky-labs. com
www. download. mcafee. com
www. downloads[#]. kaspersky-labs. com
www. downloads-us1. kaspersky-labs. com
www. esaugumas. lt
www. esecurity. lt
www. eset. com
www. free-av. com
www. f-secure. com
www. ftp. downloads[#]. kaspersky-labs. com
www. grisoft. com
www. grisoft. czfree. grisoft. com
www. kaspersky. com
www. kaspersky. ru
www. kaspersky-labs. com
www. liveupdate. symantec. com
www. liveupdate. symantecliveupdate. com
www. mast. mcafee. com
www. mcafee. com
www. microsoft. com
www. msk[#]. drweb. com
www. my-etrust. com
www. nai. com
www. networkassociates. com
www. nod32. com
www. nod32. datsec. de
www. nod32. de
www. nod32. it
www. nod32. nl
www. nod32-es. com
www. norman. com
www. pandasecurity. com
www. pandasoftware. com
www. rads. mcafee. com
www. sandbox. norman. com
www. secure. nai. com
www. security. symantec. com
www. sophos. com
www. symantec. comsecurityresponse. symantec. com
www. trendmicro. com
www. update. symantec. com
www. updates. symantec. com
www. updates[#]. kaspersky-labs. com
www. us. mcafee. com
www. viruslist. com
www. virusscan. jotti. org
www. virustotal. com
www. windowsupdate. microsoft. com

Donde [#] corresponde a un número (se repite la entrada por cada uno de esos números).


Reparación manual

NOTA: Esta descripción se aplica a una variante específica de un determinado malware. Pueden existir numerosas versiones, detectadas por ESET NOD32 con el mismo nombre, que no necesariamente realizarán los mismos cambios en el sistema que aquí se describen.


Antivirus

1. Actualice su antivirus. En el caso de ESET NOD32, seleccione el Control Center, Módulos de actualización, NOD32 Update y haga clic en el botón "Actualizar ahora". Compruebe que la versión de firmas de virus sea la misma que aparece en http://www.nod32.com.uy o en http://www.vsantivirus.com/nod32.htm

2. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

3. Borre los archivos temporales como se indica en el siguiente enlace:

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

4. Seleccione la opción "Analizar y Desinfectar automáticamente" en su antivirus. En el caso de ESET NOD32, seleccione Control Center, NOD32 Scanner, haga clic en el botón "NOD32 Scanner", seleccione la casilla "Local", y haga clic en el botón "Analizar y desinfectar".

5. En el caso de NOD32, haga clic en el botón "Desinfectar" cuando aparezca, o en el botón "Eliminar" cuando el botón "Desinfectar" no esté activo. En cualquier otro caso, el antivirus le dará el mensaje "sin acciones" y la limpieza se efectuará al reiniciar.

6. Tome nota del nombre de los archivos desinfectados o eliminados.

7. Reinicie la computadora.

8. Vuelva a ejecutar la opción "Analizar y Desinfectar automáticamente".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

3. Haga clic en la carpeta "Winlogon" y borre las siguientes entradas:

Logon Settings = "mshtmldat32.exe"
Windows Sys = "explorer.exe mshtmldat32.exe"

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\policies
\Explorer
\Run

5. Haga clic en la carpeta "Run" y borre la siguiente entrada:

Policies Options = "6D00"

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunOnce

7. Haga clic en la carpeta "RunOnce" y borre la siguiente entrada:

Services Start = "mshtmldat32.exe"

8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\RMX

9. Haga clic en la carpeta "RMX" y bórrela.

10. Cierre el editor del registro.

11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1   localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.


Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.

2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.

Nota: debe escribir también los signos "%" antes y después de "temp".

3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").

4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.

5. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm


Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet haga clic en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


Información adicional

Mostrar las extensiones y ver todos los archivos
http://www.vsantivirus.com/faq-mostrar-extensiones.htm

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

Cómo restaurar página de inicio y búsqueda en IE
http://www.vsantivirus.com/faq-inicio-busqueda.htm

Utilización de la Consola de Recuperación en Windows XP
http://www.vsantivirus.com/consola-recuperacion-xp.htm

Deshabilitar restauración del sistema en Windows Vista
http://www.vsantivirus.com/faq-winvista.htm

Deshabilitar restauración del sistema en Windows XP
http://www.vsantivirus.com/faq-winxp.htm

Deshabilitar restauración del sistema en Windows Me
http://www.vsantivirus.com/faq-winme.htm





(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com