Asunto: Aquí está SU PREMIO !
Texto: 
Usted o quizás alguna de sus amistades en internet completó 
pocos días...

Archivo adjunto: SU_PREMIO.TXT.VBS (15 Kb)

Versión 2:

Asunto: NUEVO BIRUS (¡¡cuidado!!)
Texto:
NEW BIRUS es un nuevo birus que se transmite por 
internet...

Archivo adjunto: SU_PREMIO.TXT.VBS (15 Kb)

La doble extensión del nombre del archivo adjunto, permite engañarnos, si no tenemos activa la opción de ver todas las extensiones en Windows (ver "Información complementaria").

El código del virus tiene muchas similitudes al del VBS/Plan.

Si pulsamos sobre el adjunto, el virus se copia a si mismo en las siguientes ubicaciones:

C:\Windows\Su_Premio.txt.vbs
C:\Windows\System\Su_Premio.txt.vbs

A pesar de que no se trata de un virus de macros, también cambia el nivel de seguridad de Microsoft Word a 1, y deshabilita la "Protección antivirus en macros".

Luego se envía a todos los contactos de la libreta de direcciones del Outlook, en mensajes similares al recibido anteriormente.

Además genera los siguientes archivos (o alguno de ellos) en la máquina infectada:

C:\Windows\Spamming.vbs 
C:\Start Menu\Programs\StartUp\icq2000b.lnk
C:\Windows\Menú Inicio\Programas\Inicio\icq2000b.lnk

Es capaz de borrar algunas de las siguientes carpetas, si estas existen (depende de la versión del idioma de Windows):

C:\Mis Documentos
C:\My Documents
C:\Meus Documentos
C:\Meine Dokumente
C:\Miei Documenti
C:\Mes Documents

El gusano puede buscar en todos los archivos de los discos locales y también los compartidos en red, sobrescribiendo con su código todos los archivos con las siguientes extensiones:

.vbs
.vbe
.js
.jse
.css
.wsh
.sct
.hta
.jpg
.jpeg

También pone como ocultos (+H), los atributos de los archivos con las siguientes extensiones (esto impide verlos en el Explorador de Windows, bajo una configuración normal del sistema. Ver: "Información complementaria").

.mp2
.mp3

Otro efecto secundario del virus es enlentecer el funcionamiento de la computadora infectada.

También puede sobrecargar los servidores de correo, ya que el envío de mensajes se produce en cada ejecución del virus.

El gusano también sobrescribe el archivo "Script.ini" del mIRC, modificándolo para poder enviarse a si mismo durante cada conexión a los canales de chat del usuario infectado.

Como sacar el virus de un sistema infectado

1. Ejecute un antivirus al día, y borre los archivos que aparezcan infectados.

2. Pinche en Inicio, Ejecutar, y teclee REGEDIT (más ENTER).

3. Pinche en Inicio, Buscar, Archivos o carpetas.

4. Asegúrese de tener en "Buscar en:" la unidad C:\ y marcado "Incluir subcarpetas".

5. En la casilla "Nombre" escriba (o "corte y pegue") el siguiente nombre:

icq2000b.lnk, Spamming.vbs

6. Pinche en "Buscar ahora".

7. Si aparecen alguno de esos archivos, márquelos.

8. Pulse la tecla SUPR o DEL, y pinche en SI para confirmar el borrado.

9. Vaya a la papelera de reciclaje en el escritorio, pinche con el botón derecho sobre ella y seleccione "Vaciar la papelera de reciclaje".

10. En Word 97, seleccione Herramientas, Opciones, pinche en la lengüeta General, y marque la última casilla: "Protección antivirus en macros" y "Confirmar conversiones al abrir". En Word 2000, vaya a Herramientas, Seguridad, y cambie el nivel a Medio o Alto.

Opcionalmente, busque todos los archivos ocultos .MP2 y .MP3 en todas las unidades de disco, y cambie sus atributos, pulsando con el botón derecho sobre ellos, Propiedades, y desmarque en "Atributos:", la casilla "Oculto" (antes, vea "Información complementaria").

Información complementaria

Para poder ver las extensiones verdaderas de los archivos y visualizar aquellos con atributos de "Oculto", proceda así:

• En Windows 95/98:
  Seleccione Mi PC, Menú Ver, Opciones (u Opciones de carpetas).
• En Windows Me:
  Seleccione Mi PC, Menú Herramientas, Opciones de carpetas.

Luego, en la lengüeta "Ver" de esa opción, DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. También recomendamos que MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

Fuente: Symantec