c:\windows\system32\svchost.exe:svchost.exe

Crea también los siguientes archivos:

c:\zyxwvuts.log
c:\windows\system32\msfsr.sys
c:\windows\system32\drivers\[nombre al azar].sys

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

Se copia a si mismo con el mismo nombre y ubicación del Internet Explorer:

[Archivos de programa]\Internet Explorer\iexplore.exe

NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

El IEXPLORE.EXE es movido a la siguiente carpeta:

c:\windows\system32\dllcache\

Crea copias de si mismo en todas las carpetas del sistema, cuyos nombres contengan algunas de las siguientes cadenas de texto:

BearShare
Collections
Downloads
my shared folder
share
shared
upload
uploads

Algunos de los nombres de archivos que utiliza en esos casos, están formados con los siguientes componentes:

[parte 1]+[parte 2]

Donde [parte 1] es una de las siguientes:

10,000 B.C.
28 Weeks Later
30 Days of Night
30 Rock season 2
Across the Universe
Age of Conan-Hyborian Adventures
Alpha Dog
American Gangster
Angel-A
Angelina Jolie(unseen)
Are We Done Yet?
Atonement
August Rush
Balls of Fury
Because I Said So
Beowulf
Black Book
Blades of Glory
Breach
Britney Spears(unseen)
Brother & Sisters season 2
Captivity
Carmen Electra(unseen)
Command & Conquer 3-Tiberium Wars
Company of Heroes
Criminal Minds - next season
CSI-London
Dallas
Dancing with the Stars - next season
Death at a Funeral
Delta Farce
Desperados 2-Cooper's Revenge
Desperate Housewives - next season
Disturbia
Dragon Age
Dreamfall-The Longest Journey
Dungeons & Dragons Online-Stormreach
Eastern Promises
El Cantante
Elder Scrolls IV-Oblivion
Enchanted
Enemy Territory-Quake Wars
Epic Movie
Evening
Fantastic Four 2
Final Fantasy XIV
Firehouse Dog
Fly Me to the Moon
Foodfight!
Fracture
Fragile
Freedom Writers
Full Auto 2-Battlelines
Full of It
Gears of War
Ghost Recon-Advanced Warfighter
Gilmore Girls season 8
God Grew Tired of Us
Gran Turismo HD
Grand Theft Auto IV
Grind House
Guild Wars-Factions
Hairspray
Half-Life 2-Aftermath
Halloween
Hannibal Rising
Hellgate-London
Heroes of Might & Magic V
Hilary Duff(unseen)
His Dark Materials-The Golden Compass
Horton Hears a Who
Hostel 2
Hot Fuzz
Hot Rod
In the Land of Women
Inkheart
Iron Man
Jennifer Lopez(unseen)
Jessica Alba(unseen)
Jessica Simpson(unseen)
Journey 3-D
Jumper
Kidnapped season 2
Kingdom Hearts 2
Kung Fu Panda
La Vie en Rose
Lucky You
Lust, Caution
Master of Time and Space
Metal Gear-Subsistence
Metroid Prime Hunters
No Reservations
Ocean's Thirteen
Offside
Okami
Opus-The Last Christmas
Pamela Anderson(unseen)
Paris Hilton(unseen)
Pathfinder
Perfect Stranger
Pride
Pride & Glory
Prison Break season 3
Prom Night (2007)
Rainbow Six-Vegas
Red Steel
Reservation Road
Resistance-Fall of Man
Rise of Nations-Rise of Legends
Rocket Science
Rogue
Romeo & Juliet-Sealed with a Kiss
S.T.A.L.K.E.R.-Shadow of Chernobyl
Scrubs - next season
Seven Day Itch
Severance
Shoot 'Em Up
Shooter
Skinwalkers
Slow Burn
Smokin' Aces
South Park season 11
Southland Tales
Splinter Cell Essentials
Splinter Cell-Double Agent
Spring Breakdown
Standoff season 2
Star Trek-Legacy
Star Wars-Empire at War
Starcraft-Ghost
Stardust
Stomp the Yard
Strange Wilderness
Strangers
Sunshine
Super Bad
Supreme Commander
Surf's Up
Talk to Me
The Assassination of Jesse James
The Astronaut Farmer
The Dark Is Rising
The Flock
The Half Life of Timofey Berezin
The Hitcher
The Hoax
The Host
The Ice at the Bottom of the World
The Invasion
The Invisible
The Kingdom
The Last Legion
The Last Sin Eater
The Lives of Others
The Lord of the Rings-The Battle for Middle-earth II
The Messengers
The Namesake
The Nine season 2
The Number 23
The OC season 5
The Office season 4
The Reaping
The Simpsons
The Spiderwick Chronicles
The Transformers
The TV Set
The Ultimate Gift
The Valet
The Waterhorse
This Christmas
Til Death season 2
Too Human
Trade
Trick 'r Treat
Ugly Betty season 2
Underdog
Untraceable
Vacancy
Vanguard Saga of Heros
Vantage Point
Veronica Mars - next season
Vista
Vista Ultimate
Whisper
Wild Hogs
Without a Trace - next season
Wonder Woman
World of Warcraft-The Burning Crusade
Zodiac

Y [parte 2] es una de las siguientes:

- Full.exe
- Keygen.exe
.avi.com
.iso.exe
.mp4.com
.zip.exe

Ejemplos:

10,000 B.C. - Full.exe
El Cantante.avi.com
El Cantante - Keygen.exe
Jennifer Lopez(unseen).mp4.com

También se copia a si mismo con los siguientes nombres, suplantando los archivos originales y evitando que los antivirus relacionados puedan actualizarse automáticamente:

[Archivos de programa]\McAfee.com\Agent\mcupdate.exe
[Archivos de programa]\Symantec\LiveUpdate\AUPDATE.EXE
[Archivos de programa]\Symantec\LiveUpdate\LUALL.EXE

El gusano posee características de rootkit para ocultar sus propios procesos y archivos instalados, utilizando dos servicios en modo kernel, creados con los dos archivos .SYS creados antes.

El primero de ellos (MSFSR.SYS), permite ocultar cualquier proceso activo. El segundo .SYS (con nombre al azar), esconde cualquier archivo cuyo nombre esté en la lista almacenada en C:\ZYXWVUTS.LOG.

Para propagarse por correo electrónico, colecciona las direcciones que busca en diferentes archivos del equipo infectado, como la libreta de direcciones (.WAB), y los archivos temporales de Internet.

Crea las siguientes entradas del registro para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
top\worm = [nombre y camino del troyano]

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
SvcHost = "C:\WINDOWS\system32\svchost.exe:svchost.exe"

También crea las siguientes entradas para registrar algunos de sus componentes como servicios:

HKLM\SYSTEM\CurrentControlSet\Services\msfsr
HKLM\SYSTEM\CurrentControlSet\Services\[nombre al azar]

Para propagarse por correo electrónico, utiliza mensajes con las siguientes características:

De: [una de las siguientes direcciones falsas]

updates @ McAfee.com
updates @ Microsoft.com
updates @ Symantec.com
[nombre al azar] @ aol.com
[nombre al azar] @ hotmail.com
[nombre al azar] @ msn.com
[nombre al azar] @ yahoo.com

Asunto: [uno de los siguientes]

Data format error.
Destination host is not responding.
Mail quota exceeded.
Mail transaction failed.
Mail transaction failed. Data format error.
Mail transaction failed. Mail quota exceeded.
Mail transaction failed. Message is too large.
Mail transaction failed. Partial message is available.
Mail transaction failed. Service unavailable.
Mail transaction failed. Session aborted.
Message is too large.
Network failure.
Service unavailable.
Your message could not be delivered.
Your message is undeliverable.
Your message was not delivered.

Datos adjuntos: [un archivo con alguno de los siguientes nombres]

Alien vs. Predator 2.???
Angelina Jolie.???
Assassin.???
attachment.???
Auto Assault.???
BioShock.???
Britney Spears.???
Carmen Electra.???
casino.???
Command & Conquer 3: Tiberium Wars.???
Crysis.???
CSI: London.???
details.???
document.???
Dragonball.???
Dungeons & Dragons Online: Stormreach.???
Enemy Territory: Quake Wars.???
Extreme Ghouls n' Ghosts.???
Final Fantasy XIII.???
Full Auto.???
Full Auto 2: Battlelines.???
gaming.???
Ghost Recon: Advanced Warfighter.???
Ghost Rider.???
Grey's Anatomy - next season.???
Half-Life 2: Aftermath.???
Halo 3.???
Hellgate: London.???
Heroes season 2.???
Hilary Duff.???
Huxley.???
Indiana Jones 4.???
instructions.???
Jennifer Lopez.???
Jericho season 2.???
Jessica Alba.???
Jessica Simpson.???
Killzone PS3.???
letter.???
Live Free or Die Hard.???
Lost season 4.???
message.???
Metal Gear: Subsistence.???
myspace.???
myspacedetails.???
Neverwinter Nights 2.???
onlinecasino.???
onlinegaming.???
onlinepoker.???
Pamela Anderson.???
Paris Hilton.???
poker.???
pokerstrategy.???
pokertechnique.???
Premonition.???
Pursuit Force.???
Rainbow Six: Vegas.???
readme.???
Resident Evil 3.???
Resident Evil 5.???
Resistance: Fall of Man.???
Rush Hour 3.???
s Creed.???
Shark season 2.???
Six Degrees season 2.???
Smith season 2.???
Spider-Man 3.???
Splinter Cell: Double Agent.???
Spore.???
Star Trek: Legacy.???
Star Wars: Empire at War.???
Starcraft: Ghost.???
Studio 60 on the Sunset Strip season 2.???
Tekken.???
Terminator 4.???
The Hills Have Eyes II.???
transcript.???
Unreal Tournament 2007.???
Virtua Fighter 5.???
Warhammer Online Age Of Reckoning.???
your bank account details.???
your financial details.???
your financial information.???
your personal details.???
your personal information.???
your SSN etc.???
your tax returns.???
yourmyspacedetails.???
yoursite.???
yourwebsite.???
yousite.???
youtube-you.???

Donde "???" puede ser una de las siguientes extensiones:

.gif
.html
.jpeg
.mp3
.rtf
.txt
.wav
.wma

Texto del mensaje: [armado según el siguiente esquema]

[Grupo 1]
[Grupo 2]+[Grupo 3]+[Grupo 4]
[Grupo 5]+[Grupo 6]+[Grupo 7]
[Grupo 8]
[Grupo 9]+[Grupo 10]+[Grupo 11]+[Grupo 12]
[Grupo 13]+[Grupo 14]
[Grupo 15]+[Grupo 16]+[Grupo 17]
[Grupo 18]

Donde los elementos para cada grupo son tomados al azar de las siguientes listas:

Grupo 1:

Hi
Hello

Grupo 2:

We discovered this
I discovered this
We saw this
We found this
I saw this
I found this

Grupo 3:

shot
picture
photo

Grupo 4:

(attached) of you on
Flickr.
the web.
the net.
somebody's blog.
a web site.

Grupo 5:

Maybe you should
You should
You have to
I think you should
You need to

Grupo 6:

open it
see it
look at it

Grupo 7:

straight away.
right now.
immediately.

Grupo 8:

That's unnatural!
That's offensive!
That shouldn't be allowed!
That's disgusting!
I can't believe you would publish that yourself.
That should be private!
You shouldn't be doing that.
I can't believe you would do that.
I can't believe that is you.

Grupo 9:

Maybe you should
You should
You have to
I think you should
You need to

Grupo 10:

incredible
amazing
unbelievable
totally
completely

Grupo 11:

free offer
free deal

Grupo 12:

on a web site.
on the web.
on the net.

Grupo 13:

A free
This is a limited time
This is a limited
This is a one time
This is a once only

Grupo 14:

deal.
offer.

Grupo 15:

A
A brand new
Your own

Grupo 16:

laptop
Sat Nav
MP3 player
plasma TV
LCD TV
notebook
digital camera
cell phone
Nokia cell phone
iRiver Clix
Sony PSP
Nintendo DS Lite
Creative Zen V Plus
Creative Zen Vision:M
Sony Laptop
Apple MacBook Pro
Toshiba Gigabeat
iPod
Motorola Q cell phone
Canon PowerShot
Microsoft Zune
Sony PlayStation 3
Nintendo Wii
Vista upgrade

Grupo 17:

completely free
totally free
for nothing
for free

Grupo 18:

Instructions attached.
Details attached.
Just open the attachment for details.
Look at the attachment.
See the attachment.

Un ejemplo:

Hello
I discovered this photo somebody's blog.
You should open it straight away.
That's offensive!
I think you should amazing free offer on a web site.
This is a limited time offer.
Your own laptop completely free
Just open the attachment for details.

El gusano intenta detener la ejecución de los siguientes servicios relacionados con software antivirus:

McShield
navapsvc
SymAppCor

De forma periódica, el gusano intenta conectarse al sitio del servicio de inteligencia británico MI5.


Reparación manual

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el malware, pueden aplicarse cambios en el sistema no contemplados en esta descripción. Incluso, se podría requerir la reinstalación de algunos programas, incluido el sistema operativo.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.

4. Borre todos los archivos detectados como infectados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".

Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\msfsr

5. Haga clic en la carpeta "msfsr" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Services
\[nombre al azar]

7. Haga clic en la carpeta "Services" y busque y borre toda subcarpeta (nombre al azar), dentro de "Services" que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

8. Cierre el editor del registro.

9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.

2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.

Nota: debe escribir también los signos "%" antes y después de "temp".

3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").

4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.

5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm


Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com