www.number-10.gov.uk

Los mensajes enviados, pueden tener las siguientes características:

Asunto (uno de los siguientes):

Account Billing Information.
Account Infomation.
Account Invoice.
Account, is on hold.
Email Account Infomation.
ORDER CONFIRMATION:
Regards, Support Team.
This quaters invoice.
Your Account has been suspended.
Your Account Infomation.
Your Account is on hold.
YOUR ACCOUNT REF:

Texto (uno de los siguientes):

Ejemplo 1:

Dear Sir,
Please can you check that your account
information is up to date.
Your details are attached to this email.
Regards, Billing Team.

Ejemplo 2:

Dear Sir,
Please can you confirm that your account
information is correct.
Your current details are attached to this
email.
Regards, Billing Team.

Ejemplo 3:

Dear Sir,
Please find attached this quaters invoice
for your Internet Account.
Regards, Billing Team.

Ejemplo 4:

Please find your details attached.
Thank you

Ejemplo 5:

Details are attached to this email.
Thank you

Datos adjuntos (uno de los siguientes nombres):

Account Details.Doc
Account Information.Doc
Account Invoice.Doc
Account Status.Doc
Account Update.Doc
Billing Information.Doc
Invoice.Doc
Your Account Info.Doc
Your Account Status.Doc
Your Account.Doc

Cuando se ejecuta, crea la siguiente copia de si mismo:

c:\progra~1\account_details.doc.exe

Agrega la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Windows Task Manager = c:\progra~1\account_details.doc.exe

También crea las siguientes entradas en el registro:

HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System

DisableTaskMgr = 0x00000001 (1)
DisableRegistryTools = 0x00000001 (1)

Muestra el siguiente mensaje:

Dear Tony Blair,
INFECTED BY: WIN32.SORT-IT-OUT-BLAIR
Why are you spending all our taxes on illegal
immigrants!?! How about you stop worrying about
other countries and worry about ours???
Stop spending money on immigrants and spend it on
things like OAP's who fought to keep this country
free but are now getting treated worst than illegal
immigrants! How about spend a little money on the
NHS or the education system!?!
Think about it Mr Blair.
Your career depends on it.
We've had enough.

Luego lanza un ataque DoS usando PING.EXE a la dirección mencionada antes.

Crea el siguiente archivo:

c:\win32.sort-it-out-blair.txt

El archivo contiene este texto:

Infected by the WIN32.SORT-IT-OUT-BLAIR Virus!

Copia luego dicho archivo en las siguientes ubicaciones:

c:\inetpub\wwwroot\default.asp
c:\inetpub\wwwroot\default.htm
c:\inetpub\wwwroot\default.html
c:\inetpub\wwwroot\index.asp
c:\inetpub\wwwroot\index.htm
c:\inetpub\wwwroot\index.html

Si existe un servidor instalado en la máquina infectada, estos archivos corresponden a las páginas de inicio por defecto, las que por lo tanto serán suplantadas por el texto escrito por el gusano.

El gusano también se copia en las siguientes ubicaciones:

c:\program files\mirc\chain_mail_world_record.irc
c:\mirc\chain_mail_world_record.irc

Crea un archivo SCRIPT.INI en las siguientes ubicaciones, con instrucciones para enviarse a los canales de chat visitados:

c:\program files\mirc\script.ini
c:\mirc\script.ini

Si el programa mIRC está instalado, cada vez que el usuario se conecta a un canal, el gusano envía una copia de si mismo en un archivo con el siguiente nombre:

chain_mail_world_record.irc

Lo hace junto al siguiente mensaje:

Hey, Do you want to take part of the IRC chain
mail world record? If so all you have to do is
load up the program add your irc nick and press
submit! Just rename the file from .irc to .exe
and your ready to go!

También se envía a si mismo a todos los contactos de la libreta de direcciones del Outlook y Outlook Express, adjunto a mensajes electrónicos con las características vistas al principio.

El gusano también intentará finalizar cualquiera de los siguientes procesos que estuvieran activos, correspondientes a conocidos antivirus y cortafuegos, así como a utilidades del propio Windows:

_avp32.exe
_avpcc.exe
_avpm.exe
advxdwin.exe
agentsvr.exe
alertsvc.exe
alogserv.exe
amon9x.exe
anti-trojan.exe
ants.exe
apvxdwin.exe
apvxdwin.exe
atcon.exe
attachments
atupdater.exe
atwatch.exe
autodown.exe
autotrace.exe
av
avconsol.exe
ave32.exe
avgcc32.exe
avgctrl.exe
avgctrl.exe
avgserv.exe
avgserv9.exe
avgw.exe
avkpop.exe
avkserv.exe
avkservice.exe
avnt.exe
avp.exe
avp32.exe
avpcc.exe
avpdos32.exe
avpm.exe
avptc32.exe
avpupd.exe
avsched32.exe
avsched32.exe
avsynmgr.exe
avwin95.exe
avwinnt.exe
avwupd32.exe
avxmonitor9x.exe
avxmonitornt.exe
avxquar.exe.exe
avxw.exe
blackd.exe
blackice.exe
cfiadmin.exe
cfiaudit.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
cleaner.exe
cleaner3.exe
cmgrdian.exe
connectionmonitor.exe
cpd.exe
cpdclnt.exe
defscangui.exe
defwatch
defwatch.exe
doors.exe
dvp95.exe
dvp95_0.exe
ecengine.exe
efpeadm.exe
esafe.exe
espwatch.exe
etrustcipe.exe
event log
evpn.exe
expert.exe
f-agnt95.exe
fameh32.exe
fch32.exe
fih32.exe
findviru.exe
fnrb32.exe
f-prot.exe
fprot.exe
f-prot95.exe
fp-win.exe
frw.exe
fsaa.exe
fsav32.exe
fsgk32.exe
fsm32.exe
fsma32.exe
fsmb32.exe
f-stopw.exe
gbmenu.exe
gbpoll.exe
generics.exe
guard.exe
guarddog.exe
iamapp.exe
iamapp.exe
iamserv.exe
ibmasn.exe
ibmavsp.exe
icload95.exe
icloadnt.exe
icmon.exe
icsupp95.exe
icsuppnt.exe
iface.exe
inorpc.exe
inort.exe
inotask.exe
iomon98.exe
ipsec policy agent
isrv95.exe
jedi.exe
kwctl9.exe
ldnetmon.exe
ldpromenu.exe
ldscan.exe
lockdown.exe
lockdown2000.exe
logoff
lookout.exe
luall.exe
lucomserver.exe
mcagent.exe
mcmnhdlr.exe
mcshield
mcshield.exe
mctool.exe
mcupdate.exe
mcvsrte.exe
mcvsshld.exe
messenger
mgavrtcl.exe
mgavrte.exe
mghtml.exe
minilog.exe
monitor.exe
moolive.exe
mpftray.exe
mwatch.exe
n32scanw.exe
navapsvc.exe
navapw32.exe
navapw32.exe
navlu32.exe
navnt.exe
navw32.exe
navwnt.exe
ndd32.exe
neowatchlog.exe
net stop
netstat.exe
netutils.exe
nisserv.exe
nisum.exe
nisum.exe
nmain.exe
normist.exe
norton antivirus auto protect service
norton antivirus auto protect service
norton antivirus client
norton antivirus server
norton internet security accounts manager
norton internet security proxy service
norton internet security service
nprotect.exe
npssvc.exe
nsched32.exe
ntrtscan.exe
ntvdm.exe
ntxconfig.exe
nui.exe
nupgrade.exe
nvc95.exe
nvsvc32.exe
nwservice.exe
nwtool16.exe
padmin.eoutpost.exe
padmin.exe
pavcl.exe
pavproxy.exe
pavsched.exe
pavw.exe
pcciomon.exe
pccntmon.exe
pccwin97.exe
pccwin98.exe
pcfwallicon.exe
pcscan.exe
persfw.exe
pop3trap.exe
poproxy.exe
portmonitor.exe
processmonitor.exe
pview95.exe
rav7.exe
rav7win.exe
realmon.exe
realmon.exe
regedit.exe
rescue.exe
rtvscn95.exe
safeweb.exe
sbserv.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
serv95.exe
smc.exe
sphinx.exe
spyxx.exe
ss3edit.exe
sscansvc.exe
sweep95.exe
swnetsup.exe
symantec antivirus client
symproxysvc.exe
symproxysvc.exe
symtray.exe
taskmgr.exe
tbscan.exe
tc.exe
tca.exe
tcm.exe
tds2-98.exe
tds2-nt.exe
tds-3.exe
tfak.exe
truevector internet monitor
vbcmserv.exe
vbcons.exe
vet32.exe
vet95.exe
vettray.exe
vir-help.exe
vpc32.exe
vptray.exe
vscan40.exe
vsched.exe
vsecomr.exe
vshwin32.exe
vsmain.exe
vsmon.exe
vsmon.exe
vsstat.exe
watchdog.exe
webscanx.exe
webtrap.exe
wfindv32.exe
wgfe95.exe
wimmun32.exe
wmdm pmsp service
wradmin.exe
wrctrl.exe
zapro.exe
zapro.exe
zonealarm
zonealarm.exe
zonealarm.exe

Procedimiento de limpieza

Modificar las restricciones en el registro

1. Descargue el siguiente archivo .REG de nuestro sitio:

http://www.videosoft.net.uy/repara.reg

2. Una vez en su computadora, haga doble clic sobre él para agregar su contenido al registro.


Finalizar el proceso en memoria del virus

* Windows 95, 98 y Me

1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm


* Windows NT, 2000 y XP

1. Actualice sus antivirus con las últimas definiciones, luego pulse CTRL+ALT+SUPR.

2. Pinche en Administrador de tareas.

3. Pinche en la lengüeta Procesos.

4. En la lista de tareas, señale la siguiente:

ACCOUNT_DETAILS.DOC.EXE

5. Seleccione la tarea y pulse el botón de finalizar tarea.


Antivirus

1. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

2. Borre los archivos detectados como infectados


Editar el registro

1. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Windows Task Manager

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Borrado manual de los archivos creados por el gusano

1. Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\progra~1\account_details.doc.exe
c:\program files\mirc\chain_mail_world_record.irc
c:\mirc\chain_mail_world_record.irc
c:\program files\mirc\script.ini
c:\mirc\script.ini

2. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

3. Borre también los mensajes electrónicos similares al descripto antes.


Reinstalar páginas servidor Web

Si tiene instalado un servidor Web en C:\INETPUB\WWWROOT\, debe reinstalar o recuperar de un respaldo limpio los siguientes archivos borrados:

c:\inetpub\wwwroot\default.asp
c:\inetpub\wwwroot\default.htm
c:\inetpub\wwwroot\default.html
c:\inetpub\wwwroot\index.asp
c:\inetpub\wwwroot\index.htm
c:\inetpub\wwwroot\index.html

Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

10/09/03 - Alias: W32.Blare@MM, I-Worm.Blare, Win32/Blare.A




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com