Hi There, Do You Like Mario Bross ? Test it, and you'll like it ;]!

El archivo adjunto tiene el siguiente nombre:

MarioBross.exe

Cuando se ejecuta, los siguientes archivos pueden ser creados en el equipo infectado:

C:\Alicia.htt
C:\desktop.ini

\Mario.exe
\explorer.exe
\xplorer.exe

\GAME\Bola.exe
\GAME\Crazy Mouse.exe
\GAME\Dark Screen.exe
\GAME\Goncang.exe
\GAME\Kartu.exe
\GAME\Kelap Kelip.exe
\GAME\Layar Jatuh.exe
\GAME\Legend.exe
\GAME\Minesweeper.exe
\GAME\My Heart.exe
\GAME\Pink Panther.exe
\GAME\Smart.exe
\GAME\Start Hide.exe
\GAME\Text Animation.exe
\GAME\XP Button.exe

[Archivos de programa]\mario.exe

[carpeta de usuario]\Documents\Bola Pantul.exe
[carpeta de usuario]\Documents\FreeCard.exe
[carpeta de usuario]\Documents\MyHearts.exe

[Application Data]\Alisa.exe
[Application Data]\Aliciana.htt
[Application Data]\Emma.exe
[Application Data]\Emira.ini

\Mis documentos\Mario Bross.exe
\Mis documentos\Minesweeper.exe
\Mis documentos\Solitaire Card.exe

c:\windows\Alicia.htt
c:\windows\winlogon.exe
c:\windows\xplorer.exe

c:\windows\system32\msvbvm60.dll.exe
c:\windows\system32\PANGKALP1NANG.EXE
c:\windows\system32\SMUNSA_PKP_GAME.EXE

Donde [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

[Carpeta de usuario] es una de las siguientes:

c:\documents and settings\all users\
c:\documents and settings\[nombre usuario]\
c:\windows\all users\
c:\windows\
c:\windows\profiles\[nombre usuario]\

La carpeta [Application Data] puede estar en cualquiera de estas ubicaciones, según la versión del sistema operativo instalado:

C:\Documents and Settings\[Usuario]
\Configuración local\Application Data

C:\WINDOWS\Application Data

La ubicación y nombres de las carpetas "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).

El archivo MARIO.EXE suele ser la copia auténtica del juego.

Una tarea programada es creada para ejecutarse en determinado momento:

c:\windows\Tasks\At1.job

Las siguientes entradas del registro de Windows son creadas o modificadas, para autoejecutarse en cada reinicio del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Mr_CoolFace_Game = [nombre y camino del ejecutable]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SmansaApp = [nombre y camino del ejecutable]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
urudjeffni = [nombre y camino del ejecutable]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe C:\explorer.exe""

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit = "c:\windows\system32\userinit.exe, C:\explorer.exe"

Las siguientes entradas del registro son modificadas para que el gusano se ejecute cada vez que un archivo con extensión .BAT, .COM, .LNK, .MOV, .MPG, .PIF, .SCR o .VBS sean abiertos:

HKCR\batfile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\comfile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\lnkfile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\movfile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\MPEG File\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\piffile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\scrfile\shell\open\command
(Predeterminado) = "C:\explorer.exe "%1" %*"

HKCR\VBSFile\Shell\Open\Command
(Predeterminado) = "C:\explorer.exe "%1" %*"

El gusano deshabilita la actualización automática del sistema e intenta modificar que Windows sea iniciado en modo seguro o a prueba de fallos:

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
"DisableConfig" = "1"

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
"DisableSR" = "1"

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot
Alternate Shell = "C:\explorer.exe"

La siguiente entrada es creada para evitar que los archivos ocultos sean visualizados en el explorador de Windows:

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
UncheckedValue = "0"

Para propagarse por unidades removibles, el gusano crea en cada unidad que es insertada, una carpeta "GAME", y se copia en ella con los siguientes nombres:

\GAME\Bola.exe
\GAME\Crazy Mouse.exe
\GAME\Dark Screen.exe
\GAME\Goncang.exe
\GAME\Kartu.exe
\GAME\Kelap Kelip.exe
\GAME\Layar Jatuh.exe
\GAME\Legend.exe
\GAME\Minesweeper.exe
\GAME\My Heart.exe
\GAME\Pink Panther.exe
\GAME\Smart.exe
\GAME\Start Hide.exe
\GAME\Text Animation.exe
\GAME\XP Button.exe

También intenta copiarse en todos los recursos compartidos en redes.

La página de inicio del Internet Explorer es modificada, para que aparezca un artículo de Wikipedia en inglés.


Reparación manual

NOTA: Esta descripción se aplica a una variante específica de un determinado malware. Pueden existir numerosas versiones, detectadas por ESET NOD32 con el mismo nombre, que no necesariamente realizarán los mismos cambios en el sistema que aquí se describen.


Antivirus

1. Actualice su antivirus. En el caso de ESET NOD32, seleccione el Control Center, Módulos de actualización, NOD32 Update y haga clic en el botón "Actualizar ahora". Compruebe que la versión de firmas de virus sea la misma que aparece en http://www.nod32.com.uy o en http://www.vsantivirus.com/nod32.htm

2. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

3. Borre los archivos temporales como se indica en el siguiente enlace:

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

4. Seleccione la opción "Analizar y Desinfectar automáticamente" en su antivirus. En el caso de ESET NOD32, seleccione Control Center, NOD32 Scanner, haga clic en el botón "NOD32 Scanner", seleccione la casilla "Local", y haga clic en el botón "Analizar y desinfectar".

5. En el caso de NOD32, haga clic en el botón "Desinfectar" cuando aparezca, o en el botón "Eliminar" cuando el botón "Desinfectar" no esté activo. En cualquier otro caso, el antivirus le dará el mensaje "sin acciones" y la limpieza se efectuará al reiniciar.

6. Tome nota del nombre de los archivos desinfectados o eliminados.

7. Reinicie la computadora.

8. Vuelva a ejecutar la opción "Analizar y Desinfectar automáticamente".


Herramienta de reparación del registro:

IMPORTANTE: Debe descargar y ejecutar esta herramienta antes de proceder a editar el registro.

1. Descargue el siguiente archivo:

http://www.videosoft.net.uy/restaurar2.reg

2. Haga doble clic sobre el archivo RESTAURAR2.REG y confirme las modificaciones a realizar.


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\movfile
\shell

3. Borre la carpeta "shell"

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\lnkfile
\shell

5. Borre la carpeta "shell"

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\mpegfile
\shell
\open
\command

7. Haga clic en la carpeta "command" y en el panel de la derecha, busque la entrada "(Predeterminado)" bajo la columna "Nombre". Modifique el valor de "(Predeterminado)" para que aparezca esto:

"wmplayer.exe" /prefetch:9 /Open "%L"

8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".

10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced
\Folder
\SuperHidden

11. Haga clic en la carpeta "SuperHidden" y en el panel de la derecha, busque la entrada "UncheckedValue" bajo la columna "Nombre". Modifique el valor de "UncheckedValue" para que aparezca esto:

"1"

12. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

13. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, busque la entrada "Shell" bajo la columna "Nombre". Modifique el valor de "Shell" para que aparezca solo esto:

"Explorer.exe"

14. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, busque la entrada "Userinit" bajo la columna "Nombre". Modifique el valor de "Userinit" para que aparezca solo esto:

"C:\WINDOWS\system32\userinit.exe,"

15. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Policies
\Microsoft
\Windows NT
\SystemRestore

16. Haga clic en la carpeta "SystemRestore" y en el panel de la derecha, busque las entradas "DisableConfig" y "DisableSR" y bórrelas.

17. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SYSTEM
\CurrentControlSet
\Control
\SafeBoot

18. Haga clic en la carpeta "SafeBoot" y en el panel de la derecha, busque la entrada "Alternate Shell" bajo la columna "Nombre". Modifique el valor de "Alternate Shell" para que aparezca solo esto:

"cmd.exe"

19. Cierre el editor del registro.

20. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Borrar archivos temporales

1. Cierre todas las ventanas y todos los programas abiertos.

2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.

Nota: debe escribir también los signos "%" antes y después de "temp".

3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").

4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.

5. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm


Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet haga clic en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Haga clic en Aceptar, etc.


Información adicional

Mostrar las extensiones y ver todos los archivos
http://www.vsantivirus.com/faq-mostrar-extensiones.htm

Cómo borrar archivos temporales
http://www.vsantivirus.com/faq-borrar-temporales.htm

Cómo restaurar página de inicio y búsqueda en IE
http://www.vsantivirus.com/faq-inicio-busqueda.htm

Utilización de la Consola de Recuperación en Windows XP
http://www.vsantivirus.com/consola-recuperacion-xp.htm

Deshabilitar restauración del sistema en Windows Vista
http://www.vsantivirus.com/faq-winvista.htm

Deshabilitar restauración del sistema en Windows XP
http://www.vsantivirus.com/faq-winxp.htm

Deshabilitar restauración del sistema en Windows Me
http://www.vsantivirus.com/faq-winme.htm





(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com