Asunto: UPDATE
Datos adjuntos: ICQ2003a.exe (438 KB)

Texto del mensaje:

ICQ Pro 2003a beta build 3800 popular pick
----------------------------------------------------------------------
Download Now Free download 3.79MB 
More download links
Downloads: 226,715,753 
Publisher: ICQ 
Date added: March 30, 2003
File size: 3.79MB; Clock this download 
License: Free 
Minimum requirements: Windows (all) 
Uninstaller included?: Yes 

----------------------------------------------------------------------
Publisher's Description 
ICQ Pro 2003a is the latest release of ICQ, the
instant-messaging program that lets you communicate
with friends and colleagues in real time. To seek
out a friend on the ICQ network, simply enter his
or her ICQ number, name, nickname, or e-mail address.
Once your contact list is set up, you'll be notified
when your friends are online so you can chat; send
instant messages, files, and URLs; play games; or
just hang out.
ICQ Pro 2003a includes ICQphone, a feature that
incorporates IP telephony functions into the ICQ
program. Users can initiate and participate in
PC-to-PC and PC-to-phone calls. In addition, users
can also utilize SMS technology, send wireless-pager
messages, view up-to-date information on ICQ
channels, and integrate ICQ with Outlook. 
With the latest version of ICQ, you can move
instantly from the Pro to Lite versions just by
clicking "Switch to ICQ lite" from the Main menu,
and the shared ICQ preferences and password make
it easy to move between Lite and Pro versions
without losing your settings. Other new features
include improved e-mail integration and user
interface, enhanced integration with Windows XP,
automatic firewall detection, and the new Search
Google window which allows you instant access to
Google searches through the ICQ interface, plus
much more. For a complete list of new features,
visit the ICQ New Features page.

Cuando se ejecuta, el gusano crea los siguientes archivos en la carpeta System de Windows:

c:\windows\system\Svch0st.exe
c:\windows\system\Winsocks.dll

Estos archivos son creados con los atributos de oculto (+H) y sistema (+S). El ejecutable es borrado luego.

NOTA: "C:\Windows\System" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP y Windows Server 2003).

Existe un archivo "Svchost.exe" legítimo en algunas versiones de Windows. Sin embargo el del gusano contiene un número CERO en lugar de la letra O: "Svch0st.exe".

Algo similar ocurre con "Winsock.dll" (legítimo), y el componente creado por el gusano "Winsocks.dll", que difiere en una sola letra (una "S" más).

El gusano modifica el registro para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
winsock = c:\windows\system\Svch0st.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
winsock = c:\windows\system\Svch0st.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
winsock = c:\windows\system\Svch0st.exe

HKU\Win98\Software\Microsoft\Windows\CurrentVersion\Run
winsock = c:\windows\system\Svch0st.exe

También modifica el registro, para que se ejecute el gusano cada vez que un archivo con extensión .EXE sea utilizado por el usuario o por el sistema:

HKCR\exefile\shell\open\command
(Predeterminado) = c:\windows\system\Svch0st.exe "%1" %*

HKLM\Software\CLASSES\exefile\shell\open\command
(Predeterminado) = c:\windows\system\Svch0st.exe "%1" %*

En sistemas con Windows 95, 98 o Me, el gusano también modifica el archivo WIN.INI para ejecutarse al reiniciarse Windows:

[windows]
run = c:\windows\system\Svch0st.exe

Reparación manual

Primero debe renombrar el archivo REGEDIT.EXE como REGEDIT.COM, ya que la extensión .EXE está asociada al troyano, y éste se volvería a cargar si ejecutamos REGEDIT en forma normal.

1. Ejecute un antivirus actualizado y anote los archivos del troyano detectados

2. Desde Inicio, Ejecutar, teclee lo siguiente (puede usar cortar y pegar) y pulse Enter:

Command /c Rename C:\Windows\Regedit.exe Regedit.com

Si Windows no está instalado en C:\WINDOWS, debe cambiar esta referencia (Ej: C:\NOMBRE\REGEDIT.EXE, etc.).

3. Desde Inicio, Ejecutar, teclee REGEDIT.COM y pulse Enter

4. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Classes
\exefile
\shell
\open
\command

5. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

Nombre                    Datos
(Predeterminado)   c:\windows\system\Svch0st.exe "%1" %*

6. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del cargador (c:\windows\system\Svch0st.exe) y dejar en "Datos" solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

Nombre                    Datos
(Predeterminado)    "%1" %*

7. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\exefile
\shell
\open
\command

8. Pinche sobre la carpeta "command". En el panel de la derecha debería ver algo como:

Nombre                    Datos
(Predeterminado)   c:\windows\system\Svch0st.exe "%1" %*

9. Pinche sobre "(Predeterminado)" y en Información del valor, debe borrar el nombre del cargador (c:\windows\system\Svch0st.exe) y dejar en "Datos" solo esto (comillas, porcentaje, uno, comillas, espacio, porcentaje, asterisco):

Nombre                    Datos
(Predeterminado)    "%1" %*

10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

11. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

winsock

12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

13. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

winsock

14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\RunServices

15. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

winsock

16. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_USERS
\Win98
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

17. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

winsock

18. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Editar el archivo WIN.INI

1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

2. Busque lo siguiente:

[windows]
run = c:\windows\system\Svch0st.exe

Debe quedar como:

[windows]
run=

3. Grabe los cambios y salga del bloc de notas.

4. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\system\Svch0st.exe
c:\windows\system\Winsocks.dll

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com