alice
andrew
brenda
brent
brian
claudia
david
debby
george
helen
james
jerry
jimmy
julie
kevin
linda
maria
michael
peter
robert
sandra
smith
steve

Asunto: [uno de los siguientes]

am shocked about your document!

Are you a spammer? (I found your email on a spammer
website!?!)

Bad Gateway: The message has been attached.

Binary message is available.

Can you confirm it?

Delivered message is attached.

Do not visit these sites!!!

Encrypted message is available.

ESMTP [Secure Mail System #334]: Secure message is
attached.

Mail transaction failed. Partial message is available.

The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment.

The message contains Unicode characters and has been sent
as a binary attachment.

You have visited illegal websites. I have a big list of the
websites you surfed.

You think it's funny? You are stupid idiot!!! I'll send the
attachment to your ISP and then I'll be watching how you
will go to jail, punk!!!

Your credit card was charged for $500 USD. For additional
information see the attachment

Texto del mensaje: [uno de los siguientes]

Ejemplo 1:

Attention! New self-spreading virus!

Be careful, a new self-spreading virus called "RTSW.Smash"
spreading very fast via e-mail and P2P networks. It's about
two million people infected and it will be more.

To avoid your infection by this virus and to stop it we
provide you with full information how to protect yourself
against it and also including free remover. Your can find
it in the attachment.

p 2004 Networks Associates Technology, Inc. All
RightsReserved

Ejemplo 2:

New terms and conditions for credit card holders

Herea new terms and conditions for credit card holders
using a credit cards for making purchase in the Internet in
the attachment. Please, read it carefully. If you are not
agree with new terms and conditions do not use your credit
card in theWorld Wide Web.

Thank you,

The World Bank Group

2004 The World Bank Group, All Rights Reserved

Ejemplo 3:

Thank you for registering at WORLDXXXPASS.COM

All your payment info, login and password you can find in
the attachment file.

It's a real good choise to go to WORLDXXXPASS.COM

Ejemplo 4:

Attention! Your IP was logged by The Internet Fraud
Complaint Center

Your IP was logged by The Internet Fraud Complaint Center.
There was a fraud attempt logged by The Internet Fraud
Complaint Center from your IP. This is a serious crime, so
all records was sent to the FBI.

All information you can find in the attachment. Your IP was
flagged and if there will be anover attemption you will be
busted.

This message is brought to you by the Federal Bureau of
Investigation and the National White Collar Crime Center

Datos adjuntos: [uno de los siguientes]

TMP.ZIP

Este archivo contiene una copia del gusano (LSASRV.EXE), con una doble extensión.

Cuando se ejecuta, abre el Bloc de notas mostrando basura.

Luego, crea los siguientes archivos en el equipo infectado:

c:\windows\system32\iexplor.dll
c:\windows\system32\lsasrv.exe
c:\windows\system32\shlapiw.dll
c:\windows\system32\upd.ini
c:\windows\system32\version.ini

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). 

Crea las siguientes entradas en el registro, las primeras de ellas para autoejecutarse en cada reinicio del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Lsass = "c:\windows\system32\lsasrv.exe"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion
\Image File Execution Options\install.exe
Debugger = "c:\windows\system32\lsasrv.exe"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon
shell = explorer.exe "c:\windows\system32\lsasrv.exe"

HKCU\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\SSavage

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\SSavage

Para propagarse por correo electrónico, el gusano busca direcciones en archivos con las siguientes extensiones:

.adb
.asa
.asc
.asm
.asp
.cgi
.con
.csp
.dbx
.dlt
.dwt
.edm
.hta
.htc
.htm
.inc
.jsp
.jst
.lbi
.php
.rdf
.rss
.sht
.ssi
.stm
.tbb
.tpl
.txt
.vbp
.vbs
.wml
.xht
.xml
.xsd
.xst

Evita enviarse a direcciones que contengan alguna de las siguientes cadenas:

.gov
.mil
arin.
asketst
avp
be_loyal:
berkeley
borlan
bsd
example
fido
foo.
fsf.
gnu
google
gov.
iana
ibm.com
icrosoft
ietf
inpris
isc.o
isi.e
kernel
linux
math
mit.e
mozilla
mydomai
nodomai
panda
pgp
rfc-ed
ripe.
ruslis
secur
sendmail
sopho
syma
tanford.e
unix
usenet
utgers.ed

Para enviar los mensajes infectados con las características antes descriptas, el gusano utiliza su propio motor SMTP.

Mientras se ejecuta, el gusano intenta terminar los siguientes procesos relacionados con conocidos productos de seguridad (antivirus y cortafuegos):

Bagle.v
Microsoft Inet Xp..
MSBLAST.exe
mscvb32.exe
Mydoom.h
Netsky.r
PandaAVEngine
PandaAVEngine.exe
Penis32.exe
Sobig.c
sysinfo.exe
System MScvb
TaskMon
taskmon.exe
teekids.exe
W32.Blaster
W32.Blaster.B
W32.Blaster.C
windows auto update

También puede borrar entradas en el registro relacionadas con otros virus, como Bagle, Blaster, Mydoom, Netsky y Sobig.

Modifica el archivo HOSTS con el siguiente texto, para que los sitios indicados allí no puedan ser accedidos desde una máquina infectada:

127 .0 .0 .1 www .symantec .com
127 .0 .0 .1 securityresponse .symantec .com
127 .0 .0 .1 symantec .com
127 .0 .0 .1 www .sophos .com
127 .0 .0 .1 sophos .com
127 .0 .0 .1 www .mcafee .com
127 .0 .0 .1 mcafee .com
127 .0 .0 .1 liveupdate .symantecliveupdate .com
127 .0 .0 .1 www .viruslist .com
127 .0 .0 .1 viruslist .com
127 .0 .0 .1 www .f-secure .com
127 .0 .0 .1 f-secure .com
127 .0 .0 .1 kaspersky .com
127 .0 .0 .1 kaspersky-labs .com
127 .0 .0 .1 www .avp .com
127 .0 .0 .1 avp .com
127 .0 .0 .1 www .kaspersky .com
127 .0 .0 .1 www .networkassociates .com
127 .0 .0 .1 networkassociates .com
127 .0 .0 .1 www .ca .com
127 .0 .0 .1 ca .com
127 .0 .0 .1 mast .mcafee .com
127 .0 .0 .1 www .my-etrust .com
127 .0 .0 .1 my-etrust .com
127 .0 .0 .1 download .mcafee .com
127 .0 .0 .1 dispatch .mcafee .com
127 .0 .0 .1 secure .nai .com
127 .0 .0 .1 www .nai .com
127 .0 .0 .1 update .symantec .com
127 .0 .0 .1 updates .symantec .com
127 .0 .0 .1 liveupdate .symantec .com
127 .0 .0 .1 customer .symantec .com
127 .0 .0 .1 rads .mcafee .com
127 .0 .0 .1 www .trendmicro .com
127 .0 .0 .1 trendmicro .com
127 .0 .0 .1 www .grisoft .com
127 .0 .0 .1 grisoft .com
127 .0 .0 .1 downloads1 .kaspersky .com
127 .0 .0 .1 downloads2 .kaspersky .com
127 .0 .0 .1 ftp .downloads1 .kaspersky-labs .com
127 .0 .0 .1 updates1 .kaspersky-labs .com
127 .0 .0 .1 updates3 .kaspersky-labs .com
127 .0 .0 .1 updates2 .kaspersky-labs .com

El gusano también intenta copiarse en las carpetas compartidas de las siguientes aplicaciones P2P:

eDonkey2000
iMesh
KaZaa
LimeWire
Morpheus

Para ello utiliza nombres como los siguientes (entre otros):

activation_crack.exe
Ad-awareref01R344.exe
adultsitespasswds.exe
dcom_patch.exe
icq2004-final.exe
K-LiteCodecPack2.32a.exe
NeroBROM6.3.1.25.exe
porno.exe
winamp5.exe
winxp_sp2patch.exe

Abre una puerta trasera en el equipo infectado, e intenta conectarse a un sitio remoto, quedando a la espera de comandos para ejecutar a nivel local acciones como las siguientes:

- Actualizar el propio gusano
- Borrar el gusano del equipo infectado
- Descargar y/o ejecutar archivos
- Finalizar la ejecución del gusano
- Obtener información de la versión del gusano

Reparación manual

Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.

4. Borre todos los archivos detectados como infectados.


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".

Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\SSavage

3. Haga clic en la carpeta "SSavage" y bórrela.

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Image File Execution Options
\install.exe

5. Haga clic en la carpeta "install.exe", y en el panel de la derecha, bajo la columna "Datos", busque y borre la siguiente entrada:

Debugger = "c:\windows\system32\lsasrv.exe"

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

7. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, busque la siguiente entrada bajo la columna "Nombre":

Shell

8. Modifique el valor de "Shell" para que aparezca solo esto:

Shell = Explorer.exe

9. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\SSavage

10. Haga clic en la carpeta "SSavage" y bórrela.

11. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

12. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre la siguiente entrada:

Lsass = "c:\windows\system32\lsasrv.exe"

13. Grabe los cambios y salga del bloc de notas

14. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com