.at
.ch
.de
.li

También los envía en alemán si existe la cadena GMX en el dominio (ej: gmx.com, gmx.de, gmx.net). En cualquier otro caso, los envía en inglés.

Mensaje en inglés:

Asunto: I've_got your EMail on my_account!

Texto del mensaje:

Hello,
First, Very Sorry for my bad English.
Someone is sending your private e-mails on my address.
It's probably an e-mail provider error!
At time, I've got over 10 mails on my account, but the
recipient are you.
I have copied all the mail text in the windows
text-editor for you & zipped then.
Make sure, that this mails don't come in my mail-box
again.

bye

Datos adjuntos: your_text.zip

Mensaje en alemán:

Asunto: FwD: Ich bin's nochmal

Texto del mensaje:

Verdammt,,,,
ich hatte vergessen Dir meinen Text mitzuschicken.
Aber bitte nicht woanders darueber Reden, ich wuerde
mich dann zu Tode blamieren!
Ich melde mich.

Bis bald ;)

Datos adjuntos: Private-Texte.zip

El archivo .ZIP contiene el ejecutable del gusano.

Ejemplo:

mail.document.Datex-packed.exe

El gusano solo se ejecuta cuando el usuario hace doble clic sobre el adjunto. Cuando ello sucede, abre el editor de texto por defecto (por ejemplo el bloc de notas), para hacer creer al usuario que se trata de un archivo inofensivo, mostrando un mensaje falso:

UnPack failed

fvzqztgjqfq}pmlbbglfoqrehrtsutqwfyhjwlzxuza
fvzqztgjqfq}pmlbbglfoqrehrtsutqwfyhjwlzxuza

fvzqztgjqfq}pmlbbglfoqrehrtsutqwfyhjwlzxuza
fvzqztgjqfq}pmlbbglfoqrehrtsutqwfyhjwlzxuza

[etc...]

Cuando se ejecuta, el gusano crea una copia de si mismo en la siguiente ubicación:

c:\windows\Config\system\services.exe

NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.). La carpeta "system" dentro de "\windows\Config\" es creada por el gusano.

También crea los siguientes archivos, los cuáles son utilizados para almacenar la lista de direcciones a las que se envía, y la versión comprimida del gusano en formato MIME para adjuntarse en los mensajes infectados:

C:\Windows\Config\system\maddys.xyz
C:\Windows\Config\system\zipped.wrm

También crea los siguientes archivos, u otros con nombres al azar:

C:\Windows\system32\adcmmmmq.hjg
C:\Windows\system32\langeinf.lin
C:\Windows\system32\nonrunso.ber
C:\Windows\system32\xcvfpokd.tqa

Ocasionalmente puede crear el siguiente archivo de texto:

C:\Documents and Settings\[usuario]\Local Settings
\Temp\mail.document.Datex-packed.txt

Donde [usuario] en Windows XP, es el nombre del usuario actual.

Crea las siguientes entradas para auto ejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
_SystemCheck = c:\windows\Config\system\services.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SystemCheck = c:\windows\Config\system\services.exe

El gusano utiliza su propio motor SMTP (Simple Mail Transfer Protocol), para enviarse en forma masiva.

Obtiene las direcciones de archivos con las siguientes extensiones:

.abc
.abd
.abx
.adb
.ade
.adp
.adr
.asp
.bak
.bas
.cfg
.cgi
.cls
.cms
.csv
.ctl
.dbx
.dhtm
.doc
.dsp
.dsw
.eml
.fdb
.frm
.hlp
.imb
.imh
.imm
.inbox
.ini
.jsp
.ldb
.ldif
.log
.mbx
.mda
.mdb
.mde
.mdw
.mdx
.mht
.mmf
.msg
.nab
.nch
.nfo
.nsf
.nws
.ods
.oft
.php
.phtm
.pl
.pmr
.pp
.ppt
.pst
.rtf
.shtml
.slk
.sln
.stm
.tbb
.txt
.uin
.vap
.vbs
.vcf
.wab
.wsh
.xhtml
.xls
.xml

Evita enviarse a direcciones cuyos nombres contengan algunas de las siguientes cadenas:

.dial.
.ppp.
.qmail@
@arin
@avp
@ca.
@example.
@foo.
@from.
@gmetref
@iana
@ikarus.
@kaspers
@messagelab
@nai.
@panda
@smtp.
@sophos
@www
abuse
antivir
anyone
anywhere
bellcore.
bitdefender
clock
-dav
detection
domain.
emsisoft
ewido.
freeav
free-av
ftp.
host.
icrosoft.
law2
linux
mailer-daemon
mustermann@
nlpmail01.
noreply
nothing
reciver@
secure
smtp-
somebody
someone
spybot
sql.
user@
variabel
verizon.
viren
virus
whatever@
whoever@
winrar
winzip
you@
yourname

Intenta terminar cualquier proceso que contenga alguna de las siguientes cadenas:

asw*.tmp
chp*.tmp
mrt.exe

El gusano mantiene tres procesos activos en memoria para permanecer siempre residente. Si se elimina cualquiera de ellos, los demás crean un nuevo proceso. Algunos de los archivos copiados en el sistema se encargan de monitorear esto, y de crear de inmediato una nueva copia, por lo que la limpieza manual debe hacerse en modo a prueba de fallos (la herramienta de limpieza automática de NOD32 elimina eficazmente los tres procesos sin necesidad de ninguna acción extra).

El gusano intenta conectarse periódicamente a un servidor FTP por el puerto standar (TCP/21).

Si la computadora no está conectada a Internet, intentará conectarse utilizando la conexión telefónica predeterminada.


Herramienta de limpieza automática:

Descargue y ejecute esta herramienta de NOD32 en su computadora, para una limpieza automática de la misma. Siga las instrucciones en pantalla.

http://www.nod32.it/cgi-bin/mapdl.pl?tool=Sober

Herramienta de limpieza (c) Future Time Srl


Reparación manual

Antivirus

Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre todos los archivos detectados como infectados.


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre la carpeta SYSTEM dentro de "c:\windows\Config\":

c:\windows\Config\SYSTEM

NOTA: Tenga cuidado de no borrar c:\windows\SYSTEM\, que es una carpeta legítima de Windows.

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares a los descriptos antes.


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Haga clic en la carpeta "Run" y borre la siguiente entrada:

_SystemCheck

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

5. Haga clic en la carpeta "Run" y borre la siguiente entrada:

SystemCheck

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm





(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com