De: lindaflorcita__22@hotmail.com
Asunto: Espero que te llege a tiempo...
Datos adjuntos: BuenasNuevas.doc.pif

Texto:

Hola, no sabes cuantas buenas y malas noticias te
tengo que dar, al ser tantas la escribo en un
documento, que esta adjunto a este mail, espero
que lo leas y me des animospara afrontar estos
ultimos hechos...

En el adjunto, la segunda extensión queda oculta en una instalación por defecto de Windows, vea en las referencias "Mostrar las extensiones verdaderas de los archivos".

Cuando se ejecuta, el gusano borra los siguientes archivos, pertenecientes a varias 
herramientas de Windows (editor de registro, comprobador del registro, programa de 
configuración del sistema, etc.):

c:\windows\regedit.exe
c:\windows\scanregw.exe
c:\windows\system\msconfig.exe
c:\windows\system\sfc.exe

Crea las siguientes carpetas:

c:\edonkey2000\incoming
c:\icq\shared files
c:\kazaa\my shared folder

Y se copia en ellas con los siguientes nombres:

º c:\edonkey2000\incoming\

age_of_mythology_crack.exe
hotmail_mail_hack.exe
listado de msica 2003.exe
norton and mcaffe antivirus 2003 keygen crack.exe.exe

º c:\icq\shared files\

hotmail_hack_guide.exe
music 2003 list.exe
norton and mcaffe antivirus 2003 keygen crack.exe
shakira and britney screen saver 2003.scr

º c:\kazaa\my shared folder\

hotmail hack crack 2003.exe
listado de msica 2003.com
norton and mcaffe antivirus 2003 keygen crack.exe
shakira and britney screen saver.scr

También se copia a si mismo con los siguientes nombres y ubicaciones, incluida la unidad de disquetes:

a:\horoscopo2003.exe
a:\instalar.exe
a:\install.exe
a:\setup.exe

c:\archivos de programa\perav\download.exe
c:\archivos de programa\perav\pav.exe
c:\archivos de programa\perav\pavmail.exe
c:\archivos de programa\perav\per.exe
c:\archivos de programa\perav\perupd.exe
c:\archivos de programa\perav\tskwizar.exe
c:\archivos de progrma\perav\instalar.exe

c:\archivos de programa\the hacker\th32.exe
c:\archivos de programa\the hacker\th32upd.exe
c:\archivos de programa\the hacker\thav.exe
c:\archivos de programa\the hacker\thmail.exe
c:\archivos de programa\the hacker\uninst.exe

c:\autoexec.com
c:\buenasnuevas.doc.pif

c:\mis documentos\brucelee.com
c:\mis documentos\noleer.bat
c:\mis documentos\shakira.scr

c:\windows\escritorio\webcams.pif
c:\windows\ghost_vrl.worm
c:\windows\regedit.exe

c:\windows\system.com
c:\windows\system\curvas y colores.scr
c:\windows\system\curvas y colores.scr
c:\windows\system\figuras en 3d.scr
c:\windows\system\figuras en 3d.scr
c:\windows\system\formas y figuras.scr
c:\windows\system\formas y figuras.scr
c:\windows\system\laberinto 3d.scr
c:\windows\system\laberinto 3d.scr
c:\windows\system\marquesina desplazndose.scr
c:\windows\system\marquesina desplazndose.scr
c:\windows\system\mis imgenes.scr
c:\windows\system\mis imgenes.scr
c:\windows\system\msconfig.exe
c:\windows\system\objetos 3d.scr
c:\windows\system\objetos 3d.scr
c:\windows\system\pantalla neutra.scr
c:\windows\system\pantalla neutra.scr
c:\windows\system\regsrv32.com
c:\windows\system\texto 3d.scr
c:\windows\system\texto 3d.scr
c:\windows\system\tuberas 3d.scr
c:\windows\system\tuberas 3d.scr
c:\windows\system\volando por el espacio.scr
c:\windows\system\volando por el espacio.scr
c:\windows\system\windows volando.scr
c:\windows\system\windows volando.scr

d:\ghost.exe

d:\win98se\instalar.exe
d:\win98se\install.exe
d:\win98se\setup.exe

e:\win98se\instalar.exe
e:\win98se\install.exe
e:\win98se\setup.exe

f:\win98se\instalar.exe
f:\win98se\install.exe
f:\win98se\setup.exe

Cuando se ejecuta, agrega las siguientes entradas en el registro:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunService
[nombre del ejecutable] = c:\windows\system\regsrv32.com
REGEDIT = c:\windows\system\regsrv32.com

Modifica el archivo C:\WINDOWS\SYSTEM.INI:

[boot]
shell=explorer.exe system.com
screensave.exe=c:\windows\system\texto 3d.scr

Luego, se envía como adjunto a usuarios de Windows Messenger y MSN Messenger, en un correo como el ya descripto.


Reparación manual

Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados por el virus.

4. Recupere de un respaldo, los siguientes archivos:

c:\windows\regedit.exe
c:\windows\scanregw.exe
c:\windows\system\msconfig.exe
c:\windows\system\sfc.exe

Nota: Debido a que las herramientas de recuperación pueden haber sido borradas (MSCONFIG, SFC), la recuperación de un sistema deberá intentarse con alguno de los siguientes métodos:

a. Recuperar de alguna copia de respaldo anterior

b. Copiar dichos archivos de una máquina limpia con la misma versión del sistema operativo

c. Reinstalar Windows desde un CD, seleccionando la misma carpeta para no perder la instalación anterior (Windows 95, 98 y Me), o la opción REPARAR (Windows 2000, XP).


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunService

3. Pinche en la carpeta "RunService" y en el panel de la derecha, bajo la columna "Datos", busque y borre las entradas que contengan el siguiente nombre de archivo:

c:\windows\system\regsrv32.com

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Modificar SYSTEM.INI

Usuarios de Windows Me solamente:

En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo SYSTEM.INI en la carpeta C:\Windows\Recent.

Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre SYSTEM.INI. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos.

1. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.

2. Busque lo siguiente:

[boot]
shell=explorer.exe system.com
screensave.exe=c:\windows\system\texto 3d.scr

3. Borre la línea "screensave.exe=c:\windows\system\texto 3d.scr", y modifique la línea que comienza con "shell" para que se muestre así:

shell=explorer.exe

4. Grabe los cambios y salga del bloc de notas


Información adicional

Habilitando la protección antivirus en KaZaa

Desde la versión 2.0, KaZaa ofrece la opción de utilizar un software antivirus incorporado, con la intención de proteger a sus usuarios de la proliferación de gusanos que utilizan este tipo de programas.

Habilitando la protección antivirus en KaZaa
http://www.vsantivirus.com/kazaa-antivirus.htm


Sobre las redes de intercambio de archivos

Si usted utiliza algún software de intercambio de archivos entre usuarios (P2P), debe ser estricto para revisar con dos o más antivirus actualizados, cualquier clase de archivo descargado desde estas redes antes de ejecutarlo o abrirlo en su sistema.

En el caso que el programa incorpore alguna protección antivirus (como KaZaa), habilitarla es una opción aconsejada, pero los riesgos de seguridad en el intercambio de archivos siempre estarán presentes, por lo que se deben tener en cuenta las mismas precauciones utilizadas con cualquier otro medio de ingreso de información a nuestra computadora (correo electrónico, descargas de programas desde sitios de Internet, etc.).

De cualquier modo, recuerde que la instalación de este tipo de programas, puede terminar ocasionando graves problemas en la estabilidad del sistema operativo.

Debido a los riesgos de seguridad que implica, se desaconseja totalmente su uso en ambientes empresariales, donde además es muy notorio e improductivo el ancho de banda consumido por el programa.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com