Look at this!!! Microsoft svchost Patch:
Please run a search on your computer for the file
name SVCHOST.EXE if this file is found on your
system run the update patch provided in the
attatchment of this email.
Regards,
Adam Voldran
MSUpdate Devision
Microsoft Corp.

Cuando se ejecuta el adjunto de este mensaje, el gusano se copia en los siguientes directorios:

c:\
c:\winnt\
c:\windows\

Utilizando los siguientes nombres:

_backup.exe
_backup.exe.exe
5283952.exe
6BDD1FC1-810F-11D0-BEC7-08002BE2092F.EXE
CHANNEL_UKVX(undernet).exe
elkern_UPS_23913.exe
HI_KIRSTY.exe
I_AM_A_WORM_DONT_OPEN_ME_LOL.exe
INFECT_YOUR_COMPUTER_NOW(hehe).exe
ITS_A_BOMB.exe
massive_head_injury.jpg.exe
MS_UPDATE_(126).exe
oleaut32.exe
QuickTimeUpdateHelper.exe
svchost.exe
swflash.exe
SYMTEM.exe
SYMTEM_(Writen_by_INDUSTRY).exe
up(21379123).exe
WINDOWS_XP.exe
x86_Microsoft_Windows_CPlusPlusRuntime_6595b64144ccf1df_x-ww_2726e76a.exe
x86_Microsoft_Windows_Networking_Dxmrtp_6595b64144ccf1df_4868_x-ww_212f7d9e.exe
x86_Microsoft_Windows_Networking_RtcDll_6595b64144ccf1df_4868_x-ww_b168a28c.exe

También se copia en las siguientes ubicaciones, con los siguientes nombres:

C:\Documents and Settings\All Users\Documents\SYMTEM.EXE
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\SYMTEM.EXE
C:\Windows\All Users\Start Menu\Programs\Startup\SYMTEM.EXE

Además, sobrescribe los siguientes archivos:

C:\Program Files\Common Files\InstallShield\Engine\6\Intel 32\Ikernel.exe
C:\Program Files\NetMeeting\conf.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Common Files\Microsoft Shared\MSInfo\msinfo32.exe

Agrega la siguiente entrada al registro:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Swf32 = C:\_backup.exe

Luego, envía a todos los contactos de la libreta de direcciones del Outlook y Outlook Express, mensajes que crea a partir de los siguientes elementos:

Asunto: Partes [1]+[2]+[3]+[4] de las siguientes listas:

Lista [1]:

Fwd :
Re:
RE: RE:

Lista [2]:

Look at
New
Open
This is cool
Watch out

Lista [3]:

MSPatch
Patch
Program
update

Lista [4]:

(237813)
(23781)
(2378)
(237)

Ejemplos:

RE: RE: This is cool Patch (2378)
Fwd : New Program (237813)

Texto del mensaje:

Look at this!!! Microsoft svchost Patch:
Please run a search on your computer for the file
name SVCHOST.EXE if this file is found on your
system run the update patch provided in the
attatchment of this email.
Regards,
Adam Voldran
MSUpdate Devision
Microsoft Corp.

Datos adjuntos [uno de los siguientes]:

5283952.exe
6BDD1FC1-810F-11D0-BEC7-08002BE2092F.EXE
CHANNEL_UKVX(undernet).exe
elkern_UPS_23913.exe
HI_KIRSTY.exe
I_AM_A_WORM_DONT_OPEN_ME_LOL.exe
INFECT_YOUR_COMPUTER_NOW(hehe).exe
ITS_A_BOMB.exe
massive_head_injury.jpg.exe
MS_UPDATE_(126).exe
oleaut32.exe
QuickTimeUpdateHelper.exe
svchost.exe
swflash.exe
SYMTEM_(Writen_by_INDUSTRY).exe
up(21379123).exe
WINDOWS_XP.exe
x86_Microsoft_Windows_CPlusPlusRuntime_6595b64144ccf1df_x-ww_2726e76a.exe
x86_Microsoft_Windows_Networking_Dxmrtp_6595b64144ccf1df_4868_x-ww_212f7d9e.exe
x86_Microsoft_Windows_Networking_RtcDll_6595b64144ccf1df_4868_x-ww_b168a28c.exe

Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Nota: Los archivos sobrescritos deberán ser reinstalados o copiados de un respaldo anterior. Sugerimos que se llame a un servicio técnico especializado para realizar estas tareas si no desea arriesgarse a perder información valiosa de su computadora.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Swf32

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com