C:\Windows\System\cmd32.exe
C:\Windows\System\system32.exe
C:\Windows\System\winsys.exe

Y de acuerdo a la versión del gusano, crea también uno de los siguientes archivos:

C:\Windows\System\Tanked.11
C:\Windows\System\Tanked.13
C:\Windows\System\Tanked.14

"C:\Windows\System" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP).

Las claves agregadas al registro, de acuerdo al archivo dependen de la versión del gusano:

Tanked.11:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SystemSAS = system32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
SystemSAS = system32.exe

Tanked.13:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WinSys = winsys.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
WinSys = winsys.exe

Tanked.14:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
CMD = cmd32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
CMD = cmd32.exe

El gusano se copia también en el directorio compartido del KaZaa con los siguientes nombres:

ACDSee 5.5.exe
Ad-aware 6.5.exe
Age of Empires 2 crack.exe
Animated Screen 7.0b.exe
Anno 1503_crack.exe
AOL Instant Messenger.exe
AquaNox2 Crack.exe
Audiograbber 2.05.exe
BabeFest 2003 ScreenSaver 1.5.exe
Babylon 3.50b reg_crack.exe
Battlefield1942_bloodpatch.exe
Battlefield1942_keygen.exe
Business Card Designer Plus 7.9.exe
C&C Generals_crack.exe
C&C Renegade_crack.exe
Clone CD 5.0.0.3 (crack).exe
Clone CD 5.0.0.3.exe
Coffee Cup Free HTML 7.0b.exe
Cool Edit Pro v2.55.exe
Diablo 2 Crack.exe
DirectDVD 5.0.exe
DirectX Buster (all versions).exe
DirectX InfoTool.exe
DivX Video Bundle 6.5.exe
Download Accelerator Plus 6.1.exe
DVD Copy Plus v5.0.exe
DVD Region-Free 2.3.exe
FIFA2003 crack.exe
Final Fantasy VII XP Patch 1.5.exe
Flash MX crack (trial).exe
FlashGet 1.5.exe
FreeRAM XP Pro 1.9.exe
GetRight 5.0a.exe
Global DiVX Player 3.0.exe
Gothic 2 licence.exe
GTA 3 Crack.exe
GTA 3 patch (no cd).exe
Guitar Chords Library 5.5.exe
Hitman_2_no_cd_crack.exe
Hot Babes XXX Screen Saver.exe
ICQ Lite (new).exe
ICQ Pro 2003a.exe
ICQ Pro 2003b (new beta).exe
iMesh 3.6.exe
iMesh 3.7b (beta).exe
IrfanView 4.5.exe
KaZaA Hack 2.5.0.exe
KaZaA Lite (New).exe
KaZaA Speedup 3.6.exe
Links 2003 Golf game (crack).exe
Living Waterfalls 1.3.exe
Mafia_crack.exe
Matrix Screensaver 1.5.exe
MediaPlayer Update.exe
mIRC 6.40.exe
mp3Trim PRO 2.5.exe
MSN Messenger 5.2.exe
NBA2003_crack.exe
Need 4 Speed crack.exe
Nero Burning ROM crack.exe
Netfast 1.8.exe
Network Cable e ADSL Speed 2.0.5.exe
Neverwinter_Nights_licence.exe
NHL 2003 crack.exe
Nimo CodecPack (new) 8.0.exe
PalTalk 5.01b.exe
Popup Defender 6.5.exe
Pop-Up Stopper 3.5.exe
QuickTime_Pro_Crack.exe
Serials 2003 v.8.0 Full.exe
SmartFTP 2.0.0.exe
SmartRipper v2.7.exe
Space Invaders 1978.exe
Splinter_Cell_Crack.exe
Steinberg_WaveLab_5_crack.exe
Trillian 0.85 (free).exe
TweakAll 3.8.exe
Unreal2_bloodpatch.exe
Unreal2_crack.exe
UT2003_bloodpatch.exe
UT2003_keygen.exe
UT2003_no cd (crack).exe
UT2003_patch.exe
WarCraft_3_crack.exe
Winamp 3.8.exe
WindowBlinds 4.0.exe
WinOnCD 4 PE_crack.exe
WinZip 9.0b.exe
Yahoo Messenger 6.0.exe
Zelda Classic 2.00.exe

El gusano genera además un troyano de acceso remoto que se conecta a través del IRC, y que permite que un atacante tome el control de la máquina infectada. Abre para ello dos puertos TCP y UDP al azar para conectarse con el atacante.

Queda entonces a la espera de comandos, utilizando su propio canal de IRC. No es necesario que exista un cliente de IRC en la máquina infectada.

Los comandos recibidos permiten al atacante remoto realizar cualquiera de las siguientes acciones (se requiere autentificación por contraseña):

1. Actualizar el virus descargándose una nueva versión
2. Enviar información acerca del equipo infectado (la velocidad de la CPU, memoria, sistema operativo, tipo de conexión a Internet, la IP local etc....)
3. Enviar información acerca de los programas instalados
4. Ejecutar comandos específicos de IRC, incluyendo ataques de otros usuarios en el servidor de chat.
5. Controlar el cliente IRC implementado en el propio gusano.
6. Enviar el troyano a través de otros canales de IRC, infectando a otros usuarios.
7. Descargar y ejecutar cualquier otra clase de archivos, incluso virus.
8. Realizar ataques de denegación de servicio (D.o.S) a un blanco seleccionado por el atacante.
9. Desinstalarse a si mismo del sistema infectado.

Cada variante del código del gusano, contiene uno de los siguientes textos:

Tanked.11:

T~Drone.11
t69 [sd]v0.5b TankEd.11
[sd]v0.5b TankEd.11 by [sd]

Tanked.13:

T~Drone.13
t69 [sd]v0.5b TankEd.13
[sd]v0.5b TankEd.13 by [sd]

Tanked.14:

T~Drone.14
t69 [sd]v0.5b TankEd.14
[sd]v0.5b TankEd.14 by [sd]

Reparación manual

Deshabilitar las carpetas compartidas de KaZaa

Se recomienda deshabilitar las carpetas compartidas de este programa, hasta haber quitado el gusano del sistema, para prevenir su propagación.

Para ello, proceda así:

1. Ejecute KaZaa.

2. Seleccione en la barra del menú la opción: "Tools" > "Options".

3. Deshabilite las carpetas compartidas (Shared Kazaa folders) bajo la lengüeta "Traffic".

4. Pinche en "Aceptar", etc.


Deshabilitar las carpetas compartidas en iMesh

1. Ejecute iMesh

2. Seleccione "Options" del menú "Preferences".

3. En la ventana de "Category" seleccione "Share" y desmarque la casilla "Allow other users to view my shared files option".

4. Seleccione el menú "Media Manager" y busque en la lista de carpetas, todas las que tengan una casilla grisácea a la derecha del nombre. Márquelas para que dejen de estar grisáceas, y luego desmárquela para que quede en blanco. Repítalo con todas las carpetas y subcarpetas que allí encuentre.

5. Pinche en "Aceptar", etc.


Antivirus

Para reparar la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por el virus

4. Con el Explorador de Windows, borre los siguientes archivos (no todos aparecen):

C:\Windows\System\cmd32.exe
C:\Windows\System\system32.exe
C:\Windows\System\winsys.exe
C:\Windows\System\Tanked.11
C:\Windows\System\Tanked.13
C:\Windows\System\Tanked.14
C:\Windows\UserTemp\ [borre la carpeta "UserTemp"]

5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

7. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre las siguientes entradas (aparece normalmente una u otra):

SystemSAS
WinSys

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

9. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre las siguientes entradas (aparece normalmente una u otra):

SystemSAS
WinSys

10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\krypton

11. Pinche en la carpeta "krypton" y bórrela.

12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Kazaa
\LocalContent

13. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp

14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\iMesh
\Client
\LocalContent

15. Pinche en la carpeta "LocalContent" y borre todos las entradas del tipo:

dir0 = 012345:C:\Windows\UserTemp
dir1 = 012345:C:\Windows\UserTemp

16. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

17. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com