Asunto: Speed up your connection!
Datos adjuntos: t_dsl.exe

Texto:

Speed up your connection up to 2 times faster!
windows xp/2000/9x

Cuando se ejecuta, se copia con los siguientes nombres:

c:\windows\system\nabv32.exe
\mirc\icq2004.exe

NOTA: "C:\Windows\System" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP y Windows Server 2003).

La carpeta "\mirc" dependerá del directorio donde se haya instalado este programa (mIRC).

El gusano crea la carpeta "GotITFolder" dentro de System:

c:\windows\system\GotITFolder\

Luego se copia allí con nombres seleccionados al azar.

Agrega las siguientes entradas al registro, para autoejecutarse en cada reinicio:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
anbv32 = c:\windows\system\nabv32.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
anbv32 = c:\windows\system\nabv32.exe

Crea el siguiente archivo en la carpeta de instalación del mIRC:

\mirc\Scri1.ini

Utiliza dicho archivo para propagarse con el nombre de ICQ2004.EXE en los canales de chat visitados, utilizando transferencias DCC (Direct Client to Client). Los archivos enviados entre usuarios participantes de un canal de chat (IRC) se transmiten por medio de una sesión denominada DCC (Direct Client to Client), que permite la transferencia directa de los mismos.

También envía el mensaje electrónico descripto antes, a todos los contactos de la libreta de direcciones del Outlook y Outlook Express.

El gusano intenta además, descargar algunos archivos desde un sitio Web específico.

Además, intentará borrar los siguientes archivos, casi todos pertenecientes a conocidos antivirus y otro software de seguridad, como cortafuegos, etc.:

_Avpcc.exe
_Avpm.exe
Ackwin32.exe
Agentsvr.exe
Ahnsd.exe
Alogserv.exe
Amon9x.exe
Anti-Trojan.exe
Antivirus.exe
Ants.exe
Apimonitor.exe
Aplica32.exe
Apvxdwin.exe
Atcon.exe
Atguard.exe
Atupdater.exe
Atwatch.exe
Autodown.exe
Autotrace.exe
Avconsol.exe
Avgcc32.exe
Avgctrl.exe
Avgserv.exe
Avgserv9.exe
Avgserv9schedapp.exe
Avgw.exe
Avkpop.exe
Avkserv.exe
Avkservice.exe
Avkwcl9.exe
Avkwctl9.exe
Avp.exe
Avp32.exe
Avpcc.exe
Avpexec.exe
Avpinst.exe
Avpm.exe
Avrescue.exe
Avsynmgr.exe
Avwinnt.exe
Avxmonitor9x.exe
Avxmonitornt.exe
Avxquar.exe
Avxw.exe
Bd_Professional.exe
Bidef.exe
Bidserver.exe
Bipcp.exe
Bisp.exe
Blackd.exe
Blackice.exe
Bootwarn.exe
Borg2.exe
Bs120.exe
Cdp.exe
Cdp.exe
Cfiadmin.exe
Cfiaudit.exe
Cfinet.exe
Cfinet32.exe
Claw95.exe
Claw95cf.exe
Clean.exe
Cleaner.exe
Cleaner3.exe
Cleanpc.exe
Cmgrdian.exe
Cmon016.exe
Connectionmonitor.exe
Cpf9x206.exe
Defscangui.exe
Defwatch.exe
Deputy.exe
Doors.exe
Dpf.exe
Drwatson.exe
Drweb32.exe
Efpeadm.exe
Escanh95.exe
Escanhnt.exe
Escanv95.exe
Etrustcipe.exe
Evpn.exe
Exantivirus-Cnet.exe
Expert.exe
F-Agnt95.exe
Fameh32.exe
Fast.exe
Fch32.exe
Fih32.exe
Firewall.exe
Fix-It.exe
Flowprotector.exe
Fnrb32.exe
F-Prot.exe
F-Prot95.exe
Fp-Win.exe
Fp-Win_Trial.exe
Frw.exe
Fsaa.exe
Fsav32.exe
Fsav95.exe
Fsave32.exe
Fsgk32.exe
Fsm32.exe
Fsma32.exe
Fsmb32.exe
F-Stopw.exe
Fwenc.exe
Gbmenu.exe
Gbpoll.exe
Generics.exe
Guard.exe
Guarddog.exe
Ifw2000.exe
Iomon98.exe
Iparmor.exe
Iris.exe
Jammer.exe
Ldpromenu.exe
Ldscan.exe
Localnet.exe
Lockdown.exe
Lockdown2000.exe
Mcagent.exe
Mcshield.exe
Mcshieldvvstat.exe
Mctool.exe
Mcvsrte.exe
Mcvsshld.exe
Mgavrtcl.exe
Mgavrte.exe
Mgui.exe
Minilog.exe
Monitor.exe
Monsys32.exe
Monsysnt.exe
Mrflux.exe
Msinfo32.exe
Mxtask.exe
Navapw32.exe
Navdx.exe
Navrunr.exe
Navstub.exe
Navw32.exe
Nc2000.exe
Neomonitor.exe
Neowatchlog.exe
Netarmor.exe
Netinfo.exe
Netmon.exe
Netscanpro.exe
Netspyhunter-1.2.exe
Netstat.exe
Netutils.exe
Nisserv.exe
Nisum.exe
Nmain.exe
Npfmessenger.exe
Nprotect.exe
Npssvc.exe
Ntvdm.exe
Ntxconfig.exe
Nui.exe
Nvarch16.exe
Nwservice.exe
Offguard.exe
Ostronet.exe
Outpost.exe
Padmin.exe
Panixk.exe
Pavproxy.exe
Pccclient.exe
Pccguide.exe
Pcciomon.exe
Pccwin97.exe
Pcfwallicon.exe
Pcscan.exe
Periscope.exe
Persfw.exe
Pf2.exe
Pfwadmin.exe
Pingscan.exe
Platin.exe
Portdetective.exe
Ppinupdt.exe
Pptbc.exe
Ppvstop.exe
Processmonitor.exe
Procexplorerv1.0.exe
Programauditor.exe
Proport.exe
Protectx.exe
Pspf.exe
Purge.exe
Pview95.exe
Realmon.exe
Rrguard.exe
Rshell.exe
Rtvscn95.exe
Safeweb.exe
Sbserv.exe
Scan32.exe
Scrscan.exe
Sd.exe
Sfc.exe
Sh.exe
Shn.exe
Smc.exe
Sofi.exe
Spf.exe
Sphinx.exe
Spyxx.exe
Srwatch.exe
Ss3edit.exe
St2.exe
Supftrl.exe
Supporter5.exe
Sweep95.exe
Sweepsrv.Sysvshwin32.exe
Symproxysvc.exe
Symtray.exe
Sysedit.exe
Taskmon.exe
Taumon.exe
Tauscan.exe
Tc.exe
Tca.exe
Tcm.exe
Tfak.exe
Tfak5.exe
Tgbob.exe
Titanin.exe
Titaninxp.exe
Trjscan.exe
Trojantrap3.exe
Undoboot.exe
Vbcons.exe
Vbust.exe
Vbwin9x.exe
Vbwinntw.exe
Vccmserv.exe
Vet32.exe
Vettray.exe
Vir-Help.exe
Virusmdpersonalfirewall.exe
Vnlan300.exe
Vnpc3000.exe
Vpfw30s.exe
Vptray.exe
Vsched.exe
Vsecomr.exe
Vsecomr.exe
Vshwin32.exe
Vshwin32vbcmserv.exe
Vsmain.exe
Vsmon.exe
Vsstat.exe
Vswin9xe.exe
Vswinntse.exe
W9x.exe
Watchdog.exe
Webscanx.exe
Webtrap.exe
Wgfe95.exe
Whoswatchingme.exe
Winrecon.exe
Winsfcm.exe
Wnt.exe
Wradmin.exe
Wrctrl.exe
Wsbgate.exe
Wyvernworksfirewall.exe
Zapro.exe
Zatutor.exe
Zonealarm.exe

Luego, intentará borrar cualquiera de las siguientes entradas del registro de Windows, que estén bajo la siguiente rama: HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run:

Alogserv
Amon
Apvxd
Apvxdwin
Atrack
AvconsoleEXE
AVG_CC
avgcc32
Avgserv9.exe
AVPCC
BlackIce Utility
CcApp
CcRegVfy
ConfigSafe
CPD_EXE
defwatch
dvpapi9x
Fix-it
Fix-it AV
Freedom
F-StopW
iamapp
Icon Animation
Image & Restore
InstallNAIProduct
Iomon98.exe
LoadBlackD
Look 'n' Stop
McAfee Firewall
McAfee Winguage
McAfee.InstantUpdate.Monitor
McAfeeVirusScanService
McAfeeWebscanX
McAgentExe
McUpdateExe
mgavrtclexe
minilog
Mount Safe & Sound
MPFExe
myNetWatchman
Naimagent_service
Naimagent_UI
NAV Agent
NAV Configuration Wizard
NAV DefAlert
navapw32
NB Common Dialog Enhancements
NB Start Menu
NB Windows Patterns
NFTSCLUP
nisserv
Nod32CC
NOD32POP3
Norton Auto-Protect
Norton eMail Protect
Norton Navigator Loader
Norton Program Scheduler
Norton Program Scheduler Event Checker
NPS Event Checker
OfficeGuard RegChecker
Panda Scheduler
PCCIOMON.EXE
PersFw
pop3trap
Poproxy
PP2000 Instaupdate
PP2000 Real Time Scan
PP2000 Taskbar Control
ProPort Startup
Ptsnoop
RapApp
rtvscn95
ScanInicio
Scanner Detector
SCHWIZEXo
ScriptBlocking
SDaemon
SDetect.exe
ShStatEXE
smc
SMC Service
SmcServices
supporter5
SymTray - Norton SystemWorks
Tau monitor
tcactive
tcmonitor
TDspOff
Tiny Personal Firewall
TrendMicro Antivirus
TrueVector
VAGuard
Vet Alert
Vet Start Up
VetTray
VirusScan Online
vptray
VsEcomrEXE
Vshwin32EXE
VsStatEXE
web3trap
WebScanX
Webtrap
WinGuage Pro
WinProxy
WM_LOGIN
ZoneAlarm
ZoneAlarm Pro

También intentará borrar cualquiera de las siguientes entradas del registro de Windows, que estén bajo la siguiente rama: HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices:

Amon
Apvxd
Apvxdwin
Atrack
AvconsoleEXE
AVG_CC
avgcc32
Avgserv9.exe
AVPCC
AVPCC Service
BlackIce Utility
CcApp
CcRegVfy
ConfigSafe
CPD_EXE
defwatch
dvpapi9x
Fix-it
Fix-it AV
Freedom
F-StopW
iamapp
Icon Animation
Image & Restore
InstallNAIProduct
Iomon98.exe
LoadBlackD
Look 'n' Stop
McAfee Firewall
McAfee Winguage
McAfee.InstantUpdate.Monitor
McAfeeVirusScanService
McAfeeWebscanX
McAgentExe
McUpdateExe
mgavrtclexe
minilog
Mount Safe & Sound
MPFExe
myNetWatchman
Naimagent_service
Naimagent_UI
NAV Agent
NAV Configuration Wizard
NAV DefAlert
navapw32
NB Common Dialog Enhancements
NB Start Menu
NB Windows Patterns
NFTSCLUP
nisserv
Nod32CC
NOD32POP3
Norton Auto-Protect
Norton eMail Protect
Norton Navigator Loader
Norton Program Scheduler
Norton Program Scheduler Event Checker
NPS Event Checker
Panda Scheduler
PCCIOMON.EXE
PersFw
pop3trap
Poproxy
PP2000 Instaupdate
PP2000 Real Time Scan
PP2000 Taskbar Control
ProPort Startup
Ptsnoop
RapApp
rtvscn95
ScanInicio
Scanner Detector
SCHWIZEXo
ScriptBlocking
SDaemon
SDetect.exe
ShStatEXE
smc
SMC Service
SmcServices
supporter5
SymTray - Norton SystemWorks
Tau monitor
tcactive
tcmonitor
TDspOff
Tiny Personal Firewall
TrendMicro Antivirus
TrueVector
VAGuard
Vet Alert
Vet Start Up
VetTray
VirusScan Online
vptray
VsEcomrEXE
Vshwin32EXE
VsStatEXE
web3trap
WebScanX
Webtrap
WinGuage Pro
WinProxy
WM_LOGIN
ZoneAlarm
ZoneAlarm Pro

Esto obligará a reinstalar los programas mencionados.


Otras variantes:

º W32/Titog.A

Tamaño: 25,488 bytes

Mensaje:

Asunto: Re: tiny videos
Datos adjuntos: MVC_546645.mpeg.pif
Texto: Here is one

Se copia como:

c:\windows\system\Gotit.exe
\mirc\Aim.exe

Crea la carpeta "GotITFolder" dentro de System:

c:\windows\system\GotITFolder\

Luego se copia allí con nombres seleccionados al azar.

Agrega las siguientes entradas al registro, para autoejecutarse en cada reinicio:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Command = c:\windows\system\Gotit.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Command = c:\windows\system\Gotit.exe

Crea el siguiente archivo en la carpeta de instalación del mIRC:

\mirc\Scirptoz.ini

Utiliza dicho archivo para propagarse con el nombre de AIM.EXE.


Reparación manual (para todas las variantes conocidas):

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Nota: Los archivos borrados deberán ser reinstalados o copiados de un respaldo anterior, aunque seguramente, si la rutina destructiva se llegó a ejecutar, la única solución efectiva sea reinstalar todos los programas y aplicaciones, incluido Windows, para restaurar también las entradas borradas en el registro. Sugerimos que se llame a un servicio técnico especializado para realizar estas tareas si no desea perder la valiosa información guardada en su computadora.


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos (según la variante):

c:\windows\system\nabv32.exe
\mirc\icq2004.exe
\mirc\Scri1.ini

c:\windows\system\Gotit.exe
\mirc\Aim.exe
\mirc\Scirptoz.ini

También borre la carpeta "GotITFolder" y su contenido:

c:\windows\system\GotITFolder\

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares al descripto antes.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre cualquiera de las siguientes entradas que aparezcan allí:

anbv32
Command

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\RunServices

5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre cualquiera de las siguientes entradas que aparezcan allí:

anbv32
Command

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

El IRC y los virus

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos que usted ha pedido, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Vea también:

Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com