C:\Windows\Application Data\Microsoft\Office\Excel10.dll

Windows NT, 2000 y XP:

C:\Documents and Settings\[nombre de usuario]
\Application Data\Microsoft\Office\Excel10.dll

El troyano registra el archivo EXCEL10.DLL como un Browser Helper Object (BHO), de manera de interceptar todas las acciones del Internet Explorer. Un objeto BHO es un DLL que se adjunta a si mismo a cada nueva instancia del Internet Explorer, pudiendo ejecutar eventos predeterminados. Esto funciona solo en Internet Explorer 4 o superior.

Luego, modifica el archivo HOSTS (sin extensión), para que diferentes URLs sean redirigidas a un sitio Web específico.

Crea las siguientes entradas en el registro:

HKCU\Software\Microsoft\Internet Explorer\Main
Local Page="http:/ /www.idgsearch.com/"
Search Page="http:/ /www.idgsearch.com/"
Search Page_bak="http:/ /www.idgsearch.com/"
SearchURL="http:/ /www.idgsearch.com/"
Start Page="http:/ /www.idgsearch.com/"
Start Page_bak="http:/ /www.idgsearch.com/"
Search Bar=
"http:/ /www.2020search.com/search/9884/search.html"

HKLM\SOFTWARE\Microsoft\Internet Explorer\Main
Local Page="http:/ /www.idgsearch.com/"
Search Page="http:/ /www.idgsearch.com/"
Search Page_bak="http:/ /www.idgsearch.com/"
SearchURL="http:/ /www.idgsearch.com/"
Start Page="http:/ /www.idgsearch.com/"
Start Page_bak="http:/ /www.idgsearch.com/"
Search Bar=
"http:/ /www.2020search.com/search/9884/search.html"

HKCU\Software\Microsoft\Internet Explorer\Search
CustomizeSearch="http:/ /www.idgsearch.com/"
SearchAssistant=
"http:/ /www.2020search.com/search/9884/search.html"

HKLM\SOFTWARE\Microsoft\Internet Explorer\Search
CustomizeSearch="http:/ /www.idgsearch.com/"
SearchAssistant=
"http:/ /www.2020search.com/search/9884/search.html"

HKCR\CLSID\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}

HKCR\Interface\{212552CF-D5B0-49F0-961D-95CA146CDE03}

HKCR\SearchWord.ExcelExport

HKCR\SearchWord.ExcelExport.1

HKCR\TypeLib\{FB19BC08-E664-462C-909B-3E9C3F4FF90E}

HKLM\Software\CLASSES\CLSID
\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972

HKLM\Software\CLASSES\Interface
\{212552CF-D5B0-49F0-961D-95CA146CDE03}

HKLM\Software\CLASSES\SearchWord.ExcelExport

HKLM\Software\CLASSES\SearchWord.ExcelExport.1

HKLM\Software\CLASSES\TypeLib
\{FB19BC08-E664-462C-909B-3E9C3F4FF90E}

HKLM\Software\Microsoft\Windows\CurrentVersion
\explorer\Browser Helper Ojects
\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}

También busca y borra los siguientes archivos:

Bootconf.exe
Browserhelper.dll
Ctfmon32.exe
Default.css
Dnse.dll
Dnserr.dll
Dnsrelay.dll
Dreplace.dll
Iedll.exe
Ld.exe
Loader.exe
Msspi.dll
Mssys.exe
My.css
Svc.exe
Svchost32.exe
Svcinit.exe
Svcpack.exe
Sys.reg
Winlink.dll
Winshow.dll
Xplugin.dll\Fonts\Msoffice.hta
\Temp\Addclass.exe
\Web\oslogo.bmp
\Web\win.def
\Winshow\Winshow.dll

Borra las siguientes entradas en el registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
nvstart

Borra todas las entradas que contengan las cadenas de caracteres que se dan más abajo, de la siguiente entrada del registro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

AddClass
CTFMON32.EXE
iedll
Internat Conf
loader
Msoffice
mssys
nvstart
svc
svchost.exe
sys
sysPnP
Tapicfg.exe

MediaLoad

MediaLoad es un Browser Helper Object (BHO), que monitorea las direcciones visitadas. Se conoce como MediaLoads Enhanced.

Algunas variantes del Digit, suplantan el archivo NOTEPAD.EXE (bloc de notas), por una copia de MediaLoad, en una de las siguientes ubicaciones:

c:\windows\notepad.exe
c:\windows\system32\notepad.exe

En este caso, la segunda copia de NOTEPAD.EXE en la carpeta SYSTEM32 es sobrescrita por este BHO. De este modo se obliga a que se ejecute cada vez que se quiera utilizar el bloc de notas.

En Windows XP, NOTEPAD mide unos 66 Kb, mientras que el falso posee unos 18 Kb.

MediaLoad es detectado por algunos antivirus como "Downloader.IstBar.AM" o similar.


Reparación manual

Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados por el virus


Eliminar MediaLoad:

1. Borrar el siguiente archivo:

c:\windows\system32\notepad.exe

2. Copiar C:\WINDOWS\NOTEPAD.EXE en C:\WINDOWS\SYSTEM32\

3. Desde agregar o quitar programas, buscar cualquiera de las siguientes entradas y quitarla:

Support Software
ClipGenie
Downloadware

Borrar los archivos creados por el gusano.

En Windows 95/98/Me/NT/2000

1. Seleccione Inicio, Buscar, Archivos o carpetas

2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"

3. En "Nombre" ingrese (o corte y pegue), lo siguiente:

Excel10.dll

4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados

5. Cierre la ventana de búsqueda

6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

En Windows XP

1. Seleccione Inicio, Buscar

2. Seleccione "Todos los archivos y carpetas"

3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:

Excel10.dll

4. Verifique que en "Buscar en:" esté seleccionado "C:"

5. Pinche en "Más opciones avanzadas"

6. Seleccione "Buscar en carpetas del sistema"

7. Seleccione "Buscar en subcarpetas"

8. Haga clic en "Búsqueda" y borre todos los archivos encontrados

9. Cierre la ventana de búsqueda

10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

También podrían no estar algunas entradas, ya que depende de la versión del troyano

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Internet Explorer
\Main

3. Pinche en la carpeta "Main" y en el panel de la derecha, borre los siguientes valores:

Local Page
Search Page
Search Page_bak
SearchURL
Start Page
Start Page_bak
Search Bar

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Internet Explorer
\Search

5. Pinche en la carpeta "Search" y en el panel de la derecha, borre los siguientes valores:

CustomizeSearch
SearchAssistant

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir las siguientes ramas:

HKEY_CLASSES_ROOT
\CLSID

7. Pinche en "CLSID" y borre las carpetas:

{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}
{79369D5C-2903-4b7a-ADE2-D5E0DEE14D24}

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\Interface

9. Pinche en "Interface" y borre las siguientes carpetas:

{212552CF-D5B0-49F0-961D-95CA146CDE03}
{84F2D0D3-79DE-42CD-B8BB-F7DBAEBDDD4E}

10. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT

11. Borre los siguientes valores:

SearchWord.ExcelExport
SearchWord.ExcelExport.1
SearchWord.SearchHelp
SearchWord.SearchHelp.1

12. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CLASSES_ROOT
\TypeLib

13. Pinche en "TypeLib" y borre las siguientes carpetas:

{FB19BC08-E664-462C-909B-3E9C3F4FF90E}
{355F8396-C845-4966-A103-8A05D0004248}

14. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES
\CLSID
\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}

15. Pinche en la carpeta "{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}" y bórrela.

16. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES
\Interface
\{212552CF-D5B0-49F0-961D-95CA146CDE03}

17. Pinche en la carpeta "{212552CF-D5B0-49F0-961D-95CA146CDE03}" y bórrela.

18. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES

19. Borre los siguientes valores:

SearchWord.ExcelExport
SearchWord.ExcelExport.1
SearchWord.SearchHelp
SearchWord.SearchHelp.1

20. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\CLASSES
\TypeLib
\{FB19BC08-E664-462C-909B-3E9C3F4FF90E}

21. Pinche en la carpeta "{FB19BC08-E664-462C-909B-3E9C3F4FF90E}" y bórrela.

22. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\explorer
\Browser Helper Objects

23. Pinche en "Browser Helper Objects" y borre las carpetas:

{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}
{79369D5C-2903-4b7a-ADE2-D5E0DEE14D24}

24. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\IEAK

25. Pinche en la carpeta "IEAK" y bórrela

26. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

27. Pinche en la carpeta "Run" y en el panel de la derecha, borre los siguientes valores:

iedll
loader
svc

28. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Internet Settings
\ZoneMap
\Domains
\xxxtoolbar.com

29. Pinche en la carpeta "xxxtoolbar.com" y bórrela

30. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

31. Pinche en la carpeta "Run" y en el panel de la derecha, borre los siguientes valores:

AddClass
CTFMON32.EXE
Internat Conf
Msoffice
mssys
svchost.exe
sys
sysPnP
Tapicfg.exe

32. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Windows
\CurrentVersion
\RunOnce

33. Pinche en la carpeta "RunOnce" y en el panel de la derecha, borre los siguientes valores:

nvstart

34. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\Microsoft
\Internet Explorer
\Main

35. Pinche en la carpeta "Main" y en el panel de la derecha, borre los siguientes valores:

Search Page_bak

36. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

37. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el siguiente archivo en alguna de las siguientes ubicaciones:

c:\windows\system32\drivers\etc\hosts
c:\windows\hosts

2. Si aparece, haga doble clic sobre el archivo HOSTS (no tiene extensión). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo la siguiente:

127.0.0.1     localhost

4. Acepte guardar los cambios al salir del bloc de notas.


Borrar Archivos temporales de Internet

1. Vaya al Panel de control, Opciones de Internet, General

2. En Archivos temporales de Internet pinche en "Eliminar archivos"

3. Marque la opción "Eliminar todo el contenido sin conexión"

4. Pinche en Aceptar, etc.


Procedimiento para restaurar página de inicio y página de búsqueda en Internet Explorer

1. Cierre todas las ventanas del Internet Explorer abiertas

2. Seleccione "Mi PC", "Panel de control".

3. Pinche en el icono "Opciones de Internet".

4. Seleccione la lengüeta "Programas".

5. Pinche en el botón "Restablecer configuración Web"

6. Asegúrese de tener tildada la opción "Restablecer también la página inicio" y seleccione el botón SI.

7. Pinche en "Aceptar".


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Actualizaciones:

23/dic/03 - Se agrega la desinstalación de MediaLoads





(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com