C:\Setver.exe

Este ejecutable es detectado como "Troj/Killboot.B". Cuando este troyano se ejecuta, el Master Boot Record de todos los discos duros, es borrado con ceros (ver "Troj/Killboot.B. Borra el MBR llenándolo de ceros", http://www.vsantivirus.com/killboot-b.htm).

El virus de macro también crea este archivo de 112 bytes:

C:\Autoexec.bat

El mismo tiene las instrucciones para ejecutar el troyano en el archivo "Setver.exe". Tenga en cuenta que puede existir un archivo "Setver.exe" legítimo (19 Kb aprox.) que utiliza el MS-DOS, y que se instala también en Windows 9x y Me (C:\Windows\Setver.exe). El troyano tiene en cambio solo 1 KB.

Cuando el troyano se ejecuta, se procede al borrado del MBR, siempre que ya no haya sido infectado, y que la fecha actual sea superior a una definida en su código. Si la fecha es inferior, el troyano copia su código en el MBR pero no lo borra. Si el MBR ya está infectado, no hace nada más.

La fecha que contiene el troyano es definida en el momento que el virus de macro W97M/Killboot crea el archivo "C:\Setver.exe". El virus de macro inserta esta fecha directamente insertando unos bytes en el código del troyano. Sin embargo, el virus no posee un control del formato de fecha de acuerdo a la región (por ejemplo, en nuestros países, 1/12 sería 1 de diciembre, y en países de habla inglesa sería 12 de enero). Esto hace que la fecha de activación del troyano sea prácticamente randómica.

El virus de macro compromete también la seguridad del Microsoft Word, deshabilitando las siguientes opciones del menú:

1. Herramientas, Opciones, General, Confirmar conversiones al abrir

Los documentos en formatos diferentes a los de Word (por ejemplo .TXT) pueden ser convertidos al formato de Word automáticamente. El usuario no recibe el pedido de confirmación para esta conversión.

2. Herramientas, Opciones, General, Protección antivirus en macros

Los documentos conteniendo macros pueden ser abiertos automáticamente. El usuario no recibe el pedido de confirmación para habilitar o deshabilitar los macros antes de abrir el documento (Word 97). Word 2000 actúa diferente con esta protección, y no es afectado en este caso. En ese caso el virus también examina si el Word usado es el 2000 o XP, y cambia la configuración de la seguridad a BAJA, modificando el registro.

3. Herramientas, Opciones, Guardar, Preguntar si guarda la plantilla normal

El usuario no es consultado para aceptar o no los cambios a la plantilla NORMAL.DOT, siendo estos grabados automáticamente, sin su conocimiento.


Como limpiar documentos de Word infectados

Ejecute uno o más antivirus actualizados. Recomendamos el uso de F-Macrow, antivirus de F-Prot solo para virus macros, gratuito para uso personal, y que se actualiza con MACRO.DEF (MACRDEF2.ZIP).

Programa y actualización pueden ser descargados de nuestro sitio: http://www.vsantivirus.com/f-prot.htm


Medidas complementarias con los macros

En Word 97, seleccione Herramientas, Opciones, pinche en la lengüeta General, y marque la última casilla: "Protección antivirus en macros" y "Confirmar conversiones al abrir". En Word 2000 y XP, vaya a Herramientas, Macro, Seguridad, y cambie el nivel a Alto.


Reparación manual

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Repare o borre los archivos detectados como infectados

Información ampliada de "Troj/Killboot.B"

Troj/Killboot.B. Borra el MBR llenándolo de ceros
http://www.vsantivirus.com/killboot-b.htm


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com