Para: [cuenta del usuario de Hotmail]
De: [una de las siguientes direcciones falsas]

helpdesk@microsoft.com
msnsupport@microsoft.com
security@microsoft.com
services@microsoft.com
windowsupdate@microsoft.com
winpatch@microsoft.com

Asunto:
Windows Update ( MSN Messenger Update 6 MSN Messenger vulnerability)

Datos adjuntos: Msn_inst.exe

Texto:
Attention All Microsoft Users: A patch has been
issued to correct a vulnerability in MSN Messenger
which can be performed by a malicious user in order
to gain unauthorized access to compromised computers.
Windows users who have MSN Messenger 4.x and higher
versions are affected by this vulnerability and must
download and install the patch labeled Msn_inst.exe,
which is attached to this email message. For any
support regarding this patch please contact
support@microsoft.com for more information.

Cuando el adjunto se ejecuta, el gusano muestra una ventana con un mensaje falso:

MSN vulnerability update
This patch is not required because
it has already been instaled.
[   OK   ]

Luego, se copia con diferentes nombres, en las siguientes carpetas:

c:\windows\Mscsgs.exe
c:\windows\Msn_inst.exe
c:\windows\Msn_updt.exe
c:\windows\system\Mscsgs32.exe

NOTA: En todos los casos, "c:\windows" y "c:\windows\system" pueden variar de acuerdo al sistema operativo instalado (con esos nombres por defecto en Windows 9x/ME, como "c:\winnt", "c:\winnt\system32" en Windows NT/2000 y "c:\windows\system32" en Windows XP y Windows Server 2003).

También se copia en alguna de las siguientes carpetas de inicio por defecto (según el sistema operativo):

Windows 95, 98 y Me:

c:\windows\menú inicio\programas\inicio\msnexec.exe

c:\windows
\all users\menú inicio\programas\inicio\msnexec.exe

Windows XP y 2000:

c:\documents and settings
\[usuario]\menú inicio\programas\inicio\msnexec.exe

c:\documents and settings
\all users\menú inicio\programas\inicio\msnexec.exe

Windows NT:

c:\winnt\profiles
\[usuario]\menú inicio\programas\inicio\msnexec.exe

c:\winnt\profiles
\all users\menú inicio\programas\inicio\msnexec.exe

Modifica la siguiente clave del registro para ejecutarse en cada reinicio de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Mscsgs = c:\windows\mscsgs.exe

También crea estas entradas:

HKCU\Software\Zed\Dozer
Dozer = W32/Dozer by Zed

HKCU\Software\Zed\Dozer\MSNContact

HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableRegistryTools = 1

Esta última, deshabilita la herramienta REGEDIT, impidiendo la ejecución del editor para modificar manualmente el registro.

También finaliza los siguientes procesos si estivieran activos, pertenecientes a conocidos antivirus y cortafuegos:

ackwin32.exe
anti-trojan.exe
apvxdwin.exe
autodown.exe
avconsol.exe
ave32.exe
avgctrl.exe
avkserv.exe
avnt.exe
avp32.exe
avp32.exe
avpcc.exe
avpcc.exe
avpdos32.exe
avpm.exe
avpm.exe
avpmon.exe
avpnt.exe
avptc32.exe
avpupd.exe
avsched32.exe
avwin95.exe
avwupd32.exe
blackd.exe
blackice.exe
ccapp.exe
cfiadmin.exe
cfiaudit.exe
cfind.exe
cfinet.exe
cfinet32.exe
claw95.exe
claw95cf.exe
claw95ct.exe
cleaner.exe
cleaner3.exe
dv95.exe
dv95_0.exe
dvp95.exe
ecengine.exe
efinet32.exe
esafe.exe
espwatch.exe
f-agnt95.exe
findviru.exe
f-prot.exe
fprot.exe
f-prot95.exe
fprot95.exe
f-stopw.exe
iamapp.exe
iamserv.exe
ibmasn.exe
ibmavsp.exe
icload95.exe
icloadnt.exe
icmon.exe
icmoon.exe
icssuppnt.exe
icsupp95.exe
icsuppnt.exe
iface.exe
iomon98.exe
jedi.exe
kpfw32.exe
lockdown2000.exe
lookout.exe
luall.exe
moolive.exe
mpftray.exe
n32scan.exe
n32scanw.exe
navapw32.exe
navlu32.exe
navnt.exe
navsched.exe
navw.exe
navw32.exe
navwnt.exe
nisum.exe
nmain.exe
normist.exe
nupgrade.exe
nvc95.exe
outpost.exe
padmin.exe
pavcl.exe
pavsched.exe
pavw.exe
pccwin98.exe
pcfwallicon.exe
persfw.exe
rav7.exe
rav7win.exe
rescue.exe
safeweb.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
serv95.exe
sphinx.exe
sweep95.exe
tbscan.exe
tds2-98.exe
tds2-nt.exe
vcontrol.exe
vet32.exe
vet95.exe
vet98.exe
vettray.exe
vscan40.exe
vsecomr.exe
vshwin32.exe
vsscan40.exe
vsstat.exe
webscan.exe
webscanx.exe
wfindv32.exe
zapro.exe
zonealarm.exe

El gusano también intenta robar contraseñas del caché de Windows en la máquina infectada, y enviarlas a la siguiente dirección electrónica:

netdozer@hotmail.com

Reparación manual

Preparación previa

Descargue el siguiente archivo (restore.reg):

http://www.videosoft.net.uy/restore.reg


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Haga doble clic sobre el archivo RESTORE.REG descargado antes (ver "Preparación previa"), para agregar su contenido al registro.

2. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

3. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

4. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

Mscsgs

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Zed

6. Pinche en la carpeta "Zed" y bórrela.

7. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrar los archivos creados por el gusano.

En Windows 95/98/Me/NT/2000

1. Seleccione Inicio, Buscar, Archivos o carpetas

2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"

3. En "Nombre" ingrese (o corte y pegue), lo siguiente:

msnexec.exe; Mscsgs.exe; Msn_inst.exe; Msn_updt.exe; Mscsgs32.exe

4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados

5. Cierre la ventana de búsqueda

6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

En Windows XP

1. Seleccione Inicio, Buscar

2. Seleccione "Todos los archivos y carpetas"

3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:

msnexec.exe; Mscsgs.exe; Msn_inst.exe; Msn_updt.exe; Mscsgs32.exe

4. Verifique que en "Buscar en:" esté seleccionado "C:"

5. Pinche en "Más opciones avanzadas"

6. Seleccione "Buscar en carpetas del sistema"

7. Seleccione "Buscar en subcarpetas"

8. Haga clic en "Búsqueda" y borre todos los archivos encontrados

9. Cierre la ventana de búsqueda

10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com