Mostrando mensaje 206     < Anterior | Siguiente > Responder a este mensaje Asunto: VSantivirus No. 1157 Año 7, Domingo 7 de setiembre de 2003 Fecha: Domingo, 7 de Septiembre, 2003  01:53:38 (-0300) Autor: VSAntivirus.com <vsantivirus @...........com> VSantivirus No. 1157 Año 7, Domingo 7 de setiembre de 2003 _____________________________________________________________ El boletín diario de VSANTIVIRUS - http://www.vsantivirus.com VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ 1 - W32/Randex.J. Se propaga por redes, se controla por IRC 2 - W32/Vuxer.A. Asunto: Here it is!. Adjunto: Setup.exe 3 - W32/Quaters.A. Muestra un mensaje para Tony Blair 4 - W32/Ihedont.A. Asunto: Hotmail Account Confirmation _____________________________________________________________ 1 - W32/Randex.J. Se propaga por redes, se controla por IRC _____________________________________________________________ http://www.vsantivirus.com/randex-j.htm Nombre: W32/Randex.J Tipo: Gusano de Internet Alias: W32.Randex.J, Win32/Randex.J, W32.Randex.I, Backdor.IRCBot.gen, W32/Sluter.worm Tamaño: 35,840 bytes Plataforma: Windows 32-bit Fecha: 5/set/03 Este gusano se propaga a través de redes, copiándose a si mismo en los siguientes caminos: \Admin$\system32\spolds.exe \c$\winnt\system32\spolds.exe Tiene capacidades de troyano, y puede recibir instrucciones desde un canal de IRC (Internet Relay Chat) específico. Una de esas instrucciones es la que ocasiona la propagación a través de los recursos mencionados. Cuando se ejecuta por primera vez, se copia en la siguiente ubicación: c:\windows\System\spoler.exe c:\windows\System\winnt32.dat NOTA: "C:\Windows\System" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows 9x/ME, como "C:\WinNT\System32" en Windows NT/2000 y "C:\Windows\System32" en Windows XP y Windows Server 2003). Un usuario remoto puede realizar las siguientes acciones: 1. NTSCAN: calcula direcciones IP al azar para seleccionar la computadora a infectar. Intenta autenticarse en cada dirección IP creada, usando diferentes contraseñas. Luego se copia a si mismo en las computadoras cuyas contraseñas de administrador sean débiles en la siguiente ubicación, donde [IP] es la dirección IP autenticada: \\[IP]\Admin$\system32\spolds.exe \\[IP]\c$\winnt\system32\spolds.exe 2. SYN: Realiza ataques del tipo "syn flood" utilizando paquetes SYN de 55808 bytes. 3. SYSINFO: Obtiene información de su víctima, tales como velocidad de la CPU, memoria disponible, etc. También intenta robar las llaves de registro de algunos conocidos juegos. Para ejecutar el gusano, crea una tarea programada, y también agrega las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run helpmanager = c:\windows\System\spoler.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices helpmanager = c:\windows\System\spoler.exe Finalmente se conecta a un canal de IRC específico para recibir instrucciones remotas. Entre ellas las que le permiten propagarse a otros recursos compartidos como vimos al principio. * Reparación manual Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema. ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus). Más información: Cómo configurar Zone Alarm 3.x http://www.vsantivirus.com/za.htm * Deshabilitar las carpetas compartidas Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza. * Antivirus 1. Actualice sus antivirus con las últimas definiciones 2. Ejecútelos en modo escaneo, revisando todos sus discos 3. Borre los archivos detectados como infectados * Borrar los archivos creados por el gusano. En Windows 95/98/Me/NT/2000 1. Seleccione Inicio, Buscar, Archivos o carpetas 2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas" 3. En "Nombre" ingrese (o corte y pegue), lo siguiente: spolds.exe; spoler.exe; winnt32.dat 4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados 5. Cierre la ventana de búsqueda 6. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". En Windows XP 1. Seleccione Inicio, Buscar 2. Seleccione "Todos los archivos y carpetas" 3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente: spolds.exe; spoler.exe; winnt32.dat 4. Verifique que en "Buscar en:" esté seleccionado "C:" 5. Pinche en "Más opciones avanzadas" 6. Seleccione "Buscar en carpetas del sistema" 7. Seleccione "Buscar en subcarpetas" 8. Haga clic en "Búsqueda" y borre todos los archivos encontrados 9. Cierre la ventana de búsqueda 10. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". * Editar el registro 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: helpmanager 4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \RunServices 5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: helpmanager 6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'. 3. Seleccione la lengüeta 'Ver'. 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'. En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'. 6. Pinche en 'Aplicar' y en 'Aceptar'. * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 2 - W32/Vuxer.A. Asunto: Here it is!. Adjunto: Setup.exe _____________________________________________________________ http://www.vsantivirus.com/vuxer-a.htm Nombre: W32/Vuxer.A Tipo: Gusano de Internet Alias: W32.HLLW.Vuxer@mm Fecha: 5/set/03 Plataforma: Windows 32-bit Tamaño: 9,216 bytes Este gusano, escrito en Microsoft Visual Basic, y comprimido con la herramienta UPX, se envía en forma masiva a través del correo electrónico. Utiliza la libreta de direcciones de Microsoft Outlook y Outlook Express. El mensaje posee estas características: Asunto: Here it is! Datos adjuntos: Setup.exe Texto: Hey, here is the Setup you have been asking me for... Cuando se ejecuta el adjunto, el gusano se copia a si mismo en las siguientes ubicaciones: c:\windows\system\winbooter.exe c:\windows\temp\setup.exe Y muestra el siguiente mensaje: Are you sure you want to Uninstall Windows? [ Yes ] [ No ] Si se selecciona [No], el gusano renombra el siguiente archivo: c:\windows\notepad.exe --> c:\windows\allison.b.exe.w32aw Y muestra el siguiente mensaje: W32.Allison.b.Worm, payload activated!. Luego agrega la siguiente entrada al registro de Windows: HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows load = c:\windows\system\winbooter.exe Busca la libreta de direcciones y se envía en un mensaje similar al ya visto, a todos los contactos, utilizando el Outlook u Outlook Express para hacerlo. * Reparación manual * Finalizar el proceso en memoria del virus * Windows 95, 98 y Me 1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Windows NT, 2000 y XP 1. Actualice sus antivirus con las últimas definiciones, luego pulse CTRL+ALT+SUPR. 2. Pinche en Administrador de tareas. 3. Pinche en la lengüeta Procesos. 4. En la lista de tareas, señale la(s) siguiente(s): SETUP.EXE WINBOOTER.EXE 5. Seleccione una tarea por vez y pulse el botón de finalizar tarea. * Antivirus 1. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros 2. Borre los archivos detectados como infectados * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre los siguientes archivos: c:\windows\system\winbooter.exe c:\windows\temp\setup.exe Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". Borre también los mensajes electrónicos similares al descripto antes. * Editar el registro Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada. 1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_CURRENT_USER \Software \Microsoft \Windows NT \CurrentVersion \Windows 3. Pinche en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: load 4. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 3 - W32/Quaters.A. Muestra un mensaje para Tony Blair _____________________________________________________________ http://www.vsantivirus.com/quaters-a.htm Nombre: W32/Quaters.A Tipo: Gusano de Internet Alias: W32.Quaters.A@mm, W32/Quaters-A, W32/Blurt@MM, W32.Blare@mm, W32/Quaters, W32/Blair@mm, I.worm.quaters@mm Fecha: 2/set/03 Plataforma: Windows 32-bit Gusano de envío masivo a través del correo electrónico (utiliza el Outlook y el Outlook Express para ello), y de los canales de IRC (Internet Relay Chat). Está preparado para lanzar un ataque de denegación de servicio al siguiente sitio oficial del gobierno británico: www.number-10.gov.uk Los mensajes enviados, pueden tener las siguientes características: Asunto (uno de los siguientes): Account Billing Information. Account Infomation. Account Invoice. Account, is on hold. Email Account Infomation. ORDER CONFIRMATION: Regards, Support Team. This quaters invoice. Your Account has been suspended. Your Account Infomation. Your Account is on hold. YOUR ACCOUNT REF: Texto (uno de los siguientes): Ejemplo 1: Dear Sir, Please can you check that your account information is up to date. Your details are attached to this email. Regards, Billing Team. Ejemplo 2: Dear Sir, Please can you confirm that your account information is correct. Your current details are attached to this email. Regards, Billing Team. Ejemplo 3: Dear Sir, Please find attached this quaters invoice for your Internet Account. Regards, Billing Team. Ejemplo 4: Please find your details attached. Thank you Ejemplo 5: Details are attached to this email. Thank you Datos adjuntos (uno de los siguientes nombres): Account Details.Doc Account Information.Doc Account Invoice.Doc Account Status.Doc Account Update.Doc Billing Information.Doc Invoice.Doc Your Account Info.Doc Your Account Status.Doc Your Account.Doc Cuando se ejecuta, crea la siguiente copia de si mismo: c:\progra~1\account_details.doc.exe Agrega la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows: HKLM\Software\Microsoft\Windows\CurrentVersion\Run Windows Task Manager = c:\progra~1\account_details.doc.exe También crea las siguientes entradas en el registro: HKCU\Software\Microsoft\Windows\CurrentVersion \Policies\System DisableTaskMgr = 0x00000001 (1) DisableRegistryTools = 0x00000001 (1) Muestra el siguiente mensaje: Dear Tony Blair, INFECTED BY: WIN32.SORT-IT-OUT-BLAIR Why are you spending all our taxes on illegal immigrants!?! How about you stop worrying about other countries and worry about ours??? Stop spending money on immigrants and spend it on things like OAP's who fought to keep this country free but are now getting treated worst than illegal immigrants! How about spend a little money on the NHS or the education system!?! Think about it Mr Blair. Your career depends on it. We've had enough. Luego lanza un ataque DoS usando PING.EXE a la dirección mencionada antes. Crea el siguiente archivo: c:\win32.sort-it-out-blair.txt El archivo contiene este texto: Infected by the WIN32.SORT-IT-OUT-BLAIR Virus! Copia luego dicho archivo en las siguientes ubicaciones: c:\inetpub\wwwroot\default.asp c:\inetpub\wwwroot\default.htm c:\inetpub\wwwroot\default.html c:\inetpub\wwwroot\index.asp c:\inetpub\wwwroot\index.htm c:\inetpub\wwwroot\index.html Si existe un servidor instalado en la máquina infectada, estos archivos corresponden a las páginas de inicio por defecto, las que por lo tanto serán suplantadas por el texto escrito por el gusano. El gusano también se copia en las siguientes ubicaciones: c:\program files\mirc\chain_mail_world_record.irc c:\mirc\chain_mail_world_record.irc Crea un archivo SCRIPT.INI en las siguientes ubicaciones, con instrucciones para enviarse a los canales de chat visitados: c:\program files\mirc\script.ini c:\mirc\script.ini Si el programa mIRC está instalado, cada vez que el usuario se conecta a un canal, el gusano envía una copia de si mismo en un archivo con el siguiente nombre: chain_mail_world_record.irc Lo hace junto al siguiente mensaje: Hey, Do you want to take part of the IRC chain mail world record? If so all you have to do is load up the program add your irc nick and press submit! Just rename the file from .irc to .exe and your ready to go! También se envía a si mismo a todos los contactos de la libreta de direcciones del Outlook y Outlook Express, adjunto a mensajes electrónicos con las características vistas al principio. El gusano también intentará finalizar cualquiera de los siguientes procesos que estuvieran activos, correspondientes a conocidos antivirus y cortafuegos, así como a utilidades del propio Windows: _avp32.exe _avpcc.exe _avpm.exe advxdwin.exe agentsvr.exe alertsvc.exe alogserv.exe amon9x.exe anti-trojan.exe ants.exe apvxdwin.exe apvxdwin.exe atcon.exe attachments atupdater.exe atwatch.exe autodown.exe autotrace.exe av avconsol.exe ave32.exe avgcc32.exe avgctrl.exe avgctrl.exe avgserv.exe avgserv9.exe avgw.exe avkpop.exe avkserv.exe avkservice.exe avnt.exe avp.exe avp32.exe avpcc.exe avpdos32.exe avpm.exe avptc32.exe avpupd.exe avsched32.exe avsched32.exe avsynmgr.exe avwin95.exe avwinnt.exe avwupd32.exe avxmonitor9x.exe avxmonitornt.exe avxquar.exe.exe avxw.exe blackd.exe blackice.exe cfiadmin.exe cfiaudit.exe cfinet.exe cfinet32.exe claw95.exe claw95cf.exe cleaner.exe cleaner3.exe cmgrdian.exe connectionmonitor.exe cpd.exe cpdclnt.exe defscangui.exe defwatch defwatch.exe doors.exe dvp95.exe dvp95_0.exe ecengine.exe efpeadm.exe esafe.exe espwatch.exe etrustcipe.exe event log evpn.exe expert.exe f-agnt95.exe fameh32.exe fch32.exe fih32.exe findviru.exe fnrb32.exe f-prot.exe fprot.exe f-prot95.exe fp-win.exe frw.exe fsaa.exe fsav32.exe fsgk32.exe fsm32.exe fsma32.exe fsmb32.exe f-stopw.exe gbmenu.exe gbpoll.exe generics.exe guard.exe guarddog.exe iamapp.exe iamapp.exe iamserv.exe ibmasn.exe ibmavsp.exe icload95.exe icloadnt.exe icmon.exe icsupp95.exe icsuppnt.exe iface.exe inorpc.exe inort.exe inotask.exe iomon98.exe ipsec policy agent isrv95.exe jedi.exe kwctl9.exe ldnetmon.exe ldpromenu.exe ldscan.exe lockdown.exe lockdown2000.exe logoff lookout.exe luall.exe lucomserver.exe mcagent.exe mcmnhdlr.exe mcshield mcshield.exe mctool.exe mcupdate.exe mcvsrte.exe mcvsshld.exe messenger mgavrtcl.exe mgavrte.exe mghtml.exe minilog.exe monitor.exe moolive.exe mpftray.exe mwatch.exe n32scanw.exe navapsvc.exe navapw32.exe navapw32.exe navlu32.exe navnt.exe navw32.exe navwnt.exe ndd32.exe neowatchlog.exe net stop netstat.exe netutils.exe nisserv.exe nisum.exe nisum.exe nmain.exe normist.exe norton antivirus auto protect service norton antivirus auto protect service norton antivirus client norton antivirus server norton internet security accounts manager norton internet security proxy service norton internet security service nprotect.exe npssvc.exe nsched32.exe ntrtscan.exe ntvdm.exe ntxconfig.exe nui.exe nupgrade.exe nvc95.exe nvsvc32.exe nwservice.exe nwtool16.exe padmin.eoutpost.exe padmin.exe pavcl.exe pavproxy.exe pavsched.exe pavw.exe pcciomon.exe pccntmon.exe pccwin97.exe pccwin98.exe pcfwallicon.exe pcscan.exe persfw.exe pop3trap.exe poproxy.exe portmonitor.exe processmonitor.exe pview95.exe rav7.exe rav7win.exe realmon.exe realmon.exe regedit.exe rescue.exe rtvscn95.exe safeweb.exe sbserv.exe scan32.exe scan95.exe scanpm.exe scrscan.exe serv95.exe smc.exe sphinx.exe spyxx.exe ss3edit.exe sscansvc.exe sweep95.exe swnetsup.exe symantec antivirus client symproxysvc.exe symproxysvc.exe symtray.exe taskmgr.exe tbscan.exe tc.exe tca.exe tcm.exe tds2-98.exe tds2-nt.exe tds-3.exe tfak.exe truevector internet monitor vbcmserv.exe vbcons.exe vet32.exe vet95.exe vettray.exe vir-help.exe vpc32.exe vptray.exe vscan40.exe vsched.exe vsecomr.exe vshwin32.exe vsmain.exe vsmon.exe vsmon.exe vsstat.exe watchdog.exe webscanx.exe webtrap.exe wfindv32.exe wgfe95.exe wimmun32.exe wmdm pmsp service wradmin.exe wrctrl.exe zapro.exe zapro.exe zonealarm zonealarm.exe zonealarm.exe * Procedimiento de limpieza * Modificar las restricciones en el registro 1. Descargue el siguiente archivo .REG de nuestro sitio: http://www.videosoft.net.uy/repara.reg 2. Una vez en su computadora, haga doble clic sobre él para agregar su contenido al registro. * Finalizar el proceso en memoria del virus * Windows 95, 98 y Me 1. Actualice sus antivirus con las últimas definiciones, luego reinicie Windows en modo a prueba de fallos, como se indica en este artículo: Cómo iniciar su computadora en Modo a prueba de fallos. http://www.vsantivirus.com/faq-modo-fallo.htm * Windows NT, 2000 y XP 1. Actualice sus antivirus con las últimas definiciones, luego pulse CTRL+ALT+SUPR. 2. Pinche en Administrador de tareas. 3. Pinche en la lengüeta Procesos. 4. En la lista de tareas, señale la siguiente: ACCOUNT_DETAILS.DOC.EXE 5. Seleccione la tarea y pulse el botón de finalizar tarea. * Antivirus 1. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros 2. Borre los archivos detectados como infectados * Editar el registro 1. Ejecute el editor de registro. Desde una ventana MS-DOS escriba REGEDIT y pulse ENTER 2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run 3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: Windows Task Manager 4. Use "Registro", "Salir" para salir del editor y confirmar los cambios. * Borrado manual de los archivos creados por el gusano 1. Desde el Explorador de Windows, localice y borre los siguientes archivos: c:\progra~1\account_details.doc.exe c:\program files\mirc\chain_mail_world_record.irc c:\mirc\chain_mail_world_record.irc c:\program files\mirc\script.ini c:\mirc\script.ini 2. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". 3. Borre también los mensajes electrónicos similares al descripto antes. * Reinstalar páginas servidor Web Si tiene instalado un servidor Web en C:\INETPUB\WWWROOT\, debe reinstalar o recuperar de un respaldo limpio los siguientes archivos borrados: c:\inetpub\wwwroot\default.asp c:\inetpub\wwwroot\default.htm c:\inetpub\wwwroot\default.html c:\inetpub\wwwroot\index.asp c:\inetpub\wwwroot\index.htm c:\inetpub\wwwroot\index.html * Información adicional * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ 4 - W32/Ihedont.A. Asunto: Hotmail Account Confirmation _____________________________________________________________ http://www.vsantivirus.com/ihedont-a.htm Nombre: W32/Ihedont.A Tipo: Gusano de Internet Alias: W32.HLLW.Ihedont@mm, Bloodhound.W32.VBWORM, Win32/Ihedont.A, VBS.LoveLetter.CI Fecha: 3/set/03 Plataforma: Windows 32-bit Tamaño: 40,960 bytes Gusano escrito en Microsoft Visual Basic, que se propaga a través del correo electrónico, enviándose en forma masiva a todos los contactos de la libreta de direcciones de Microsoft Outlook y Outlook Express. Los mensajes tienen las siguientes características: De: Microsoft Support Asunto: Hotmail Account Confirmation Datos adjuntos: Windows.exe Texto: Dear Sir or Mam, Thanks for Confirming your Account Deletion with Hotmail Support. Your Account will be Terminated in One week. Check the Attachment for more information! Cuando se ejecuta, se copia a si mismo con los siguientes nombres y ubicaciones: c:\windows\start menu\programs\startup\sydneylove.exe c:\documents and settings\all users\start\sydneylove.exe c:\windows\sydneyloves.exe c:\windows\sydneyloves.dll c:\windows\winsys.dll c:\windows\windows.exe c:\windows\rundlls.exe c:\windows\system\rundlls.exe También crea el siguiente archivo, el cuál es detectado por los antivirus como una variante del gusano LoveLetter o IloveYou: c:\iloveyou.vbs Modifica el archivo WIN.INI en la carpeta C:\WINDOWS, agregando la siguiente línea bajo la etiqueta [windows]: [windows] Run = c:\windows\system\rundlls.exe También modifica el archivo C:\AUTOEXEC.BAT para ejecutarse al reiniciarse Windows (Windows 95, 98). Crea el siguiente archivo: c:\iluv.txt Este archivo contiene solo el siguiente texto: You I love He I don't Luego, crea una lista con todos los contactos de la libreta de direcciones, para enviarse a cada uno de ellos, mensajes infectados a través del correo electrónico. Los mensajes tienen las características vistas antes. Finalmente intenta un ataque de denegación de servicio a sitios de Internet predeterminados. * Reparación manual * Antivirus 1. Actualice sus antivirus con las últimas definiciones 2. Ejecútelos en modo escaneo, revisando todos sus discos 3. Borre los archivos detectados como infectados * Borrado manual de los archivos creados por el gusano Desde el Explorador de Windows, localice y borre los siguientes archivos: c:\windows\start menu\programs\startup\sydneylove.exe c:\documents and settings\all users\start\sydneylove.exe c:\windows\sydneyloves.exe c:\windows\sydneyloves.dll c:\windows\winsys.dll c:\windows\windows.exe c:\windows\rundlls.exe c:\windows\system\rundlls.exe c:\iloveyou.vbs c:\iluv.txt Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". Borre también los mensajes electrónicos similares al descripto antes. * Método para revisar Autoexec.bat Esto sólo es necesario en computadoras bajo Windows 95/98 y Me. * Usuarios de Windows Me solamente: En el caso de los usuarios de Windows Me, debido al proceso de autoprotección de esta versión de Windows, existe una copia de respaldo del archivo AUTOEXEC.BAT en la carpeta C:\Windows\Recent. Se recomienda borrar esta copia antes de proceder a los siguientes cambios. Para ello, desde el Explorador de Windows, abra la carpeta C:\Windows\Recent, y en el panel de la derecha, seleccione y borre Autoexec.bat. Este archivo se regenerará como una copia del archivo que a continuación modificaremos, al grabar los cambios hechos. * Usuarios de Windows 95, 98 y Me: 1. Pulse el botón Inicio y luego Ejecutar 2. Escriba lo siguiente y pulse OK. edit c:\autoexec.bat Se abrirá el editor de MS-DOS con el contenido de c:\autoexec.bat 3. Borre todas las líneas que contengan alguna referencia a alguno de los siguientes archivos: c:\windows\sydneyloves.exe c:\windows\windows.exe c:\windows\rundlls.exe c:\windows\system\rundlls.exe 4. Seleccione Archivo, Guardar, para grabar los cambios, y luego reinicie su PC. * Editar el archivo WIN.INI 1. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter. 2. Busque lo siguiente: [windows] Run = c:\windows\system\rundlls.exe Debe quedar como: [windows] Run = 3. Grabe los cambios y salga del bloc de notas. 4. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). * Información adicional * Windows Scripting Host y Script Defender Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo: Algunas recomendaciones sobre los virus escritos en VBS http://www.vsantivirus.com/faq-vbs.htm Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán. Utilidades: Script Defender, nos protege de los scripts http://www.vsantivirus.com/script-defender.htm * Mostrar las extensiones verdaderas de los archivos Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así: 1. Ejecute el Explorador de Windows 2. Seleccione el menú "Ver" (Windows 95/98/NT) o el menú "Herramientas" (Windows Me/2000/XP), y pinche en "Opciones" u "Opciones de carpetas". 3. Seleccione la lengüeta "Ver". 4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar. 5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar. En Windows 98, bajo "Archivos ocultos", MARQUE "Mostrar todos los archivos". En Windows Me/2000/XP, en "Archivos y carpetas ocultos", MARQUE "Mostrar todos los archivos y carpetas ocultos" y DESMARQUE "Ocultar archivos protegidos del sistema operativo". 6. Pinche en "Aplicar" y en "Aceptar". * Limpieza de virus en Windows Me y XP Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos: Limpieza de virus en Windows Me http://www.vsantivirus.com/faq-winme.htm Limpieza de virus en Windows XP http://www.vsantivirus.com/faq-winxp.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com _____________________________________________________________ Pautas generales para mantenerse alejado de los virus _____________________________________________________________ Recuerde estas pautas para mantener alejado de su computadora cualquier riesgo de virus o troyanos: 1) Use regularmente un programa antivirus (nosotros siempre recomendamos no confiar en uno solo, pero usar más de uno no significa que debamos tenerlos a todos instalados, simplemente ejecutamos esos antivirus en su opción de escaneo, sobre la carpeta que contenga los archivos a revisar). Y por supuesto, de nada vale usar algún antivirus si no lo mantenemos actualizado con los upgrades, updates o add-ons correspondientes. Actualmente, las actualizaciones son diarias (AVP, Panda y otros) o al menos semanales. No existen los "virus demasiados nuevos y sin antídotos", la reacción de las casas de antivirus es inmediata en todos los casos. Pero mejor pregúntese, si la suya también lo es a la hora de actualizarse. 2) No abrir ningún mensaje ni archivo recibido a través del correo electrónico de fuentes desconocidas o muy poco conocidas. En el caso de personas conocidas, se deben igualmente tomar las precauciones correspondientes. Asegurarse con esa persona del envío ("Melissa" y otros pueden ser enviados por conocidos que ignoran estar mandando el virus en sus mensajes), y nunca ejecutarlos, sino guardarlos en una carpeta temporal y pasarle a esa carpeta dos o tres antivirus actualizados antes de tomar la opción de ejecutarlos (.EXE) o abrirlos (.DOC, .RTF, etc.). Pero ante cualquier duda, simplemente se debe optar por borrar el mensaje (y archivos adjuntos). Como se dice vulgarmente, "la confianza mata al hombre", en este caso a la PC. 3) Estar informado de cómo operan los virus, y de las novedades sobre estos, alertas y anuncios críticos, en sitios como el nuestro. 4) No bajar nada de sitios Web de los que no tenga referencias de seriedad, o que no sean medianamente conocidos. Y si se bajan archivos, proceder como los archivos adjuntos. Copiarlos a una carpeta y revisarlos con dos o tres antivirus actualizados antes de optar por ejecutarlos o abrirlos. _____________________________________________________________ Sobre este boletín _____________________________________________________________ La distribución de este boletín es gratuita, y está amparada bajo los derechos de Copyright registrados por Video Soft (también los artículos publicados directamente en nuestra página). Si usted desea usar esta información en cualquier medio escrito o electrónico, puede hacerlo sin solicitarnos el permiso respectivo, con la única condición de mencionar su origen, y remitirnos un e-mail o ejemplar con la ubicación donde se haga referencia al material usado que haya sido sacado de este boletín o de la página de VSAntivirus. Video Soft, Video Soft BBS, VSAntivirus y VSAyuda son marcas registradas. Los artículos de otros autores han sido incluidos de acuerdo a la política de Copyright adoptada por cada uno de ellos, y su inclusión en nuestro boletín se rige por dichas políticas, sin embargo, para su uso en otro medio, se deberá solicitar la debida autorización.- _____________________________________________________________ Visite diariamente nuestra página. Puede bajar de allí las versiones de evaluación actualizadas de los antivirus más usados o que consideramos por nuestra experiencia más confiables. El criterio de selección solo pasa por nuestra experiencia diaria con usuarios y clientes, a los que asesoramos y damos servicio técnico. _____________________________________________________________ Cualquier duda o comentario sobre esta lista de correo, envíe un e-mail a cualquiera de estas direcciones: jllopez@nativo.com videosoft@videosoft.net.uy _____________________________________________________________ VSANTIVIRUS - Sitio oficial: http://www.vsantivirus.com _____________________________________________________________ Altas: http://listas.vsantivirus.com/lista/vsantivirus/alta Bajas: http://listas.vsantivirus.com/lista/vsantivirus/baja También puede enviar un mensaje vacío a estas direcciones: Altas: vsantivirus-alta@listas.vsantivirus.com Bajas: vsantivirus-baja@listas.vsantivirus.com _____________________________________________________________ VSANTIVIRUS - http://www.vsantivirus.com - Es un servicio de VIDEO SOFT (Maldonado, Uruguay) - http://www.videosoft.net.uy _____________________________________________________________ VSantivirus No. 1157 Año 7, Domingo 7 de setiembre de 2003