REPITO NUEVAMENTE:
****************** Si se ejecutó el gusano, los cambios realizados en el registro de Windows, y los archivos borrados, harán imposible una recuperación del sistema. La única solución efectiva será reinstalar todos los programas y aplicaciones, incluido Windows. ********************************
FUENTE: ENCICLOPEDIA DE VIRUS.
Cuando se ejecuta el gusano intenta borrar los siguientes archivos:
C:\Autoexec.bat
C:\Config.sys
C:\WINNT\System32\*.dll
C:\WINNT\System32\Ntoskrnl.exe
C:\WINNT\System32\Command.com
C:\WINNT\Regedit.exe
C:\Windows\System32\Ntoskrnl.exe
C:\Windows\System32\Command.com
C:\Windows\Regedit.exe
C:\WINNT\System32\*.exe
C:\WINNT\System32\*.com
C:\WINNT\System32\*.ocx
C:\Windows\System32\*.dll
C:\Windows\System32\*.ocx
C:\Windows\System32\*.exe
C:\Windows\System32\*.com
Luego se copia a si mismo en el siguiente archivo, con los atributos de oculto y de sistema:
C:\Rundll32.exe
También se copia en la carpeta compartida por defecto del KaZaa:
C:\windows\Program Files\Kazaa\My Shared Folder\
Windows XP KeyGen 2.5.exe
Cambia los siguientes valores del registro:
HKEY_CLASSES_ROOT\exefile\shell\open\command
HKEY_CLASSES_ROOT\comfile\shell\open\command
HKEY_CLASSES_ROOT\batfile\shell\open\command
HKEY_CLASSES_ROOT\piffile\shell\open\command
HKEY_CLASSES_ROOT\htafile\shell\open\command
HKEY_CLASSES_ROOT\htfile\shell\open\command
En todos ellos se agrega como:
(Predeterminado) = [archivo del gusano] %1
Como resultado, al abrirse archivos con extensión .EXE, .COM, .BAT, .PIF, .HTA y .HT, se ejecuta el gusano.
Cambia también los siguientes valores del registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
MediaPath = C:\Proyecto1.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
Rundll32.exe = C:\Rundll32.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEX
DevicePath = C:\Proyecto1.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SETUP
NetCache = C:\Proyecto1.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
ProxyDevice = C:\Proyecto1.exe
HKEY_CURRENT_USER\Software\kIlLeRgUaTe 1.03
Muestra un mensaje falso advirtiendo que Windows ha encontrado un error y le pregunta al usuario para enviar los datos de dicho error a Microsoft. Existen dos botones:
[ Send Error ] y [ Send and Close ]
Si se pulsa en [Send Error], otro mensaje de error es mostrado. Si se intenta cancelar dicho mensaje, el mismo se vuelve a repetir. Si se pincha en el botón [Back], retorna el primer mensaje falso con los botones [Send Error] y [Send and Close].
Si se pincha en [Send and Close], se producen las siguientes acciones:
Se abren múltiples ventanas del Panel de Control.
Se abre la bandeja del CD-Rom
Un mensaje del autor del gusano es mostrado, y el mismo no puede ser movido ni cerrado.
Se deshabilita la bandeja del sistema (System Tray)
Desaparece la barra de tareas
El disco C ya no es visible y desaparecen todos sus iconos.
Solo permanecen las ventanas abiertas. Los mensajes generados por el propio gusano quedan obscurecidos.
El gusano intenta enviarse a si mismo a todas las direcciones de la libreta del Outlook y Outlook Express, en mensajes como éste:
Asunto: Microsoft Windows Critical Update.
Datos adjuntos: Windows Critical Update 088562.exe
Cuerpo del mensaje:
Critical Update: The Microsoft Windows updates
found on this patch include fixes to following
Windows operating systems: Any update that is
critical to the operation of your computer is
considered a Critical Update, and is automatically
selected for installation during the scan for
available updates. This patch is provided to help
resolve known issues, and to protect your computer
from known security vulnerabilities and all kinds
of viruses. Whether a patch applies to your
operating system, software programs, or hardware,
it is listed in the Critical Updates category,
like this patch attached. For Support please
contact us at support@microsoft.com.
> INSTRUCCIONES PARA ELIMINARLO
Si el gusano se ha ejecutado, será imposible reiniciar Windows. El daño dependerá de algunas acciones realizadas por el usuario, y de la versión de Windows instalada. Sin embargo, la gran cantidad de cambios en el sistema y el borrado de archivos, solo dejará como alternativa la recuperación desde un sistema de respaldo total, o la reinstalación de Windows y sus programas.
Luego de ello, ejecute un antivirus actualizado para no dejar rastros del gusano. -------------------------------------------------------------------------------------------------------------------------
*** Por favor Rag, no des instrucciones erróneas de lo que no conozcas. Puedes causar un verdadero estropicio. Ten más cuidado la próxima vez. Tampoco se trata de formatear...
