Worm-Backdoor.W32/Mytob.EN@MM
Alias:
WORM_MYTOB.AR (Trend Micro), W32.Mytob.CU@mm (Symantec),
W32/Mytob.bh@MM (McAfee), Win32.Mytob.DM (Computer Associates),
Net-Worm.Win32.Mytob.bb (Kaspersky (viruslist.com)), W32/Mytob-CP
(Sophos), W32/Mytob.AR@mm (PerAntivirus), Win32/Mytob.DB
(Enciclopedia Virus)
Descripción:
Gusano que se propaga masivamente por correo electrónico a
direcciones incluidas en la libreta de contactos de Windows (WAB)
del equipo afectado, y a través de sistemas sin proteger frente a
la vulnerabilidad LSASS.
También puede actuar como puerta trasera permitiendo a usuarios
remotos la ejecución de comandos como la descarga y ejecución de
ficheros, y la obtención de información del sistema.
Modifica el fichero HOSTS para impedir el acceso a determinados
sitios de antivirus y seguridad informática.
Detiene la ejecución de varios procesos, muchos también relativos
a programas de seguridad, de modo que el equipo queda desprotegido
frente a otras amenazas.
Detalles:
Instalación y Autoarranque
Cuando es ejecutado, Worm.W32/Mytob.EN@MM deja una copia de sí
mismo con el nombre LIEN VAN DE KELDER.EXE en el directorio
del sistema de Windows.
Para ejecutarse automáticamente cada vez que el sistema es
reiniciado, añade el valor indicado a las siguientes claves del
registro de Windows:
Claves:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
Valor:
http://www.lienvandekelder.be = "\Lien Van de
Kelder.exe"
Seguidamente, descarga el fichero SYSTEM.EXE que contiene un
software espía, y otro que pertenece a un software publicitario.
Propagación por correo
electrónico
El gusano se propaga a través de correo electrónico.
El mensaje enviado tiene las siguientes caracterísitcas:
Asunto: uno de los siguientes:
- - aleatorio -
- *DETECTED* Online User Violation
- *IMPORTANT* Please Validate Your Email
Account
- *IMPORTANT* Your Account Has Been Locked
- *WARNING* Your Email Account Will Be
Closed
- Account Alert
- Email Account Suspension
- Important Notification
- Notice of account limitation
- Notice: **Last Warning**
- Notice:***Your email account will be
suspended***
- Security measures
- Your email account access is restricted
- Your Email Account is Suspended For
Security Reasons
Cuerpo del mensaje: uno de los
siguientes:
- Once you have completed the form in the
attached file , your account records will not be interrupted and
will continue as normal.
- please look at attached document.
- Please read the attached document and
follow it's instructions.
- Please see the attachement.
- The original message has been included
as an attachment.
- To safeguard your email account from
possible termination, please see the attached file.
- To unblock your email account acces,
please see the attachement.
- We attached some important information
regarding your account.
- We have suspended some of your email
services, to resolve the problem you should read the attached
document.
- We regret to inform you that your
account has been suspended due to the violation of our site
policy, more info is attached.
Fichero Anexo: una combinación
de los siguientes nombres y extensiones, con un tamaño entre 29.868
y 29.882 bytes:
Nombre:
- - aleatorio -
- account-details
- document
- document_full
- email-doc
- email-info
- information
- info
- info-text
- instructions
- your_details
Extensión:
Recopila direcciones de correo electrónicas de la libreta de
contactos de Windows (WAB).
También genera direcciones de correo combinando los siguientes
nombres con los dominios que encuentra en la libreta de contactos de
Windows:
- alice
- andrew
- brenda
- brent
- brian
- claudia
- david
- debby
- george
- helen
- james
- jerry
- jimmy
- julie
- kevin
- Linda
- maria
- michael
- peter
- robert
- smith
- steve
Evita enviarse a aquellas direcciones que contengan alguna de las
siguientes cadenas de caracteres:
- accoun
- acketst
- admin
- anyone
- arin.
- berkeley
- borlan
- certific
- contact
- example
- feste
- gold-certs
- google
- ibm.com
- icrosof
- inpris
- isc.o
- isi.e
- kernel
- linux
- listserv
- mit.e
- mozilla
- mydomai
- nobody
- nodomai
- noone
- nothing
- ntivi
- panda
- postmaster
- privacy
- rating
- rfc-ed
- ripe.
- ruslis
- secur
- sendmail
- service
- somebody
- someone
- sopho
- submit
- support
- tanford.e
- the.bat
- usenet
- utgers.ed
- webmaster
Vulnerabilidades
Worm.W32/Mytob.EN@MM aprovecha la vulnerabilidad LSASS
para propagarse.
Más información y acceso al parche que repara esta vulnerabilidad
en el Boletín
de Seguridad de Microsoft MS04-011.
Puerta trasera
Este gusano también posee capacidad para actuar como puerta
trasera.
Llega junto a un iniciador de Internet Relay Chat (IRC) que
le permite conectarse a determinado servidor IRC.
A continuación espera comandos procedentes de un usuario remoto.
Nota: Un iniciador de IRC
es un programa que puede ejecutar ciertos comandos cuando recibe una
entrada específica (normalmente procedente del autor delcódigo
malicioso), permitiendo al usuario remoto manipular los equipos
infectados.
Una vez realizada la conexión, el usuario remoto podría tener
control del sistema afectado, puidendo realizar las siguientes
acciones:
- Descargar / Ejecutar ficheros.
- Obtener información del sistema.
- Eliminar / Actualizar copias del código
malicioso.
Modificación del
fichero de HOSTS
El fichero HOSTS contiene el mapeo de direcciones IP a
nombres de equipos.
El fichero se carga en memoria al inicio del sistema y Windows
comprueba el contenido de este fichero antes de conectarse a un
sitio web solicitado.
Este fichero es útil para bloquear publicidad, cookies y
sitios web maliciosos conocidos, así como cualquier sitio web que
se quiera bloquear. Sin embargo, esta técnica también la pueden
usar los códigos maliciosos para impedir que los usuarios puedan
acceder a sitios relativos ntivirus y a seguridad informática.
Worm.W32/Mytob.EN@MM añade las siguientes entradas al
fichero HOSTS, para evitar que el usuario pueda acceder a los
siguientes sitios web:
- customer.symantec.com
- dispatch.mcafee.com
- download.mcafee.com
- kaspersky-labs.com
- liveupdate.symantec.com
- liveupdate.symantecliveupdate.com
- mast.mcafee.com
- rads.mcafee.com
- secure.nai.com
- securityresponse.symantec.com
- update.symantec.com
- updates.symantec.com
- us.mcafee.com
- www.avp.com
- www.ca.com
- www.f-secure.com
- www.grisoft.com
- www.kaspersky.com
- www.mcafee.com
- www.microsoft.com
- www.msn.com
- www.my-etrust.com
- www.nai.com
- www.networkassociates.com
- www.oxyd.fr
- www.sophos.com
- www.symantec.com
- www.t35.com
- www.t35.net
- www.trendmicro.com
- www.viruslist.com
- www.virustotal.com
Detención de Procesos
Worm.W32/Mytob.EN@MM detiene la ejecución de los siguientes
procesos, algunos de los cuales pertenecen a aplicaciones antivirus
o de seguridad informática:
- _AVP32.EXE
- _AVPCC.EXE
- _AVPM.EXE
- ACKWIN32.EXE
- ADAWARE.EXE
- ADVXDWIN.EXE
- AGENTSVR.EXE
- AGENTW.EXE
- ALERTSVC.EXE
- ALEVIR.EXE
- ALOGSERV.EXE
- AMON9X.EXE
- ANTI-TROJAN.EXE
- ANTIVIRUS.EXE
- ANTS.EXE
- APIMONITOR.EXE
- APLICA32.EXE
- APVXDWIN.EXE
- ARR.EXE
- ATCON.EXE
- ATGUARD.EXE
- ATRO55EN.EXE
- ATUPDATER.EXE
- ATUPDATER.EXE
- ATWATCH.EXE
- AU.EXE
- AUPDATE.EXE
- AUPDATE.EXE
- AUTODOWN.EXE
- AUTODOWN.EXE
- AUTO-PROTECT.NAV80TRY.EXE
- AUTOTRACE.EXE
- AUTOTRACE.EXE
- AUTOUPDATE.EXE
- AUTOUPDATE.EXE
- AVCONSOL.EXE
- AVE32.EXE
- AVGCC32.EXE
- AVGCTRL.EXE
- AVGNT.EXE
- AVGSERV.EXE
- AVGSERV9.EXE
- AVGUARD.EXE
- AVGW.EXE
- AVKPOP.EXE
- AVKSERV.EXE
- AVKSERVICE.EXE
- AVKWCTl9.EXE
- AVLTMAIN.EXE
- AVNT.EXE
- AVP.EXE
- AVP32.EXE
- AVPCC.EXE
- AVPDOS32.EXE
- AVPM.EXE
- AVPTC32.EXE
- AVPUPD.EXE
- AVPUPD.EXE
- AVSCHED32.EXE
- AVSYNMGR.EXE
- AVWINNT.EXE
- AVWUPD.EXE
- AVWUPD32.EXE
- AVWUPD32.EXE
- AVWUPSRV.EXE
- AVXMONITOR9X.EXE
- AVXMONITORNT.EXE
- AVXQUAR.EXE
- AVXQUAR.EXE
- BACKWEB.EXE
- BARGAINS.EXE
- BD_PROFESSIONAL.EXE
- BEAGLE.EXE
- BELT.EXE
- BIDEF.EXE
- BIDSERVER.EXE
- BIPCP.EXE
- BIPCPEVALSETUP.EXE
- BISP.EXE
- BLACKD.EXE
- BLACKICE.EXE
- BLSS.EXE
- BOOTCONF.EXE
- BOOTWARN.EXE
- BORG2.EXE
- BPC.EXE
- BRASIL.EXE
- BS120.EXE
- BUNDLE.EXE
- BVT.EXE
- CCAPP.EXE
- CCEVTMGR.EXE
- CCPXYSVC.EXE
- CDP.EXE
- CFD.EXE
- CFGWIZ.EXE
- CFIADMIN.EXE
- CFIAUDIT.EXE
- CFIAUDIT.EXE
- CFINET.EXE
- CFINET32.EXE
- CLAW95CF.EXE
- CLEAN.EXE
- CLEANER.EXE
- CLEANER3.EXE
- CLEANPC.EXE
- CLICK.EXE
- CMD.EXE
- CMD32.EXE
- CMESYS.EXE
- CMGRDIAN.EXE
- CMON016.EXE
- CONNECTIONMONITOR.EXE
- CPD.EXE
- CPF9X206.EXE
- CPFNT206.EXE
- CTRL.EXE
- CV.EXE
- CWNB181.EXE
- CWNTDWMO.EXE
- DATEMANAGER.EXE
- DCOMX.EXE
- DEFALERT.EXE
- DEFSCANGUI.EXE
- DEFWATCH.EXE
- DEPUTY.EXE
- DIVX.EXE
- DLLCACHE.EXE
- DLLREG.EXE
- DOORS.EXE
- DPF.EXE
- DPFSETUP.EXE
- DPPS2.EXE
- DRWATSON.EXE
- DRWEB32.EXE
- DRWEBUPW.EXE
- DSSAGENT.EXE
- DVP95.EXE
- DVP95_0.EXE
- ECENGINE.EXE
- EFPEADM.EXE
- EMSW.EXE
- ENT.EXE
- ESAFE.EXE
- ESCANHNT.EXE
- ESCANV95.EXE
- ESPWATCH.EXE
- ETHEREAL.EXE
- ETRUSTCIPE.EXE
- EVPN.EXE
- EXANTIVIRUS-CNET.EXE
- EXE.AVXW.EXE
- EXPERT.EXE
- EXPLORE.EXE
- FAMEH32.EXE
- FAST.EXE
- FCH32.EXE
- FIH32.EXE
- FINDVIRU.EXE
- FIREWALL.EXE
- FNRB32.EXE
- FPROT.EXE
- F-PROT.EXE
- F-PROT95.EXE
- FP-WIN.EXE
- FP-WIN_TRIAL.EXE
- FRW.EXE
- FSAA.EXE
- FSAV.EXE
- FSAV32.EXE
- FSAV530STBYB.EXE
- FSAV530WTBYB.EXE
- FSAV95.EXE
- FSGK32.EXE
- FSM32.EXE
- FSMA32.EXE
- FSMB32.EXE
- F-STOPW.EXE
- GATOR.EXE
- GBMENU.EXE
- GBPOLL.EXE
- GENERICS.EXE
- GMT.EXE
- GUARD.EXE
- GUARDDOG.EXE
- HACKTRACERSETUP.EXE
- HBINST.EXE
- HBSRV.EXE
- HOTACTIO.EXE
- HOTPATCH.EXE
- HTLOG.EXE
- HTPATCH.EXE
- HWPE.EXE
- HXDL.EXE
- HXIUL.EXE
- IAMAPP.EXE
- IAMSERV.EXE
- IAMSTATS.EXE
- IBMASN.EXE
- IBMAVSP.EXE
- ICLOADNT.EXE
- ICMON.EXE
- ICSUPP95.EXE
- ICSUPPNT.EXE
- IDLE.EXE
- IEDLL.EXE
- IEDRIVER.EXE
- IEXPLORER.EXE
- IFACE.EXE
- IFW2000.EXE
- INETLNFO.EXE
- INFUS.EXE
- INFWIN.EXE
- INIT.EXE
- INTDEL.EXE
- INTREN.EXE
- IOMON98.EXE
- ISTSVC.EXE
- JAMMER.EXE
- JDBGMRG.EXE
- JEDI.EXE
- KAVLITE40ENG.EXE
- KAVPERS40ENG.EXE
- KAVPF.EXE
- KAZZA.EXE
- KEENVALUE.EXE
- KERIO-PF-213-EN-WIN.EXE
- KERIO-WRL-421-EN-WIN.EXE
- KERIO-WRP-421-EN-WIN.EXE
- KERNEL32.EXE
- KILLPROCESSSETUP161.EXE
- LAUNCHER.EXE
- LDNETMON.EXE
- LDPRO.EXE
- LDPROMENU.EXE
- LDSCAN.EXE
- LNETINFO.EXE
- LOADER.EXE
- LOCALNET.EXE
- LOCKDOWN.EXE
- LOCKDOWN2000.EXE
- LOOKOUT.EXE
- LORDPE.EXE
- LSETUP.EXE
- LUALL.EXE
- LUALL.EXE
- LUAU.EXE
- LUCOMSERVER.EXE
- LUINIT.EXE
- LUSPT.EXE
- MAPISVC32.EXE
- MCAGENT.EXE
- MCMNHDLR.EXE
- MCSHIELD.EXE
- MCTOOL.EXE
- MCUPDATE.EXE
- MCUPDATE.EXE
- MCVSRTE.EXE
- MCVSSHLD.EXE
- MD.EXE
- MFIN32.EXE
- MFW2EN.EXE
- MFWENG3.02D30.EXE
- MGAVRTCL.EXE
- MGAVRTE.EXE
- MGHTML.EXE
- MGUI.EXE
- MINILOG.EXE
- MMOD.EXE
- MONITOR.EXE
- MOOLIVE.EXE
- MOSTAT.EXE
- MPFAGENT.EXE
- MPFSERVICE.EXE
- MPFTRAY.EXE
- MRFLUX.EXE
- MSAPP.EXE
- MSBB.EXE
- MSBLAST.EXE
- MSCACHE.EXE
- MSCCN32.EXE
- MSCMAN.EXE
- MSCONFIG.EXE
- MSDM.EXE
- MSDOS.EXE
- MSIEXEC16.EXE
- MSINFO32.EXE
- MSLAUGH.EXE
- MSMGT.EXE
- MSMSGRI32.EXE
- MSSMMC32.EXE
- MSSYS.EXE
- MSVXD.EXE
- MU0311AD.EXE
- MWATCH.EXE
- N32SCANW.EXE
- NAV.EXE
- NAVAP.NAVAPSVC.EXE
- NAVAPSVC.EXE
- NAVAPW32.EXE
- NAVDX.EXE
- NAVLU32.EXE
- NAVNT.EXE
- NAVSTUB.EXE
- NAVW32.EXE
- NAVWNT.EXE
- NC2000.EXE
- NCINST4.EXE
- NDD32.EXE
- NEOMONITOR.EXE
- NEOWATCHLOG.EXE
- NETARMOR.EXE
- NETD32.EXE
- NETINFO.EXE
- NETMON.EXE
- NETSCANPRO.EXE
- NETSPYHUNTER-1.2.EXE
- NETSTAT.EXE
- NETUTILS.EXE
- NISSERV.EXE
- NISUM.EXE
- NMAIN.EXE
- NOD32.EXE
- NORMIST.EXE
- NORTON_INTERNET_SECU_3.0_407.EXE
- NOTSTART.EXE
- NPF40_TW_98_NT_ME_2K.EXE
- NPFMESSENGER.EXE
- NPROTECT.EXE
- NPSCHECK.EXE
- NPSSVC.EXE
- NSCHED32.EXE
- NSSYS32.EXE
- NSTASK32.EXE
- NSUPDATE.EXE
- NT.EXE
- NTRTSCAN.EXE
- NTVDM.EXE
- NTXconfig.EXE
- NUI.EXE
- NUPGRADE.EXE
- NUPGRADE.EXE
- NVARCH16.EXE
- NVC95.EXE
- NVSVC32.EXE
- NWINST4.EXE
- NWSERVICE.EXE
- NWTOOL16.EXE
- OLLYDBG.EXE
- ONSRVR.EXE
- OPTIMIZE.EXE
- OSTRONET.EXE
- OTFIX.EXE
- OUTPOST.EXE
- OUTPOST.EXE
- OUTPOSTINSTALL.EXE
- OUTPOSTPROINSTALL.EXE
- PADMIN.EXE
- PATCH.EXE
- PAVCL.EXE
- PAVPROXY.EXE
- PAVSCHED.EXE
- PAVW.EXE
- PCFWALLICON.EXE
- PCIP10117_0.EXE
- PCSCAN.EXE
- PDSETUP.EXE
- PERISCOPE.EXE
- PERSFW.EXE
- PERSWF.EXE
- PF2.EXE
- PFWADMIN.EXE
- PGMONITR.EXE
- PINGSCAN.EXE
- PLATIN.EXE
- POP3TRAP.EXE
- POPROXY.EXE
- POPSCAN.EXE
- PORTDETECTIVE.EXE
- PORTMONITOR.EXE
- POWERSCAN.EXE
- PPINUPDT.EXE
- PPTBC.EXE
- PPVSTOP.EXE
- PRIZESURFER.EXE
- PRMT.EXE
- PRMVR.EXE
- PROCDUMP.EXE
- PROCESSMONITOR.EXE
- PROCEXPLORERV1.0.EXE
- PROGRAMAUDITOR.EXE
- PROPORT.EXE
- PROTECTX.EXE
- PSPF.EXE
- PURGE.EXE
- QCONSOLE.EXE
- QSERVER.EXE
- RAPAPP.EXE
- RAV7.EXE
- RAV7WIN.EXE
- RAV8WIN32ENG.EXE
- RAY.EXE
- RB32.EXE
- RCSYNC.EXE
- REALMON.EXE
- REGED.EXE
- REGEDIT.EXE
- REGEDT32.EXE
- RESCUE.EXE
- RESCUE32.EXE
- RRGUARD.EXE
- RSHELL.EXE
- RTVSCAN.EXE
- RTVSCN95.EXE
- RULAUNCH.EXE
- RUN32DLL.EXE
- RUNDLL.EXE
- RUNDLL16.EXE
- RUXDLL32.EXE
- SAFEWEB.EXE
- SAHAGENT.EXE
- SAVE.EXE
- SAVENOW.EXE
- SBSERV.EXE
- SC.EXE
- SCAM32.EXE
- SCAN32.EXE
- SCAN95.EXE
- SCANPM.EXE
- SCRSCAN.EXE
- SETUP_FLOWPROTECTOR_US.EXE
- SETUPVAMEEVAL.EXE
- SFC.EXE
- SGSSFW32.EXE
- SH.EXE
- SHELLSPYINSTALL.EXE
- SHN.EXE
- SHOWBEHIND.EXE
- SMC.EXE
- SMS.EXE
- SMSS32.EXE
- SOAP.EXE
- SOFI.EXE
- SPERM.EXE
- SPF.EXE
- SPHINX.EXE
- SPOLER.EXE
- SPOOLCV.EXE
- SPOOLSV32.EXE
- SPYXX.EXE
- SREXE.EXE
- SRNG.EXE
- SS3EDIT.EXE
- SSG_4104.EXE
- SSGRATE.EXE
- ST2.EXE
- START.EXE
- STCLOADER.EXE
- SUPFTRL.EXE
- SUPPORT.EXE
- SUPPORTER5.EXE
- SVC.EXE
- SVCHOSTC.EXE
- SVCHOSTS.EXE
- SVSHOST.EXE
- SWEEP95.EXE
- SWEEPNET.SWEEPSRV.SYS.SWNETSUP.EXE
- SYMPROXYSVC.EXE
- SYMTRAY.EXE
- SYSEDIT.EXE
- SYSTEM.EXE
- SYSTEM32.EXE
- SYSUPD.EXE
- TASKMG.EXE
- TASKMGR.EXE
- TASKMO.EXE
- TASKMON.EXE
- TAUMON.EXE
- TBSCAN.EXE
- TC.EXE
- TCA.EXE
- TCM.EXE
- TDS2-NT.EXE
- TDS-3.EXE
- TEEKIDS.EXE
- TFAK.EXE
- TFAK5.EXE
- TGBOB.EXE
- TITANIN.EXE
- TITANINXP.EXE
- TRACERT.EXE
- TRICKLER.EXE
- TRJSCAN.EXE
- TRJSETUP.EXE
- TROJANTRAP3.EXE
- TSADBOT.EXE
- TVMD.EXE
- TVTMD.EXE
- UNDOBOOT.EXE
- UPDAT.EXE
- UPDATE.EXE
- UPDATE.EXE
- UPGRAD.EXE
- UTPOST.EXE
- VBCMSERV.EXE
- VBCONS.EXE
- VBUST.EXE
- VBWIN9X.EXE
- VBWINNTW.EXE
- VCSETUP.EXE
- VET32.EXE
- VET95.EXE
- VETTRAY.EXE
- VFSETUP.EXE
- VIR-HELP.EXE
- VIRUSMDPERSONALFIREWALL.EXE
- VNLAN300.EXE
- VNPC3000.EXE
- VPC32.EXE
- VPC42.EXE
- VPFW30S.EXE
- VPTRAY.EXE
- VSCAN40.EXE
- VSCENU6.02D30.EXE
- VSCHED.EXE
- VSECOMR.EXE
- VSHWIN32.EXE
- VSISETUP.EXE
- VSMAIN.EXE
- VSMON.EXE
- VSSTAT.EXE
- VSWIN9XE.EXE
- VSWINNTSE.EXE
- VSWINPERSE.EXE
- W32DSM89.EXE
- W9X.EXE
- WATCHDOG.EXE
- WEBDAV.EXE
- WEBSCANX.EXE
- WEBTRAP.EXE
- WFINDV32.EXE
- WHOSWATCHINGME.EXE
- WIMMUN32.EXE
- WIN32.EXE
- WIN32US.EXE
- WINACTIVE.EXE
- WIN-BUGSFIX.EXE
- WINDOW.EXE
- WINDOWS.EXE
- WININETD.EXE
- WININIT.EXE
- WININITX.EXE
- WINLOGIN.EXE
- WINMAIN.EXE
- WINNET.EXE
- WINPPR32.EXE
- WINRECON.EXE
- WINSERVN.EXE
- WINSSK32.EXE
- WINSTART.EXE
- WINSTART001.EXE
- WINTSK32.EXE
- WINUPDATE.EXE
- WKUFIND.EXE
- WNAD.EXE
- WNT.EXE
- WRADMIN.EXE
- WRCTRL.EXE
- WSBGATE.EXE
- WUPDATER.EXE
- WUPDT.EXE
- WYVERNWORKSFIREWALL.EXE
- XPF202EN.EXE
- ZAPRO.EXE
- ZAPSETUP3001.EXE
- ZATUTOR.EXE
- ZONALM2601.EXE
- ZONEALARM.EXE
Solución:
- Para impedir el reinicio de Windows XP ejecute el comando
"shutdown -a". Para ello haga clic en
"Inicio", seleccione "Ejecutar", teclee
"shutdown -a" (sin las comillas) y haga clic en
"aceptar". Otra opción (válidad para Windows 2000)
es retrasar el reloj del sistema un día.
El sistema no queda totalmente funcional, pero podrá activar
el cortafuegos de Windows XP e instalar el parche para la
vulnerabilidad desde el Boletín
de Seguridad de Microsoft MS04-011.
En Windows XP, desactive temporalmente la Restauración del
Sistema antes de eliminar el virus por otros medios, ya que podría
haberse creado una copia de seguridad del virus. Si necesita
ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de
Antivirus Gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar
el archivo.
- En el caso de que no se pueda eliminar el fichero del virus,
debe terminar manualmente el proceso en ejecución del virus.
Abra el Administrador de tareas (presione Control+Mayúsculas+Esc).
En Windows 98/Me seleccione el nombre del proceso y deténgalo.
En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho
en el proceso y seleccione 'Terminar Proceso'. A continuación
vuelva a intentar el borrado o reparación del fichero.
- A continuación hay que editar el registro para deshacer los
cambios realizados por el virus. Si necesita información sobre
cómo editar el registro puede ver esta guía
de edición del registro o este vídeo
de ayuda que ilustra el proceso. Sea
extremadamente cuidadoso al manipular el registro. Si modifica
ciertas claves de manera incorrecta puede dejar el sistema
inutilizable.
Para evitar que el gusano sea ejecutado automáticamente cada
vez que el sistema es reiniciado, elimine de las siguientes
claves del registro de Windows, el valor indicado:
Claves:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
Valor: http://www.lienvandekelder.be = "\Lien Van de
Kelder.exe"
- Restaure el fichero 'HOST' que ha sido modificado por acción
del gusano.
Para ello, utilice una copia de seguridad de dicho fichero, o
bien, elimine las siguientes lineas de su contenido (comenzando
por 127.0.0.1), abriéndolo con algún editor, como por ejemplo Notepad:
- customer.symantec.com
- dispatch.mcafee.com
- download.mcafee.com
- kaspersky-labs.com
- liveupdate.symantec.com
- liveupdate.symantecliveupdate.com
- mast.mcafee.com
- rads.mcafee.com
- secure.nai.com
- securityresponse.symantec.com
- update.symantec.com
- updates.symantec.com
- us.mcafee.com
- www.avp.com
- www.ca.com
- www.f-secure.com
- www.grisoft.com
- www.kaspersky.com
- www.mcafee.com
- www.microsoft.com
- www.msn.com
- www.my-etrust.com
- www.nai.com
- www.networkassociates.com
- www.oxyd.fr
- www.sophos.com
- www.symantec.com
- www.t35.com
- www.t35.net
- www.trendmicro.com
- www.viruslist.com
- www.virustotal.com
- Reincie su ordenador y explore todo el disco duro con un
antivirus para asegurarse de la eliminación del virus. Si
desactivó la restauración del sistema, recuerde volver a
activarla.
Más Información sobre este virus en:
Fuente: red.es |
