| |
VSantivirus No. 670 - Año 6 - Miércoles 8 de mayo de 2002
VBS/Bimorph.A. Dos virus que se propagan juntos
http://www.vsantivirus.com/bimorph-a.htm
Nombre: VBS/Bimorph.A
Tipo: Virus y gusano de Visual Basic Script
Alias: VBS_BIMORPH.A
Fecha: 6/may/02
Plataforma: Windows
Tamaño: 4,440 o 4,714 bytes
Fuente: Trend
Es un virus polimórfico, escrito en Visual Basic Script, que además de ser una "prueba de concepto", combina dos virus diferentes que coexisten y se propagan juntos en un único malware (software malicioso).
Utiliza Microsoft Outlook para enviar copias de si mismo en un mensaje con el asunto
"Check this out" y dos archivos VBS infectados como adjuntos,
"Snoopy shagging Woodstock" y "Snoopy smoking
weed".
El virus también contiene un archivo de texto adjunto, "Pass.on", que asegura ser una contraseña robada. Este archivo realmente contiene una contraseña del usuario infectado.
Este es una muestra del mensaje:
Asunto: Check this out
Datos adjuntos: "Snoopy shagging Woodstock", "Snoopy smoking weed", pass.on, (potential password source).
Cuando se ejecuta, el virus utiliza una llave guardada en su código para desencriptar el código encriptado del otro virus.
Esto también genera una nueva clave, la que utiliza a su vez para encriptarse a si mismo.
También borra el archivo C:\PASS.ON. Examina todos las unidades y directorios de los discos fijos y removibles del sistema infectado, y entonces, sobrescribe todos los archivos con extensión
.VBE y .VBS que encuentre, copiándose él mismo (su código), en ellos. El último archivo
TXT que encuentre con la palabra "password" es copiado en
C:\PASS.ON.
Uno de los virus contiene el siguiente texto en su código:
'vbs.janis by alcopaul/[rRlf]
'may 02, 2002
'a friend with weed is a friend indeed..
Cuando un archivo infectado se ejecuta en la computadora de la víctima, se reitera el mismo procedimiento. Se desencripta el código del virus ejecutado anteriormente, y se encripta nuevamente a si mismo con una nueva clave.
Cuándo la ejecución continúa con el nuevo código del virus, el mismo abre una sesión del Outlook Express para enviar un mensaje infectado como el ya descripto, a todos los contactos de la libreta de direcciones de la víctima.
El otro virus contiene el siguiente texto en su código:
'vbs.snoopy by alcopaul/[rRlf]
'05/02/2K2
'warning: morphic, steals info, employs new algorithm....
'greets to disk0rdia, dr.g0nZo, El DudErin0, philet0ast3r, ppacket, rastafarie,
'petik, energy
Para limpiar un sistema infectado, se debe ejecutar un antivirus actualizado. Sin embargo, los archivos
.VBS y .VBE que han sido sobrescritos por el virus, no pueden ser desinfectados, debiendo ser reemplazados desde un respaldo o la respectiva reinstalación de la utilidad a la que pertenecen.
Windows Scripting Host y Script Defender
Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:
VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm
Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán.
VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
