Virus: VBS/Boluc.A. Un intento fallido para propagarse

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 402 - Año 5 - Martes 14 de agosto de 2001

Nombre: VBS/Boluc.A
Tipo: Gusano de Visual Basic Script
Fecha: 13/ago/01

Este virus se trata de un intento de gusano capaz de enviarse masivamente a través del correo electrónico. Lo libera el W97M/Boluc.A.

El código del gusano se encuentra en el archivo THWIN.vbs, y se ejecuta en el primer reinicio de Windows luego de una infección con el virus W97M/Boluc.A.

El archivo THWIN.vbs se copia a si mismo en Hola.vbs. Contiene código para poder enviar ese archivo a 70 contactos seleccionados de la libreta de direcciones del Outlook. Sin embargo, debido a un error en su código, la rutina de envío no funciona.

El mensaje que intenta enviar, tiene las siguientes características:

Asunto: Hola
Texto: Un recuerdo para ti en Archivo Adjunto.

El virus selecciona al azar, archivos con las siguientes extensiones, en todas las unidades de disco, y procede a borrarlos:

xls
dbf
wav
dwg
mp3
bak
wav
bmp
htm
hlp
chm
jpg
gif
scr
cdr
ttf

El gusano guarda una lista de los archivos borrados en el siguiente archivo:

C:\Windows\System\ListWin.txt

Si la fecha actual de activación es posterior al 27 de mayo de 2001, el gusano agrega en el archivo C:\AUTOEXEC.BAT, comandos para borrar archivos *.DLL, *.SYS, *.OCX e incluso formatear el disco C.

Cuando se activa, el gusano muestra una ventana con el siguiente texto en español:

HOLA
Hola.. Quisiera tener una linda amistad contigo, no sé si recuerdas la vez que platicamos en el chat;
y solo recordaba tu e-mail y la verdad me agradó tu plática y me pareces una buena persona
Quisiera comunicarme continuamente contigo.
Estaré esperando tu respuesta, escríbeme.

HASTA PRONTO

[ Aceptar ]

Finalmente, el gusano VBS.Boluc.A, infecta la plantilla global de Windows, Normal.dot.

El Normal.dot infectado, guarda documentos de Word limpios en c:\Microsof.doc y los infecta con sus macros (Microsoft.doc del directorio de Office).

Si existiera un disquete en la unidad A, el gusano copiaría allí el archivo Hola.vbs.

El código contiene el siguiente texto, como comentario, que no es visible en ningún momento:

Macro virus HERCOLUBUS, Copyright 2001
Email Hercolubus@terra.com
Versión Prueba

Aunque esta versión tiene fallas, es probable el autor propague una nueva versión corregida en el futuro.

Para quitar este gusano de su sistema, ejecute un antivirus al día.

Este gusano es parte del W97M/Boluc.A.

Fuente: Computer Associates
(c) Video Soft - http://www.videosoft.net.uy