Troj/GhostGirl. Un troyano capaz de provocar un susto

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 797 - Año 6 - Viernes 13 de setiembre de 2002

Troj/GhostGirl. Un troyano capaz de provocar un susto
http://www.vsantivirus.com/ghostgirl.htm

Nombre: Troj/GhostGirl
Tipo: Caballo de Troya
Alias: Trj/GhostGirl, GhostGirl
Fecha: 11/set/02
Tamaño: 106,496 bytes
Plataforma: Windows 32-bits
Fuente: Panda

Este troyano, escrito en Visual Basic 6, no posee acciones destructivas en la computadora infectada y se caracteriza por mostrar en forma aleatoria una imagen con la intención de asustar al usuario, al mismo tiempo que abre y cierra la bandeja del CD-ROM.

Se propaga a través del correo electrónico, recursos compartidos en redes, etc. Puede ser descargado de Internet por el propio usuario de forma premeditada (sin saber su verdadera característica) así como ser copiado de disquetes, CD-ROMs, etc.

Cuando el usuario ejecuta el archivo del troyano (que puede llamarse GFG.EXE, pero también podría tener cualquier otro nombre), no hay ninguna acción visible para el usuario.

Sin embargo, el troyano permanece en memoria, y en forma aleatoria muestra la imagen terrorífica del rostro de una chica con los ojos inyectados de sangre, piel extremadamente blanca y rouge muy rojo simulando sangre. La aparición sorpresiva de una imagen así, puede provocar un buen susto a quien no se la espera, siendo ésta seguramente la intención del autor del troyano (la imagen real se muestra en un tamaño más grande a como se visualiza en este ejemplo).

Al mismo tiempo, en forma también aleatoria, procede a abrir y cerrar la bandeja de la unidad de CD-ROM.

El icono del archivo del troyano se presenta siempre como una extraña y sonriente carita amarilla con la forma de una flecha.

Al ejecutarse, el troyano crea una entrada en las siguientes claves en el registro, apuntando a la ubicación del archivo GFG.EXE (el propio troyano) en el disco duro:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.

Reparación manual

1. Actualice sus antivirus

2. Ejecútelos en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados

Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la entrada que haga referencia al siguiente archivo:

GFG.EXE

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

5. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la entrada que haga referencia al siguiente archivo:

GFG.EXE

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com