Asunto: [Nombre del ejecutable (varios)]

Texto del mensaje:
Mensaje importante para [destinatario] en el archivo
adjunto...

Datos adjuntos: [Ejecutable infectado].EXE

Tanto el asunto como el nombre del ejecutable puede ser cualquiera. Si se abre el adjunto, se produce la infección del sistema.

En ese caso se despliega la imagen de un escudo en blanco y negro en la pantalla del monitor.

El virus se copia a si mismo en el directorio System de Windows, como THWIN.EXE y MSWORD.EXE.

Dos claves son creadas en el registro, para cargar el virus en memoria al reiniciarse Windows.

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
THWIN = C:\WINDOWS\SYSTEM\THWIN.EXE

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
THWIN = C:\WINDOWS\SYSTEM\THWIN.EXE

El virus borra 5 archivos (por vez) en el directorio Windows y sus subdirectorios, utilizando las siguientes extensiones:

*.BAK 
*.BMP 
*.CDX 
*.CHM 
*.DBF 
*.DOC
*.DWG 
*.GIF 
*.HLP 
*.HTM 
*.ICO 
*.JPG 
*.MDB 
*.MID 
*.MP3 
*.SCR 
*.TTF 
*.WAV 
*.XLS

En forma periódica, el virus guarda una copia de si mismo en el raíz de la unidad de disquetes A:, con un nombre igual al de algún archivo ya existente en el disquete, más la extensión .EXE.

Si existe un archivo EJEMPLO.DLL, se copiaría como EJEMPLO.DLL.EXE. Los atributos del EJEMPLO.DLL serán puestos como oculto (+H).

El virus intenta modificar el archivo AUTOEXEC.BAT, con las instrucciones para proceder a realizar un formateo de la unidad C en el próximo reinicio del sistema.

El virus lleva un par de registros de sus acciones, en la carpeta System de Windows:

C:\Windows\System\ListWin.txt
C:\Windows\System\WinList.txt

En ListWin.txt guarda los nombres de los cinco archivos borrados.

WinList.txt contiene los nombres de los archivos conque se copió a los disquetes.


Reparación manual

Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como infectados por W32/Hunch.a, y los mensajes recibidos que contengan el virus.

4. Con el Explorador de Windows, borre los siguientes archivos (si aparecen):

C:\Windows\System\THWIN.EXE
C:\Windows\System\MSWORD.EXE
C:\Windows\System\ListWin.txt
C:\Windows\System\WinList.txt

5. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

7. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:

THWIN = C:\WINDOWS\SYSTEM\THWIN.EXE

8. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices

9. Pinche en la carpeta "RunServices" y en el panel de la derecha busque y borre la siguiente entrada:

THWIN = C:\WINDOWS\SYSTEM\THWIN.EXE

10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com