HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW
auto = "1"

Cuando se ejecuta, intenta finalizar el cortafuegos ZoneAlarm, y los siguientes procesos relacionados con antivirus y otros programas de seguridad:

ravmon.exe
eghost.exe
mailmon.exe
kavpfw.exe
iparmor.exe

Libera el siguiente archivo en la carpeta actual:

virdll.dll

Inyecta dicho DLL en el mismo proceso del Internet Explorer, e intenta descargar y ejecutar un archivo llamado 1.EXE (un troyano robador de contraseñas), del siguiente dominio:

www .twavgirl .com

Busca archivos .EXE en todas las unidades de disco del equipo infectado, desde el C en adelante, para infectarlos. El tamaño de los archivos infectados aumenta 67,072 bytes.

Evita infectar .EXE cuyos nombres o carpetas de ubicación, contengan algunas de las siguientes cadenas:

\Program Files
Common Files
ComPlus Applications
Documents and Settings
InstallShield Installation Information
Internet Explorer
Messenger
Microsoft Frontpage
Microsoft Office
Movie Maker
MSN
MSN Gaming Zone
NetMeeting
Outlook Express
Recycled
system
System Volume Information
system32
windows
Windows Media Player
Windows NT
WindowsUpdate
winnt

Tampoco infecta los siguientes archivos:

iexplore.exe
explorer.exe

Los archivos infectados cambian su icono por uno utilizado por archivos .ZIP.

Crea la siguiente copia de si mismo en la carpeta de Windows:

c:\windows\LOGO1_.EXE

66.197.186.149   bbs .vips .com .tw
66.197.186.149   bubble .com .tw
66.197.186.149   cgi .tw .ebay .com
66.197.186.149   dir .pchome .com .tw
66.197.186.149   gnn .gamer .com .tw
66.197.186.149   groups .msn .com
66.197.186.149   hdvd .com .tw
66.197.186.149   liveupdate .symantecliveupdate .com
66.197.186.149   movie .kingnet .com .tw
66.197.186.149   pc .gamebase .com .tw
66.197.186.149   service .gamania .com
66.197.186.149   tw .ebay .com
66.197.186.149   tw .games .yahoo .com
66.197.186.149   twbbs .net .tw
66.197.186.149   www .104 .com .tw
66.197.186.149   www .atmovies .com .tw
66.197.186.149   www .books .com .tw
66.197.186.149   www .cartoonnetwork .com .tw
66.197.186.149   www .e-box .net .tw
66.197.186.149   www .funtown .com .tw
66.197.186.149   www .gamania .com
66.197.186.149   www .gamebase .com .tw
66.197.186.149   www .gamemaster .com
66.197.186.149   www .gamer .com .tw
66.197.186.149   www .gamestation .com .tw
66.197.186.149   www .gamezone .idv .tw
66.197.186.149   www .ggame .com .tw
66.197.186.149   www .girl-tw .com
66.197.186.149   www .google .com .tw
66.197.186.149   www .hello .com .tw
66.197.186.149   www .hinet .net
66.197.186.149   www .igame .com .tw
66.197.186.149   www .iogc .com .tw
66.197.186.149   www .ithome .com .tw
66.197.186.149   www .kokoro .com .tw
66.197.186.149   www .lineage2 .com .tw
66.197.186.149   www .microsoft .com
66.197.186.149   www .mofa .com .tw
66.197.186.149   www .movie .com .tw
66.197.186.149   www .msn .com .tw
66.197.186.149   www .newspace .com .tw
66.197.186.149   www .oc-gamer .com
66.197.186.149   www .pchome .com .tw
66.197.186.149   www .sa .game .tw
66.197.186.149   www .seed .net .tw
66.197.186.149   www .sina .com .tw
66.197.186.149   www .softking .com .tw
66.197.186.149   www .softstar .com .tw
66.197.186.149   www .sogi .com .tw
66.197.186.149   www .so-net .net .tw
66.197.186.149   www .symantec .com
66.197.186.149   www .symantec .com .tw
66.197.186.149   www .t2t .com .tw
66.197.186.149   www .taiwandns .com
66.197.186.149   www .taiwankiss .com
66.197.186.149   www .tp .edu .tw
66.197.186.149   www .transakt .com .tw
66.197.186.149   www .tw18 .com
66.197.186.149   www .twgirls .net
66.197.186.149   www .twindex .com .tw
66.197.186.149   www .uhome .net
66.197.186.149   www .yam .com

Reparación manual

Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Repare (*) los archivos detectados como infectados

(*) Algunos archivos del virus solo podrán ser borrados


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\LOGO1_.EXE

Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

* En Windows 95/98/Me/NT/2000

1. Seleccione Inicio, Buscar, Archivos o carpetas

2. Asegúrese de tener en "Buscar en:" la unidad "C:", y de tener seleccionada la opción "Incluir subcarpetas"

3. En "Nombre" ingrese (o corte y pegue), lo siguiente:

VIRDLL.DLL;  1.EXE

4. Haga clic en "Buscar ahora" y borre todos los archivos encontrados

5. Cierre la ventana de búsqueda

6. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

* En Windows XP

1. Seleccione Inicio, Buscar

2. Seleccione "Todos los archivos y carpetas"

3. En "Todo o parte del nombre de archivo" ingrese (o corte y pegue), lo siguiente:

VIRDLL.DLL;  1.EXE

4. Verifique que en "Buscar en:" esté seleccionado "C:"

5. Haga clic en "Más opciones avanzadas"

6. Seleccione "Buscar en carpetas del sistema"

7. Seleccione "Buscar en subcarpetas"

8. Haga clic en "Búsqueda" y borre todos los archivos encontrados

9. Cierre la ventana de búsqueda

10. Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Soft

3. Pinche en la carpeta "Soft" y bórrela.

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1   localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Reinicie su computadora.


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com