| |
VSantivirus No. 1205 Año 7, Sábado 25 de octubre de 2003
W32/Marque.A. Asunto: "Il momento e'catartico"
http://www.vsantivirus.com/marque-a.htm
Nombre: W32/Marque.A
Tipo: Gusano de Internet
Alias: W32.Marque.Worm, W32.Marque@mm, Win32/Marq.A, W32.Marque@mm, Marque, W32.Marque@mm, Marque, I-Worm.Voltan, W32/Voltan.A,
W32/Gizel.A.worm
Fecha: 24/oct/03
Plataforma: Windows 32-bit
Tamaño: 36,352 bytes
Gusano escrito en Microsoft Visual C++ y comprimido con la herramienta ASPack, que utiliza su propio motor SMTP para propagarse a todos los contactos de la libreta de direcciones de Windows, en un mensaje con el asunto "Il momento e'catartico", sin adjuntos.
El mensaje (en formato HTML), contiene un enlace hacia un determinado sitio Web. Si el usuario pincha en ese enlace, se descarga el archivo del gusano propiamente dicho y luego es ejecutado. El archivo descargado se llama ZELIG.SCR.
El gusano obtiene del registro de la computadora infectada, los datos del correo del usuario (dirección del servidor SMTP, cuenta predeterminada, etc.), así como la ubicación de la libreta de direcciones.
Su nombre proviene del hecho que modifica el texto del protector de pantalla denominado "Marquesina" (Screen Saver.Marquee), por el siguiente:
A volte ti sento così vicina...A volte ti sento così
lontana...Certo che hai proprio un cellulare di merda!
Para ello, crea o modifica el contenido de la siguiente clave en el registro:
HKEY_CURRENT_USER\Control Panel\Screen Saver.Marquee
Text = [el texto mostrado antes]
Cuando se ejecuta, descarga el siguiente archivo de Internet y lo abre con el Internet Explorer:
[sitio web]/esito.html
El archivo ESITO.HTML muestra el siguiente texto:
Congratulazioni !
Il "CATARTICO" screen saver è stato
installato con successo .
El gusano utiliza su propio motor SMTP para enviar el siguiente mensaje con formato HTML a todos los contactos de la libreta de direcciones de Windows:
Asunto: Il momento e'catartico
Texto:
hanno reso mitico un salva schermo scaricalo,
"poesie catartiche", che
non sai cosa ti perdi
ciao
Book Antiqua
Ricevo è cortesemente inoltro,....
un premio per genial
hanno reso mitico un salva schermo scaricalo,
"poesie catartiche" che non sai
cosa ti perdi
El mensaje no contiene adjuntos. Solo muestra un enlace a un sitio de Internet. Si el usuario que recibe ese mensaje visita ese sitio, cuando sus páginas se abran en el explorador, se mostrará el siguiente mensaje:
Il momento è catartico... per parafrasare
un noto comico di ZELIG !!!
Al mismo tiempo, el archivo ZELIG.SCR es descargado y luego se ejecuta, repitiendo el mismo ciclo ya visto.
Se ha comprobado, que el gusano también modifica (o intenta modificar), los parámetros de conexión del acceso
telefónico a redes u otro similar, por un número telefónico que comienza con la característica 899 (un
servicio con un costo diferenciado, que se aplica en Italia a servicios generalmente para adultos).
Este gusano no funciona en Windows 95, 98 y Me, porque requiere ciertas DLLs no presentes en estos sistemas.
Reparación manual
El gusano no modifica ningún registro de Windows, y solo basta con reiniciar la computadora para sacarlo de memoria.
Los pasos siguientes deben ser tomados por precaución, y para quitar el protector de pantalla modificado.
Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados
4. Borre también los mensajes similares al descripto antes
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Control Panel
\Screen Saver.Marquee
3. Pinche en la entrada "Screen Saver.Marquee" y bórrela.
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Información adicional
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm
Actualizaciones:
28/oct/03 - Alias: W32/Gizel.A.worm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
