Asunto: With Love
Texto: Whit all my love for you. :)
Archivo adjunto: Winhlp.exe (o MonCherry.zip)

También podemos recibirlo vía IRC, como Winhlp.exe.

El gusano en si mismo es un ejecutable de casi 37 Kb, escrito en Visual Basic.

Cuando el usuario ejecuta el adjunto (o el archivo recibido vía IRC), el gusano muestra el siguiente mensaje falso:

INSTALL
Install complete.
[    Aceptar    ]

Luego muestra esta otra ventana:

ERROR!
Unable to run program!
[    Aceptar    ]

Mientras aparenta ser un programa que ha fallado en su instalación, el gusano se copia a si mismo en esta ubicación:

C:\Windows\WINHLP.EXE

También crea el siguiente archivo:

C:\Windows\OUTLOOKHELP.VBS

Luego, modifica el registro de Windows para ejecutarse en cada reinicio del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WinProfile = C:\Windows\winhlp.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
OutlookProfile = C:\Windows\outlookhelp.vbs

Winhlp.exe es el código principal del gusano, mientras que Outlookhelp.vbs es el código usado para propagarse vía e-mail.

Cuando este segundo archivo se ejecuta, el gusano obtiene las direcciones de la libreta del Outlook, y envía a cada una de ellas, mensajes con las mismas características del descripto anteriormente.

Si en la computadora infectada existe el programa mIRC, y este se encuentra en la carpeta C:\MIRC, el gusano escribe el archivo SCRIPT.INI allí. Este script hará que el mIRC envie el código del gusano (WINHLP.EXE) a cada usuario que comparta el mismo canal visitado por el usuario infectado, cada vez que éste se conecta a un chat.

El gusano posee otra rutina maliciosa, que se ejecuta el 13 de enero. En esa fecha, el virus sobrescribe el archivo C:\AUTOEXEC.BAT con las instrucciones necesarias para realizar un formato del disco C en el próximo reinicio de la computadora. Esto no funciona en Windows Me.

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos de personas que realmente conoce, pero aún así, jamás los abra o ejecute sin
revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" (2) para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Para eliminar el virus manualmente, siga estos pasos:

1. Primero ejecute un antivirus al día.

2. Use REGEDIT para borrar las claves agregadas en el registro. Para ello, primero desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter.

3. Luego, en el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
software
Microsoft
Windows
CurrentVersion
Run

4. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre las siguientes entradas:

WinProfile         "C:\Windows\winhlp.exe"
OutlookProfile   "C:\Windows\outlookhelp.vbs"

5. Finalmente, utilice el menú "Registro", "Salir" para salir del editor y confirmar los cambios, y reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Glosario:

(1) IRC (Internet Relay Chat) - Un sistema de conversación multiusuario, donde la gente se reúne en ambientes virtuales llamados "canales", normalmente identificados con temas definidos de conversación, para poder charlar en grupo o en privado. IRC trabaja en arquitectura Cliente/Servidor. El usuario ejecuta un programa cliente (los más conocidos son mIRC y Pirch), el cual se conecta a través de la red (Internet por ejemplo) con otro programa servidor. La misión del servidor es pasar los mensajes de usuario a usuario.

(2) DCC (Direct Client to Client) - Los archivos enviados entre usuarios participantes de un canal de chat (IRC) se transmiten por medio de una sesión denominada DCC (Direct Client to Client), que permite la transferencia directa de los mismos.

Fuente: Kaspersky Labs
(c) Video Soft - http://www.videosoft.net.uy