VSantivirus No. 663 - Año 6 - Miércoles 1 de mayo de 2002
VBS/Redlof.A. Infección por medio del correo con formato
http://www.vsantivirus.com/redlof-a.htm
Nombre: VBS/Redlof.A
Tipo: Gusano de Visual Basic Script
Alias: VBS/Redlof@M, HTML.Redlof.A, VBS.Redolf, VBS_REDLOF.A
Fecha: 30/abr/02
Tamaño: 11,518 bytes
Es un script de Visual Basic (VBS), capaz de configurar por defecto diseños de fondo infectados (.HTM) para Microsoft Outlook y Outlook Express.
Explota para ello la vulnerabilidad conocida como "Microsoft VM ActiveX Component
Vulnerability", que permite la ejecución de código embebido en mensajes con formato y en documentos HTML.
El script llega en un mensaje con formato HTML, oculto para el usuario, o a través de páginas Web maliciosas o con HTMLs infectados. Note que los mensajes son generados por el usuario infectado, el cuál ignora que está mandando el virus.
No es un gusano que envía correo al azar o en forma masiva, pero basta que quien reciba el mensaje lea el mismo, para que su computadora pueda infectarse. Lo mismo ocurre si visita páginas Web infectadas.
El virus utiliza el evento BODY ONLOAD para iniciar la infección.
Todos los archivos .HTM y .HTT de la computadora son infectados, agregándoseles el código encriptado del virus.
A los archivos .HTT se le carga al principio el evento
BODY ONLOAD, mientras que en los archivos .HTM esta acción está al principio del cuerpo del virus.
La cuenta de usuario por defecto del Outlook y Outlook Express es buscada en el registro, para asignarle un diseño de fondo (stationary file) llamado
BLANK.HTM, el cuál es seteado como fondo por defecto. Los siguientes cambios (o los que correspondan de acuerdo a la versión de Office y de Windows) son hechos en el registro:
HKEY_CURRENT_USER\Identities\{...}\Software
\Microsoft\Outlook Express\5.0\Mail
Stationery Name = [camino]\Stationery\blank.htm
Wide Stationery Name = [camino]\Stationery\blank.htm
HKEY_CURRENT_USER\Software\Microsoft\Windows NT
\CurrentVersion\Windows Messaging Subsystem\Profiles
\Microsoft Outlook Internet Settings\
0a0d020000000000c000000000000046
001e0360 = blank
HKEY_CURRENT_USER\Software\Microsoft\Office\10.0
\Common\MailSettings
NewStationery = blank
El cuerpo del virus es guardado en el archivo llamado
KERNEL.DLL en el directorio SYSTEM de WINDOWS:
C:\Windows\System\Kernel.dll
Note que existe un DLL real de Windows llamado
Kernel32.dll. No lo confunda.
También se crea esta entrada en el registro, para la ejecución del virus cada vez que Windows reinicia:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run
Kernel32 = C:\WINDOWS\SYSTEM\Kernel.dll
También se modifica el registro para asociar los archivos
.DLL al WSCRIPT.EXE (Windows Scripting Host) normalmente asociado a archivos
.VBS por ejemplo:
HKEY_CLASSES_ROOT\dllfile\ScriptEngine\
(Predeterminado) = VBScript
HKEY_CLASSES_ROOT\dllfile\ScriptHostEncode\
(Predeterminado) = {85131631-480C-11D2-B1F9-00C04F86C324}
HKEY_CLASSES_ROOT\dllfile\Shell\Open\Command\
(Predeterminado) = C:\WINDOWS\WScript.exe "%1" %*
HKEY_CLASSES_ROOT\dllfile\ShellEx
\PropertySheetHandlers\WSHProps\
(Predeterminado) = {60254CA5-953B-11CF-8C96-00AA00B8708C}
Reparación manual
Para reparar manualmente la infección provocada por este virus, proceda de la siguiente forma:
1. Actualice sus antivirus
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros
3. Borre los archivos detectados como infectados por el virus
(Kernel.dll)
4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
Kernel32 C:\WINDOWS\SYSTEM\Kernel.dll
7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Identities
\{...identificador del usuario...}
\Software
\Microsoft
\Outlook Express
\5.0
\Mail
8. Pinche en la carpeta "Mail" y en el panel de la derecha pinche sobre las entradas
"Stationery Name" y "Wide Stationery
Name", dejando en todos los casos vacío el campo
"Información del valor".
9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Windows Messaging Subsystem
\Profiles
\Microsoft Outlook Internet Settings
\0a0d020000000000c000000000000046
10. Pinche en la carpeta "0a0d020000000000c000000000000046" y en el panel de la derecha pinche sobre la entrada
"001e0360", dejando vacío el campo "Información del
valor".
11. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Office
\10.0
\Common
\MailSettings
12. Pinche en la carpeta "MailSettings" y en el panel de la derecha pinche sobre la entrada
"NewStationery", dejando vacío el campo
"Información del valor".
13. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_ROOT
\dllfile
14. Pinche en la carpeta "dllfile" y borre las siguientes carpetas que cuelgan de ella:
\ScriptEngine
\ScriptHostEncode
\Shell
\ShellEx
15. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
16. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
Windows Scripting Host y Script Defender
Si no se tiene instalado el Windows Scripting Host, el virus no podrá ejecutarse. Para deshabilitar el WSH y para ver las extensiones verdaderas de los archivos, recomendamos el siguiente artículo:
VSantivirus No. 231 - 24/feb/01
Algunas recomendaciones sobre los virus escritos en VBS
http://www.vsantivirus.com/faq-vbs.htm
Si no desea deshabilitar el WSH, recomendamos instalar Script Defender, utilidad que nos protege de la ejecución de archivos con extensiones .VBS, .VBE, .JS, .JSE, .HTA, .WSF, .WSH, .SHS y .SHB, con lo cuál, la mayoría de los virus y gusanos escritos en Visual Basic Script por ejemplo, ya no nos sorprenderán.
VSantivirus No. 561 - 20/ene/02
Utilidades: Script Defender, nos protege de los scripts
http://www.vsantivirus.com/script-defender.htm
Uso de Proxomitron para protegernos de HTMLs maliciosos
Para disminuir el riesgo de infección y evitar daños provocados por el uso malintencionado de código malicioso embebido en páginas WEB por el simple hecho de visualizarlas, recomendamos la instalación de la utilidad Proxomitron.
Para instalar y configurar esta utilidad, así como para obtener más información sobre la misma, siga este enlace:
VSantivirus No. 646 - 14/abr/02
Proxomitron. Una protección imprescindible para navegar
http://www.vsantivirus.com/proxomitron.htm
Glosario:
Windows Scripting Host (WSH). Es un interprete de Java Script y de Visual Basic Script, que puede ayudar a automatizar varias tareas dentro de Windows, pero también puede ser explotado por virus en dichos lenguajes. Está instalado por defecto en Windows 98 y posteriores.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
