emily2003.zip

Cuando el usuario abre el ZIP y ejecuta su contenido, se produce la infección, copiándose el gusano en la siguiente ubicación:

c:\windows\hndlmsn.exe

El gusano también crea una imagen en el directorio de Windows y la muestra (una joven mujer tomada por una webcam):

c:\windows\janey.jpg

NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.).

Luego modifica la siguiente clave del registro, para ejecutarse automáticamente en cada reinicio del sistema:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
N2IregChk = c:\windows\hndlmsn.exe

Crea entonces un archivo comprimido (con PKZIP):

c:\windows\emilly2003.zip

Este ZIP contiene una copia del gusano con el siguiente nombre:

emily_2003.scr

El gusano crea el mutex "KIMWILDE2". Un MUTEX (mutual exclusion object) Es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones) y evitar que más de un proceso acceda al mismo tiempo al mismo recurso. Esto previene la múltiple carga del programa en memoria.

Luego, el gusano se conecta al siguiente servidor de IRC:

eu.undernet.org

Y se une a numerosos canales, utilizando los siguientes nombres:

abby
abigail
adai
addie
adela
adele
adeline
adriana
agnes
aida
aidia
aileen
aimee
alana
alberta
alexis
alice
alicia
alisa
alisha
alison
allie
allison
allyson
alma
alta
althea
alyssa
amanda
amber
amelia
amie
ammy
andrea
angel
angela
angelia
angie
anita
anna
anna
anne
annette
annie
annna
antonia
april
arlene
ashlee
ashley
audra
audrey
aurora
autumn
avai
avis
barbara
barbra
beatriz
becky
belinda
benita
bernice
bertha
bessie
beth
bethany
betsy
bette
bettie
betty
bettye
beulah
beverly
bianca
blanca
blanche
bobbi
bonita
bonnie
brandi
brandy
brenda
brianna
bridget
brooke
caitlin
callie
camille
candace
candice
candy
cara
carla
carlene
carmela
carmen
carol
carole
carolyn
carrie
casey
cassie
cathy
cecelia
cecile
cecilia
celeste
celia
chandra
charity
chelsea
cheri
cherie
cheryl
christa
christi
christy
cindy
claire
clara
clare
clarice
claudia
cleo
colleen
connie
cora
corinne
corrine
crystal
cynthia
daisy
dale
dana
daphne
darcy
darla
darlene
dawn
deana
deanna
debbie
debora
deborah
debra
deee
delia
della
delores
deloris
dena
denise
desiree
diana
diane
dianna
dianne
dina
dixie
dolly
dolores
dona
donna
dora
doreen
doris
dorothy
dorthy
dray
drayle
earlene
earline
ebony
edith
edna
effie
eileen
elaine
eleanor
elena
elinor
elisa
elise
eliza
ella
ellen
elma
elnora
eloise
elsa
elsie
elva
elvira
emilia
emily
emma
erica
ericka
erika
erin
erma
essie
estela
estella
estelle
ester
esther
ethel
etta
eugenia
eula
eunice
evaa
evee
evelyn
faith
fannie
faye
faye
felicia
fern
flora
flossie
frances
francis
freda
frieda
gail
gale
geneva
georgia
gina
ginger
gladys
glenda
glenna
gloria
grace
gracie
greta
gwen
haley
hannah
harriet
hattie
hazel
heather
heidi
helen
helena
helene
hilary
hilda
hillary
holly
hope
ilaa
imogene
inez
ingrid
irene
iris
irma
isabel
ivai
ivye
jackie
jaclyn
jaime
jami
jamie
jana
jane
janelle
janet
janette
jani
janice
janie
janine
janis
jasmine
jayne
jean
jeanie
jeanine
jeanne
jeannie
jeinine
jenifer
jenna
jennie
jenny
jeri
jerri
jessica
jessie
jewel
jewell
jill
jillian
jimmie
joan
joann
joanna
joanne
jocelyn
jodi
jodie
jody
johanna
johnnie
jolene
joni
jordan
josie
joyce
joye
juana
juanita
judith
judy
julia
julie
june
justine
kara
karen
kari
karin
karina
karla
kate
kathryn
kathy
katie
katrina
kaye
kayla
keisha
kelley
kelli
kellie
kelly
kelsey
kendra
keri
kerri
kerry
kimmy
kirsten
krista
kristen
kristi
kristie
kristin
kristy
krystal
lacey
ladonna
lana
lara
latasha
latisha
latonya
latoya
laura
laurel
lauren
laurie
laverne
leah
leah
leann
leanne
leigh
leila
lela
lena
lenora
lenore
leola
leona
lesley
leslie
letha
leticia
lidia
lila
lilia
lillian
lillie
lilly
lily
linda
lindsay
lindsey
lisa
liza
lizzie
lois
lola
lora
loraine
lorena
lorene
loretta
lori
lorie
lorna
lorrie
lottie
louisa
louise
lourdes
lousi
lucia
lucile
lucille
lucinda
lucy
luella
luisa
lula
lupe
luzi
lydia
lynda
lynette
lynn
lynne
mabel
mable
maggie
malinda
mallory
mamie
mandy
manuela
marcia
marcie
marcy
margie
margo
margret
maria
marian
maribel
marie
marilyn
marina
marion
marisa
marisol
marissa
maritza
marla
marlene
marsha
marta
martha
martina
mary
maryann
marylou
matilda
mattie
maude
maureen
mavis
maxine
mayei
mayra
meagan
megan
meghan
melanie
melba
melinda
melisa
melissa
melody
miai
michele
mildred
millie
mindy
minerva
minnie
miranda
miriam
misty
mollie
molly
mona
monica
monique
morgan
muriel
myra
myrna
myrtle
nadine
nancy
nannie
naomi
natalie
natasha
nelda
nell
nellie
nettie
neva
nichole
nicole
nikki
nina
nita
noemi
nola
nora
noreen
norma
odessa
ofelia
olay
olga
opal
orae
paige
pamela
pamm
patrica
patrice
patsy
patti
pattra
patty
paula
pauline
pearl
pearlie
peggy
penny
petra
phyllis
polly
rachael
rachel
ramona
randi
raquel
raye
reba
rebecca
rebekah
regina
rena
rene
renee
rhoda
rhonda
rita
roberta
robin
robyn
ronda
rosa
rosalie
rosalyn
rosario
rose
rosetta
rosie
roxanne
ruby
ruth
ruthie
sabrina
sadie
sallie
sally
sandra
sandy
sara
sarah
saundra
selena
selma
serena
shana
shanna
shannon
shari
sharon
sharron
shauna
shawn
shawna
sheena
sheila
shelby
shelia
shelley
shelly
sheri
sherri
sherrie
sherry
sheryl
shirley
silvia
simone
socorro
sofia
sondra
sonia
sonja
sonya
sophia
sophie
stacey
staci
stacie
stacy
stella
suey
summer
susan
susana
susanne
susie
suzanne
sybil
sylvia
tabatha
tabitha
tamara
tameka
tami
tamika
tammie
tammy
tania
tanisha
tanya
tara
tasha
taylor
teresa
teri
terri
terrie
terry
thelma
theresa
therese
tiar
tiffany
tina
tommie
toni
tonia
tonya
tracey
traci
tracie
tracy
tricia
trina
trisha
trudy
ursula
valarie
valerie
vanessa
velma
vera
verna
vicki
vickie
vicky
viola
violet
virgie
vivian
wanda
wendy
whitney
wilma
winnie
yolanda
yvette
yvonne
zelma

En los canales de chat, despliega alguna de las siguientes frases:

17/f/texas
18/f/Boston
19/f/Ireland
23/f/Walkersville
24-f-uk
26/f/Florida
26-f-Scotland
doing_okay?
how_are_you?
how_you_doin?
how's_life?
how's_things?

Luego ofrece intercambiar imágenes, con alguna de las siguientes preguntas:

do_you_have_a_pic?
have_a_pic?_this_is_me..
I'll_send_my_pic._send_yours?
send_me_a_pic?_I'll_send_mine
swap_pix?

Y utiliza alguno de los siguientes agradecimientos como respuesta:

allo:)
ctc
ello:o)
greetings
hello
hey:)
hi
hi_there
howdy
sal
salut

Después de una conversación, el gusano se envía a si mismo al usuario que responde, en un archivo .ZIP como el descripto al principio.


Reparación manual

Antivirus

1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados


Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\windows\hndlmsn.exe
c:\windows\janey.jpg
c:\windows\emilly2003.zip

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:

N2IregChk

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

El IRC y los virus

Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos que usted ha pedido, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.

Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.

En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.

Vea también:

Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com