Tema: W32/HLLW.VB.O. Roba información y borra documentos

[Danae]

W32/HLLW.VB.O. Roba información y borra documentos
 
Nombre: W32/HLLW.VB.O
Nombre NOD32: Win32/HLLW.VB.O
Tipo: Gusano de Internet Caballo de Troya de acceso remoto
Alias: Win32.HLLW.VB.o, W32/Generic.d, W32.SillyFDC, Win32/HLLW.VB.K, Win32/VB.AH, Win32.Mima.B, Win32/PWS.Mima.B.Trojan
Plataforma: Windows 32-bit

Caballo de Troya que roba información de los equipos infectados y además es capaz de borrar documentos de Microsoft Word.

Cuando se ejecuta, muestra una ventana con el siguiente mensaje:
????
????????Word??!
[   Aceptar   ]
Se copia en la carpeta del sistema de Windows con el siguiente nombre:
c:\windows\system\sys.exe
Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema:
HKLM\SOFTWARE\Microsoft
\Windows\CurrentVersion\policies\EXPLORER\RUN
(Predeterminado) = KV3000
Explorer = c:\windows\system\sys.exe
El troyano captura la salida del teclado y guarda la información obtenida en el siguiente archivo:
c:\windows\system\mima.sys
Busca archivos con extensión .DOC en cualquier disquete insertado en la unidad A:, y los borra, copiándose él mismo con el nombre del .DOC pero con extensión .EXE.

Ejemplo: Si encuentra un archivo llamado DOCUMENTO.DOC, lo borra y se copia él mismo con el nombre de DOCUMENTO.EXE.

Reparación Antivirus
Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados por el virus.
4. Reitere estos pasos en cada disquete previamente utilizado.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\system\sys.exe
c:\windows\system\mima.sys
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\policies
\EXPLORER
\RUN
3. Haga clic en la carpeta "RUN" y bórrela.
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/hllw-vb-o.htm