Tema: Kebede.L. Borra software de seguridad y de Windows

[Danae]

Kebede.L. Borra software de seguridad y de Windows

Nombre: Kebede.L
Nombre NOD32: Win32/Kebede.L
Tipo: Gusano de Internet
Alias: Kebede.L, Kedebe.L, Win32/Kebede.L
Plataforma: Windows 32-bit

Gusano que se propaga masivamente por correo electrónico y redes P2P. Puede borrar aplicaciones relacionadas con la seguridad.

Los mensajes infectados, poseen las siguientes características:

De: [uno de los siguientes nombres]
adam
Administrator
alex
alice
andrew
anna
bill
bini
bob
brenda
brent
brian
calvin
claudia
christoph
daniel
dave
david
debby
Diversity Visa Lottery
fred
george
helen
jack
james
jane
jerry
jimmy
joe
john
jose
julie
kevin
linda
Mail Administrator
maria
mary
matt
Microsoft Windows Update
michael
mike
peter
ray
robert
sami
sandra
smith
stan
steve
ted
tom
Las direcciones pueden tener uno de los siguientes dominios:
@gto.net.com
@jmc.demon.co.uk
@sv.span.com
@wilma.widomaker.com
@writeme.com
@yahoo.com

Asunto: [uno de los siguientes]
**WARNING** Account Currently Disabled
**WARNING** Your Internet account
*Breaking News* Michael Jackson Died
*IMPORTANT* Microsoft Windows Automatic Update disabled
*IMPORTANT* You Won Diversity Visa Lottery!
[sin asunto]
Administrator
Author of Mydoom has been ARRESTED!
FOR GIRLS ONLY!!, Boys
FOR THE LAST TIME!!
Fw: Fw: Osama Bin Laden has been arrested!
Fw: Fw: The 'SECRET' behind John Paul's death
I'm going to somewhere
It seems a good day!!
J Lo with no closes ON!!
John Paul's death and the doctors...
let's chat here...
Make sure u are alone
PaRtY tonight??!
Password
Re: hi
RE: the document
WE NEED TO TALK.
Welcome back
You chat room friend
you_lied
Your Information

Texto del mensaje: [uno de los siguientes]
Ejemplo 1:
For girls only!!
Ejemplo 2:
you again!! c ya!
Ejemplo 3:
no hay sitio para ...!!
Ejemplo 4:
Are you alone? The have fun
Ejemplo 5:
This is for the last time. Answer me.
Ejemplo 6:
I'm back with the password. Hit me back
Ejemplo 7:
i have found a new chat rooms, see you there.
Ejemplo 8:
Call me when you finish reading the document
Ejemplo 9:
We were waiting for u! Group pic is available.
Ejemplo 10:
Hey we need to talk. Read the attachment and hit me back
Ejemplo 11:
HeEeLLLoOoOoO! Party tonight???!!! Let me KnOw what's up.
Ejemplo 12:
I'm on vacation, what about you? Check out my girl,
N-A-K-E-D!!
Ejemplo 13:
hey it's me from the chat room, remember? anyway I've
sent u my pic. let me know wussup.
Ejemplo 14:
Attached is a confidential information about the Webs you
browsed. The list was logged since 2004.
Ejemplo 15:
[The mail client could not display the picture due to
high resolution on the graphics. Contents has been
attached as a hexadecimal text.]
Ejemplo 16:
[BODY REMOVED]
Ejemplo 17:
[NEW DOCUMENT ATTACHED]
Ejemplo 18:
Microsoft has also released a new form that the sender
can fill in and take the money. The sender is urged to
send his/her post address to Microsoft or SCO using the
attached form.
Ejemplo 19:
Your IP was logged because you accessed porn related
sites. Attached is list of sites you visited and
information about your Internet account.
Ejemplo 20:
someone sent me this document which is stolen from a
secret government body and deals about John Paul's death.
It says he was killed by two 'doctors' who were hired by
some government bodies. The text attached contains all
the story behind his death and who these doctors are.
Ejemplo 21:
We have found that Windows Automatic Update is not
enabled on your computer and Windows could not update
itself. This may have happened because your system is
infected with a latest virus. We recommend you to
download updates manually and install on your system. We
have sent you Microsoft Windows Malicious Software
Removal Tool. Scan your system with this software and
delete any file detected as virus. Then try to update
Windows.

This message was sent automatically from the Microsoft
Windows Update Web site.

Microsoft Corporation (c) 2001-2005. All rights reserved.
Ejemplo 22:
A new Worm is spreading by using Michael Jackson's death.
"After the death of the famous pop star, Michael Jackson,
during the acciedent yesterday, new computer Worms
appeared to use the news as a subject", said Graham
Cluley, senior technology consultant at Sophos. This Worm
has 10 different subjects which made it spread widely.
All the characterstics of the e-mail are attached in text
document. "System and server administrators are advised
to read/know the characterstics of the Worm," urges
Sophos. Sophos would also like to express its grief about
the pop star's death.

Sophos Internet Worm Protection Center.

++Attachment: No Virus Found(Clean text document)
++Scanner: Sophos Anti-virus
Ejemplo 23:
You have won this year's diversity visa lottery. We
reommend you to start the process as soon as possible.
Read the attached document for more information.

The Visa Lottery Commite.
Ejemplo 24:
I have attached it

-Original Message-
From: horst .schaeffer @ gmx .net
To: [email protected]
Sent: horst .schaeffer @ gmx .net
Subject: the document

> Please send me that document, thanx
 
Ejemplo 25:
Microsoft is proud to announce the latest version of
Windows-Long Horn. What make this version special is that
it is the only Microsoft's product with component's
source code available to 3rd party. Full documentation is
attached document. We have also included Windows Media
Player 10's source code.

Microsoft Corporation (c) 1993 - 2006
Ejemplo 26:
Microsoft has just annouced the arrest of the author of
the Internet Worm "MyDoom". Microsoft says, "Someone sent
us an e-mail that has a document about the location where
the author live. Even though the information true and led
us to the arrest of the author, the sender didn't mention
about himself so that we are unable to give him the
$500,000 reward. And the author of MyDoom has be found to
be a former Microsoft's employee fired becuase of his
discipline." Now Microsoft and SCO are confused to whom
to give the reward. Microsoft has also released a new
form that the sender can fill in and take the money. The
sender is urged to send his/her post address to Microsoft
or SCO using the attached form.

This message was sent because of your registration at:

To unregister, just go to http: // www .bbc .co .uk/
Ejemplo 27:
Big day huh! What a great surprise! I've just read on
Arab site that Osama bin Laden has been arested by the US
soldiers. It's lot to talk here. I just copied the whole
text in Notepad and attached it. Nice news huh?!
Ejemplo 28:
You will not be able to log on to your account anymore.
See the attac
Ejemplo 29:
I don't know how to say it, but it is really annoying
thing that happened on John Paul the 2nd. He was killed
by two 'doctors' who were hired by some security firms.
The text attached contains all the story behind his
death. Please, try to forward this document to all your
relatives and reveal the truth.

Datos adjuntos: [uno de los siguientes]
Account.doc.???
attached_document.doc.???
Bin_Laden_Arrested.???
Bin_Laden_Arrested.txt.???
body.txt.???
contents.txt.???
characters.txt.???
chat_server.???
chat_server.txt.???
details.???
ditail.txt.???
document.doc.???
files.txt.???
Full_Story.doc.???
group_photo.???
Hex_Pic.doc.???
Hex_Picture.txt.???
Important.doc.???
Info.txt.???
JohnPaul.txt.???
JohnPaul_Death.Doc.???
message.doc.???
messaggio.doc.???
microsoft.doc.???
Microsoft_Documentation.???
Microsoft_form.???
Microsoft_form.doc.???
my_girl.jpg.???
my_pics.jpeg.???
my_pictur.jpeg.???
party_location.txt.???
password.doc.???
photo.jpg.???
read_carefully.???
Removal_tool.???
Sex stories.txt.???
True_Ezin.doc.???
where_the_party_is.doc.???
with_this_girl.jpg.???
worm_characters.txt.???
you_lied.???
you_lied.txt.???
your_document.doc.???
Donde la extensión .??? puede ser una de las siguientes:
.exe
.com
.cab
Cuando se ejecuta se copia en la carpeta del sistema:
c:\windows\system32\[nombre]
Donde [nombre] puede ser uno de los siguientes:
dlhost.exe
locator.exe
logman.exe
logonui.exe
lsas.exe
nbtstat.exe
recover.exe
regedt32.exe
rundl32.exe
services.exe
svchost.exe
telnet.exe
user.exe
usrinit.exe
winhlp32.exe
winlogon.exe
winspol.exe
wuauclt.exe

El gusano puede abrir el bloc de notas y mostrar el siguiente texto:
This document cannot be run under old version. [caracteres al azar] Please install latest version of Notepad. [caracteres al azar]

Crea algunas de las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[nombre] = [nombre y camino del gusano]

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
load = [nombre y camino del gusano]

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
Run = [nombre y camino del gusano]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[nombre] = [nombre y camino del gusano]
Crea o modifica la siguiente entrada:
HKLM\SOFTWARE\Microsoft\MediaPlayer\Player
Player Already Configured = "True"
También borra la siguiente entrada:
HKCU\Software\Microsoft\Windows\CurrentVersion\Windows\Run
MSMSGS = "[camino]\msmsgs.exe"
Para propagarse, utiliza su propio motor SMTP. Las direcciones utilizadas, son extraídas de archivos en la máquina infectada, con las siguientes extensiones:
.abc
.asp
.dbxm
.dhtm
.doc
.eml
.htm
.inbox
.js
.msg
.nws
.oft
.php
.rtf
.stm
.txt
.vcf
.wab
.xhtm
.xml
El gusano modifica el archivo HOSTS, para evitar que el usuario pueda acceder a los siguientes sitios desde un equipo infectado:
avp .com
cm2 .zonelabs .com
definitions .symantec .com
dispatch .mcafee .com
download .com
download .mcafee .com
download .zonelabs .com
downloads1 .kaspersky-labs .com
downloads2 .kaspersky-labs .com
downloads3 .kaspersky-labs .com
downloads4 .kaspersky-labs .com
downloads-eu1 .kaspersky-labs .com
downloads-us1 .kaspersky-labs .com
kaspersky .com
liveupdate .symantecliveupdate .com
mcafee .com
microsoft .com
nai .com
networkassociates .com
rads .mcafee .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .zonelabs .com
updates .symantec .com
us .mcafee .com
viruslist .com
windowsupdate .com
www .avp .com
www .download .com
www .f-secure .com
www .kaspersky .com
www .kaspersky-labs .com
www .mcafee .com
www .microsoft .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .windowsupdate .com
www .zonelabs .com

El gusano también intenta finalizar los procesos cuyos nombres contengan algunas de las siguientes cadenas y borrar los archivos relacionados, la mayoría pertenecientes a aplicaciones de seguridad, antivirus y también a otros malwares:
agle
alar
alert
anti
ants
aplica32
apvxdwin
atcon
atro55en
bd_professional
bidef
bidserver
bisp
bla
bootwarn
borg2
bs120
ccapp
clean
cmd
command
cwnt
deputy
dpf
drwebupw
edit
ent
fast
firewall
fp-win_trial
frw
gbmenu
gbpoll
gcas
guard
hacktracersetup
hijack
htlog
hwpe
iamapp
iamserv
icload
icssuppnt
icsupp95
icsuppnt
ifw2000
iparmor
iris
jammer
kerio
ldpro
localnet
lockdown
lsetup
luall
lucoms
llssev
main
mca
mgr
mgui
minilog
mntor
mon
moolive
mrflux
msconfig
msinfo32
mssmmc32
mu0311ad
nc2000
ncinst4
ndd32
netarmor
netinfo
netstat
norto
ntvdm
nvarch16
nwinst4
nwtool16
ostronet
outpost
panixk
pdsetup
periscope
persfw
platin
port
ppinupdt
pptbc
ppvstop
proc
protect
proxy
pspf
purge
pview95
reg
rescue
rtvscn95
rulaunch
safe
sbserv
scan
setupvameeval
sgssfw32
shell
shn
smc
smsrss
sndsrvc
sofi
sopho
spbbcsvc
spf
sphinx
spy
st2
stinger
supftrl
syma
syn
titanin
tracert
trjsetup
trojan
undoboot
update
upgrade
virus
zon

También intenta borrar los siguientes archivos del sistema:
shell.exe
taskmon.exe
lsass.exe
svchost.exe
services.exe
explorer.exe
shimgapi.dll
smsrss.exe
regedit.exe

El gusano también crea varios mutex, relacionados con otros malwares como BAGLE, MYTOB y NETSKY, para prevenir que los mismos se ejecuten en los equipos infectados.

Intenta hacer varias copias de si mismo en todas las carpetas que contengan en sus nombres las cadenas "shared" o "download", usando algunos de los siguientes nombres de archivos:
DVD ripper keygen.com
Flash MX 2005 Serial.exe
Internet Explorer 7.0 Installer.com
Microsoft AntiSpyware Patch.com
MSN Mesenger 7.0 Installer.com
Naked girls screen saver.scr
Norton Personal Firewal 2005 Patch.com
porn download links.txt
Sasser removal tool.com
Sasser Source Code.Sfx.com
Sasser Source code.txt
School girls getting fucked.com
Spyware remover.com
Turbo C++.pif
UPX EXE packer 2.4.com
W32.Kebede Removal tool.com
Win Server 2003 Remote Exploit.cmd
Windows XP Pro BUG FIX 2.com
WinRAR 4.2.com
ZoneAlarm Security Suite 2005 Crack.com

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Windows
5. Haga clic en la carpeta "Windows" y en el panel de la derecha, busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus". Ejemplos:
load = [nombre y camino del gusano]
Run = [nombre y camino del gusano]
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\MediaPlayer
\Player
9. Haga clic en la carpeta "Player" y borre la siguiente entrada:
Player Already Configured = "True"
10. Cierre el editor del registro.
11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1   localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.
6. Reinicie su computadora.

Borrar archivos temporales
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos

Borrar Archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/kebede-l.htm