Tema: Bropia.P. Se propaga por MSN Messenger

[Danae]

W32/Bropia.P. Se propaga por MSN Messenger

Nombre: W32/Bropia.P
Nombre NOD32: Win32/Bropia.P
Tipo: Gusano de Internet
Alias: Bropia.P, IM-Worm.Win32.Bropia.p, W32/Bropia.AF.worm, W32/Kelvir.E, W32/Kelvir-E, Win32.Worm.Kelvir.E, Win32/Bropia.P, Worm/MSN.Kelvir.G.1, Worm:Win32/Kelvir.E, WORM_KELVIR.E, WORM_RBOT.ATU, Backdoor.Win32.Rbot.lm, W32/Rbot-YY
Plataforma: Windows 32-bit
Tamaño: 157,447 bytes

Gusano que se propaga por MSN Messenger a todos los contactos en línea. Este mecanismo requiere que el usuario tenga una sesión abierta del Messenger para que ello ocurra.

El gusano muestra un mensaje como el siguiente, con un enlace para descargar un archivo:
hmm what do you think? http:/ /www.chris????? .nl/girls.com
El usuario que recibe y acepta este mensaje, debe pinchar en el enlace para descargar el archivo, que es el gusano propiamente dicho. El nombre de este archivo suele ser GIRLS.COM, y en realidad se trata de un RAR autoextraíble.

Cuando se ejecuta (doble clic), libera los siguientes archivos:
[carpeta actual]\pwn.exe
[archivos de programa]\MSS\link.exe
Donde [carpeta actual] es la carpeta donde se ejecuta el gusano, o el raíz de C:, y [archivos de programa] es "C:\Archivos de programa" en las versiones en español de Windows.

PWN.EXE es un troyano del tipo BOT y LINK.EXE es una copia del propio gusano.

Después ejecuta a LINK.EXE. Este componente intenta enviar un mensaje similar al ya visto, con el propio gusano como archivo adjunto, a otros contactos en línea.

También copia a PWN.EXE como DOS.EXE en la carpeta del sistema:
c:\windows\system32\dos.exe
Este archivo tendrá los atributos de oculto (+H), solo lectura (+R) y del sistema (+S).

Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\OLE
WIN32 DDOSSER = "dos.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WIN32 DDOSSER = "dos.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
WIN32 DDOSSER = "dos.exe"

Note que el propio gusano (el recibido vía MSN) no tiene mecanismos de autoejecución. Solo se propaga a otros usuarios (contactos) del MSN Messenger. El que se autoejecuta en cada reinicio es el troyano que es liberado por el gusano si se dan las condiciones mencionadas antes.

Si el troyano BOT no es creado, tampoco se crearán las claves mencionadas del registro.

El gusano, también intenta explotar las vulnerabilidades RPC/DCOM y LSASS de Windows para propagarse.

Reparación
IMPORTANTE:
Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm
MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htm

Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre el siguiente archivo:
c:\windows\system32\dos.exe
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota 1: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
Nota 2: Si el troyano BOT no es creado, tampoco se crearán las claves mencionadas del registro.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\OLE
3. Haga clic en la carpeta "OLE" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
WIN32 DDOSSER = "dos.exe"
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
WIN32 DDOSSER = "dos.exe"
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices
7. Haga clic en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
WIN32 DDOSSER = "dos.exe"
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/bropia-p.htm

[destroyer]

Gusano que se propaga por MSN Messenger a todos los contactos en línea. Este mecanismo requiere que el usuario tenga una sesión abierta del Messenger para que ello ocurra.

Gracias danae

un saludo