Tema: TrojanDownloader.Small.L. Muestra mensaje en español

[Danae]

TrojanDownloader.Small.L. Muestra mensaje en español

Nombre: TrojanDownloader.Small.L
Nombre NOD32: VBS/TrojanDownloader.Small.L
Nombre más conocido: Virus Libertad
Tipo: Gusano de Internet
Alias: Libertad, Small.L, Trojan.MulDrop.478, Trojan.VBS.Sober.AA.Dropper, Trojan-Dropper.VBS.Small.l, VBS.Licu.A, VBS/Licu.A!Worm, VBS/Pegas-A, VBS/TrojanDownloader.Small.L, W32.Pexmor@mm, W32/Licu.worm, W32/Licu.worm.dr, W32/Pexmor.A.worm, W32/Red.W
Plataforma: Windows 32-bit
Tamaño: 41,225 bytes, 41,278 bytes (y otros)

Gusano que se propaga por correo electrónico, en un mensaje como el siguiente:
De: Boletin Humor Granma humor @ granma.inf.cu

Asunto: Curiosidades en la red

Texto del mensaje:
Esta ves le traemos algo bien curioso a nuestros lectores ....
Datos adjuntos: bailando.vbe
Cuando el archivo BAILANDO.VBE es ejecutado, se crean los siguientes archivos:
C:\rep.txt
C:\rep.ya
sen.bat
C:\WINDOWS\Drivers\SEXO.pif
\TEMP\bailando.vbe
\TEMP\desktop.ini
\TEMP\folder.htm
\TEMP\folder.htt
\TEMP\LSASS.exe
\TEMP\MSMSGS.exe
\TEMP\OfficeHost.vbs
\TEMP\SVCHOST.exe
\TEMP\Winword.exe
También se crea un archivo en el directorio raíz con un nombre como los siguientes (entre otros):
c:\dfv6N1FnYS7heH.exe
c:\tz0d4lgELFpkyOCY6aQGBn.exe
c:\x4bkSPTaD2l.exe
c:\x9aGK.exe

Los siguientes archivos también pueden ser copiados en el directorio raíz de todas las unidades de disco:
Apagones a la italiana.vbs
Coca Cola del olvido.vbs
comicos.vbs
Cuentos.vbs
Desktop.ini
EL Mamut.vbs
Fordel.htt
humor.vbs
juego.vbs
La cancion del condon.vbs
La caperucita y la abuelita.vbs
La Cerveza.vbs
La mejor amiga del hombre.vbs
La ultima moda en las malvinas.vbs
Mujeres locas.vbs
musica.vbs
Por que los hombres no paren.vbs
Por que se extinguieron los dinosaurios.vbs
Profesias de Nostradamus.vbs
Record Guines de 2005.vbs
Test de ignorancia.vbs
Una gorda bien gorda.vbs
video.vbs

El gusano intenta borrar todos los valores dentro de las siguientes claves:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunService
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunService
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
Crea las siguientes entradas para autoejecutarse en cada reinicio:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
OfficeQuickAccess = "[camino]\OfficeHost.vbs"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
NortonAntivirus = "[camino]\LSASS.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
NortonAntivirus = "[camino]\LSASS.exe"
También modifica o crea las siguientes entradas:
HKCU\Identities\[CLSID]\Software
\Microsoft\Outlook Express\5.0\Mail
Compose Use Stationery = "1"
Stationery Name = "[camino]\folder.htm"
Wide Stationery Name = "[camino]\folder.htm"

HKCU\Software\Microsoft\Office\10.0\Common\MailSettings
NewStationery = ""

HKCU\Software\Microsoft\Windows NT
\CurrentVersion\Windows Messaging Subsystem
\Profiles\Microsoft Outlook Internet Settings
\0a0d020000000000c000000000000046
001e0360 = "blank"
Donde [CLSID] es un valor del tipo:
{CBD52F44-2263-4AAB-ABC3-C5E116AB7BCE}
El gusano intenta enviarse por correo electrónico, en un mensaje como el descripto arriba, utilizando su propio motor SMTP, a direcciones obtenidas de archivos de la máquina infectada con las siguientes extensiones:
.eml
.htm
.htt
.wab
Cada cierto tiempo, intenta copiar en cualquier disquete insertado en la unidad A, el archivo FOLDER.HTT:
a:\folder.htt
Los días 19 al 21 inclusive, de cualquier mes del año, cada vez que se reinicia el sistema, se muestra una pantalla con el siguiente texto y un botón de ACEPTAR:
 
Esta computadora ha sido infectada por el virus LIBERTAD.
Como protesta por la violación del derecho a la libertad de expresión en Cuba.
En estos momentos toda la información de su disco duro esta siendo borrada
El Hobbit

A pesar de lo que afirma el mensaje, el gusano no borrará ningún archivo.

Para mostrar dicho mensaje en dichos días, crea las siguientes entradas en el registro:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
LegalNoticeCaption = "Virus Libertad"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
LegalNoticeText =

"Esta computadora ha sido infectada por
el virus LIBERTAD. Como protesta por la violacion del
derecho a la libertad de expresion en Cuba. En estos
momentos toda la informacion de su disco duro esta siendo
borrada El Hobbit"

Cuando el usuario accede al sistema, se mostrarán unas figuras de color negro que dificultarán el trabajo normal del equipo.

También intentará enviar mensajes con el destinatario "Virus Libertad".

Relacionados:
TrojanDropper.Small.M. Muestra texto y libera gusano
http://www.vsantivirus.com/trojandropper-small-m.htm
TrojanDownloader.Small.NAA. Descarga y ejecuta gusano
http://www.vsantivirus.com/trojandownloader-small-naa.htm

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virusDesde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Identities
\[CLSID]
\Software
\Microsoft
\Outlook Express
\5.0
\Mail
Donde [CLSID] es un valor del tipo:
{CBD52F44-2263-4AAB-ABC3-C5E116AB7BCE}
5. Haga clic en la carpeta "Mail" y en el panel de la derecha, bajo la columna "Nonbre", busque y cambie la siguiente entrada por CERO:
Compose Use Stationery = "0"
6. En el mismo panel de la derecha, busque y borre los siguientes valores:
Stationery Name
Wide Stationery Name
7. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Office
\10.0
\Common
\MailSettings
8. Haga clic en la carpeta "MailSettings" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
NewStationery
9. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Windows Messaging Subsystem
\Profiles
\Microsoft Outlook Internet Settings
\0a0d020000000000c000000000000046
10. Haga clic en la carpeta "0a0d020000000000c000000000000046" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
001e0360 = "blank"
11. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
12. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
13. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon
14. Haga clic en la carpeta "Winlogon" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las siguientes entradas (no siempre estarán presentes):
LegalNoticeCaption = "Virus Libertad"
LegalNoticeText = "Esta computadora ha sido infectada [etc.]..."
15. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
16. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Borrar archivos temporales
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos

Borrar Archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/trojandownloader-small-l.htm