Win32/Pinom.J
Tipo: Gusano de Internet
Información: Se trata de un gusano residente en memoria que se propaga vía IRC creando el archivo PENIS.EXE dentro de la carpeta C:\WINDOWS. También crea una copia con el nombre SETUP.EXE.
Se conecta al siguiente servidor IRC en espera de comandos remotos:
irc.galaxynet.org
Un atacante externo puede realizar las siguientes tareas:
Borrar archivos.
Descargar y ejecutar archivos.
Realizar ataques usando el comando Ping.
Buscar puertos abiertos.
Actualizar el gusano.
Crea la siguiente clave dentro del registro de Windows
HKLM\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe C:\Windows\System\penis.exe
Agrega la siguiente entrada dentro de la sección [boot] en el archivo SYSTEM.INI
shell = Explorer.exe C:\Windows\System\penis.exe
De acuerdo a la versión del sistema operativo, las carpetas "C:\Windows" y "C:\Windows\System" pueden variar ("C:\WinNT", "C:\WinNT\System32", "C:\Windows\System32").
Se copia dentro de las siguientes carpetas usando el nombre SETUP.EXE
\Documents and Settings\All Users\Menu inicio\Programas\Inicio\
\Windows\Menu inicio\Programas\Inicio\
\WINNT\Profiles\All Users\Menu inicio\Programas\Inicio\
INSTRUCCIONES PARA ELIMINARLO
1. Desactive la restauración automática en Windows XP o ME.
2. Ejecute un antivirus actualizado y tome nota de los archivos infectados.
3. Abra el Administrador de tareas.
a. En Windows 95/98/Me pulse CTRL+ALT+SUPR.
b. En Windows NT/2K/XP pulse CTRL+SHIFT+ESC y seleccione la lengüeta "Procesos"
4. En la lista de programas localice algunos de los nombres anotados en el paso 2.
5. Seleccione ese nombre y pinche en "Terminar proceso" o "Finalizar tarea".
6. Para asegurarse de haberlo quitado, vuelva a ejecutar los pasos 3, 4 y 5 si fuera necesario.
7. Busque la siguiente clave del registro:
HKLM\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
8. Modifique bajo la columna "Nombre", la entrada "Shell", para que solo contenga lo siguiente:
Shell = explorer.exe
9. Cierre el editor del registro.
10. Desde Inicio, Ejecutar, teclee SYSTEM.INI y pulse Enter.
12. Busque la siguiente entrada y borre [C:\Windows\System\penis.exe], solo debe quedar "Shell = Explorer.exe"
[Boot]
Shell = Explorer.exe [C:\Windows\System\penis.exe]
13. Grabe los cambios y salga del bloc de notas
14. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del troyano.
