Tema: 9 de noviembre, virus

[Danae]

Troj/Beagooz.B. Roba direcciones electrónicas
Nombre: Troj/Beagooz.B
Tipo: Caballo de Troya
Alias: Beagooz.B, Trojan.Beagooz.B, Win32.Beagooz.B
Plataforma: Windows 32-bit, UNIX
Tamaño: 3,524 bytes
Caballo de Troya descargado por diferentes versiones de la familia del Bagle.

Colecciona direcciones de correo electrónico del equipo infectado, y las envía a un servidor remoto en forma clandestina.

Cuando se ejecuta, crea la siguiente entrada en el registro para almacenar información:
HKEY_CURRENT_USER\Software\Firstzzz1
El troyano busca direcciones de correo en todos los archivos con las siguientes extensiones:
.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.pl
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml
Evita enviar mensajes a las direcciones que contengan algunas de las siguientes cadenas:
..
.@
@.
@avp.
@foo
@iana
@messagelab
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
En ocasiones, puede mostrar una ventana de mensajes con el título "Error" y las direcciones de correo obtenidas.

Las direcciones obtenidas, son enviadas al siguiente sitio:
www .canalj .net
También genera un archivo de proceso por lotes (A.BAT) y lo ejecuta al finalizar, para borrarse a si mismo del sistema.

Reparación Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Firstzzz1
3. Haga clic en la carpeta "Firstzzz1" y bórrela.
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/troj-beagooz-b.htm

Troj/Beagooz.C. Roba direcciones electrónicas
Nombre: Troj/Beagooz.C
Tipo: Caballo de Troya
Alias: Beagooz.C, Trojan.Beagooz.C, Win32.Beagooz.C
Plataforma: Windows 32-bit, UNIX
Tamaño: variable
Caballo de Troya descargado por diferentes versiones de la familia del Bagle.

Colecciona direcciones de correo electrónico del equipo infectado, y las envía a un servidor remoto en forma clandestina.

Cuando se ejecuta, crea la siguiente entrada en el registro para almacenar información:
HKEY_CURRENT_USER\Software\Firstzz3
El troyano busca direcciones de correo en todos los archivos con las siguientes extensiones:
.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.pl
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml
Evita enviar mensajes a las direcciones que contengan algunas de las siguientes cadenas:
..
.@
@.
@avp.
@foo
@iana
@messagelab
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
En ocasiones, puede mostrar una ventana de mensajes con el título "Error" y las direcciones de correo obtenidas.

Las direcciones obtenidas, son enviadas al siguiente sitio:
first-gallery .com
También genera un archivo de proceso por lotes (A.BAT) y lo ejecuta al finalizar, para borrarse a si mismo del sistema.

Reparación Antivirus1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Firstzz3
3. Haga clic en la carpeta "Firstzz3" y bórrela.
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/troj-beagooz-c.htm

W32/Gaobot.NYK. Se copia como "bcvsrv32.exe"
Nombre: W32/Gaobot.NYK
Nombre Nod32: Win32/Agobot.NYK
Tipo: Gusano de Internet y caballo de Troya
Alias: Gaobot.NYK, Agobot.NYK, Win32/Agobot.NYK, W32.Gaobot.BQJ, Backdoor.Win32.Agobot.gen
Plataforma: Windows 32-bit
Puertos: TCP/135, TCP/445, TCP/80, TCP/7000
Tamaño: 103,832 bytes

Gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de conocidas vulnerabilidades.

Un intruso pueda acceder en forma remota a la computadora infectada, a través del IRC.

Se ejecuta solo en Windows NT, 2000 y XP, e intenta robar contraseñas y claves de conocidos juegos de computadora.

Se copia en el sistema infectado con el siguiente nombre:
c:\windows\system32\bcvsrv32.exe

Agrega las siguientes entradas en el registro:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Bcvsrv32 = "bcvsrv32.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Bcvsrv32 = "bcvsrv32.exe"
Modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde una máquina infectada:
avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
kaspersky .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .viruslist .com
El gusano roba del PC infectado, los posibles identificadores y llaves (CD keys) de conocidos video juegos.

Posee además un componente de acceso remoto por puerta trasera vía IRC (TCP/7000), que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. Algunas acciones posibles:
- Ejecutar comandos en forma remota
- Eliminar procesos seleccionados
- Examinar el tráfico HTTP, FTP, e IRC (sniffer)
- Finalizar servicios de Windows
- Listar los procesos activos
- Obtener archivos a través de FTP y HTTP
- Obtener direcciones de correo de la computadora infectada
- Obtener información del registro
- Obtener un determinado URL
- Realizar ataques del tipo "floods" (HTTP, ICMP, SYN, y UDP)
- Reiniciar la computadora
- Robar contraseñas
Cuando se ejecuta, puede detener los siguientes procesos, algunos de ellos pertenecientes a conocidos antivirus y cortafuegos:
_avp32.exe
_avpcc.exe
_avpm.exe
ackwin32.exe
adaware.exe
advxdwin.exe
agentsvr.exe
agentw.exe
alertsvc.exe
alevir.exe
alogserv.exe
amon9x.exe
anti-trojan.exe
antivirus.exe
ants.exe
apimonitor.exe
aplica32.exe
apvxdwin.exe
arr.exe
atcon.exe
atguard.exe
atro55en.exe
atupdater.exe
atwatch.exe
au.exe
aupdate.exe
autodown.exe
autotrace.exe
autoupdate.exe
avpupd.exe
avwupd32.exe
avxquar.exe
consol.exe
f-agobot.exe
hijackthis.exe
netscanpro.exe
netspyhunter-1.2.exe
netstat.exe
netutils.exe
nisserv.exe
nisum.exe
nmain.exe
nod32.exe
normist.exe
norton_internet_secu_3.0_407.exe
notstart.exe
npf40_tw_98_nt_me_2k.exe
npfmessenger.exe
nprotect.exe
npscheck.exe
npssvc.exe
nsched32.exe
nssys32.exe
nstask32.exe
nsupdate.exe
nt.exe
ntrtscan.exe
ntvdm.exe
ntxconfig.exe
nui.exe
nvarch16.exe
nvc95.exe
nvsvc32.exe
nwinst4.exe
nwservice.exe
nwtool16.exe
ollydbg.exe
onsrvr.exe
optimize.exe
ostronet.exe
otfix.exe
outpostinstall.exe
outpostproinstall.exe
padmin.exe
panixk.exe
patch.exe
pavcl.exe
pavproxy.exe
pavsched.exe
pavw.exe
pcc2002s902.exe
pcc2k_76_1436.exe
pcciomon.exe
pccntmon.exe
pccwin97.exe
pccwin98.exe
pcdsetup.exe
pcfwallicon.exe
pcip10117_0.exe
pcscan.exe
pdsetup.exe
penis.exe
periscope.exe
persfw.exe
perswf.exe
pf2.exe
pfwadmin.exe
pgmonitr.exe
pingscan.exe
platin.exe
pop3trap.exe
poproxy.exe
popscan.exe
portdetective.exe
portmonitor.exe
powerscan.exe
ppinupdt.exe
pptbc.exe
ppvstop.exe
prizesurfer.exe
prmt.exe
prmvr.exe
procdump.exe
processmonitor.exe
procexplorerv1.0.exe
programauditor.exe
proport.exe
protectx.exe
pspf.exe
purge.exe
pussy.exe
pview95.exe
qconsole.exe
qserver.exe
rapapp.exe
rav7.exe
rav7win.exe
rav8win32eng.exe
ray.exe
rb32.exe
rcsync.exe
realmon.exe
reged.exe
regedit.exe
regedt32.exe
rescue.exe
rescue32.exe
rrguard.exe
rshell.exe
rtvscan.exe
rtvscn95.exe
rulaunch.exe
run32dll.exe
rundll.exe
rundll16.exe
ruxdll32.exe
safeweb.exe
sahagent.exe
save.exe
savenow.exe
sbserv.exe
sc.exe
scam32.exe
scan32.exe
scan95.exe
scanpm.exe
scrscan.exe
scrsvr.exe
scvhost.exe
sd.exe
serv95.exe
service.exe
servlce.exe
servlces.exe
setup_flowprotector_us.exe
setupvameeval.exe
sfc.exe
sgssfw32.exe
sh.exe
shellspyinstall.exe
shn.exe
showbehind.exe
smc.exe
sms.exe
smss32.exe
soap.exe
sofi.exe
sperm.exe
spf.exe
sphinx.exe
spoler.exe
spoolcv.exe
spoolsv32.exe
spyxx.exe
srexe.exe
srng.exe
ss3edit.exe
ssg_4104.exe
ssgrate.exe
st2.exe
start.exe
stcloader.exe
supftrl.exe
support.exe
supporter5.exe
svc.exe
svchostc.exe
svchosts.exe
svshost.exe
sweep95.exe
sweepnet.sweepsrv.sys.swnetsup.exe
symproxysvc.exe
symtray.exe
sysedit.exe
system.exe
system32.exe
sysupd.exe
taskmg.exe
taskmo.exe
taskmon.exe
taumon.exe
tbscan.exe
tc.exe
tca.exe
tcm.exe
tds2-98.exe
tds2-nt.exe
tds-3.exe
teekids.exe
tfak.exe
tfak5.exe
tgbob.exe
titanin.exe
titaninxp.exe
tracert.exe
trickler.exe
trjscan.exe
trjsetup.exe
trojantrap3.exe
tsadbot.exe
tvmd.exe
tvtmd.exe
undoboot.exe
updat.exe
update.exe
upgrad.exe
utpost.exe
vbcmserv.exe
vbcons.exe
vbust.exe
vbwin9x.exe
vbwinntw.exe
vcsetup.exe
vet32.exe
vet95.exe
vettray.exe
vfsetup.exe
vir-help.exe
virusmdpersonalfirewall.exe
vnlan300.exe
vnpc3000.exe
vpc32.exe
vpc42.exe
vpfw30s.exe
vptray.exe
vscan40.exe
vscenu6.02d30.exe
vsched.exe
vsecomr.exe
vshwin32.exe
vsisetup.exe
vsmain.exe
vsmon.exe
vsstat.exe
vswin9xe.exe
vswinntse.exe
vswinperse.exe
w32dsm89.exe
w9x.exe
watchdog.exe
webdav.exe
webscanx.exe
webtrap.exe
wfindv32.exe
wgfe95.exe
whoswatchingme.exe
wimmun32.exe
win32.exe
win32us.exe
winactive.exe
win-bugsfix.exe
window.exe
windows.exe
wininetd.exe
wininit.exe
wininitx.exe
winlogin.exe
winmain.exe
winnet.exe
winppr32.exe
winrecon.exe
winservn.exe
winssk32.exe
winstart.exe
winstart001.exe
wintsk32.exe
winupdate.exe
wkufind.exe
wnad.exe
wnt.exe
wradmin.exe
wrctrl.exe
wsbgate.exe
wupdater.exe
wupdt.exe
wyvernworksfirewall.exe
xpf202en.exe
zapro.exe
zapsetup3001.exe
zatutor.exe
zonalm2601.exe
zonealarm.exe
Intenta realizar ataques de denegación de servicio (DoS), a los siguientes servidores:
de .yahoo .com
nitro .ucsc .edu
verio .fr
www .1und1 .de
www .above .net
www .belwue .de
www .burst .net
www .cogentco .com
www .d1asia .com
www .level3 .com
www .lib .nthu .edu .tw
www .nifty .com
www .nocster .com
www .rit .edu
www .schlund .net
www .st .lib .keio .ac .jp
www .stanford .edu
www .switch .ch
www .utwente .nl
www .verio .com
www .xo .net
yahoo .co .jp

Reparación
IMPORTANTE:
Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces:
Windows XP vulnerable al acceso no autorizado (MS01-059)
http://www.vsantivirus.com/vulms01-059.htm
Falla crítica en servidores Microsoft IIS 5.0 (MS03-007)
http://www.vsantivirus.com/vulms03-007.htm
MS03-049 Falla en servicio Estación de Trabajo (828749)
http://www.vsantivirus.com/vulms03-049.htm

Deshabilitar las carpetas compartidas
Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.

Antivirus
Actualice sus antivirus con las últimas definiciones
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT, y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Bcvsrv32
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Bcvsrv32
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

Borrado manual de los archivos creados por el gusano
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\system32\bcvsrv32.exe
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1   localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Reinicie su computadora.
 
IMPORTANTE
Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/gaobot-nyk.htm

W32/Mydoom.AG. Se vale de la vulnerabilidad en IFRAME
Nombre: W32/Mydoom.AG
Nombre Nod32: Win32/Mydoom.AD
Tipo: Gusano de Internet
Alias: Mydoom.AG, W32/Mydoom.ag@MM, W32/Bofra-A, Win32/Mydoom.AD
 Plataforma: Windows 32-bit
Tamaño: 20,751 bytes
Puertos: TCP 1639, TCP 6667

Esta versión del Mydoom, detectada el 8 de noviembre de 2004, se vale de una vulnerabilidad recientemente descubierta en el Internet Explorer y que se describe en el siguiente artículo:

Desbordamiento de búfer con etiqueta IFRAME en IE
http://www.vsantivirus.com/vul-ie-iframe-031104.htm

El gusano se propaga por medio de mensajes de correo electrónico, enviados a direcciones obtenidas en archivos del sistema infectado.

El mensaje no posee adjunto alguno. El enlace incluido en su texto, apunta al sistema infectado. Haciendo clic en dicho enlace, se accede a un servidor Web que se está ejecutando en el sistema comprometido (la computadora que envió el mensaje). Dicho servidor ofrece un documento HTML conteniendo el código en JavaScript para provocar un desbordamiento de búfer, debido a un error de límites en el manejo de ciertos atributos de las etiquetas FRAME e IFRAME por parte del Internet Explorer. Este desbordamiento de búfer provoca la ejecución del gusano.

Los mensajes enviados poseen las siguientes características:
De: [dirección falsificada]
Asunto: [alguno de los siguientes]
- [caracteres al azar]
- [vacío]
- funny photos
- hello
- hey!
Texto del mensaje:
Look at my homepage with my last webcam photos!
FREE ADULT VIDEO! SIGN UP NOW!
Los mensajes contienen un enlace al equipo infectado que envía el mensaje.

Las propiedades del mensaje, pueden contener alguno de los siguientes campos:
X-AntiVirus: scanned for viruses by AMaViS 0.2.1
(http:/ /amavis .org/)

X-AntiVirus: Checked by Dr.Web (http:/ /www .drweb .net)

X-AntiVirus: Checked for viruses by Gordano's AntiVirus
Software
Los sistemas infectados mostrarán al Internet Explorer escuchando por el puerto TCP 1639, el puerto donde se ejecuta el servidor Web.

Si el usuario sigue el enlace enviado por el gusano, es conectado con un servidor Web la computadora infectada:
http://[dirección IP]:1639/webcam.htm
Donde [dirección IP] es la IP actual de la máquina que envió el mensaje.

La página WEBCAM.HTM es la que contiene el código para provocar el desbordamiento de búfer. Al ser visualizada, se ejecuta el código de una consola de comandos (shell), que instruye a la máquina local a descargar un archivo remoto:
http://[dirección IP]:1639/reactor
El archivo REACTOR (sin extensión), es almacenado en el escritorio del usuario con el nombre de VV.DAT y luego ejecutado.

Cuando se ejecuta, el gusano crea un archivo en la carpeta System de Windows:
c:\windows\system32\??????32.exe
Donde los "????" son caracteres al azar.

También se crean las siguientes entradas en el registro, la primera para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Reactor3 = C:\WINDOWS\System32\??????32.exe
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore\Version
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore\Version
Cuando el archivo "??????32.exe" es ejecutado, se ejecuta un servidor en el equipo infectado, y se envían los mensajes antes descriptos, conteniendo el enlace a dicho equipo.

El gusano contiene una lista de servidores IRC, a los que intenta conectarse a través del puerto TCP 6667:
broadway.ny.us.dal.net
brussels.be.eu.undernet.org
caen.fr.eu.undernet.org
ced.dal.net
coins.dal.net
diemen.nl.eu.undernet.org
flanders.be.eu.undernet.org
graz.at.eu.undernet.org
london.uk.eu.undernet.org
los-angeles.ca.us.undernet.org
lulea.se.eu.undernet.org
ozbytes.dal.net
qis.md.us.dal.net
vancouver.dal.net
viking.dal.net
washington.dc.us.undernet.org
El gusano obtiene direcciones a las que enviarse, de archivos en la máquina infectada.

Los usuarios con Windows XP SP2 no son afectados por la vulnerabilidad que permite la ejecución de este gusano.

Reparación Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\ComExplore
3. Haga clic en la carpeta "ComExplore" y bórrela.
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\ComExplore
5. Haga clic en la carpeta "ComExplore" y bórrela.
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Reactor3
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/mydoom-ag.htm

W32/Mydoom.AH. Se vale de la vulnerabilidad en IFRAME
Nombre: W32/Mydoom.AH
Nombre Nod32: Win32/Mydoom.AE
Tipo: Gusano de Internet
Alias: Mydoom.AH, W32/Mydoom.ah@MM, W32/Bofra-A, Win32/Mydoom.AE
 Plataforma: Windows 32-bit
Tamaño: 21,508 bytes
Puertos: TCP 1639, TCP 6667
Variante del Mydoom.AG detectada el 8 de noviembre de 2004. Se vale de una vulnerabilidad recientemente descubierta en el Internet Explorer y que se describe en el siguiente artículo:
Desbordamiento de búfer con etiqueta IFRAME en IE
http://www.vsantivirus.com/vul-ie-iframe-031104.htm

El gusano se propaga por medio de mensajes de correo electrónico, enviados a direcciones obtenidas en archivos del sistema infectado.

El mensaje no posee adjunto alguno. El enlace incluido en su texto, apunta al sistema infectado. Haciendo clic en dicho enlace, se accede a un servidor Web que se está ejecutando en el sistema comprometido (la computadora que envió el mensaje). Dicho servidor ofrece un documento HTML conteniendo el código en JavaScript para provocar un desbordamiento de búfer, debido a un error de límites en el manejo de ciertos atributos de las etiquetas FRAME e IFRAME por parte del Internet Explorer. Este desbordamiento de búfer provoca la ejecución del gusano.

Los mensajes enviados poseen las siguientes características:
De: [dirección falsificada]
Asunto: [alguno de los siguientes]
- [vacío]
- Confirmation
- hey!
- hi!
Texto del mensaje:

Ejemplo 1:
Congratulations! PayPal has successfully charged $175
to your credit card. Your order tracking number is
A866DEC0, and your item will be shipped within three
business days.
To see details please click this link .

DO NOT REPLY TO THIS MESSAGE VIA EMAIL! This email is
being sent by an automated message system and the reply
will not be received.

Thank you for using PayPal.
Ejemplo 2:
Hi! I am looking for new friends.
My name is Jane, I am from Miami, FL.

See my homepage with my weblog and last webcam photos!

See you!
Los mensajes contienen un enlace al equipo infectado que envía el mensaje.

Las propiedades del mensaje, pueden contener alguno de los siguientes campos:
X-AntiVirus: scanned for viruses by AMaViS 0.2.1
(http:/ /amavis .org/)

X-AntiVirus: Checked by Dr.Web (http:/ /www .drweb .net)

X-AntiVirus: Checked for viruses by Gordano's AntiVirus
Software
Los sistemas infectados mostrarán al Internet Explorer escuchando por el puerto TCP 1639, el puerto donde se ejecuta el servidor Web.

Si el usuario sigue el enlace enviado por el gusano, es conectado con un servidor Web la computadora infectada:
http://[dirección IP]:1639/index.htm
Donde [dirección IP] es la IP actual de la máquina que envió el mensaje.

La página INDEX.HTM es la que contiene el código para provocar el desbordamiento de búfer. Al ser visualizada, se ejecuta el código de una consola de comandos (shell), que instruye a la máquina local a descargar un archivo remoto:
http://[dirección IP]:1639/reactor
El archivo REACTOR (sin extensión), es almacenado en el escritorio del usuario con el nombre de VV.DAT y luego ejecutado.

Cuando se ejecuta, el gusano crea un archivo en la carpeta System de Windows:
c:\windows\system32\??????32.exe
Donde los "????" son caracteres al azar.
 
También se crean las siguientes entradas en el registro, la primera para autoejecutarse en cada reinicio de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Reactor3 = C:\WINDOWS\System32\??????32.exe
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore\Version
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\ComExplore\Version
Cuando el archivo "??????32.exe" es ejecutado, se ejecuta un servidor en el equipo infectado, y se envían los mensajes antes descriptos, conteniendo el enlace a dicho equipo.

El gusano contiene una lista de servidores IRC, a los que intenta conectarse a través del puerto TCP 6667:
broadway.ny.us.dal.net
brussels.be.eu.undernet.org
caen.fr.eu.undernet.org
ced.dal.net
coins.dal.net
diemen.nl.eu.undernet.org
flanders.be.eu.undernet.org
graz.at.eu.undernet.org
london.uk.eu.undernet.org
los-angeles.ca.us.undernet.org
lulea.se.eu.undernet.org
ozbytes.dal.net
qis.md.us.dal.net
vancouver.dal.net
viking.dal.net
washington.dc.us.undernet.org
El gusano obtiene direcciones a las que enviarse, de archivos en la máquina infectada.

Los usuarios con Windows XP SP2 no son afectados por la vulnerabilidad que permite la ejecución de este gusano.

Reparación Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\ComExplore
3. Haga clic en la carpeta "ComExplore" y bórrela.
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Explorer
\ComExplore
5. Haga clic en la carpeta "ComExplore" y bórrela.
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Reactor3
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/mydoom-ah.htm

[destroyer]

Gracias DNE.

un saludo

[Dabo]

estamos al tanto, gracias   :wink: