Tema: 17 de noviembre, virus

[Danae]

W32/Bagle.AV. Se propaga por e-mail y P2P
Nombre: W32/Bagle.AV
Nombre NOD32: Win32/Bagle.AV
Tipo: Gusano de Internet
Alias: Bagle.AV, Beagle.AV, Win32/Bagle.AV, W32.Beagle.AX@mm, ZIP.Bagle, VBS.Bagle.AS, Win32.Bagle.N, Win32.Bagle.Y, VBS.EXEDropper, Win32.Bagle.AS
Plataforma: Windows 32-bit
Tamaño: varios
Puertos: TCP 80, 2002

Gusano escrito en Visual C, que se propaga por correo electrónico, en adjuntos que poseen extensiones .COM, .CPL, .EXE, .HTA, .SCR, .VBS, o .ZIP, en éste último caso con contraseñas generadas al azar, la cuál se muestra al usuario en una imagen también adjunta. Esto pretende eludir la detección de los antivirus.

También intenta propagarse por redes P2P, copiándose en carpetas utilizadas por varios de esos programas para compartir archivos con otros usuarios (KaZaa, Bearshare, Limewire, etc.)

Utiliza varios mutex para prevenir que el gusano W32/Netsky y sus variantes, puedan ejecutarse.

Puede enviarse a todas las direcciones de correo obtenidas de diferentes archivos de la máquina infectada. En todos los casos el remitente que figura en el mensaje es falso.

Posee además un componente de acceso por puerta trasera (backdoor), y además finaliza la ejecución de varios antivirus y cortafuegos.

El gusano no se ejecuta después del 25 de enero de 2005. Si es ejecutado después de esa fecha, se auto invoca con el parámetro -DEL para desinstalarse del sistema.

Cuando se ejecuta por primera vez, muestra un mensaje de error falso:
Error!
Can't find a viewer associated with the file
[  Aceptar  ]
Los mensajes que utiliza para su propagación tienen las siguientes características:

De: [una dirección falsa]

Asunto: [uno de los siguientes]
- Changes..
- Encrypted document
- Fax Message
- Forum notify
- Incoming message
- Notification
- Protected message
- Re: Document
- Re: Hello
- Re: Hi
- Re: Incoming Message
- RE: Incoming Msg
- RE: Message Notify
- Re: Msg reply
- RE: Protected message
- RE: Text message
- Re: Thank you!
- Re: Thanks :)
- Re: Yahoo!
- Site changes
- Update
Texto del mensaje: [uno de los siguientes]
- Attach tells everything.
- Attached file tells everything.
- Check attached file for details.
- Check attached file.
- Here is the file.
- Message is in attach
- More info is in attach
- Pay attention at the attach.
- Please, have a look at the attached file.
- Please, read the document.
- Read the attach.
- See attach.
- See the attached file for details.
- Your document is attached.
- Your file is attached.
Datos adjuntos: [uno de los siguientes]
Details
Document
Info
Information
Message
MoreInfo
Readme
text_document
Updates
Dicho nombre, puede tener alguna de las siguientes extensiones:
.com
.cpl
.exe
.hta
.scr
.vbs
.zip [con contraseña]
Si el adjunto es un ZIP, está encriptado con una contraseña. En esos casos, el asunto del mensaje puede ser uno de los siguientes:
- Pass - [contraseña]
- Password - [contraseña]
- Password: [contraseña]
Y el texto de los mensajes puede ser alguno de los siguientes:
- For security reasons attached file is password
protected. The password is [contraseña]

- For security purposes the attached file is
password protected. Password -- [contraseña]

- Note: Use password [contraseña] to open archive.

- Attached file is protected with the password for
security reasons. Password is [contraseña]

- In order to read the attach you have to use the
following password: [contraseña]

- Archive password: [contraseña]

- Password - [contraseña]

- Password: [contraseña]
Donde [contraseña] es una imagen insertada que muestra un número de cinco dígitos.

El gusano cambia el tipo de archivo del adjunto, de acuerdo a la extensión. Por ejemplo, si el archivo tiene extensión .VBS, el adjunto es creado como un script de Visual Basic que genera al gusano, un archivo ejecutable de Win32. Por ello, existen tres formatos para el "dropper" del gusano, Visual Basic Script, HTML, y aplicación del Panel de control (.CPL).

En el caso de un adjunto .ZIP, el archivo contenido dentro del mismo, posee un nombre generado al azar de 5 a 9 caracteres con extensión .EXE. También contiene un segundo archivo conteniendo solo basura, con nombre al azar y alguna de las siguientes extensiones:
.cfg
.def
.dll
.ini
.txt
.vxd
En adición al adjunto conteniendo el gusano y la imagen con la contraseña, aproximadamente un 30% de los mensajes enviados puede contener un archivo de texto con extensión .ZIP, llamado SOURCES.ZIP. Ese archivo solo contiene el siguiente texto:
you've got them already
Cuando se ejecuta, crea los siguiente archivos en la carpeta System de Windows:
c:\windows\system32\sysinit.exe
c:\windows\system32\sysinit.exeopen
c:\windows\system32\sysinit.exeopenopen
c:\windows\system32\sysinit.exeopenopenopen
c:\windows\system32\sysinit.exeopenopenopenopen

Crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Syskey = c:\windows\system32\sysinit.exe
Crea también la siguiente entrada para almacenar valores de su configuración actual:
HKCU\Software\DateTime
Las direcciones que utiliza para propagarse, son obtenidas de archivos de la máquina infectada con las siguientes extensiones:
.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.pl
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml
Ignora direcciones de correo que contengan las siguientes cadenas:
@avp.
@foo
@hotmail
@iana
@messagelab
@microsoft
@msn
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
El gusano también se copia en todas las carpetas cuyo nombre contenga la cadena "SHAR", lo que incluye a la mayoría de las carpetas compartidas de programas de intercambio de archivos entre usuarios. De ese modo puede propagarse por las redes P2P, y para ello utiliza los siguientes nombres:
ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
Kaspersky Antivirus 5.0
KAV 5.0
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno pics arhive, xxx.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe
Posee algunas características de troyano de acceso remoto y para ello abre el puerto TCP/2002, quedando a la espera de comandos. Esta opción puede ser usada para actualizar al propio gusano. Cuando ello sucede, se descarga la nueva versión que luego se ejecuta para suplantar la anterior.

También intenta descargar de Internet el archivo PINCH.EXE del dominio "sash.cc", actualmente no existente. Si logra descargarlo, intentará copiarlo en la siguiente ubicación y con el siguiente nombre y luego ejecutarlo:
c:\windows\system32\1.exe
Mientras se está ejecutando, intenta finalizar los siguientes procesos:
atupdater.exe
aupdate.exe
autodown.exe
autotrace.exe
autoupdate.exe
avpupd.exe
avwupd32.exe
avxquar.exe
avxquar.exe
cfiaudit.exe
drwebupw.exe
escanh95.exe
escanhnt.exe
firewall.exe
icssuppnt.exe
icsupp95.exe
kavsvc.exe
luall.exe
mcupdate.exe
nupgrade.exe
outpost.exe
sys_xp.exe
sysxp.exe
update.exe
winxp.exe
También intenta borrar las siguientes entradas en el registro creadas por versiones de otros gusanos, como Netsky, de las claves HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run y HKEY_CURRENT_USER \SOFTWARE \Microsoft \Windows \CurrentVersion \Run:
9XHtProtect
Antivirus
EasyAV
FirewallSvr
HtProtect
ICQ Net
ICQNet
Jammer2nd
KasperskyAVEng
MsInfo
My AV
NetDy
Norton Antivirus AV
PandaAVEngine
service
SkynetsRevenge
Special Firewall Service
SysMonXP
Tiny AV
Zone Labs Client Ex

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\system32\1.exe
c:\windows\system32\sysinit.exe
c:\windows\system32\sysinit.exeopen
c:\windows\system32\sysinit.exeopenopen
c:\windows\system32\sysinit.exeopenopenopen
c:\windows\system32\sysinit.exeopenopenopenopen
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Syskey
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\DateTime
5. Pinche en la carpeta "DateTime" y bórrela.
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/bagle-av.htm

Troj/Down.Vidlo.G. Descarga y ejecuta otros archivos
Nombre: Troj/Down.Vidlo.G
Nombre NOD32: Win32/TrojanDownloader.Vidlo.G
Tipo: Caballo de Troya
Alias: Win32/TrojanDownloader.Vidlo.G, Trojan-Downloader.Win32.Vidlo.g, Downloader-sg;Troj/Vidlo-G, TROJ_DLOADER.S, TROJ_VIDLO.G
Plataforma: Windows 32-bit
Tamaño: 2,848 bytes
Se trata de un troyano descargado al visitar algunos sitios, o por algunos parásitos del tipo adware, para descargar otros elementos (adwares, spywares, etc.).

Los cambios realizados en el sistema, comprometen el rendimiento general de la navegación.

Cuando se ejecuta, intenta descargar el siguiente archivo:
counter.bmp
El archivo es guardado en la carpeta TEMP con el siguiente nombre:
\TEMP\temp25.exe
NOTA: La carpeta TEMP está ubicada en "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo.

Cuando se ejecute este archivo, intentará descargar y ejecutar otros archivos, generalmente adwares y spywares.

Procedimiento sugerido de limpieza
NOTA: Eliminar este parásito, puede ocasionar que algunos de los programas que lo instalan, dejen de funcionar o no funcionen correctamente.

Antivirus
Para borrar manualmente el parásito, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar archivos temporales
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos

Borrar Archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/troj-down-vidlo-g.htm

Troj/Spy.Banker.U. Roba información bancaria
Nombre: Troj/Spy.Banker.U
Nombre NOD32: Win32/Spy.Banker.U
Tipo: Caballo de Troya
Alias: Banker.U, Win32/Spy.Banker.U, PSW.Banker.I, PSW.Tofger.2.H, PWS-Banker, PWS-Banker.dll, PWS-Banker.gen, PWSteal.Banker.B, TR/Spy.Banker.W, TR/Spy.Banker.W.DLL, Trj/Bancos.G, Troj/Banker-W, Trojan.Bancos.43, Trojan.PWS.Banker, Trojan.Spy.Banker.U, Trojan.Spy.Banker.W, Trojan.Trojanspy.Banker.U, Trojan.Trojanspy.Banker.W, TrojanSpy.Banker.I, TrojanSpy.Banker.K, TrojanSpy.Banker.K, TrojanSpy.Win32.Banker.U, TrojanSpy.Win32.Banker.u, TrojanSpy.Win32.Banker.w, TrojanSpy.Win32.Banker.W, TrojanSpy/Win32.Banker.U, TrojanSpy/Win32.Banker.W, W32/Banker.A, W32/Banker.Q@pws, Win32/PWS.Banker.DLL.Trojan, Win32/Spy.Banker.W.Trojan
Plataforma: Windows 32-bit

Se trata de un troyano que intenta robar información relacionada con las transacciones comerciales y bancarias del usuario infectado.

Cuando se ejecuta, el troyano examina si ya ha sido instalado en la máquina actual. Si no existe, crea los siguientes archivos en el directorio del sistema:
c:\windows\system32\iesprt.sys
c:\windows\system32\lsd_f3.dll
c:\windows\system32\timestamp.sys
Crea las siguientes entradas en el registro de Windows:
HKLM\SOFTWARE
\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\f3dsl
Dllname = lsd_f3.dll
Startup = LSD_F3
Impersonate = 1
Asynchronous = 1
MaxWait = 1

HKLM\SYSTEM
\CurrentControlSet\Control\MPRServices\TestService
Dllname = lsd_f3.dll
EntryPoint = LSD_F3
StackSize = [Número]

HKLM\SYSTEM\CurrentControlSet\Control
Impersonate = [Número][Nombre del equipo]
Cuando el usuario visita determinados sitios bancarios y financieros, el troyano comienza su rutina de captura de datos ingresados en las ventanas y formularios abiertos. El proceso se inicia cuando el troyano detecta una ventana abierta con alguno de estos nombres:
banque
bookers
e-gold
e-metal
exhosting.biz
fethard
Fidelity
huntington
keybank
offshore
paypal
planters
westpac
Lo capturado, es grabado en un archivo y luego enviado a la dirección electrónica del autor.

Reparación
Deshabilitar cualquier conexión a Internet o una red
Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza.

Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\windows\system32\iesprt.sys
c:\windows\system32\lsd_f3.dll
c:\windows\system32\timestamp.sys
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\WindowsNT
\CurrentVersion
\Winlogon
\Notify
\f3dsl
3. Pinche en la carpeta "f3dsl" y bórrela.
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\System
\CurrentControlSet
\Control
\MPRServices
5. Pinche en la carpeta "MPRServices" y bórrela.
6. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\System
\CurrentControlSet
\Control
7. Pinche en la carpeta "Control" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Impersonate
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
9. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Información adicional
Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/troj-spy-banker-u.htm

Troj/Down.Vivia.A. Troyano de acceso remoto
Nombre: Troj/Down.Vivia.A
Nombre NOD32: Win32/TrojanDownloader.Vivia.A
Tipo: Caballo de Troya de acceso remoto
Alias: Vivia.A, Win32/TrojanDownloader.Vivia.A, Win32.Darliz.A, Win32/Darliz.A.Trojan, Downloader-LE, TrojanDownloader.Win32.Vivia.l
Plataforma: Windows 32-bit
Tamaño: 54,272 bytes

Caballo de Troya que abre un acceso remoto vía puerta trasera, permitiendo que un atacante pueda tomar el control del equipo infectado.

Es capaz de modificar la configuración de seguridad del Internet Explorer.

Cuando se ejecuta por primera vez, el troyano crea una copia de si mismo dentro de la carpeta del sistema de Windows:
c:\windows\system32\???????.exe
Donde "???????" son siete caracteres seleccionados al azar.
Crea o modifica las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows y modificar la configuración del Internet Explorer, etc.:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[Nombre aleatorio] = c:\windows\system32\???????.exe
Modifica o crea las siguientes claves en el registro:
HKCR\CLSID
\{63C0E8D2-9B7D-4246-AE38-6964C3301351}\Version
(Predeterminado) = 4
HKCU\Software\Microsoft\Internet Explorer\Main
NID = [Valor hexadecimal aleatorio]
HKLM\Software\Microsoft\Internet Explorer\Main
NID = [Valor ID]
Luego de su instalación, el troyano intenta descargar y ejecutar algunos archivos desde Internet.

Con el troyano activado, un atacante podría realizar en forma remota, cualquiera de las siguientes acciones en el equipo infectado (entre otras):
- Cambiar papel tapiz, protector de pantalla, etc.
- Descargar y ejecutar archivos.
- Desinstalar aplicaciones.
- Modificar el archivo HOSTS.
- Modificar configuración del Internet Explorer.
- Modificar el registro.
- Obtener información del sistema.
- Obtener la versión utilizada del Internet Explorer.
- Obtener la versión del Reproductor de Windows Media.
- Verificar el ancho de banda disponible.

Limpieza
Deshabilitar cualquier conexión a Internet o una red
Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza.

Antivirus
Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_ROOT
\CLSID
\{63C0E8D2-9B7D-4246-AE38-6964C3301351}
3. Haga clic en la carpeta "{63C0E8D2-9B7D-4246-AE38-6964C3301351}" y bórrela
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Internet Explorer
\Main
7. Haga clic en la carpeta "Main" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
NID
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Internet Explorer
\Main
9. Haga clic en la carpeta "Main" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
NID
10. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
11. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1   localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Reinicie su computadora.

Información adicional
Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/troj-down-vivia-a.htm

[destroyer]

Gracias DNE.

un saludo