W32/Salga.A. Los mensajes mencionan a Britney SpearsNombre: W32/Salga.A
Nombre NOD32: Win32/Salga.A
Tipo: Gusano de Internet
Alias: Salga, Win32/Salga.A, W32.Salga.A@mm
Plataforma: Windows 32-bit
Tamaño: variable
Gusano escrito en Microsoft Visual Basic, que se envía en forma masiva por correo electrónico a todos los contactos de la libreta de direcciones de Windows y de archivos del sistema infectado, utilizando el Microsoft Outlook (y Outlook Express), en mensajes como los siguientes:
Ejemplo 1:
Asunto: Nicole kidman secrets
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
Hi,this is secret files of <<Nicole Kidman>> contain
her sexy photoes in Florida,her credits ,part of her
new film {Bn-laden days} and her telephones numers
with here email.....see it and replay us please .....
it is very interesting secret files ..bibi
Ejemplo 2:
Asunto: BRITNY SPEARS MARRAGE
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
Hi,this is secret files of <<Britny spears>> contain
her marrage photoes in texas,part of her marrage party
and her reactions about madona.....see it and replay
us please ..... it is very interesting secret files
..bibi
Ejemplo 3:
Asunto: Is Bnladen realy cow boy
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
Hi: mr or miss some amricans say befor 20 yrs Bnladen
was cow boy these photoes and parts of vidioes prove
it <<photos and vedioes in attachement file>>
Ejemplo 4:
Asunto: Chance for holyday
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
If u you want to have anice holyday you must call us
at this adress USA MITCHGEN and we will give greate
offer details in this attachment
Ejemplo 5:
Asunto: To contact new friends
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
Hi:miss or mr you can contact new friends all ever the
world deatails in attachmment file
Ejemplo 6:
Asunto: New version of kasper fire wall
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
this is the new update and last version of kasper fire
wall it contains more and new advantages
Ejemplo 7:
Asunto: SEXY FILES
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
This attachmment contain very hard sexy photos with
part of sexy films interest and replay us
Ejemplo 8:
Asunto: BRITNY SPEARS MARRAGE
Datos adjuntos: Britny spears marrage with Bnladensun.zip
Texto del mensaje:
Hi;this is some photoes of Britney Spears marrage with
Bnladen son in flash file so<<<<if the winzip file not
run you must change the extention to exe to execute it
Intenta propagarse además, a través del mIRC, redes de archivos compartidos (P2P), y también a través de recursos compartidos de redes.
El envío masivo de los mensajes, causa una notoria degradación del rendimiento de la conexión a Internet.
Cuando se ejecuta, se copia con los siguientes nombres (o en las carpetas que existan, si corresponde):
.exe
C:\Britny spears marrage with Bnladensun.zip
C:\Documents and Settings\All Users\DESKTOP\holywood stuff film.zip.exe
C:\Documents and Settings\All Users\Start Menu\nicole kidman sexy cam.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\magic graphices maker.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\egy~1
C:\Documents and Settings\All Users\Start Menu\Programs\your sexy cam.zip.exe
C:\Program Files\Accessories\BRITNY SPEARS MARRAGE.zip...............exe
C:\Program Files\Accessories\Details of new friends.zip...............exe
C:\Program Files\Accessories\Details.zip...............exe
C:\Program Files\Accessories\hard sex files.zip...............exe
C:\Program Files\Accessories\Is Bnladen realy cow boy.zip...............exe
C:\Program Files\Accessories\kasper2005.zip...............exe
C:\Program Files\Accessories\Nicole Kidman.zip...............exe
C:\program files\mirc\Britny spears marriage with Bnladen son.zip.exe
C:\program files\mirc32\Britny spears marriage with Bnladen son.zip.exe
c:\windows\acdsee demo.exe
c:\windows\All Users\Start Menu\Programs\StartUp\ana~1.exe
c:\windows\Start Menu\inter net speeder.zip.exe
c:\windows\start menu\programs\new chat prog.zip.exe
c:\windows\system\system copy.exe
c:\windows\system32\egywormo[gen1].exe
Genera las siguientes entradas en el registro, para autoejecutarse en cada reinicio del sistema:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
system xp = c:\windows\acdsee demo.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
windows = c:\windows\system\system copy.exe
Intenta sobrescribir los siguientes archivos:
C:\program files\mIRC\script.ini
C:\program files\mIRC32\script.ini
Con ello, utilizará el mIRC para enviar el siguiente archivo (una copia de si mismo), a usuarios conectados a los mismos canales de chat que visite el usuario infectado:
Britny spears marriage with Bnladen son.zip.exe
También crea las siguientes carpetas:
C:\Britny
C:\hard core hook from web
c:\windows\All Users\Desktop\sex cam
D:\hook all sex movies from webs
D:\new computer worm alert
D:\NEW PROGRAMS
E:\real sex telephones
Y se copia con los siguientes nombres en dichas carpetas:
C:\Britny\NEW FILM.ZIP.EXE
C:\hard core hook from web\setup.zip.exe
c:\windows\All Users\Desktop\sex cam\sex photoes of monika.zip.exe
D:\FUN.ZIP.EXE
D:\girlfriends emails.zip.exe
D:\hook all sex movies from webs\setup.zip.exe
E:\blood of fetch sex.zip.exe
E:\Messenger 9.00.ZIP.EXE
E:\real sex telephones\me.zip.exe
Crea un archivo AUTORUN.INF en el raíz de la unidad D: (si existe y no es un CD), conteniendo las siguientes líneas:
[autorun]
open=FUN.ZIP.EXE
Crea un archivo AUTORUN.INF en el raíz de la unidad E: (si existe y no es un CD), conteniendo las siguientes líneas:
[autorun]
open=Messenger 9.00.ZIP.EXE
Si no existem crea la siguiente carpeta:
C:\Program Files\Kazaa\My Shared Folder\Shared
Se copia en ella con los siguientes nombres de archivo:
[SWF] - Harry Potter and the philosophers stone.zip.........exe
[SWF] - Swordfish.........exe
[SWF] - The Fast and the Furious.zip.........exe
3d msn version 10.1.zip................exe
3dstoudio.zip.........exe
animal photos.zip.........exe
anti virus.zip.........exe
antibiotics.zip.........exe
aol.zip.........exe
autocade.zip.........exe
big one in the world.zip.........exe
Britny Spears.zip.........exe
Cat attacks child.zip.........exe
cocacola.zip.........exe
Comedy video.zip.........exe
computers in 2010.zip.........exe
deutsh programs.zip.........exe
Dracola.zip.........exe
FBI secrets.zip.........exe
fear.zip.........exe
fire wall.zip.........exe
FlashMovie.zip.........exe
FOOTBALL IN ENGLAND.zip.........exe
Game_Crack_Genie_v0.5.zip.........exe
hack.zip.........exe
hard core.zip.........exe
huge sexy brests program v 1.7.00.zip.exe
i robot.zip.........exe
lesbien.zip.........exe
MacroMedia Flash 6.0.zip.........exe
mirc.zip.........exe
ms games.zip.........exe
MsDos_PortScanner.zip.........exe
new film.zip.........exe
news paper.zip.........exe
news.zip.........exe
norton 2005.zip.........exe
office 2005.zip.........exe
pebsi.zip.........exe
photo shop.zip.........exe
scince of water.zip.........exe
sex plus.zip.........exe
Shockwave Flash.zip.........exe
Simpsons Episode (#36)..zip.........exe
songs.zip.........exe
ssPamela_Anderson_(Naked Screen Saver).scr.........exe
ssParis_Hilton_(Nude Screen Saver).scr.............exe
SWF.zip.........exe
SWF_Movie.zip.........exe
this files is very secret files.zip.........exe
tourism.zip.........exe
TOY 2006.zip.........exe
Tutorial Video on Hacking.........exe
USA secrets.zip.........exe
viagra.zip.........exe
Virtual_3D_Pinball.zip.........exe
virus.zip.........exe
visual basic projects.zip.........exe
Win32System_Tweaks_v1.0.zip.........exe
Wmplayer_Celebrity_Skins.zip.........exe
wwf.zip.........exe
xxl plus.zip.........exe
XXX video.zip.........exe
yahoo.zip.........exe
También crea la siguiente entrada en el registro, para compartir dicha carpeta al iniciarse el KaZaa:
HKCU\Software\Kazaa\Transfer\StartKazaa
-SilentRun = C:\Program Files\Kazaa\My Shared Folder\Shared
Busca todas las carpetas que en su nombre contengan la cadena "SHAR", y se copia con los siguientes nombres en ellas:
Britny spears and Madona sex viedio in 24 min only.zip.................exe
Iraq war.zip.................exe
last messengers versions.zip.................exe
learn photo shop in 3 days only.zip.................exe
new cupied photos.zip.................exe
new girls emails with there phone numbers.zip.................exe
strong fire wall allover the world with thelast update of norton.zip.................exe
USA discvered water in mars yesterday.doc.zip.................exe
También busca los recursos compartidos C$, IPC$ y ADMIN$, e intenta copiarse en ellos con los siguientes nombres:
admin$\system32\see this it is very intersting.zip...................................exe
c$\documment and settings\all users\documents\secret documents.zip......................exe
c$\money generator very dengerous and secrt.zip..........................exe
c$\shared\my sallary every mmonth increaser.................................exe
c$\windows\system32\pass word of hotmail store.zip................exe
c$\winnt\systemm32\speial films links in net.zip.............................exe
ipc$\secret photoes from my chat.zip...............................exe
Crea una carpeta de red compartida con el nombre de "Britny", y la mapea con el siguiente nombre:
C:\Britny
Envía el siguiente mensaje a otros usuarios:
Message from [nombre equipo infectado] to [workgroup]
on [fecha]:
* hi welcome in our network you can see the new film
of Britny spears from the computer which shown it is
very interesting film or see it also from any shared
folder <<habby interesting time in our net cafe bi>>
Abre una ventana del navegador, apuntando al siguiente dominio:
originalicons .com
Dentro de la carpeta creada antes, crea el siguiente archivo:
D:\new computer worm alert\virus alert.txt
VIRUS ALERT.TXT contiene el siguiente texto:
your computer have been infected by:- Egywormo[gen1] this worm may lead to increase hard disk space,slow your system and also can destroy your c:\ drive aim of this worm is catching more victems and give them ip and some email details then destroy hard space with system exclusion creation by XP10 VIRUS MASTER
contact us in <mgasalgya_4ever @ hotmail.com>
Utiliza el Microsoft Outlook y Outlook Express para enviar mensajes al autor, con las siguientes características:
Mensaje 1:
Para: mgasalgya_4ever @ hotmail.com
Asunto: Sir new victem
Texto del mensaje:
Hi:sir i'm your server Egywormo[gen1] this is new
victem who has own outlook machine i caputre his
contacts and go there to infect them.... ok i'll go now
and see you soon when i infect more ......bibi sir
Mensaje 2:
Para: mgasalgya_4ever @ hotmail.com
Asunto: Egywormo give her sir email of victem
Texto del mensaje:
password of victem email
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).
Reparación Deshabilitar cualquier conexión a Internet o una red
Es importante desconectar cada computadora de cualquier conexión a Internet, o red local, antes de proceder a su limpieza.
AntivirusActualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
Editar el registroNota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER\Software\Kazaa\Transfer\StartKazaa
3. Haga clic en la carpeta "StartKazaa" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
-SilentRun = C:\Program Files\Kazaa\My Shared Folder\Shared
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre las entradas que aparezcan de esta lista:
system xp
windows
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Limpieza de virus en Windows Me y XPSi el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información:
http://www.vsantivirus.com/salga-a.htm
