Tema: VBS/Spore.A. Se propaga como correo de Microsoft

[Danae]

VBS/Spore.A. Se propaga como correo de Microsoft
 
Nombre: VBS/Spore.A
Tipo: Gusano de Visual Basic Script
Alias: Spore, Sorpe, Trojan.VBS.Spore.a, VBS.Sorpe.A@mm, VBS.SSIWG, VBS/Sorpe@MM, Vbs.Spore@mm
Plataforma: Windows 32-bit

Gusano de Visual Basic Script que se propaga masivamente por correo electrónico, enviándose a direcciones obtenidas en diferentes archivos de los equipos infectados.

También deshabilita varias utilidades del sistema.

Los mensajes enviados por el gusano tienen las siguientes características:

De: [email protected]
Para: [dirección falsa]
Asunto: [uno de los siguientes]
- Microsoft News
- Microsoft Operating System Updates News
- Microsoft Security Updates News
- Microsoft Update News Letter
- Microsoft Updates News
- Microsoft`s big security Update News
- Security Updates News
- Service Pack 2 Updates News
- System Updates News
- Update News
Texto del mensaje:
Service pack 2 is due soon for microsoft users, Bug
fixes, Internet Explorer patches and NEW security
features. Please read more from the file attcahed to
this microsoft news letter.
Datos adjuntos: msnews.vbs

Cuando el gusano se ejecuta, finaliza cualquier proceso activo cuyo nombre contenga alguna de las siguientes cadenas:
block
script
Crea y ejecuta el siguiente script, con el que finaliza cualquier proceso activo llamado TASKMGR.EXE:
c:\windows\system32\tskmgr32.vbs

También crea las siguientes copias de si mismo:
c:\archivos de programa\windowsupdate\wupdmgr.tmp\wupdscn.vbs
c:\windows\syslogs\syslog32.vbs
c:\windows\system32\msnews.vbs
NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.).

Crea los siguientes archivos y luego los utiliza para modificar el registro:
c:\windows\system32\sysreg.reg
c:\windows\system32\user32.reg
Crea las siguientes entradas en el registro de Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Spore = "c:\windows\system32\msnews.vbs"

HKCU\Software\Microsoft
\Windows\CurrentVersion\Policies\Explorer
DisallowRun = "1"

HKCU\Software\Microsoft\Windows
\CurrentVersion\Policies\Explorer\DisallowRun
1 = "regedit.exe"
2 = "notepad.exe"
3 = "wordpad.exe"
4 = "write.exe"
5 = "wuauclt.exe"
Algunas de esas entradas deshabilitan varias utilidades del sistema (bloc de notas, Wordpad, Write, el Cliente de actualización automática de Windows Update, Regedit, etc.)

Busca direcciones electrónicas en archivos de todos los discos duros y de red del equipo infectado, que tengan las siguientes extensiones:
.asp
.doc
.hta
.hte
.htm
.html
.htt
.htx
.rtf
.shtml
.stm
.txt
.xml
Envía a todas las direcciones encontradas, mensajes como los descriptos antes.

El día 1 de enero de 2005, puede mostrar el siguiente mensaje:



Puede enviar a los vendedores de antivirus, un mensaje con las siguientes características:

De: [email protected]
Para: [uno de los siguientes]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Asunto: [uno de los siguientes]
- A strange vbs file on my pc..!!
- HELP.. i`ve been infected with a vbs virus..
- HELP... vbs virus infection..!!!
- Here is a new vbs virus i found..!!
- I found a vbs virus on my pc.!!
- I think i have a vbs virus..??
- Is this vbs file appart of windows operating system..??
- My pc is acting strange..??
- My system has been infected with a vbs file..!!
- Not again, I`ve just been infected again.. (vbs)
Texto del mensaje:
Hello,
I found this vbs file on my pc. But i`m not too sure if
it is a virus so i am sending you a copy for safety
reasons..!

Reparación Antivirus
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Borre los archivos detectados como infectados

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
3. Haga clic en la carpeta "Explorer" y en el panel de la derecha busque y borre la siguiente entrada:
DisallowRun = "1"
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Policies
\Explorer
\DisallowRun
5. Haga clic en la carpeta "DisallowRun" y en el panel de la derecha busque y borre las siguientes entradas:
1 = "regedit.exe"
2 = "notepad.exe"
3 = "wordpad.exe"
4 = "write.exe"
5 = "wuauclt.exe"
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
7. Haga clic en la carpeta "Run" y en el panel de la derecha busque y borre la siguiente entrada:
Spore = "c:\windows\system32\msnews.vbs"
8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\archivos de programa\windowsupdate\wupdmgr.tmp\wupdscn.vbs
c:\windows\syslogs\syslog32.vbs
c:\windows\system32\msnews.vbs
c:\windows\system32\sysreg.reg
c:\windows\system32\tskmgr32.vbs
c:\windows\system32\user32.reg
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/spore-a.htm