Nombre: Win32/VB.NEI
Nombre NOD32: Win32/VB.NEI
Tipo: Gusano de Internet
Alias: VB.NEI, Blackmail, Blackmal, BlackWorm, CME-24, Email-Worm.Win32.Nyxem.e, Email-Worm.Win32.VB.bi, Email-Worm.Win32.VB.BI, I-Worm.Nyxem.e, I-Worm.VB, I-Worm.VB.bi, Kama Sutra, Small.KI@mm, TR/KillAV.GR, Trojan/KillAV.GR, W32.Blackmal.E@mm, W32.Vb.Mi, W32/Generic.worm!p2p, W32/Grew.A!wm, W32/Kapser.A@mm, W32/MyWife.d@MM, W32/MyWife.d@MM!M24, W32/Nyxem-D, W32/Small.KI, W32/Tearec.A.worm, W32/Tearec.A.worm!CME-24, W32/VB.bi, Win32.HLLM.Generic.391, Win32.Nyxem.F@mm, Win32.VB.bi, Win32.Worm.P2P.ABM, Win32.Worm.VB.TB, Win32/Blackmal.F, Win32/Blackmal.F!Worm, Win32/Cabinet!Worm, Win32/VB.NEI, Win32:VB-CD, Worm.P2P.VB.CIL, Worm.VB.bi, Worm.Vb.Bi, Worm.VB-8, Worm/Generic.FX, Worm/KillAV.GR, Worm/VB.6.AN, WORM_GREW.A
Fecha: 17/ene/06
Actualizado: 28/ene/06
Plataforma: Windows 32-bit
Tamaño: 95,690 bytes (UPX)
Herramienta de limpieza: SI
Gusano que se propaga masivamente por correo electrónico. También intenta propagarse a través de recursos compartidos en red, con configuraciones de seguridad débiles (contraseñas en blanco, etc.)
Cuando se ejecuta, el gusano puede borrar diversos archivos y entradas en el registro relacionadas con varias aplicaciones de seguridad (antivirus, etc.).
Para propagarse por correo electrónico, utiliza su propio motor SMTP.
Los mensajes pueden tener las siguientes características:
Asunto: [uno de los siguientes]
*Hot Movie*
A Great Video
Arab sex DSC-00465.jpg
eBook.pdf
Fuckin Kama Sutra pics
Fw:
Fw: DSC-00465.jpg
Fw: Funny :)
Fw: Picturs
Fw: Real show
Fw: SeX.mpg
Fw: Sexy
Fwd: Crazy illegal Sex!
Fwd: image.jpg
Fwd: Photo
give me a kiss
Hello
Miss Lebanon 2006
My photos
Part 1 of 6 Video clipe
Photos
Re:
Re: Sex Video
School girl fantasies gone bad
The Best Videoclip Ever
the file
Word file
You Must View This Videoclip!
Texto del mensaje:
El cuerpo del mensaje, puede tener uno de los siguientes textos:
----- forwarded message -----
???????????????????????????? ????????????? ?????? ???????????
>> forwarded message
DSC-00465.jpg DSC-00466.jpg DSC-00467.jpg
forwarded message attached.
Fuckin Kama Sutra pics
hello,
hello, i send the file. bye
Helloi attached the details.
hi i send the details bye
Hot *** Yahoo Groups
how are you?
how are you? i send the details. OK ?
i attached the details. Thank you
i just any one see my photos.
i just any one see my photos. It's Free :)
i send the details.
i send the file.
It's Free :)
Note: forwarded message attached.
Note: forwarded message attached. You Must View This Videoclip!
photo photo2 photo3
Please see the file.
Re: Sex Video
ready to be FUCKED ;)
Thank you
The Best Videoclip Ever
the file i send the details
VIDEOS! FREE! (US$ 0,00)
What?
También puede contener imágenes que no pueden ser visualizadas.
Datos adjuntos:
Los archivos adjuntos pueden ser ejecutables o archivos MIME (Multipurpose Internet Mail Extensions), un protocolo que especifica la codificación y formato de los contenidos de los mensajes.
Si son ejecutables, tendrá uno de los siguientes nombres:
007.pif
04.pif
392315089702606E-02,.scR
677.pif
Adults_9,zip.sCR
Arab sex DSC-00465.jpg
ATT01.zip.sCR
Attachments[001],B64.sCr
Clipe,zip.sCr
document.pif
DSC-00465.Pif
DSC-00465.pIf
eBook.pdf
eBook.PIF
image04.pif
New Video,zip
New_Document_file.pif
photo.pif
Photos,zip.sCR
School.pif
SeX,zip.scR
WinZip,zip.scR
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR
Si son archivos MIME, su nombre será uno de los siguientes:
3.92315089702606E02.UUE
392315089702606E-02.b64
392315089702606E-02.BHx
392315089702606E-02.HQX
392315089702606E-02.mim
392315089702606E-02.uu
392315089702606E-02.UUE
392315089702606E-02.XxE
Attachments[001].B64
Attachments00.HQX
Attachments001.BHX
Clipe.b64
Clipe.BHx
Clipe.HQX
Clipe.mim
Clipe.uu
Clipe.UUE
Clipe.XxE
eBook.Uu
Miss.b64
Miss.BHx
Miss.HQX
Miss.mim
Miss.uu
Miss.UUE
Miss.XxE
Original Message.B64
Photos.b64
Photos.BHx
Photos.HQX
Photos.mim
Photos.uu
Photos.UUE
Photos.XxE
Sex.mim
SeX.mim
Sweet_09.b64
Sweet_09.BHx
Sweet_09.HQX
Sweet_09.mim
Sweet_09.uu
Sweet_09.UUE
Sweet_09.XxE
Video_part.mim
WinZip.BHX
Word_Document.hqx
Word_Document.uu
Cuando dichos archivos MIME son decodificados, uno de los siguientes archivos ejecutables serán creados:
392315089702606E-02,UUE [ espacios ] .scr
Adults_9,zip [ espacios ] .scr
ATT01.zip [ espacios ] .scr
Atta[001],zip [ espacios ] .scr
Attachments,zip [ espacios ] .scr
Attachments[001],B64 [ espacios ] .scr
Clipe,zip [ espacios ] .scr
New Video,zip [ espacios ] .scr
Photos,zip [ espacios ] .scr
SeX,zip [ espacios ] .scr
WinZip,zip [ espacios ] .scr
WinZip.zip [ espacios ] .scr
Word XP.zip [ espacios ] .scr
Word.zip [ espacios ] .scr
NOTA: Algunos de estos formatos (como BHX), no se pueden decodificar sin tener la herramienta necesaria, por ejemplo BinHex.
Cuando el adjunto se ejecuta, el gusano se copia a si mismo con algunos de los siguientes nombres:
c:\windows\Rundll16.exe
c:\windows\system32\scanregw.exe
c:\windows\system32\Winzip.exe
c:\windows\system32\Update.exe
c:\windows\system32\WinZip_Tmp.exe
c:\windows\system32\New WinZip File.exe
movies.exe
Zipped Files.exe
También puede crear un archivo con el mismo nombre, pero extensión .ZIP y vacío, en la carpeta del sistema:
c:\windows\system32\scanregw.zip
c:\windows\system32\Winzip.zip
c:\windows\system32\Update.zip
c:\windows\system32\WinZip_Tmp.zip
c:\windows\system32\New WinZip File.zip
NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).
Crea o modifica las siguientes entradas del registro (la primera de ellas para autoejecutarse en cada reinicio de Windows):
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\Advanced
ShowSuperHidden = "0"
WebView = "0"
HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\CabinetState
FullPath = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
HKCU\Control Panel\BMale
HKCU\Control Panel\DNS
Si existen, borra los siguientes archivos dentro de la carpeta [Archivos de programa], todos ellos relacionados con aplicaciones de seguridad:
\DAP\*.dll
\BearShare\*.dll
\Symantec\LiveUpdate\*.*
\Symantec\Common Files\Symantec Shared\*.*
\Norton AntiVirus\*.exe
\Alwil Software\Avast4\*.exe
\McAfee.com\VSO\*.exe
\McAfee.com\Agent\*.*
\McAfee.com\shared\*.*
\Trend Micro\PC-cillin 2002\*.exe
\Trend Micro\PC-cillin 2003\*.exe
\Trend Micro\Internet Security\*.exe
\NavNT\*.exe
\Morpheus\*.dll
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
\Grisoft\AVG7\*.dll
\TREND MICRO\OfficeScan\*.dll
\Trend Micro\OfficeScan Client\*.exe
\LimeWire\LimeWire 4.2.6\LimeWire.jar
NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"
Busca nombres de archivos .EXE y .PPL en las siguientes claves del registro, y borra todos aquellos que existan en la PC infectada:
HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentVersion
HKLM\SOFTWARE\KasperskyLab\Components\101
HKLM\SOFTWARE\KasperskyLab
\InstalledProducts\Kaspersky Anti-Virus Personal
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\App Paths\Iface.exe
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\Panda Antivirus 6.0 Platinum
HKLM\SOFTWARE\Symantec\InstalledApps
Examina las siguientes claves del registro:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Y si existen allí las referencias a las siguientes entradas, borra las mismas:
APVXDWIN
avast!
AVG_CC
AVG7_CC
AVG7_EMC
AVG7_Run
Avgserv9.exe
AVGW
BearShare
defwatch
DownloadAccelerator
kaspersky
KAVPersonal50
McAfeeVirusScanService
NAVAgent
OfficeScanNTMonitor
PCCClient.exe
pccguide.exe
PCCIOMON.exe
PccPfw
Pop3trap.exe
rtvscn95
ScanInicio
SSDPSRV
TMOutbreakAgent
Tmproxy
VetAlert
VetTray
vptray
Cierra todas las ventanas cuyo título contenga alguna de las siguientes cadenas:
FIX
KASPERSKY
MCAFEE
NORTON
REMOVAL
SCAN
SYMANTEC
TREND MICRO
VIRUS
Para propagarse por correo electrónico, busca direcciones de archivos con las siguientes extensiones:
.dbx
.eml
.htm
.imh
.mbx
.msf
.msg
.nws
.oft
.txt
.vcf
También obtiene direcciones de archivos cuyo nombre contenga alguna de las siguientes cadenas:
CONTENT.
TEMPORARY
El gusano también busca las siguientes carpetas compartidas en redes:
ADMIN$
C$
En todas las que encuentre, y cuya configuración de seguridad sea débil (contraseñas en blanco, acceso total, etc.), se copiará en ellas con uno de los siguientes nombres:
WINZIP_TMP.exe
WinZip Quick Pick.exe
También intentará acceder a la siguiente dirección URL:
http: // webstats .web .rcn .net/Count.cgi?df=765247
Periódicamente intentará conectarse para descargar una versión actualizada de si mismo.
Si detecta la presencia de un software antivirus, el gusano intentará mostrar un icono en la barra de herramientas de Windows, con el siguiente texto:
Update Please wait
Todos los días 3 de cada mes, el gusano puede activar una peligrosa y destructiva rutina que sobrescribe todos los archivos con las siguientes extensiones, de todas las unidades locales y compartidas en red:
.dmp
.doc
.mdb
.mde
.pdf
.pps
.ppt
.psd
.rar
.xls
.zip
Los archivos son sobrescritos por el siguiente texto:
DATA Error [47 0F 94 93 F4 K5]
El hecho de que no sean borrados, sino sobrescritos, hace imposible su recuperación, la que debe hacerse desde respaldos anteriores.
Herramienta de limpieza automática:
Descargue y ejecute esta herramienta de NOD32 en su computadora, para una limpieza automática de la misma. Siga las instrucciones en pantalla.
http://www.nod32.it/cgi-bin/mapdl.pl?tool=VBClean
Herramienta de limpieza (c) Future Time Srl
Reparación manual
NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Más información:
Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm
Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Control Panel
3. Haga clic en la carpeta "Control Panel" y borre las siguientes carpetas:
BMale
DNS
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced
5. Haga clic en la carpeta "Advanced" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie los siguientes valores para que aparezca en ellos "1" en hexadecimal:
ShowSuperHidden = "1"
WebView = "1"
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\CabinetState
7. Haga clic en la carpeta "CabinetState" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el siguiente valor para que aparezca en él "1" en hexadecimal:
FullPath = "1"
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Classes
\Licenses
9. Haga clic en la carpeta "Licenses" y busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
12. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Borrar archivos temporales
1. Cierre todas las ventanas y todos los programas abiertos.
2. Desde Inicio, Ejecutar, escriba %TEMP% y pulse Enter.
Nota: debe escribir también los signos "%" antes y después de "temp".
3. Cuando se abra la ventana del Explorador de Windows, pulse CTRL+E (o seleccione desde el menú "Edición", la opción "Seleccionar todo").
4. Pulse la tecla SUPR y confirme el borrado de todo, incluyendo los ejecutables.
5. haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
NOTA: Si se recibe un mensaje de que no se puede borrar todo, reinicie Windows en modo a prueba de fallos, como se indica en el siguiente artículo, y repita todos los pasos anteriores:
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm
Borrar Archivos temporales de Internet
1. Vaya al Panel de control, Opciones de Internet, General
2. En Archivos temporales de Internet Haga clic en "Eliminar archivos"
3. Marque la opción "Eliminar todo el contenido sin conexión"
4. Haga clic en Aceptar, etc.
Información adicional
Cambio de contraseñas
En el caso de haber sido infectado con este troyano, se recomienda llevar a cabo las acciones necesarias a fin de cambiar todas las claves de acceso, así como toda otra información que comprometa la información relacionada con cualquier clase de transacción bancaria, incluidas sus tarjetas electrónicas y cuentas bancarias.
Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.
4. Seleccione Aceptar, etc.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm