A+ A-

Alerta REAL de virus

| Alvaro Mendoza | 28.Noviembre 01 |

| 1 | 2 |

Por razones propias de mi trabajo, recibo a diario más de 150 correos electrónicos. Sin embargo, el día de hoy este número se duplicó. Lo anecdótico es que la mayoría de estos venían de personas que conozco y todos traían un archivo adjunto. Sin embargo, el cuerpo del mensaje estaba vacío.

Lo curioso es que el archivo trata de abrirse automáticamente. El sistema pregunta de inmediato si deseaba abrirlo o deseaba grabarlo en mi disco duro. Afortunadamente siempre cancelé la operación y borré todos los mensajes, pues estaba seguro que era un virus, por la característica misma del mensaje y las extensiones del archivo que trataba de abrirse. Al comienzo no le puse mucha atención al asunto, pero siguieron transcurriendo las horas, y mensajes con idénticas características empezaron a llenar mis casilleros de correo electrónico.

Simultáneamente, otros colegas estaban experimentando el mismo problema y uno de ellos colocó un ‘mensaje de alerta’ en uno de los foros de discusión en los que participamos a diario los propietarios de 50 boletines electrónicos en Español (http://NovedadesEnRed.com). Esto confirmó mis sospechas del virus e inmediatamente me puse en la tarea de averiguar las particularidades del mismo, formas de prevenirlo y métodos para eliminarlo.

Por este motivo, dedico la edición de esta semana a este tema, pues considero que el virus en cuestión presenta una gravedad alta y destructiva (controla la computadora remotamente) y mal haría si no comparto esto con los más de 22.500 suscriptores que como usted, me acompañan en este boletín electrónico.

Empecemos por el tipo de virus

El famoso virus se le conoce con el nombre de WB/Badtrans.b y es la segunda versión del W32/Badtrans. También se le conoce bajo los aliases de: WORM_BADTRANS.B, W32/Badtrans-B, TROJ_BADTRANS.B, I-Worm.Badtrans.

Este virus tiene 2 variantes. La primera, apareció en abril de 2001. La segunda apareció el 26 de noviembre de 2001 y aún no se conoce su origen.

Este virus es capaz de reproducirse por correo electrónico automáticamente aprovechando una vulnerabilidad en el manejo de los encabezados MIME del Internet Explorer para ejecutarse automáticamente cuando un mensaje infectado es recibido.

El mensaje de correo electrónico en el que puede ser recibido es un mensaje sin texto y con archivo adjunto generado en forma aleatoria y posee una doble extensión.

La primer parte del nombre del adjunto puede ser alguna de las siguientes:

HUMOR
DOCs
S3MSONG
ME_NUDE
CARD
SEARCHURL
YOU_ARE_FAT!
NEWS_DOC
IMAGES
PICS

La segunda parte, o sea, la primera extensión, puede ser:

.DOC
.MP3
.ZIP

Y la tercera:

.pif
.scr

Al activarlo verá una nueva ventana, en la que generamente, a la derecha, se ve el área de imagen y se ubican los controles de escaneo.

Un ejemplo de un virus en el correo electrónico

Un ejemplo de un archivo adjunto a este mensaje sería: HUMOR.DOC:PIF.

Al ser ejecutado, automáticamente o manualmente, se copia al directorio \Windows\System con el nombre kernel32.exe y agrega la siguiente entrada al registro de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce Kernel32=kernel32.exe

También genera en el mismo directorio los archivos cp_25389.nls y kdll.dll. El kdll.dll es un troyano denominado Trojan/PSW.AV, capaz de robar contraseñas del equipo infectado. Para reproducirse por correo electrónico, responde todos los mensajes que son recibidos por el usuario, y también se envía a direcciones encontradas en archivos de páginas web (con extensiones html, htm, asp). El Desde (From) del mensaje enviado es generado aleatoriamente de una lista adjunta al gusano.

¿Cómo eliminar el virus?

Las grandes compañías desarrolladoras de antivirus ya han actualizado sus definiciones para detectar este virus. Lo que sigue es un listado de empresas desarrolladoras de software antivirus. Simplemente diríjase al sitio web de la versión de antivirus que tiene instalada en su computadora.

Antiviral Toolkit Pro (AVP)
http://www.kaspersky.ru

AVAST y AVAST32
http://www.antivir.com/support.htm

AVG
http://www.grisoft.com/html/us_updt.cfm

Subir

| 1 | 2 |