 | Ultimas Amenazas de virus y sus variantes Conozca sobre las ultimas amenazas de virus, troyanos y gusanos a la seguridad de los sistemas operativos y programas del mundo informatico. | Mypis.D. Se propaga por e-mail, borra antivirus | | Nombre: Mypis.D
Nombre NOD32: Win32/Mypis.D
Tipo: Gusano de Internet
Alias: Mypis.D, Virus.Win32.Download, Win32/Mypis.D
Fecha: 16/ago/07
Plataforma: Windows 32-bit
Tamaño: 89,986 bytes
Gusano que se propaga masivamente por correo electrónico. También intenta propagarse a través de recursos compartidos en red, con configuraciones de seguridad débiles (contraseñas en blanco, etc.)
Cuando se ejecuta, el gusano puede borrar diversos archivos y entradas en el registro relacionadas con varias aplicaciones de seguridad (antivirus, etc.).
Todos los días 3 de cada mes, el gusano puede activar una peligrosa y destructiva rutina que sobrescribe todos los archivos con determinadas extensiones, de todas las unidades de disco locales.
Para propagarse por correo electrónico, utiliza su propio motor SMTP.
Los mensajes pueden tener las siguientes características:
Asunto: [uno de los siguientes]
*Hot Movie*
A Great Video
Arab sex DSC-00465.jpg
eBook.pdf
Fuckin Kama Sutra pics
Fw:
Fw: DSC-00465.jpg
Fw: Funny 
Fw: Picturs
Fw: Real show
Fw: SeX.mpg
Fw: Sexy
Fwd: Crazy illegal Sex!
Fwd: image.jpg
Fwd: Photo
give me a kiss
Hello
Miss Lebanon 2006
My photos
Part 1 of 6 Video clipe
Photos
Re:
Re: Sex Video
School girl fantasies gone bad
The Best Videoclip Ever
the file
Word file
You Must View This Videoclip!
Texto del mensaje:
El cuerpo del mensaje, puede tener uno de los siguientes textos:
----- forwarded message -----
???????????????????????????? ????????????? ?????? ???????????
>> forwarded message
DSC-00465.jpg DSC-00466.jpg DSC-00467.jpg
forwarded message attached.
Fuckin Kama Sutra pics
hello,
hello, i send the file. bye
Helloi attached the details.
hi i send the details bye
Hot XXX Yahoo Groups
how are you?
how are you? i send the details. OK ?
i attached the details. Thank you
i just any one see my photos.
i just any one see my photos. It's Free 
i send the details.
i send the file.
It's Free 
Note: forwarded message attached.
Note: forwarded message attached. You Must View This Videoclip!
photo photo2 photo3
Please see the file.
Re: Sex Video
ready to be FUCKED 
Thank you
The Best Videoclip Ever
the file i send the details
VIDEOS! FREE! (US$ 0,00)
What?
También puede contener imágenes que no pueden ser visualizadas.
Datos adjuntos:
Los archivos adjuntos pueden ser ejecutables o archivos MIME (Multipurpose Internet Mail Extensions), un protocolo que especifica la codificación y formato de los contenidos de los mensajes.
Si son ejecutables, tendrá uno de los siguientes nombres:
007.pif
04.pif
392315089702606E-02,.scR
677.pif
Adults_9,zip.sCR
Arab sex DSC-00465.jpg
ATT01.zip.sCR
Attachments[001],B64.sCr
Clipe,zip.sCr
document.pif
DSC-00465.Pif
DSC-00465.pIf
eBook.pdf
eBook.PIF
image04.pif
New Video,zip
New_Document_file.pif
photo.pif
Photos,zip.sCR
School.pif
SeX,zip.scR
WinZip,zip.scR
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR
Si son archivos MIME, su nombre será uno de los siguientes:
3.92315089702606E02.UUE
392315089702606E-02.b64
392315089702606E-02.BHx
392315089702606E-02.HQX
392315089702606E-02.mim
392315089702606E-02.uu
392315089702606E-02.UUE
392315089702606E-02.XxE
Attachments[001].B64
Attachments00.HQX
Attachments001.BHX
Clipe.b64
Clipe.BHx
Clipe.HQX
Clipe.mim
Clipe.uu
Clipe.UUE
Clipe.XxE
eBook.Uu
Miss.b64
Miss.BHx
Miss.HQX
Miss.mim
Miss.uu
Miss.UUE
Miss.XxE
Original Message.B64
Photos.b64
Photos.BHx
Photos.HQX
Photos.mim
Photos.uu
Photos.UUE
Photos.XxE
Sex.mim
SeX.mim
Sweet_09.b64
Sweet_09.BHx
Sweet_09.HQX
Sweet_09.mim
Sweet_09.uu
Sweet_09.UUE
Sweet_09.XxE
Video_part.mim
WinZip.BHX
Word_Document.hqx
Word_Document.uu
Cuando dichos archivos MIME son decodificados, uno de los siguientes archivos ejecutables serán creados:
392315089702606E-02,UUE [ espacios ] .scr
Adults_9,zip [ espacios ] .scr
ATT01.zip [ espacios ] .scr
Atta[001],zip [ espacios ] .scr
Attachments,zip [ espacios ] .scr
Attachments[001],B64 [ espacios ] .scr
Clipe,zip [ espacios ] .scr
New Video,zip [ espacios ] .scr
Photos,zip [ espacios ] .scr
SeX,zip [ espacios ] .scr
WinZip,zip [ espacios ] .scr
WinZip.zip [ espacios ] .scr
Word XP.zip [ espacios ] .scr
Word.zip [ espacios ] .scr
NOTA: Algunos de estos formatos (como BHX), no se pueden decodificar sin tener la herramienta necesaria, por ejemplo BinHex.
Cuando el adjunto se ejecuta, el gusano se copia a si mismo con algunos de los siguientes nombres:
c:\windows\Rundll16.exe
c:\windows\system32\scanregw.exe
c:\windows\system32\Winzip.exe
c:\windows\system32\Update.exe
c:\windows\system32\WinZip_Tmp.exe
c:\windows\system32\New WinZip File.exe
movies.exe
Zipped Files.exe
También puede crear un archivo con el mismo nombre, pero extensión .ZIP y vacío, en la carpeta del sistema:
c:\windows\system32\scanregw.zip
c:\windows\system32\Winzip.zip
c:\windows\system32\Update.zip
c:\windows\system32\WinZip_Tmp.zip
c:\windows\system32\New WinZip File.zip
NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).
Crea o modifica las siguientes entradas del registro (la primera de ellas para autoejecutarse en cada reinicio de Windows):
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"
HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\Advanced
ShowSuperHidden = "0"
WebView = "0"
HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\CabinetState
FullPath = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
HKCU\Control Panel\BMale
HKCU\Control Panel\DNS
Si existen, borra los siguientes archivos dentro de la carpeta [Archivos de programa], todos ellos relacionados con aplicaciones de seguridad:
\DAP\*.dll
\BearShare\*.dll
\Symantec\LiveUpdate\*.*
\Symantec\Common Files\Symantec Shared\*.*
\Norton AntiVirus\*.exe
\Alwil Software\Avast4\*.exe
\McAfee.com\VSO\*.exe
\McAfee.com\Agent\*.*
\McAfee.com\shared\*.*
\Trend Micro\PC-cillin 2002\*.exe
\Trend Micro\PC-cillin 2003\*.exe
\Trend Micro\Internet Security\*.exe
\NavNT\*.exe
\Morpheus\*.dll
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
\Grisoft\AVG7\*.dll
\TREND MICRO\OfficeScan\*.dll
\Trend Micro\OfficeScan Client\*.exe
\LimeWire\LimeWire 4.2.6\LimeWire.jar
NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"
Busca nombres de archivos .EXE y .PPL en las siguientes claves del registro, y borra todos aquellos que existan en la PC infectada:
HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentV ersion
HKLM\SOFTWARE\KasperskyLab\Components\101
HKLM\SOFTWARE\KasperskyLab
\InstalledProducts\Kaspersky Anti-Virus Personal
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\App Paths\Iface.exe
HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\Panda Antivirus 6.0 Platinum
HKLM\SOFTWARE\Symantec\InstalledApps
Examina las siguientes claves del registro:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services
Y si existen allí las referencias a las siguientes entradas, borra las mismas:
APVXDWIN
avast!
AVG_CC
AVG7_CC
AVG7_EMC
AVG7_Run
Avgserv9.exe
AVGW
BearShare
defwatch
DownloadAccelerator
kaspersky
KAVPersonal50
McAfeeVirusScanService
NAVAgent
OfficeScanNTMonitor
PCCClient.exe
pccguide.exe
PCCIOMON.exe
PccPfw
Pop3trap.exe
rtvscn95
ScanInicio
SSDPSRV
TMOutbreakAgent
Tmproxy
VetAlert
VetTray
vptray
Cierra todas las ventanas cuyo título contenga alguna de las siguientes cadenas:
FIX
KASPERSKY
MCAFEE
NORTON
REMOVAL
SCAN
SYMANTEC
TREND MICRO
VIRUS
Para propagarse por correo electrónico, busca direcciones de archivos con las siguientes extensiones:
.dbx
.eml
.htm
.imh
.mbx
.msf
.msg
.nws
.oft
.txt
.vcf
También obtiene direcciones de archivos cuyo nombre contenga alguna de las siguientes cadenas:
CONTENT.
TEMPORARY
El gusano también busca las siguientes carpetas compartidas en redes:
ADMIN$
C$
En todas las que encuentre, y cuya configuración de seguridad sea débil (contraseñas en blanco, acceso total, etc.), se copiará en ellas con el siguiente nombre:
WINZIP_TMP.exe
También intentará acceder a la siguiente dirección URL para incrementar un contador:
http: // webstats .web .rcn .net/Count.cgi?df=[valor]
Periódicamente intentará conectarse para descargar una versión actualizada de si mismo.
Si detecta la presencia de un software antivirus, el gusano intentará mostrar un icono en la barra de herramientas de Windows, con el siguiente texto:
Update Please wait
Todos los días 3 de cada mes, aproximadamente 30 minutos después del inicio del sistema, el gusano puede sobrescribir archivos con las siguientes extensiones, en unidades de disco locales (de la A a la Z):
.dmp
.doc
.mdb
.mde
.pdf
.pps
.ppt
.psd
.rar
.xls
.zip
Esto no afecta a unidades de disco mapeadas (unidades de red).
Tampoco sobrescribe archivos en la primer unidad disponible. Por ejemplo, si la primera unidad disponible es la C, el gusano sobrescribe los archivos de las unidades D a la Z. Si la primera unidad disponible es la A, entonces si puede sobrescribir archivos en la unidad C.
Los archivos no son totalmente sobrescritos, pero quedan corruptos o inutilizables, ya que en el comienzo de los mismos el gusano escribe la siguiente cadena:
DATA Error [47 0F 94 93 F4 F5]
--------------------------------------------------------------------------------------------------- REPARACION MANUAL
NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
--------------------------------------------------------------------------------------------------- Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados por el Antivirus.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje". Editar el registro de Windows
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Control Panel
3. Haga clic en la carpeta "Control Panel" y borre las siguientes carpetas:
BMale
DNS
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced
5. Haga clic en la carpeta "Advanced" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie los siguientes valores para que aparezca en ellos "1" en hexadecimal:
ShowSuperHidden = "1"
WebView = "1"
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\CabinetState
7. Haga clic en la carpeta "CabinetState" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el siguiente valor para que aparezca en él "1" en hexadecimal:
FullPath = "1"
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Classes
\Licenses
9. Haga clic en la carpeta "Licenses" y busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".
12. Cierre el editor del registro.
13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar). Fuente: VSANTIVIRUS
[hr] Archivo HOSTS | Descargar Antivirus NOD32 | Comprar Antivirus NOD32 | Agnitum Outpost Firewall | | Creado: 18-Aug-2007, a las 19:59
Vistas: 6923 Categoria: Ultimas Amenazas de virus y sus variantes
| Creado por: W-Bot
(18-February-2005
| Colombia
| 5.563 Mensajes.)
| | Herramientas | Buscar en Tema | | | Desplegado | Mode Lineal | | Ultimos Temas | - WhatsApp:+237680291603 Acquista il database originale Certificati IELTS verificabili onlin
- (skype id: kilan yates) BUY Verifiable IELTS,NEBOSH,certificates in saudi arabia
- WhatsApp: +237680291603 COMPRAR Certificados verificables de IELTS, NEBOSH en spain
- ([email protected])OBTAIN IELTS,TOEFL Certificates online without Exams,IDS,
- WhatsApp:+237680291603 Buy 100% REGISTERED IELTS,IDP,TOEFL,GMAT,ESOL, CERTIFICATES IN USA
- WhatsApp: +237680291603 COMPRAR Certificados verificables de IELTS, NEBOSH en spain
- Champions League
- Compre pasaportes legítimos, licencia de conducir, IELTS, TOEFL(Whatsapp: +16469485320)
- I grandi benefici del Cialis per il bodybuilding
- Antidepressivi online in Italia
- Sildenafil en farmacia, mi experiencia con Viagra....
- Donde comprar Kamagra
- OBTENER IELTS, TOEFL Certificados en línea sin exámenes,([email protected])
- compra dni, carnet certificados de GMAT, PTE, IELTS... skype(don.wonnie1)
- compra dni, carnet, certificados de GMAT, PTE, IELTS... skype(don.wonnie1)
- Comprar Pasaportes,licencia de Conducir,DNI,TOEFL,IELTS
- Argollas Delicious
- efectividad o destino... que podra ser
- Leer libros en PDF gratis en Ipad?
- Comprar pasaportes , licencia de conducir,DNI
- Cambiarme a TDT
- Beneficios extras de telecomunicaciones unificadas
- Internet lento
- como son los cobros para prepago?
- Páginas restringidas
- Televisión avanzada
- Activa espn
- Compra con nosotros tu portátil
- Servicios de internet
- Las mejores tarifas para navegar
| |