Mypis.D. Se propaga por e-mail, borra antivirus

W-Bot

Nombre: Mypis.D
Nombre NOD32: Win32/Mypis.D
Tipo: Gusano de Internet
Alias: Mypis.D, Virus.Win32.Download, Win32/Mypis.D
Fecha: 16/ago/07
Plataforma: Windows 32-bit
Tamaño: 89,986 bytes

Gusano que se propaga masivamente por correo electrónico. También intenta propagarse a través de recursos compartidos en red, con configuraciones de seguridad débiles (contraseñas en blanco, etc.)

Cuando se ejecuta, el gusano puede borrar diversos archivos y entradas en el registro relacionadas con varias aplicaciones de seguridad (antivirus, etc.).

Todos los días 3 de cada mes, el gusano puede activar una peligrosa y destructiva rutina que sobrescribe todos los archivos con determinadas extensiones, de todas las unidades de disco locales.

Para propagarse por correo electrónico, utiliza su propio motor SMTP.

Los mensajes pueden tener las siguientes características:

Asunto: [uno de los siguientes]
*Hot Movie*
A Great Video
Arab sex DSC-00465.jpg
eBook.pdf
Fuckin Kama Sutra pics
Fw:
Fw: DSC-00465.jpg
Fw: Funny

Fw: Picturs
Fw: Real show
Fw: SeX.mpg
Fw: Sexy
Fwd: Crazy illegal Sex!
Fwd: image.jpg
Fwd: Photo
give me a kiss
Hello
Miss Lebanon 2006
My photos
Part 1 of 6 Video clipe
Photos
Re:
Re: Sex Video
School girl fantasies gone bad
The Best Videoclip Ever
the file
Word file
You Must View This Videoclip!

Texto del mensaje:

El cuerpo del mensaje, puede tener uno de los siguientes textos:

----- forwarded message -----
???????????????????????????? ????????????? ?????? ???????????
>> forwarded message
DSC-00465.jpg DSC-00466.jpg DSC-00467.jpg
forwarded message attached.
Fuckin Kama Sutra pics
hello,
hello, i send the file. bye
Helloi attached the details.
hi i send the details bye
Hot XXX Yahoo Groups
how are you?
how are you? i send the details. OK ?
i attached the details. Thank you
i just any one see my photos.
i just any one see my photos. It's Free

i send the details.
i send the file.
It's Free

Note: forwarded message attached.
Note: forwarded message attached. You Must View This Videoclip!
photo photo2 photo3
Please see the file.
Re: Sex Video
ready to be FUCKED

Thank you
The Best Videoclip Ever
the file i send the details
VIDEOS! FREE! (US$ 0,00)
What?

También puede contener imágenes que no pueden ser visualizadas.

Datos adjuntos:

Los archivos adjuntos pueden ser ejecutables o archivos MIME (Multipurpose Internet Mail Extensions), un protocolo que especifica la codificación y formato de los contenidos de los mensajes.

Si son ejecutables, tendrá uno de los siguientes nombres:

007.pif
04.pif
392315089702606E-02,.scR
677.pif
Adults_9,zip.sCR
Arab sex DSC-00465.jpg
ATT01.zip.sCR
Attachments[001],B64.sCr
Clipe,zip.sCr
document.pif
DSC-00465.Pif
DSC-00465.pIf
eBook.pdf
eBook.PIF
image04.pif
New Video,zip
New_Document_file.pif
photo.pif
Photos,zip.sCR
School.pif
SeX,zip.scR
WinZip,zip.scR
WinZip.zip.sCR
Word XP.zip.sCR
Word.zip.sCR

Si son archivos MIME, su nombre será uno de los siguientes:

3.92315089702606E02.UUE
392315089702606E-02.b64
392315089702606E-02.BHx
392315089702606E-02.HQX
392315089702606E-02.mim
392315089702606E-02.uu
392315089702606E-02.UUE
392315089702606E-02.XxE
Attachments[001].B64
Attachments00.HQX
Attachments001.BHX
Clipe.b64
Clipe.BHx
Clipe.HQX
Clipe.mim
Clipe.uu
Clipe.UUE
Clipe.XxE
eBook.Uu
Miss.b64
Miss.BHx
Miss.HQX
Miss.mim
Miss.uu
Miss.UUE
Miss.XxE
Original Message.B64
Photos.b64
Photos.BHx
Photos.HQX
Photos.mim
Photos.uu
Photos.UUE
Photos.XxE
Sex.mim
SeX.mim
Sweet_09.b64
Sweet_09.BHx
Sweet_09.HQX
Sweet_09.mim
Sweet_09.uu
Sweet_09.UUE
Sweet_09.XxE
Video_part.mim
WinZip.BHX
Word_Document.hqx
Word_Document.uu

Cuando dichos archivos MIME son decodificados, uno de los siguientes archivos ejecutables serán creados:

392315089702606E-02,UUE [ espacios ] .scr
Adults_9,zip [ espacios ] .scr
ATT01.zip [ espacios ] .scr
Atta[001],zip [ espacios ] .scr
Attachments,zip [ espacios ] .scr
Attachments[001],B64 [ espacios ] .scr
Clipe,zip [ espacios ] .scr
New Video,zip [ espacios ] .scr
Photos,zip [ espacios ] .scr
SeX,zip [ espacios ] .scr
WinZip,zip [ espacios ] .scr
WinZip.zip [ espacios ] .scr
Word XP.zip [ espacios ] .scr
Word.zip [ espacios ] .scr

NOTA: Algunos de estos formatos (como BHX), no se pueden decodificar sin tener la herramienta necesaria, por ejemplo BinHex.

Cuando el adjunto se ejecuta, el gusano se copia a si mismo con algunos de los siguientes nombres:

c:\windows\Rundll16.exe
c:\windows\system32\scanregw.exe
c:\windows\system32\Winzip.exe
c:\windows\system32\Update.exe
c:\windows\system32\WinZip_Tmp.exe
c:\windows\system32\New WinZip File.exe
movies.exe
Zipped Files.exe

También puede crear un archivo con el mismo nombre, pero extensión .ZIP y vacío, en la carpeta del sistema:

c:\windows\system32\scanregw.zip
c:\windows\system32\Winzip.zip
c:\windows\system32\Update.zip
c:\windows\system32\WinZip_Tmp.zip
c:\windows\system32\New WinZip File.zip

NOTA: En todos los casos, "c:\windows" y "c:\windows\system32" pueden variar de acuerdo al sistema operativo instalado ("c:\winnt", "c:\winnt\system32", "c:\windows\system", etc.).

Crea o modifica las siguientes entradas del registro (la primera de ellas para autoejecutarse en cada reinicio de Windows):

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"

HKCU\Software\Microsoft\Windows
\CurrentVersion\Explorer\Advanced
ShowSuperHidden = "0"
WebView = "0"

HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\CabinetState
FullPath = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses

HKCU\Control Panel\BMale

HKCU\Control Panel\DNS

Si existen, borra los siguientes archivos dentro de la carpeta [Archivos de programa], todos ellos relacionados con aplicaciones de seguridad:

\DAP\*.dll
\BearShare\*.dll
\Symantec\LiveUpdate\*.*
\Symantec\Common Files\Symantec Shared\*.*
\Norton AntiVirus\*.exe
\Alwil Software\Avast4\*.exe
\McAfee.com\VSO\*.exe
\McAfee.com\Agent\*.*
\McAfee.com\shared\*.*
\Trend Micro\PC-cillin 2002\*.exe
\Trend Micro\PC-cillin 2003\*.exe
\Trend Micro\Internet Security\*.exe
\NavNT\*.exe
\Morpheus\*.dll
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.ppl
\Kaspersky Lab\Kaspersky Anti-Virus Personal\*.exe
\Grisoft\AVG7\*.dll
\TREND MICRO\OfficeScan\*.dll
\Trend Micro\OfficeScan Client\*.exe
\LimeWire\LimeWire 4.2.6\LimeWire.jar

NOTA: [Archivos de programa] puede ser la carpeta "c:\archivos de programa" o "c:\program files"

Busca nombres de archivos .EXE y .PPL en las siguientes claves del registro, y borra todos aquellos que existan en la PC infectada:

HKLM\SOFTWARE\INTEL\LANDesk\VirusProtect6\CurrentV ersion

HKLM\SOFTWARE\KasperskyLab\Components\101

HKLM\SOFTWARE\KasperskyLab
\InstalledProducts\Kaspersky Anti-Virus Personal

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\App Paths\Iface.exe

HKLM\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\Panda Antivirus 6.0 Platinum

HKLM\SOFTWARE\Symantec\InstalledApps

Examina las siguientes claves del registro:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run Services

Y si existen allí las referencias a las siguientes entradas, borra las mismas:

APVXDWIN
avast!
AVG_CC
AVG7_CC
AVG7_EMC
AVG7_Run
Avgserv9.exe
AVGW
BearShare
defwatch
DownloadAccelerator
kaspersky
KAVPersonal50
McAfeeVirusScanService
NAVAgent
OfficeScanNTMonitor
PCCClient.exe
pccguide.exe
PCCIOMON.exe
PccPfw
Pop3trap.exe
rtvscn95
ScanInicio
SSDPSRV
TMOutbreakAgent
Tmproxy
VetAlert
VetTray
vptray

Cierra todas las ventanas cuyo título contenga alguna de las siguientes cadenas:

FIX
KASPERSKY
MCAFEE
NORTON
REMOVAL
SCAN
SYMANTEC
TREND MICRO
VIRUS

Para propagarse por correo electrónico, busca direcciones de archivos con las siguientes extensiones:

.dbx
.eml
.htm
.imh
.mbx
.msf
.msg
.nws
.oft
.txt
.vcf

También obtiene direcciones de archivos cuyo nombre contenga alguna de las siguientes cadenas:

CONTENT.
TEMPORARY

El gusano también busca las siguientes carpetas compartidas en redes:

ADMIN$
C$

En todas las que encuentre, y cuya configuración de seguridad sea débil (contraseñas en blanco, acceso total, etc.), se copiará en ellas con el siguiente nombre:

WINZIP_TMP.exe

También intentará acceder a la siguiente dirección URL para incrementar un contador:

http: // webstats .web .rcn .net/Count.cgi?df=[valor]

Periódicamente intentará conectarse para descargar una versión actualizada de si mismo.

Si detecta la presencia de un software antivirus, el gusano intentará mostrar un icono en la barra de herramientas de Windows, con el siguiente texto:

Update Please wait

Todos los días 3 de cada mes, aproximadamente 30 minutos después del inicio del sistema, el gusano puede sobrescribir archivos con las siguientes extensiones, en unidades de disco locales (de la A a la Z):

.dmp
.doc
.mdb
.mde
.pdf
.pps
.ppt
.psd
.rar
.xls
.zip

Esto no afecta a unidades de disco mapeadas (unidades de red).

Tampoco sobrescribe archivos en la primer unidad disponible. Por ejemplo, si la primera unidad disponible es la C, el gusano sobrescribe los archivos de las unidades D a la Z. Si la primera unidad disponible es la A, entonces si puede sobrescribir archivos en la unidad C.

Los archivos no son totalmente sobrescritos, pero quedan corruptos o inutilizables, ya que en el comienzo de los mismos el gusano escribe la siguiente cadena:

DATA Error [47 0F 94 93 F4 F5]

---------------------------------------------------------------------------------------------------
REPARACION MANUAL

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
---------------------------------------------------------------------------------------------------
Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados por el Antivirus.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro de Windows

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Control Panel

3. Haga clic en la carpeta "Control Panel" y borre las siguientes carpetas:

BMale
DNS

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\Advanced

5. Haga clic en la carpeta "Advanced" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie los siguientes valores para que aparezca en ellos "1" en hexadecimal:

ShowSuperHidden = "1"
WebView = "1"

6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Explorer
\CabinetState

7. Haga clic en la carpeta "CabinetState" y en el panel de la derecha, bajo la columna "Nombre", busque y cambie el siguiente valor para que aparezca en él "1" en hexadecimal:

FullPath = "1"

8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Classes
\Licenses

9. Haga clic en la carpeta "Licenses" y busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".

10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 6 del ítem "Antivirus".

12. Cierre el editor del registro.

13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Fuente: VSANTIVIRUS
[hr]

!!! IMPORTANTE !!!
Ahora siga los PROCEDIMIENTOS DE REPARACION MANUAL RECOMENDADOS POR WILKINSONPC

Archivo HOSTS | Descargar Antivirus NOD32 | Comprar Antivirus NOD32 | Agnitum Outpost Firewall

Mypis.D. Se propaga por e-mail, borra antivirus

Estas viendo: Mypis.D. Se propaga por e-mail, borra antivirus

Mypis.D. Se propaga por e-mail, borra antivirus