W32/Kelvir.E. Se propaga por MSN Messenger

usano que se propaga por MSN Messenger a todos los contactos en línea. Este mecanismo requiere que el usuario tenga una sesión abierta del Messenger para que ello ocurra, según publica Vsantivirus.

El gusano muestra un mensaje con el siguiente enlace para descargar un archivo:

http: //[dirección]/hottt.pif

El usuario que recibe y acepta este mensaje, debe pinchar en el enlace para descargar el archivo, que es el gusano propiamente dicho. El nombre de este archivo suele ser HOTTT.PIF, y en realidad se trata de un RAR autoextraíble.

Cuando se ejecuta (doble clic), libera los siguientes archivos en la carpeta actual:

Link.exe
buddie.exe

BUDDIE.EXE es un gusano del tipo BOT y LINK.EXE es una copia del propio gusano.

Después ejecuta a LINK.EXE. Este componente intenta enviar un mensaje similar al ya visto, con el propio gusano como archivo adjunto, a otros contactos en línea.

También copia a BUDDIE.EXE como LSASSX.EXE en la carpeta del sistema:

c:\windows\system32\lsassx.exe

Este archivo tendrá los atributos de oculto (+H), solo lectura (+R) y del sistema (+S).

Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\OLE
Windows Taskmanager = "lsassx.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Windows Taskmanager = "lsassx.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Windows Taskmanager = "lsassx.exe"

El gusano, también intenta explotar las vulnerabilidades RPC/DCOM y LSASS de Windows para propagarse.

Reparación manual

IMPORTANTE:

Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm

MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htm


Sobre el componente troyano

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.