El virusillo del vbs(win31)

ACTUALIZADO(22-2-08)

Bueno, pues esta mañana despues de dos horas peleandome con el cacharro maltratao que tenemos en clase he conseguido extirpar de sus entrañas un jodido virus que si no es muy dañino, si es muy simpatico si no sabes como cepillartelo.

¿Lo que yo tengo es el bicho ese??

Pues si al ir a abrir alguna unidad(disco duro, una memoria flash u otras en las que pueda grabar) haces doble clic en su icono pa abrirla como toda la vida de dios pero el equipo pasa de ti y no hace nada, despliegas el menú contextual de dicha unidad(usease darle al botoncito derecho del raton sobre su icono) y al principio de la lista sale "Reproducción automatica" es bastante probable que tengas gusanito.

Otros posibles sintomas: En el titulo de la ventanita del internete eplorer pone algo de "BATAI USA".

Verifiquemos que el gusano este ha encontrado en nuestro equipo un rinconcito para vivir.
Nos vamos al panel de control(En menú inicio). Una vez dentro abrimos "Opciones de carpeta"

En la pestaña ver buscamos las opciones "mostrar todos los archivos y carpetas ocultos"(al principio dela lista) y "Ocultar archivos protegidos del sistema operativo(recomendada)" deshabilitamos esta última y habilitamos la primera (mostrar todos los archivos y carpetas ocultas), ademas desactivamos la opción "Ocultar extensión de archivo para tipos archivos conocidos".


Aceptamos y salimos, ahora ya podemos buscar a ese gusano asqueroso.

Abrimos cada unidad en la que se pueda hacer escrituras (Discos duros, memorias flash...), si aparecen los archivos "autorun.inf" y "win31.dll.vbs" es que el gusano se ha instalado en tu equipo.

¿Pero el bichejo este que es lo que hace??

Pues el gusanillo okupa este, aparte de dar porsaco a la hora de abrir nuestras unidades tambien:
-Puede modificar el papel tapíz (imagina que te pone uno guarro, veras cuando llegue tu señora y lo vea, a ver si es peligroso)
-Puede usar clientes IRC y chats para propagarse.
-Cambiar la información del usuario del equipo okupado
-Bajar los niveles de seguridad del equipo.
-Engordar, y a este le gusta, no se va a poner a dieta, si no que cada vez que se ejecuta ocupa un poco mas.

En resumen si no peligra la vida de tu equipo, si que te da el coñazo.

¿Y esto por donde ma entrao que yo no le he visto???

-Para entrar suele hacerlo por correo electronico, y no no te preocupes no abriste un adjunto que no debias, este no viene en patera, este es de los que se esconde en los bajos del camión. Viene integrado en el codigo del mensaje. Se auto propaga enviandose a los contactos de la agenda de Microsoft Outlook(O eso he leido en VSAntivirus)
-Tambien es capaz de darse paseos por las unidades de disco compartidas en red y dejar churumbeles en cada una de ellas.
-Entrando por IRC y los chats, así que no os recomiendo aceptar archivos script por ahi, ni bat.
-Memorias flash, al poner una memoria flash en un equipo infectado, la memoria se infecta infectando todo ordenador por el que pase(Como las abejas y el polen que te da un alergiazo)

Maldito Gusano, preparate para morir

Lo proximo es matar el proceso que ha lanzado, con este en marcha no podemos hacerle nada.
Para lo que vamos al "administrador de tareas"(Ctrl+Alt+Supr). Una vez tenemos la ventanita del administrador desplegamos la pestaña "procesos". Pinchando Sobre "Nombre de imagen" se ordenan los procesos por nombre, buscamos wscript, lo seleccionamos y desplegando su menú contextual(boton derecho del raton) le damos a terminar proceso.
Ahora tenemos licencia para matar a ese gusano bastardo.

Lo siguiente es llamar al editor del registro, para esto en el menu inicio encontramos "Ejecutar" y pinchando sobre el nos saldra un casillero, en este escribimos regedit y pulsamos intro.


Se abre una ventanita tal que asi:

Desplegamos "HKEY_LOCAL_MACHINE", en el subárbol que se despliega buscamos "SOFTWARE" y lo desplegamos también, hacemos lo mismo para "Microsoft" y "Windows". En este último arbol que se despliega hay una carpeta llamada "Run", la seleccionamos y la derecha en la ventana grande nos muestra su contenido.
Ahi dentro, en uno de los registros pone "Wscript.exe", el nombre no lo puedo decir porque el gusanito este lo genera de forma aleatoria, así que sera distinto para cada gusano en concreto, aunque en mi caso, siempre lo he visto con el nombre de mcafee(actualización).
Desplegamos el menú contextual de esta/s entrada/s del registro y le damos a eliminar.

Y... no aun no lo hemos matado al bicho en cuestión, lo que acabamos de hacer es evitar que cuando lo matemos resucite, ahora tiene los segundos contados.

Abrimos mediante el menú contextual(boton derecho del raton, y abrir, no reproducción automatica) cada unidad en la que se pueda hacer escrituras (Discos duros, memorias flash...), si aparecen los archivos "autorun.inf" y "win31.dll.vbs" los eliminamos sin piedad ni compasión, pero no los envies a la papelera, acaba con ellos directamente (Shif[o la tecla de la flecha parriba]+Supr).

Ultimamente tambien lo he visto esconderse en la carpeta Windows(actualizacion)

Si en lugar de abrir estas unidades mediante el menú contextual lo hacemos directamente, el gusanillo este vuelve a activar todo lo que habiamos desactivado y no nos dejara borrarlo

Ya solo nos queda decirle a dichoso virus muere bastardo muere.


-
Gracias a todos los que habeis comentado, unos por vuestras aportaciones, y otros por vuestro "reconocimiento". Siempre es grato saber que hay gente que lee esto y hasta le sirve para algo. ;)


NOTA: Aún nos saldra saliendo lo de Batai Usa en la barra del I.Explorer, esto es sencillo de quitar, en unos días pondre como hacerlo