W32/Chod.A. Se propaga a través de MSN Messenger
VirusEste gusano se propaga vÃa MSN Messenger. Para ello envÃa el siguiente mensaje a toda la lista de contactos del programa:
hey, is this you?
[enlace]
El usuario que recibe y acepta el mensaje, debe hacer clic en el enlace para descargar otro archivo, que es el gusano propiamente dicho. La infección ocurre si ejecuta dicho archivo.
Cuando se ejecuta, el gusano muestra un mensaje de error falso:
Run-time error #7: Out of memory.
[ OK ]
Al mismo tiempo, crea una carpeta con nombre al azar y los siguientes archivos:
c:windowssystem3
2[nombre al azar]csrss.exe
c:windowssystem3
2cpu.dll
NOTA: "c:windowssystem3
2" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:winntsystem32" en Windows NT y 2000 y "c:windowssystem" en Windows 9x y ME).
Crea las siguientes entradas en el registro, las primeras tres para autoejecutarse en cada reinicio del sistema:
HKCUSoftwareMi
crosoftWindows
CurrentVersion
Run
csrss = C:windowssystem3
2[nombre al azar]csrss.exe
HKCUSoftwareMi
crosoftWindows
NTCurrentVersi
onWindows
Run = C:windowssystem3
2[nombre al azar]csrss.exe
HKLMSOFTWAREMi
crosoftWindows
CurrentVersion
Run
csrss = C:windowssystem3
2[nombre al azar]csrss.exe
HKCUSoftwareCh
ode
Installed = 1
HKCRChode
Installed = 1
El gusano también instala una puerta trasera en el equipo infectado, que un atacante remoto podrá utilizar para realizar las siguientes acciones, entre otras:
- Actualizarse a si mismo.
- Desactivar algunos antivirus.
- Enviar correos electrónicos.
- Modificar el archivo HOSTS.
- Realizar ataques de denegación de servicios.
- Robar contraseñas.
Reparación manual
NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, asà como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Más información:
Cómo configurar Zone Alarm 3.x
Para ver este enlace Registrate o Inicia Sesion Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artÃculo:
Cómo iniciar su computadora en Modo a prueba de fallos.
Para ver este enlace Registrate o Inicia Sesion 2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:windowssystem3
2[nombre al azar]csrss.exe
c:windowssystem3
2cpu.dll
También borre la carpeta [NOMBRE AL AZAR].
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquà mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CLASSES_R
OOT
Chode
3. Haga clic en la carpeta "Chode" y bórrela.
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_U
SER
Software
Chode
5. Haga clic en la carpeta "Chode" y bórrela.
6. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_U
SER
Software
Microsoft
Windows NT
CurrentVersion
Windows
7. Haga clic en la carpeta "Windows" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
Run = C:windowssystem3
2[nombre al azar]csrss.exe
8. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_U
SER
Software
Microsoft
Windows
CurrentVersion
Run
9. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
csrss = C:windowssystem3
2[nombre al azar]csrss.exe
10. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MAC
HINE
SOFTWARE
Microsoft
Windows
CurrentVersion
Run
11. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada:
csrss = C:windowssystem3
2[nombre al azar]csrss.exe
12. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
13. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:windows
c:windowssystem3
2driversetc
c:winntsystem32d
riversetc
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las lÃneas que comiencen con un número, salvo las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.
Nombre: W32/Chod.A
Nombre NOD32: Win32/Chod.A
Tipo: Gusano de Internet y caballo de Troya
Alias: Chod, Chod.A, Backdoor.Win32
.VB.aam, IM-Worm.Win32.Chod.a, W32.IRCBot.Gen, W32/Chod.a, W32/Chod.A, W32/Chode-C, W32/Chod-mm, W32/MEWpacked.gen, W32/NoChod@MM, W32/Tobecho.A.worm, Win32.HLLM.Gen
eric.348, Win32.Nochod.C, Win32.Worm.Cho
d.A, Win32/Chod.A, Win32/Nochod.C!Worm, Worm.Chod.A, Worm/Chod.A, Worm/MSN.Chod.a, WORM_CHOD.GEN
Fecha: 8/jun/05
Plataforma: Windows 32-bit
Tamaño: 151,998 bytes
Fuente:VSAntivirus
Autor