Nombre de virus: W32/EIRA @ MM
Alias conocidos: I-worm.Quamo, Win32.Q4Like.A, W32.Eira.A
Riesgo Infección: Alto (Bajo, Alto, Muy Alto)
Activación: Sobreescribe ficheros DOC, EXE, HTM, HTML, MDB, OCX, TXT y XLS
Propagación: Envío masivo de mails con fichero adjunto infectado.
Detección: DATS 4174
Motor necesario: 4.0.70
Infección actual: Inicial (Inicial, Media, Elevada)

Se trata de un nuevo virus que se recibe por e-mail con asunto variable de entre 5, con texto variable de entre 4, y con fichero anexado variable de entre 3. a saber:

Asunto: Something very special
o Asunto: I know you will like this
o Asunto: A brand new game! I hope you enjoy it
o Asunto: Yes, something I can share with you
o Asunto: Wait till you see this!

Texto: Hey you, take a look at the attached file. You won't believe your eyes when you open it!
o Texto: You like games like Quake? You will enjoy this one.
o Texto: Did you see the pictures of me and my battery operated boyfriend?
o Texto: My best friend,

This is something you have to see!

Till next time
o Texto: Is Internet that safe?

Check it out

Adjunto: quake4demo.exe
o Adjunto: setup.exe
o Adjunto: honey.exe

Por ejecutar el fichero adjunto, se abre una ventana titulada "Rocked Arena 3" en el que aparecen dos botones, el de "NEXT" y el de "CANCEL". Si se pulsa el de "CANCEL" es cuando el virus se envía a todas las direcciones de la libreta Outlook.

El virus puede sobreescribir además los ficheros DOC, EXE, HTM, HTML, MDB, OCX, TXT y XLS, perdiendo la información contenida en los mismos.

El virus se copia a sí mismo en el directorio C:\EIRAM y en F:\, con el nombre de QUAKE4DEMO.EXE, y crea varias claves en registro de sistema ejecutándose en el inicio, desde HKEY_LOCAL_MACHINE... y desde HKEY_CURRENT_USER...

Para eliminar el virus basta con ejecutar un doble clic sobre nuestra utilidad UNDO23 (o superior), y, tras apagar el ordenador, arrancar de nuevo y ejecutar LIMPIA.EXE, o lanzar el VIRUSSCAN limpiando ficheros infectados.

Los ficheros sobreescritos deberán ser sustituidos por los de la copia de seguridad, pues los afectados por el virus no pueden ser restaurados al haber sido sobreescritos

VIRUSCAN SPAIN SERVICE 11-12-2001

Anterior