🚀 go-pugleaf

Creo que puedes tener el Pretty park.Ultimamente se deja ver por ahi.Es un
gusano, un archivo ejecutable (formato PE de Windows) que posee un tama�o de
37Kb, y que est� comprimido con la utilidad "WWPack32". Al descomprimirlo,
su tama�o es de unos 58Kb. Ha sido escrito en lenguaje "Delphi". El c�digo
"puro" ocupa en realidad unos 45Kb. Pero a pesar de ese tama�o, el gusano
tiene muchos rasgos que lo hacen muy peligroso.

Cuando se ejecuta por primera vez, "W32/Pretty.Park" busca una posible copia
de si mismo en la memoria. Hace esto examinando si alguna de las
aplicaciones activas contiene como subt�tulo en su ventana lo siguiente:
"#32770". Si no encuentra nada, el virus se registra a si mismo como una
aplicaci�n oculta, o sea que no ser� visible en la lista de tareas (no se
ver� al pulsar CTRL+ALT+SUP) y ejecuta entonces su rutina de instalaci�n.

Primero, se copia a si mismo con el nombre "FILES32.VXD" en la carpeta
WINDOWS\SYSTEM. Luego modifica el registro de modo que sea llamado cada vez
que se abre otra aplicaci�n. El virus hace eso creando una nueva llave en la
rama HKEY_CLASSES_ROOT, en "exefile\shell\open\command" y all� asocia la
copia del gusano creada en la carpeta System de Windows (FILES32.VXD).

A pesar de su extensi�n .VxD, no se trata de un verdadero driver, sino de un
ejecutable de Win95/98.

Estos cambios en el registro, pueden tambi�n figurar en:
HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command

Como curiosidad, en caso de ocurrir alg�n error mientras se instala, el
gusano intenta activar el protector de pantalla "SSPIPES.SCR", una "curiosa"
forma de esconderse. Si no encontrara a este protector, intentar� activar
otro llamado "Canalisation3D.SCR". Estos protectores suelen estar
instalados, salvo que se haya hecho una instalaci�n personalizada de
Windows, sin protectores de pantalla.

W32/Pretty.Park inicializa luego alguna conexi�n a Internet para ejecutar
sus rutinas.


Una de ellas, al activarse, intentar� conectarse con alg�n chat de IRC para
enviar un mensaje a un determinado usuario de esos canales. De esta manera
el presunto autor del gusano intentar� obtener el control de las
computadoras infectadas.

Una vez que sea reconocido por el autor del virus, el gusano puede
manipularse para funcionar como un caballo de Troya tipo "Backdoor" (Back
Orifice, NetBus, etc.). Con una serie de comandos predefinidos, se env�a la
configuraci�n del sistema infectado, la lista de los discos, la informaci�n
y contenido de todas las carpetas, as� como login y password de los accesos
a Internet, n�meros de tel�fono, datos del ICQ, etc. Pero adem�s, este
backdoor es capaz de crear y borrar directorios, enviar, recibir, borrar y
ejecutar archivos, etc.

La segunda rutina que se activa, abre la libreta de direcciones de Windows,
lee las direcciones all� existentes, y env�a un mensaje a cada una de ellas,
con el siguiente texto en el campo "Subject" (Asunto): C:\CoolProgs\Pretty
Park.exe

Y por supuesto, el mensaje contiene adem�s una copia (como file-attach) del
propio gusano.

Si lo reconoces tengo el antidoto y te lo puedo mandar.Es un archivo que
modifica el registro de windows.Necesitas un buen antivirus con
actualizaciones periodicas.

Saludos.To�o.