Descripción breve: W32/MTX, engloba en su interior un virus, un gusano y un troyano: El gusano se transmite por correo electrónico, enviando copias del mismo. El método utilizado es similar al del famoso gusano "Happy". Es decir, envía automáticamente un mensaje de correo electrónico en el que incluye o adjunta un fichero que se encuentra infectado. Este mensaje se envía después de cualquier otro que se haya enviado previamente desde el ordenador infectado. Por su parte, el troyano está preparado para conectarse a diferentes servidores de Internet. Desde ellos instala en el ordenador atacado, los ficheros que pueden afectar al sistema. Además, incluye en el Registro de Windows una marca, para indicar que el sistema ya se encuentra infectado. Finalmente crea una clave en el Registro, mediante la cual hace una llamada (ejecuta) al fichero que contiene el troyano. Con ello asegura la presencia del mismo en cada inicio del sistema. El virus se encarga de infectar cada uno de los ficheros de Windows, en formato PE (EXE, DLL, OCX, SCR, CPL,... etc) que encuentre en el directorio actual, en el directorio Windows y en el directorio Temp. Cada uno de estos ficheros infectados, aumenta de tamaño. W32/MTX tiene una serie de características adicionales:
Modo de propagación: El gusano se transmite por correo electrónico. En cada uno de los mensajes que envía, incluye una copia de sí mismo. En este sentido, el método utilizado es similar al del gusano Happy. Esto significa que envía el mensaje inmediatamente después de cada uno de los mensajes que se envíe desde el sistema afectado por W32/MTX. Esto es posible debido a que el gusano infecta la librería dinámica WSOCK32.DLL. Los posibles nombres del fichero que se incluye en el mensaje (fichero adjunto), pueden ser:
Síntomas de infección: El virus infecta cualquiera de los ficheros de Windows, en formato PE (EXE, DLL, OCX, SCR, CPL,... etc) del directorio actual, el directorio Windows, y el directorio Temp. El primer síntoma que puede levantar sospechas sobre la infección de un determinado fichero, es el aumento de su tamaño. Tanto el virus como el gusano, guardan ciertas precauciones, como las siguientes: El virus no realizará sus infecciones en aquellos equipos donde se encuentren instalados determinados productos antivirus. El gusano no envía mensajes a determinados dominios, en particular los pertenecientes a compañías antivirus. El mensaje, puede ser la primera sospecha de que W32/MTX ha llegado a nuestro ordenador. Este se recibe con un fichero adjunto o incluido en el mensaje. El nombre de ese fichero, puede ser cualquiera de los siguientes:
En el directorio C:\WINDOWS\SYSTEM, se crea una copia infectada de la librería de enlace dinámico, WSOCK32.DLL, con el nombre de WSOCK32.MTX. Además, en el siguiente reinicio o arranque del ordenador, se sustituirá la librería original (WSOCK32.DLL) por la infectada (WSOCK32.MTX).
Cuando estas operaciones se han realizado, el virus infecta todos los ficheros
de Windows en formato PE (EXE, DLL. OCX, SCR, CPL,... etc.) de los directorios
Windows y Temp, así como los del directorio actual en el que nos
encontremos. Tras la infección, cada uno de estos ficheros aumenta
de tamaño.
Del mismo modo, en el directorio C:\WINDOWS\SYSTEM, se crea una copia infectada de la librería de enlace dinámico, WSOCK32.DLL. Esta copia se guarda con el nombre de WSOCK32.MTX. También se crea un fichero denominado WININIT.INI en el directorio C:\WINDOWS. Este último será el encargado de sustituir la librería original (WSOCK32.DLL) por la infectada (WSOCK32.MTX) en el siguiente reinicio o arranque del equipo. El troyano, por su parte, se puede conectar a diferentes servidores de Internet. Desde ellos instalará ficheros que pueden afectar al sistema. También modifica el Registro de Windows. En él incluye una marca. Con ella indica que el sistema ya se encuentra infectado. Esta marca consiste en una carpeta denominada [MATRIX]. W32/MTX crea esta carpeta (o directorio) dentro de la sección (o directorio) HKLM\Software. Finalmente inserta una determinada clave en el Registro de Windows. Esta se colocará en el directorio HKLM\Software\Microsoft\Windows\CurrentVersion\Run del mismo. Con ella se realiza una llamada al fichero MTX_.EXE, que forma parte del troyano. De ésta forma, se asegura la presencia del mismo en cada inicio del sistema.
W32/MTX utiliza la técnica EPO (Entry Point Obscuring), para realizar
sus infecciones. Debido a ello, el virus no cambia el punto de entrada
original correspondiente al fichero infectado. Sin embargo cambia algún
salto dentro del código del mismo, para dificultar su localización.
Descargue el fichero PAVCL.ZIP (554Kb.), pulsando sobre el icono que se muestra a continuación.
Web de Panda: www.pandasoftware.es/pqr/pavcl-MTX.zip
Cópielo en el Escritorio de su ordenador. Descomprima el fichero PAVCL.ZIP en una carpeta (directorio) de la unidad C: (disco duro). Por ejemplo, a este directorio, puede llamarle Panda. Para crear la carpeta Panda siga los siguiente pasos:
Web de Panda: updates.pandasoftware.com/pqremove R.e I.C.A.Z.: PqRemove.Com
|