Nombre:  W32/Badtrans.b (gusano de internet)

Información:  Se reproduce por correo electrónico automáticamente aprovechando una vulnerabilidad en el Internet Explorer, particularmente una vulnerabilidad en el manejo de los encabezados MIME del Internet Explorer para ejecutarse automáticamente cuando un mensaje infectado es recibido. 

El mensaje en el que puede ser recibido en un mensaje sin texto y con archivo adjunto generado en forma aleatoria y posee una doble extensión.

La primer parte del nombre del adjunto puede ser alguna de las siguientes:

HUMOR, DOCS, S3MSONG, ME_NUDE, CARD, SEARCHURL, YOU_ARE_FAT!, NEWS_DOC, IMAGES, PICS, Sorry_about_yesterday, New_Napster_Site, STUFF

La segunda parte, puede ser:

.DOC
.MP3
.ZIP

SEGUIDO DE:

.pif
.scr

Es decir, tiene doble extensión: 

.doc.pif    

.doc.scr

.mp3.pif

SIEMPRE VERIFICAR CUANDO SE RECIBE UN ARCHIVO ADJUNTO, QUE NO TENGA DOBLE EXTENSIÓN

ejemplo de un archivo adjunto: ME_NUDE.DOC:PIF.

El mensaje se abre automáticamente y le ofrece dos opciones: CANCELAR    GUARDAR EN DISCO

Para que el gusano no se ejecute, oprima el botón Cancel  y borre DEFINITIVAMENTE el mensaje recibido.

Al ser ejecutado, se copia al directorio \Windows\System con el nombre kernel32.exe y agrega la siguiente entrada al registro de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
Kernel32=kernel32.exe

También genera en el mismo directorio los archivos cp_25389.nls y kdll.dll. Éste ultimo es un troyano denominado Trojan/PSW.AV, capaz de robar contraseñas del equipo infectado.

Para reproducirse por correo electrónico responde todos los mensajes que son recibidos por el usuario, y también se envía a direcciones encontradas en archivos HT* o ASP.

Modifica la dirección de correo de quien envia el mensaje infectado, agregándole un guión bajo ("_") delante para que si un usuario desea advertirle de que está enviando mensajes con el virus, la advertencia no llegue a destino.

Para eliminarlo manualmente:

1) Eliminar el archivo \Windows\System\cp_25389.nls.

2) Ejecutar el archivo Regedit.exe para acceder al Registro del Sistema.

3) Eliminar la clave Kernel32 dependiente de HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

4) Reinicie el equipo

5) Elimine el archivo \Windows\System\Kernel32.exe y \Windows\System\kdll.dll

6) Ejecute un antivirus actualizado.