Definición e Historia
Hasta los años 80, el término "virus" se empleaba solo dentro del campo de las ciencias médicas y biológicas para definir a microrganismos capaces de penetrar en el ser humano y destruir o alterar el contenido genético celular provocando cuadros patológicos específicos.

Por similitudes en su modo de acción y efectos, en informática se bautizó como virus a ciertos programas que pueden autoreproducirse, "transmitirse" de una computadora a otra, y desencadenar daños a la información contenida en ella (software) e incluso al mismo equipo (hardware).Los virus informáticos son programas creados del mismo modo que otros programas. Son una serie de instrucciones que ordenan a las computadoras que hacer, con ordenes especificas para modificar a otro programa. Su característica principal es que son archivos ocultos o que se escriben sobre otros programas. Estan diseñados para activarse al realizarse ciertas funciones, o en determinada fecha, o mediante mecanismos mas complejos. Se transmiten al introducir información a la computadora copiando de diskettes, que contengan al virus, o mediante cualquier otro sistema de copiado de archivos (discos duros, compactos, Zips, modems, comunicación por cable, etc.).

En 1949, se publicó en el libro Theory and Organization of Complicated Automata, la primera información acerca de un programa de cómputo programado para replicarse automaticamente. Von Neuman en 1951 propuso un método para crear programas que se autoreproducían. No se ha establecido con exactitud el origen de los virus informáticos, aunque al parecer pudo estar en los sistemas de cómputo del gobierno de Estados Unidos. En otoño de 1959 en los laboratorios AT&T Bell nació "Core Wars" (simulación de guerra nuclear) en el que programadores contendientes desarrollaban un programa cuya "misión" era acaparar la máxima cantidad de memoria posible mediante la reproducción de si mismo dejando fuera al contrario, o sea, ganaba quien tuviera la mayor cantidad de memoria ocupada.

En 1981 apareció en las computadoras Aplee un virus llamado Cloner, cuyo modo de acción era desplegar un poema en la pantalla. En 1983 Fred Cohen expone el concepto de virus como "Un programa que puede infectar a otros programas modificándolos para incluir una versión de si mismo". Ese mismo año se hace publicó el "Core Wars", que se había mantenido entre la élite de estudiantes e investigadores del MIT y del centro de investigaciones de Xerox en Palo Alto.La publicación de artículos técnicos y la amplia distribución a partir de 1985 de las computadoras personales, con el Sistema Operativo DOS, propiciaron las condiciones para la creación en 1986 del virus "Pakistani - Brain".Se inició la segunda etapa en la evolución de los virus informáticos, ya con capacidad destructiva.La aparición de nuevos virus informáticos ha tenido un crecimiento casi exponencial. En 1987 se habían reportado unos 12 virus, 1993 culminó con mas de 3500, en la actualidad ya son varias decenas de miles. Y la cifra aumenta con unos 350 nuevos virus mensuales.En 1995 se descubrió el primer virus de Macros y se rompió la regla sagrada "un virus no puede existir en un archivo de datos". En otras maquinas como Macintosh, se reportan algo mas de 100 incluyendo los que no son ya operativos por el advenimiento de los Mac-OS de 32 bits. El Unix y sus clones ya tienen sus virus (Linux.Bliss, Linux.Vit.4096).

Los virus informáticos son capaces de afectar las tablas de particiones, sector de arranque, archivos ejecutables y de datos e incluso la BIOS de la PC. También algunos se pueden "ocultar" (Stealth) y otros mutar (polimórficos). Inicialmente, solo podían afectar un tipo de PC y sistema operativo. Ya existen virus multiplataforma y multiprocesador como el "Esperanto", de solo 4,8 Kb de tamaño. Este, combina codigo de 16 y 32 bites. Esta compilado en tres plataformas distintas, funciona sobre DOS, Windows 3X, Windows 95, Windows 98, Windows NT y en Macintosh. "Corre" en procesadores Intel 80X86 y compatibles, Power PC 6XX/750(G3) y Motorola 680X0.

Señales de infección por virus informáticos
Aunque usted sea una persona precavida y cumpla con las medidas de prevención, detección y descontaminación de virus informáticos no esta exento de la posibilidad de que su computadora sufra una infección por estos virus. Esto es debido a la cada vez mayor profusión y creación de este tipo de engendros informáticos, unido a la mayor utilización de los recursos e información disponibles en Internet y del correo electrónico. Por lo tanto usted debe conocer los "síntomas" de estas infecciones.Aqui les mencionaremos, agrupadas, algunas señales que pueden ser debidas a una infección de este tipo. Si su computadora presenta alguna de ellas, extreme medidas y descarte la presencia de un virus informático en su sistema.En directorios y archivos:

• La cantidad de espacio disponible es cada vez menor.
• Aumento de longitud (bytes) de los archivos
• Algunos archivos desaparecen del disco (borrados).
• El directorio muestra archivos desconocidos por el usuario.
• Los archivos son sustituidos por caracteres ilegibles.
• Alteración en la indicación de la hora de un archivo

En la ejecución de aplicaciones:

• Los programas tardan mas tiempo en cargarse o no son operativos
• Algunas aplicaciones trabajan mas lentamente que lo normal.
• Al abrir un archivo aparecen errores que antes no existían.
• Al solicitar la apertura de un archivo aparecen en el menú drives que no están instalados.

Funcionamiento del sistema:

• Rendimiento del sistema reducido.
• La cantidad de memoria disponible cambia o disminuye continuamente.
• Arranque incompleto del sistema o fallo en el arranque.
• Escrituras inesperadas en una unidad.
• Mensajes de error extraños o no estandar.
• Actividad de pantalla no estandar (animaciones, etc.), fluctuaciones de pantalla.
• Sectores erróneos en disquetes y en discos duros
• Cualquier operación extraña que su computadora no realizaba antes y que de un momento a otro comienza a ejecutar.
• Errores no justificados en la FAT.

Síntomas de macrovirus en Word:

• Los documentos de Word solo pueden ser guardados como plantillas.
• Los archivos eliminados no son recuperables.
• Los archivos muestran un cuadro de dialogo con un numero 1.
• Nuevas macros, llamadas AAAZAQ, AAAZFS y PayLoad, aparecen en la lista de macros de Word.
• El archivo Winword6.ini contiene la línea ww6=1
• Alteraciones en el archivo Normal.dot a partir de la comparación de esta plantilla con una copia anterior, previamente guardada en una carpeta del disco, utilizando comandos como el FC.EXE o el diff desde el AUTOEXEC.BAT.
• Alteraciones en la carpeta de INICIO (STARTUP) de Microsoft Word, que pueden ser debidas a la inclusión de nuevas plantillas o de alteraciones en las plantillas allí contenidas.

Prevención. Medidas básicas de seguridad informática.
"El único sistema realmente seguro es aquel que este desconectado de la línea eléctrica, incrustado dentro de un bloque de concreto, encerrado herméticamente en una habitación revestida de plomo y protegido por guardias armados, y aun así, tengo mis dudas". Eugene H.Spanfford.Estas palabras referentes a los virus informáticos aunque algo exageradas no son irreales. Lo importante es estar conscientes del problema y no ignorarlo; el creer que a nosotros eso no puede pasarnos es cometer el mismo error que cometieron muchos de los afectados por el virus VIH (SIDA), con la diferencia de que perderemos tiempo e información en vez de la vida. Al igual que en la Medicina la mejor cura o tratamiento es la PREVENCION.Podemos prevenir los efectos dañinos de un ataque viral informático con:Medidas básicas de seguridad informática (esas corren por cada usuario y/o administrador de red), información "epidémica" actualizada de los virus nuevos y circulantes, adquisición, actualización y uso sistemático de programas antivirales que hagan el papel de condon informático.En este articulo nos referiremos a las medidas básicas de seguridad informática, las cuales tienen dos objetivos: Prevenir una infección por virus informático y evitar la perdida de la mayor cantidad posible de información.Si usted piensa que son sencillas y poco útiles, esta equivocado. Si piensa que son engorrosas y tediosas, es verdad; pero son útiles y necesarias, para USTED y para los DEMAS.

Medidas básicas para prevención primaria:

• En el setup de su computadora fije las opciones de arranque como C: , A:
• Prepare un disco de arranque "limpio" (verificado contra virus) y protegido contra escritura.
• No arranque su computadora con un diskette colocado en torre A que no sea su disco de arranque, verificado y protegido.
• No reinicie con CTRL+ALT+DEL con un diskette colocado en torre A. Aun cuando su ordenador este configurado para arrancar por torre C, siempre se buscara primero en la torre A y se leerá el boot sector del diskette que allí se encuentre, esto es suficiente para infestarse con un virus del boot sector (y estos son de los mas peligrosos).
• No utilice diskettes o CD que no sean suyos sin revisarlos antes.
• Revise sus diskettes si se utilizaron en otra computadora que no sea la suya, sobre todo si los utilizo en maquinas conectadas a RED.
• Tenga en la computadora solamente los programas que se utilicen.
• Evite la copia ilegal de programas, juegos y utilitarios.
• Instale al menos 1 programa antivirus, este conectado o no a una red.
• Mantenga activado siempre el centinela (TSR) del programa antivirus. Si tiene mas de un programa antivirus configúrelo para que trabaje SOLO UNO de los centinelas.
• Configure el centinela y los programas antivirus para que revisen los mensajes de correo y los archivos comprimidos.
• Configure el centinela y los programas antivirus para que descontaminen automáticamente los archivos infestados o le niegue su acceso.
• Chequee periódicamente todo su sistema (una vez a la semana),independientemente del centinela.
• Revise todo su sistema si presenta un funcionamiento anormal, no acostumbrado, aunque cumpla las recomendaciones anteriores.
• Realice de manera sistemática copias de respaldo de sus archivos de trabajo y de las aplicaciones. En el caso de los archivos de trabajo lo ideal es tener una triple copia de los mismos, dos de ellas fuera de su disco duro de trabajo y al menos una fuera de su computadora.
• No envíe por correo electrónico archivos anexos por gusto.
• Evite enviar archivos anexos a listas de correo electrónico, sino a la/s persona/s que se lo solicite/n.
• Si le llega un anexo que usted NO pidió o NO CONOCE no lo abra o ejecute sin revisarlo. Si le quedan dudas BORRELO.
• Tenga cuidado al emplear el comando CHKDSK del DOS. Al comprobar todos los subdirectorios del disco y cotejar la cadena de enlace de los sectores almacenada en la FAT, da a los virus una oportunidad amplia de contaminar cualquier archivo, incluso programas que no ejecutados. Ciertos virus provocan errores de asignación de archivos y aprovechan la ejecución de CHKDSK /F para dañar irreparablemente los archivos que se intenta reparar.

Medidas básicas de prevención secundaria:
Cuando ya se ha producido una infección por virus.

• Arranque su computadora con un diskette de arranque, verificado contra virus y protegido contra escritura. Esto le permitirá acceder al disco duro y copiar a diskettes información vital en muchos casos.
• Con la opción anterior limítese al DOS, y solo use los comandos cd, rd, dir y copy.
• No ejecute ningún programa, excepto un antivirus, hasta que descontamine su computadora.
• Aun cuando descontamine sus aplicaciones, y estas funcionen adecuadamente, lo ideal es realizar su reinstalación.
• Si detecta un virus en algún archivo, revise todos los medios de almacenamiento, pueden haber mas copias del mismo u otros virus.
• Efectúe un rastreo de como "entró" el virus en su computadora. Recuerde que gran parte de las infecciones son involuntarias desde el punto de vista humano, resulta conveniente conocer el origen para evitar el mismo problema, no para castigar.
• Si no es posible descontaminar el archivo (como pasa con el Happy99) BORRELO NO LO ABRA.
• Si un archivo es reportado como sospechoso NO ABRIRLO. Explórelo con otro programa antivirus o consulte un experto.

Prevención secundaria en una Red:

• Desconecte la computadora infestada de la red y examínela.
• Revise el servidor. Verifique primero que la computadora a través de la que hará la revisión no esta contaminada.
• Al hacer la revisión firme con el menor número de atributos posibles, si existiese alguna infección y usted entra como supervisor o con sus atributos, el virus los tomará e infectará todo lo que se ejecute. Aumente paulatinamente la autoridad en sus accesos para ir descontaminando.
• Detecte el origen de la infección. Un buen NLM le proveerá del "log file" en el que se indique el nodo, hora y fecha del terrible evento.

Prevención de virus en Word

• Amplíe la Lista de ficheros recientemente utilizados: Dicho registro es de utilidad, ya que si se realizaron cambios en Norma l.dot por un virus los documentos listados tienen una alta probabilidad de estar infectados.
• Active la opción de Preguntar si guardar cambios en Normal.dot: El usuario decide si los cambios son salvados o no. Tiene tres inconvenientes: sólo avisa cuando se concluye el trabajo con Word; no previene que Normal.dot sea infectado en la memoria, es decir, todavía es posible abrir un documento infectado y que el virus infecte la plantilla global; puede ser desactivada facilmente por un virus desde el propio Word.
• Utilice la funcion ToolsOptionSave: Esta es una función del Word que una vez ejecutada activa la protección Preguntar si se guardan los cambios hechos en la plantilla Normal.dot. Esta función puede incluirse dentro de una macro AutoExec creada por el usuario en una plantilla también generada por éste, y que deberá ser colocada en la carpeta INICIO (STARTUP) del Microsoft Word con el fin de que se active la protección cada vez que Word sea inicializado. Ventaja: la protección se activa cada vez que se inicia Word. Tiene los mismos inconvenientes de las anteriores, además hay que crearla y conocer como.
• Función DisableAutoMacros: Es una función del Word que impide que las automacros sean ejecutadas. Puede incluirse dentro de una macro AutoExec creada por el usuario en una plantilla. Desventaja: Solo deshabilita las macros automáticas. Puede combinarse con la función ToolsOptionSave.
• Declare Normal.dot como de solo lectura, desde Word. Da la posibilidad de prevenir la infección de la plantilla Normal.dot en el disco. Desventaja: Cada vez que se inicie Word se mostrara en la pantalla un molesto mensaje de advertencia, que da la posibilidad de abrir la plantilla con la propiedad de Solo Lectura.
• Proteja Normal.dot, contra escritura, con palabra Clave. Esta protección asocia una palabra clave a un documento. Permite que la plantilla solo sea modificada si se teclea la palabra clave correcta, de lo contrario será abierto en modo Solo Lectura. Ventaja: Previene la infección de la plantilla global Normal.dot en el disco y solo puede ser desactivada por el responsable de la computadora. Desventaja: al iniciar Word muestra en pantalla un mensaje donde hay que teclear la palabra clave para que Normal.dot pueda ser modificado.
• Uso de la tecla Shift: Pulse sostenidamente la tecla Shift izquierda al iniciar Word o mientras se abre un documento. Esto provoca que ninguna de las automacros sea ejecutada. Esto previene que los virus que utilicen las macros AutoExec y AutoOpen puedan propagarse. Si se ejecuta esa acción al cerrar un documento o salir de Word se logra el mismo objetivo para la macro AutoClose. Desventajas: Requiere de mucha coordinación de lo contrario las macros pueden ser ejecutadas y solo previene la ejecución de las macros automáticas.
• Utilice el organizador para chequear si los documentos contienen MACROS.Desventajas: El usuario tiene que decidir si las macros están infectadas o no. Es incomodo revisar los documentos antes de abrirlos.
• Active la opción Abrir documentos sin Macros: Solo disponible en Word 8.0. Permite abrir documentos creados con Word 8.0 y anteriores sin que las macros contenidas se ejecuten si el usuario no lo desea. Desventajas: El usuario es quien decide si va a abrir el documento con o sin macros. Los usuarios, que trabajen con macros, tenderán a desactivar la protección en busca de comodidad.
• Bloquee proyecto para la visualización: Solo disponible en Word 8.0. Previene que los módulos sean creados, vistos o copiados en un proyecto plantilla. Normal.dot es un proyecto plantilla y las macros en Visual Basic están contenidas en módulos.
• Salve una copia de Normal.dot en otra carpeta y compárela con la utilizada mediante cualquier utilitario que lo permita. Esto puede hacerse desde el autoexec.bat
• Detectar alteraciones en la carpeta de INICIO (STARTUP) de Microsoft Word, que pueden ser debidas a la inclusión de nuevas plantillas o de alteraciones en las plantillas allí contenidas. Este proceso también se puede hacer desde el AUTOEXEC.BAT y con un DIR.
• Si tiene que enviar por correo electrónico algún documento de texto no lo envíe en formato de Word sino como RTF, a no ser que sea absolutamente imprescindible alguna macro o se lo hayan solicitado. En formato RTF el texto conserva todas las características de formato del documento de Word original pero no se incluirá ninguna macro. En formato TXT no se incluyen las macros pero se pierde el formato del documento.

Prevención de virus Macro en Excel y PowerPoint:

• Active la opción Protección antivirus en macros: Permite abrir documentos de Excel y PowerPoint sin que las macros contenidas en ellos puedan ejecutarse. Este método solo esta disponible para la versión 97 del producto. Las desventajas de este método son similares a las enumeradas para MS-Word.
• Uso de la tecla Shift: Igual efecto e inconvenientes que para MS-Word.

Como enfrentar un ataque de virus. Programas antivirus.
Si su computadora se ha contaminado con un virus lo primero que debe hacer es tener calma y paciencia, no se ofusque por resolverlo de inmediato, sino BIEN. No importa el tiempo que invierta. Revise todos los discos, cintas y medios de almacenamiento. El no hacerlo es un error común que muchas veces se paga caro, ahí puede estar acechando una copia del virus.Siga estos pasos:

• Desconecte la computadora de la red si esta enlazada a una.
• No debe permitir el uso de su equipo hasta que tenga la seguridad de haberlo erradicado plenamente.
• Verifique la presencia del virus con al menos dos antivirus, arrancando desde un disco flexible, verificado contra virus y protegido contra escritura para tener plena seguridad de que no se encuentra escondido ninguno en memoria.
• Si no tuvo la precaución de tener copias de resguardo de la información vital contenida en su equipo, ahora es el momento de hacerlo. Es mas seguro hacerlo desde el DOS, utilizando solo los comandos dir, cd y copy, sin utilizar ningún programa. Recuerde: el responsable de resguardar los datos es el usuario, no el programa antivirus. Además aunque este detecte y descontamine su computadora la información puede ser dañada.
• Proceda a la descontaminación de su computadora.
• Los virus modifican los archivos o la estructura del disco en alguna medida. La remoción del código maligno en una aplicación es una solución temporal. Una "limpieza completa" debe incluir la reinstalación de aplicaciones para evitar errores en ellas.
• Rastree la "entrada del virus".

Detección y protección contra virus en Redes:
Se puede realizar en tres niveles básicos:

• En la computadora personal: Cada computadora debe tener instalado un programa antivirus con el centinela activado (sistema de monitoreo).
• En el servidor de una LAN: También debe instalarse un programa antivirus basado en el servidor. Permiten el trabajo con protocolos como IPX en redes Netware o en ambientes Windows NT por ejemplo. Tiene la desventaja de que los archivos "bajados" por FTP pasan directamente a las computadoras personales sin pasar por el servidor de LAN, por lo que no son revisados por su programa antivirus. Por otro lado, al tener cada sistema de correo electrónico su forma de encriptación de datos se bloquea el rastreo de virus.
• Instalación de programa antivirus en la Interfase de acceso (gateway) y Firewalls de conexión a Internet operando bajo UNIX. Este programa, si monitorea continuamente el tráfico de correo electrónico (e-mail) y FTP que se lleva a cabo en la Interfase de acceso (gateway) de Internet, capturando y aislando virus antes de que lleguen a la red.

Recomendaciones para seleccionar el programa antivirus para su computadora o red:

• Debe estar certificado por la ISCA para "curar" el 100 % de los virus "In the Wild" (estado salvaje, son los que están circulando en el momento). Esta certificación se realiza mensualmente y es publicada en Internet.
• Debe tener la opción de exploración o monitoreo en tiempo real (centinela) y programado.
• Debe permitir la revisión preventiva y programada con alarmas de aviso y las opciones de desinfección automática o de negación de acceso en sistemas de correo electrónico, fax, broadcast, etc.
• Debe contar con herramientas de administración desde una consola central, queadministre la red global heterogenea, grupos o dominios de servidores y computadoras para llevar a cabo una administración mas sencilla.
  
• Debe contemplar las herramientas de protección para que los diferentes niveles se encuentren integrados.
  
• Debe permitir la actualización automática de las nuevas firmas antivirus hasta servidores y clientes.
  
• Debe cubrir a las estaciones de trabajo por medio de la aplicación instalada a tiempo real, enlenteciendo lo menos posible el trabajo del equipo.
  
• Debe contar con un esquema tipo "cuarentena" en el caso de que alguna estación no tenga cargada la aplicación antivirus o la ultima firma evitar la entrada a su servidor de red.
  
• Debe contar con herramientas de rastreo de puntos de infección alrededor de la red.

EL VIRUS PRETTY PARKAlias.....................Trojan Horse, W32.PrettyPark, Trojan.PSW.CHV, CHV
Largo de la infección.....37,376
Area de infección.........C:\Windows\System, Registro del sistema, Attachs de e-mail
Fecha de detección........1ro de junio de 1999
Características...........Gusano, caballo de troyaEl citado virus forma parte de los llamados Gusanos. Estos virus se basan en el correo electrónico para propagarse. También podría decirse que es un troyano (Caballo de Troya). Estos (al igual que el Caballo de Troya original) se basan en enmascarar su código en otro programa.La forma de propagarse es simple. Se agrega (attach) al mensaje un ejecutable (originalmente PrettyPark.exe, aunque puede ser cambiado el nombre) el cual viaja por la red e infecta el sistema cliente cuando este es ejecutado.Una vez que ingresa al sistema, crea un archivo de nombre FILES32.VXD, agregándolo al registro del sistema, para poder seguir siendo ejecutado.

Con intervalos de 30 minutos, captura el libro de direcciones y envía a estas, un correo con el attach correspondiente, el cual infectara el sistema del destinatario, comenzando nuevamente la cadena.También puede mandar vía IRC (canales de chat) información sobre los datos principales del sistema e incluso las claves almacenadas en el mismo.

Peligros para las listas de correo: Basicamente el problema consiste en que puede llegar un mensaje con attach infectado a través de las mismas. En las listas (Foros Temáticos) del PCVC, al ser moderadas, el problema NO EXISTE, ya que todos los mensajes llegan previamente al moderador, que no redistribuye absolutamente ninguno que contenga un attach. Además, aunque por error el Moderador de un Foro, enviara un mensaje "infectado" a la Lista, el propio Majordomo, que es el soft que gerencia la redistribución de mensajes, se encargaría de abrir el archivo que por tal perderia su capacidad destructiva.

Igualmente, es prudente que todos aquellos que participan de otras listas de distribución, o simplemente tienen un programa de correo electrónico y reciben mensajes de terceros, tienen que estar lo suficiente protegidos para que esto no suceda.

Como protegernos:

1.- Es prudente que todos quienes utilizan el correo electrónico, deban de tener un antivirus activo, con la posibilidad de ser actualizado vía internet. El antivirus activo, captura todo aquello que pase por la memoria del ordenador, analizándolo y eliminando la infección.Debe tenerse en cuenta que no todos los antivirus y/o versiones detectan determinada infección.
2.- Se sugiere vehementemente no abrir ningún archivo que venga agregado a la correspondencia, de fuente no segura. Usualmente lo que se hace es:

1.- Se obliga al programa de correo electrónico que coloque todos los attach en un directorio especifico (para poder manejarlos con confianza y que no se nos "pierdan" dentro de la maraña de información de nuestros disco).
2.- Mandar un e-mail al que envía el attach, consultándolo sobre las características del agregado que nos manda (de esta manera, nos enteramos si el envío fue querido o no)
3.- Correr el antivirus para que haga un doble control (heurístico y comparativo) para eliminar posible infección.

La mayoría de los antivirus tienen ambas búsquedas. Se entiende por comparativo, la búsqueda normal, la cual consiste en comparar cadenas de datos del archivo que se esta analizando, con otras que el antivirus tiene almacenadas. Ante la coincidencia se detecta el virus. Se entiende por heurística (o búsqueda inteligente) aquella que analiza los archivos buscando posibles ordenes en código de maquina o macros, que puedan hacer daño a nuestro sistema, informándonos en caso de encontrarlas, sobre "posible virus en....". Una vez detectada la infección, se debe estar seguro sobre si el virus puede ser removido con la versión del antivirus que tenemos y sobre todo, no enviar mensajes desde esa maquina hasta estarlo.VIRUS BUBBLEBOYNOMBRE: Bubbleboy Escrito en VB Script

ASUNTO: BubbleBoy is back!

Utiliza para ejecutarse algunas vulnerabilidades relacionadas con MS Outlook y MS Outlook Expres, en sistemas con Windows Scripts Host (W98, W2000 y sistemas W95 que lo hayan instalado) e Internet Explorer 5.Es capaz de activarse sin que el usuario ejecute, abra, o incluso guarde en su disco cualquier tipo de fichero adjunto recibido.

Al contrario de como suelen actuar los gusanos de Internet, Bubbleboy no llega al ordenador de la víctima en un fichero adjunto, sino que se ejecuta al abrir el mensaje infectado instalando el fichero Update.hta en el sistema de manera que se ejecute en el siguiente arranque del mismo.En el caso de Microsoft Outlook Express, la infección se efectúa con solo tener activada la opción 'vista previa'

El que este escrito en VB Script, hace que se ejecute tan pronto se abra el E-mail que lo contiene. Cuando Update.hta es ejecutado, primero procede a modificar el nombre del usuario registrado de Outlook a 'BubbleBoy' (modificando el registro de windows: RegistredOwner y RegisteredOrganization) y el nombre de la empresa registrada a 'Vandelay Industries'. Una vez efectuado estos cambios, el gusano se autoenvia a todas las direcciones contenidas en todas y cada una de las libretas de direcciones de Outllook.

Después de que los mensajes son enviados, para evitar volver a enviarlos el gusano crea una entrada (llave) en el registro de Windows;

HKLM\Software\OUTLOOK.BubbleBoy\="OUTLOOK.BubbleBoy 1.0 by Zulu"

Al final el gusano muestra en pantalla una ventana con el siguiente texto;

System error, delete "UPDATE.HTA" from the startup folder to solve this problem.

El remitente que aparece en el mensaje es el nombre del usuario afectado.BubbleBoy no tendrá validez en los ordenadores que:

a) No usen ningún producto de la gama Outlook de Microsoft.
b) No tengan activada la ejecución de comandos ActiveX.
c) Hayan desactivado el reconocimiento de ficheros "HTA".
d) No tengan su directorio del sistema en C:\WINDOWS.
e) Corran una versión de Windows que no sea inglesa o española.
f) No hagan un uso activo de la libreta de direcciones.

Este I.worm no posee ningún tipo de rutina destructiva.MEDIDAS DE PREVENCION

a) No abra (= lea) ningún mensaje que llegue al buzón de su Outlook si el tema de este es "BubbleBoy is back!", aun si quien lo envía es un conocido o amigo suyo.
b) Instalar el parche que Microsoft ha puesto a disposición de todos los usuarios de Windows a partir de la URL:

http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP

c) Si no suele emplear aplicaciones HTML (ficheros HTA), es posible desactivar su asociación con Internet Explorer:

c1) Doble click en "Mi PC".
c2) Menú "Ver" -> "Opciones (de carpeta)".
c3) Pestaña "Tipos de archivo".
c4) Lista "Tipos de archivo registrados".
c5) Seleccionar "HTML Application".
c6) "Quitar" -> "Aceptar" -> "Cerrar".

d) Traslade los datos contenidos en su libreta de direcciones a cualquier otro soporte, de manera que "BubbleBoy" no podrá enviarse a ningún usuario desde su ordenador, y así frenará su expansión.
e) Si posee conocimientos suficientes como para desenvolverse con el registro de configuraciones, cree una llave con el siguiente nombre y valor:

HKLM\Software\OUTLOOK.BubbleBoy\="OUTLOOK.BubbleBoy 1.0 by Zulu"

De este modo, "BubbleBoy", durante la comprobación que lleva a cabo para no autoenviarse mas de una vez desde una maquina, pensara que ya ha actuado con anterioridad en su ordenador.

COMO SABER SI SE ESTA INFECTADO

a) Despliegue el menu "Inicio" de su ordenador y compruebe, a partir de los menús "Programas" e "Inicio", el contenido de esta ultima carpeta. Si encuentra el fichero "UPDATE.HTA" en su interior, bórrelo sin dilación alguna.
b) Si por alguna circunstancia usted ha ignorado o no se ha apercibido de la presencia de la ventana que "BubbleBoy" muestra tras haberse enviado por e-mail a otras maquinas desde la suya, es posible comprobar algún indicio de una pretérita actividad vírica buscando la siguiente llave en el registro de configuraciones de Windows por medio de la opción "Buscar" (menú "Edicion" o Ctrl+B) del programa "regedit.exe" que podrá encontrar en el directorio Windows de su ordenador:

HKLM\Software\OUTLOOK.BubbleBoy\="OUTLOOK.BubbleBoy 1.0 by Zulu"

c) Al hilo de la casuística del ejemplo anterior, es posible comprobar el nombre de usuario y la compañía a la que esta registrada su copia de Windows por medio de la opción de menú "Acerca de Windows" que encontrara, por ejemplo, en el menú "Ayuda" del Explorador de Windows.

Para limpiar este gusano de los sistemas infectados, es imprescindible borrar el sistema script Update.hta. Para ello, solo es necesario buscar el script en windows ( mediante un sencillo "buscar ficheros o carpetas") y proceder a eliminarlo una vez encontrado.

FUENTES CONSULTADAS
http://www.pandasoftware.es/
http://www.avp-es.com/noticias/bubbleboy.html
http://www.hispasec.com/

BOLETIN DE KRIPTOPOLIS:
http://www.Kriptopolis.com
http://www.DataFellows.com/virus-info/virus-news http://www.mcafee.com/viruses/bubbleboy http://www.virusbtn.com/VirusInformation/bbpy.html
http://vil.nai.com/vil/vbs10418.asp

Tope