Nombre: Win32.Lovgate.V@mm
Alias: Win32/Lovgate.V@mm (RAV)
Tipo: Ejecutable Backdoor Gusano Mensajero Masivo
Tamaño: variable
Descubierto: 04.04.2004
Detectado: 04.04.2004
Propagación: Media
Peligrosidad: Baja
In The Wild: Sí

Síntomas:
La presencia de por lo menos uno de los siguientes ficheros en la carpeta %System32% (Ej. C:\Windows\System32):
hxdef.exe
NetMeeting.exe
IEXPLORE.EXE
MSSIGN30.DLL
spollsv.exe
kernel66.dll
RAVMOND.exe

La presencia de SYSTRA.EXE en la carpeta %Windows% (Ej. C:\Windows).

La presencia de COMMAND.EXE en la carpeta %SystemDrive%\ (Ej. C:\).

La presencia de AUTORUN.INF en la carpeta %SystemDrive%\ (Ej. C:\) conteniendo:
[AUTORUN]
Open="C:\COMMAND.EXE" /StartExplorer

La presencia de ficheros .ZIP y/o .RAR en la carpeta %SystemDrive%\ (Ej. C:\) con uno de los nombres:
install
letter
pass
setup
work

La presencia de ficheros .ZMX en las carpetas compartidas junto con ficheros .EXE con el mismo nombre

La presencia de las siguientes series de caracteres en la clave del registro"HKLM\Software\Microsoft\Windows\CurrentVersion\Run":
"Hardware Profile" con el valor "%System32%\hxdef.exe"
"Microsoft NetMeeting Associates, Inc." con el valor "NetMeeting.exe"
"Program In Windows" con el valor "%System32%\IEXPLORE.EXE"
"Protected Storage" con el valor "RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
"Shell Extension" set to "%System32%\spollsv.exe"
"VFW Encoder/Decoder Settings" set to "RUNDLL32.EXE MSSIGN30.DLL ondll_reg"

Descripción técnica:
El virus está escrito en C++, compilado con VC6 y empaquetado con 2 packers distintos.

El virus se propaga por correo - adjunto como ejecutable con doble extensión o como archivo .zip o .rar - y por carpetas compartidas.

Renombra los ficheros iniciales .EXE en *.ZMX, configura sus atributos en ocultos (para no ser mostrados por el explorador de Windows por defecto) y escribe en los iniciales .EXE una copia suya.

Tiene componentes de backdoor - mantiene puertos abiertos para conexiones remotas, elegidas al azar.

Desinfección:
Manual:
* elimine COMMAND.EXE y AUTORUN.INF de %SystemDrive%\
* abra Administrador de Tareas apretando [CTRL]+[ALT]+[DEL] o [CTRL]+[SHIFT]+[ESCAPE] para Win2000/XP
* utilice "Terminar proceso" en "Procesos" con "IEXPLORE.EXE", "NetMeeting.exe", "spollsv.exe" y "ACCSTAT.EXE"
* abra el Editor de Registro con [WIN]+[R]regedit[ENTER]
* elimine las claves mencionadas
* reinicie el ordenador
* elimine todos los ficheros enumerados al principio de esta descripción de las carpetas %SystemDrive%\, %Windows% y %System32%
* elimine los atributos ocultos de todos los ficheros .ZMX y renombrelos *.EXE sobrescribiendo los ficheros del gusano