Fantasma es un virus que se distribulle con el cliente Msn Messenger, mIRC y otros que no he podido comprobar.

Principalmente aparenta ser un virus poco peligroso y de fuerza menro.

El mensaje por el cual se distrubuye en el IRC es el siguiente : "mira este video http://galeon.com/videosdiverti2/fantasma.zip jaja". Los mensajes de Msn Messenger no han sido vistos por mi.

El archivo comprimido en zip contiene un archivo llamado fantasma.zip.exe .

Esté virus tiene la capacidad de finalizar algunas aplicaciones aplicaciones (en concreto, he probado en Opera, y Internet Explorer. Se dice que en mIRC sucede, pero mi cliente de IRC el cual es HydraIRC no se vio afectado) cuando encuentra palabras como virus entre otras posibles que no he buscado.

Detalles

Añade la regla de nombre axel con valor C:\Windows\Cursors\wam.exe en el StartUp (HKCU).

Crea el archivo wam.exe -no recursivamente- en C:\Windows\Cursors. Sea cual sea el disco duro del sistema, siempre sobre C.

wam.exe es clónico de fantasma.zip.exe.

Por primera vez de ejecución del programa muestra un mensaje : "1er dia te asustas, en el segundo te desesperas, en el 3º pides ayuda y en el 4º mueres". (Desconozco qué metodo hace para diferenciar de la primera vez y de la segunda).

Cierra multiples aplicaciones en busqueda de la palabra virus. En cambio en otras como HydraIRC y Bloc de notas no funciona.

Finaliza el proceso msconfig una vez abierto.

Finaliza el proceso regedit una vez abierto.

Hace numeros ciclos de acceso a A:\ (ni idea de para qué).

Desabilita el acceso al Administrador de Tareas.

Todos los iconos de previsualización del Explorer se ven igual.

Solucion

El primer problema es el no poder usar las herramientas administrativas genéricas de Windows, así que muestro la alternativa de usar un programa llamado Process Viewer. Puedes descargarlo [AQUÍ].

Es muy sencillo de uso, se habre el paquete y se descomprime a cualquier directorio. Una vez dentro, se busca el proceso fantasma.zip.exe en el caso de que sea la primera vez, o en el caso que hayas reiniciado wam.exe. Se pulsa el proceso y se pulsa con el boton derecho la función Kill. Y temporalmente habra desaparecido el programa.

Seguidamente, borramos el archivo wam.exe de C:\WINDOWS\Cursors\.

Ejecutaremos msconfig y en la pestaña Inicio desactivaremos el elemento de inicio llamado axel. Aceptaremos y reiniciaremos.

Con esto, estás completamante desinfectado. No se si tiene algun efecto más secundario, en todo caso de descubrir algo más, pongase en contacto con ragezort (en) gmail (punto) com.

Estó es un documento es parte de Ragezort WebSite y de un trabajo de investigación de Ragezort. CopyRight de Creative Commons, todos los derechos en regla.