Archivo help.vbs
Tengo el S.O W98 SE. Cuando se carga, en el apartado "documentos" del menú "inicio", me aparece el archivo "help.vbs" y el sistema accede constantemente al dico duro (la luz de la cpu parpadea y el puntero se convierte en reloj de arena)cada 5 segundos aproximadamente y por espacio de 1 segundo. Además, cada por minutos salta en Panda para analizar la bandeja de entrada del correo. ¿Es dañino para el equipo? ¿Cómo puedo evitarlo?
1 Respuesta
Respuesta de jaorestes
1
Siento decirte que tienes un virus (probablemente llegó por correo electrónico). Te adjunto la información de que dispongo al respecto del mismo:
VBS/Helper
Nombre: VBS/Helper
Aliases: VBS.HappyTime, VBS_HAPTIME.A, VBS. Happytime.A, VBS/Help, VBS_Haptime.A, VBS/Haptime@MM
Variantes: Ninguna Fecha de
Descubrimiento: 30/04/2001
Tipo: Gusano de internet
Gravedad: Baja
Origen: China
Información: Nuevo gusano de internet capaz de reenviarse por correo electrónico e infectar archivos con extensiones ".htm" y ".htt".
Características: Este virus usará el cliente de correo Outlook Express para reenviarse automáticamente. Una vez activado, el gusano creará las siguientes copias de sí mismo: "HELP.VBS", "HELP.HTA", "HELP.HTM" y "UNTITLED.HTM" ubicadas en el directorio de Windows. Luego, pondrá el archivo "UNTITLED.HTM" como "Stationary" en el Outlook Express agregando las siguientes claves de registro:
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Message SendHTML""
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Compose Use Stationery""
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Stationery Name""
Cualquier correo electrónico creado luego de la infección, tendrá el código del virus como "VBS" insertado en el cuerpo del mensaje. Además el archivo "HELP.HTM" será insertado como papel tapiz agregando otra clave al registro de configuraciones:
"HKEY_CURRENT_USER\Control Panel\desktop\wallPaper".
El archivo solo podrá ser ejecutado si el "Active Desktop" ha sido habilitado. Los archivos que han sido infectados por el virus incrementarán su tamaño en 9900 bytes.
Para eliminarlo: Las grandes compañías desarrolladoras de antivirus ya han actualizado sus definiciones para detectar este virus.
Para eliminar definitivamente este virus de tu computadora deberás:
1) Ingresar al registro de windows (Inicio/Ejecutar/regedit.exe) y eliminar las claves de registro Count y FileName en "HKEY_CURRENT_USER\SOFTWARE\Help"
2)Modifique el valor de la entrada wallPaper existente en "HKEY_CURRENT_USER\Control Panel\desktop", borrando su contenido. Esto puede hacerlo haciendo dobleclick sobre la entrada wallPaper, dejando en blanco su valor.
3) También en el registro, buscar en la entrada HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\General, la clave Wallpaper, y corroborar que la misma no contenga referencia a los archivos HELP.hta, untitled.HTM, o HELP.HTM. Si dicha clave contiene referencia a alguno de esos archivos, haga dobleclick sobre la clave Wallpaper, y borre su contenido.
4) Bajo la clave de registro HKEY_CURRENT_USER\Identities encontrará un identificador como el siguiente {1D029E20-CC39-11D4-A0F1-AF13E26E9D70}. Busque dentro de éste la clave ..\Software\Microsoft\Outlook Express\5.0\Mail y dentro de ella modifique los valores de las entradas "Compose Use Stationery", "Message Send HTML" y "Stationery Name" por 0, 0 y "", respectivamente.
5) Eliminar los archivos con extensión HTT (por ejemplo, safemode. htt) en el directorio c:\Windows\Web.
6) Reiniciar el equipo.
7) Ejecutar un antivirus ACTUALIZADO. En caso de no poseer, recomendamos utilizar el servicio gratuito de escaneo on line desde www.pandasoftware.es/activescan.
Se recomienda a los usuarios que apliquen un parche para su Internet Explorer a fin de evitar que el virus pueda propagarse automáticamente. El mismo se encuentra disponible aquí:
http://virusattack.xnetwork.com.ar/base/VerVirus.php3?idvirus=257
VBS/Helper
Nombre: VBS/Helper
Aliases: VBS.HappyTime, VBS_HAPTIME.A, VBS. Happytime.A, VBS/Help, VBS_Haptime.A, VBS/Haptime@MM
Variantes: Ninguna Fecha de
Descubrimiento: 30/04/2001
Tipo: Gusano de internet
Gravedad: Baja
Origen: China
Información: Nuevo gusano de internet capaz de reenviarse por correo electrónico e infectar archivos con extensiones ".htm" y ".htt".
Características: Este virus usará el cliente de correo Outlook Express para reenviarse automáticamente. Una vez activado, el gusano creará las siguientes copias de sí mismo: "HELP.VBS", "HELP.HTA", "HELP.HTM" y "UNTITLED.HTM" ubicadas en el directorio de Windows. Luego, pondrá el archivo "UNTITLED.HTM" como "Stationary" en el Outlook Express agregando las siguientes claves de registro:
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Message SendHTML""
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Compose Use Stationery""
"HKEY_CURRENT_USER\Identities\\Software\Microsoft\Outlook Express\5.0\Mail\, "Stationery Name""
Cualquier correo electrónico creado luego de la infección, tendrá el código del virus como "VBS" insertado en el cuerpo del mensaje. Además el archivo "HELP.HTM" será insertado como papel tapiz agregando otra clave al registro de configuraciones:
"HKEY_CURRENT_USER\Control Panel\desktop\wallPaper".
El archivo solo podrá ser ejecutado si el "Active Desktop" ha sido habilitado. Los archivos que han sido infectados por el virus incrementarán su tamaño en 9900 bytes.
Para eliminarlo: Las grandes compañías desarrolladoras de antivirus ya han actualizado sus definiciones para detectar este virus.
Para eliminar definitivamente este virus de tu computadora deberás:
1) Ingresar al registro de windows (Inicio/Ejecutar/regedit.exe) y eliminar las claves de registro Count y FileName en "HKEY_CURRENT_USER\SOFTWARE\Help"
2)Modifique el valor de la entrada wallPaper existente en "HKEY_CURRENT_USER\Control Panel\desktop", borrando su contenido. Esto puede hacerlo haciendo dobleclick sobre la entrada wallPaper, dejando en blanco su valor.
3) También en el registro, buscar en la entrada HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\General, la clave Wallpaper, y corroborar que la misma no contenga referencia a los archivos HELP.hta, untitled.HTM, o HELP.HTM. Si dicha clave contiene referencia a alguno de esos archivos, haga dobleclick sobre la clave Wallpaper, y borre su contenido.
4) Bajo la clave de registro HKEY_CURRENT_USER\Identities encontrará un identificador como el siguiente {1D029E20-CC39-11D4-A0F1-AF13E26E9D70}. Busque dentro de éste la clave ..\Software\Microsoft\Outlook Express\5.0\Mail y dentro de ella modifique los valores de las entradas "Compose Use Stationery", "Message Send HTML" y "Stationery Name" por 0, 0 y "", respectivamente.
5) Eliminar los archivos con extensión HTT (por ejemplo, safemode. htt) en el directorio c:\Windows\Web.
6) Reiniciar el equipo.
7) Ejecutar un antivirus ACTUALIZADO. En caso de no poseer, recomendamos utilizar el servicio gratuito de escaneo on line desde www.pandasoftware.es/activescan.
Se recomienda a los usuarios que apliquen un parche para su Internet Explorer a fin de evitar que el virus pueda propagarse automáticamente. El mismo se encuentra disponible aquí:
http://virusattack.xnetwork.com.ar/base/VerVirus.php3?idvirus=257
