AUTORUN.INF!!!

[teniter]

Hola amigos de zonavirus, me comunico ante ustedes porque el mp3 que tengo parece que tiene el "virus" autorun.inf y no se como quitarlo, ademas como que tambien esta iinfectada la pc, de todos modos aqui les dejo el log de hojack para que lo ojeen, muchas grcaias de ante mano.





Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:26:29, on 10/30/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal



Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\system32\drivers\CDAC11BA.EXE

D:\Archivos de programa\ESET\ESET Smart Security\ekrn.exe

D:\Archivos de programa\Java\jre6\bin\jqs.exe

D:\WINDOWS\Explorer.EXE

D:\Archivos de programa\McAfee\SiteAdvisor\McSACore.exe

D:\WINDOWS\system32\HPZipm12.exe

D:\Archivos de programa\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

D:\WINDOWS\system32\svchost.exe

D:\Archivos de programa\USB Disk Security\USBGuard.exe

D:\Archivos de programa\AutorunRemover\AutorunRemover.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe

D:\WINDOWS\system32\ctfmon.exe

D:\Archivos de programa\Messenger\msmsgs.exe

D:\WINDOWS\system32\wbem\wmiapsrv.exe

D:\Archivos de programa\Adobe\Reader 8.0\Reader\AcroRd32.exe

D:\Archivos de programa\Windows Media Player\wmplayer.exe

D:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: UrlSearchHook Class - {00000000-6E41-4FD3-8538-502F5495E5FC} - D:\Archivos de programa\Ask.com\GenericAskToolbar.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - D:\Archivos de programa\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: McAfee SiteAdvisor BHO - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - d:\ARCHIV~1\mcafee\SITEAD~1\mcieplg.dll

O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - D:\Archivos de programa\Ask.com\GenericAskToolbar.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Archivos de programa\Java\jre6\bin\jp2ssv.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - D:\Archivos de programa\Windows Live\Toolbar\wltcore.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Archivos de programa\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - D:\Archivos de programa\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - D:\Archivos de programa\Ask.com\GenericAskToolbar.dll

O4 - HKLM\..\Run: [USB Antivirus] D:\Archivos de programa\USB Disk Security\USBGuard.exe

O4 - HKLM\..\Run: [AutorunRemover.exe] D:\Archivos de programa\AutorunRemover\AutorunRemover.exe -Hide

O4 - HKLM\..\Run: [NoAutorun] D:\Documents and Settings\Administrador\Configuración local\Temp\wz8e9e\NoAutorun.exe

O4 - HKCU\..\Run: [Windows] D:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\tJqmHJqm.exe

O4 - HKCU\..\Run: [msnmsgr] "D:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "D:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-21-1482476501-57989841-682003330-1004\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'elder')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: ninja.lnk = ?

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://D:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Translate with &Babylon - res://D:\Archivos de programa\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Bodog Poker - {F47C1DB5-ED21-4dc1-853E-D1495792D4C5} - D:\Archivos de programa\Bodog Poker\BPGame.exe (file missing)

O9 - Extra button: UB - {1FBA04EE-3024-11d2-8F1F-0000F87ABD16} - D:\Documents and Settings\Administrador\Menú Inicio\Programas\UB\UB.lnk (file missing) (HKCU)

O9 - Extra 'Tools' menuitem: UB - {1FBA04EE-3024-11d2-8F1F-0000F87ABD16} - D:\Documents and Settings\Administrador\Menú Inicio\Programas\UB\UB.lnk (file missing) (HKCU)

O9 - Extra button: 365 Bonitas - {2afed132-dab8-4c91-8f14-5e98a6b50ddb} - D:\Documents and Settings\Administrador\Menú Inicio\Programas\365 Bonitas\365 Bonitas.lnk (HKCU)

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - D:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: dssrequest - {5513F07E-936B-4E52-9B00-067394E91CC5} - d:\ARCHIV~1\mcafee\SITEAD~1\mcieplg.dll

O18 - Protocol: jpip - {B92DD248-E3D5-4A92-B311-C9B841681455} - D:\Archivos de programa\LizardTech\Express View\expressview.dll

O18 - Protocol: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - d:\ARCHIV~1\mcafee\SITEAD~1\mcieplg.dll

O18 - Protocol: sidlet - {B92DD248-E3D5-4A92-B311-C9B841681455} - D:\Archivos de programa\LizardTech\Express View\expressview.dll

O23 - Service: C-DillaCdaC11BA - Macrovision - D:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - D:\Archivos de programa\ESET\ESET Smart Security\EHttpSrv.exe

O23 - Service: ESET Service (ekrn) - ESET - D:\Archivos de programa\ESET\ESET Smart Security\ekrn.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Archivos de programa\Archivos comunes\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Archivos de programa\Java\jre6\bin\jqs.exe

O23 - Service: McAfee SiteAdvisor Service - McAfee, Inc. - D:\Archivos de programa\McAfee\SiteAdvisor\McSACore.exe

O23 - Service: PostgreSQL Database Server 8.3 (pgsql-8.3) - PostgreSQL Global Development Group - D:\Archivos de programa\PostgreSQL\8.3\bin\pg_ctl.exe

O23 - Service: Pml Driver HPZ12 - HP - D:\WINDOWS\system32\HPZipm12.exe



--

End of file - 7758 bytes

[msc hotline sat]

Pues de entrada lanza el ELISTARA y vacuna ordenador y pendrive con el ELIPEN:


[quote="para DESCARGAR el ELISTARA, msc"]



http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]




[img]http://www.satinfo.es/blog/wp-content/uploads/2010/03/moltbetot.gif[/img]

y vacunar todas sus unidades de disco y pendrive con el ELIPEN:



[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado



del proceso





y envianos estos ficheros para analizar:



D:\Archivos de programa\Ask.com\GenericAskToolbar.dll



D:\Archivos de programa\AutorunRemover\AutorunRemover.exe



D:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\tJqmHJqm.exe







y los ficheos que lancen estos dos link:



ninja.lnk (que se lanza desde la carpeta de inicio



D:\Documents and Settings\Administrador\Menú Inicio\Programas\365 Bonitas\365 Bonitas.lnk







[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en



nuestras utilidades, de lo cual informaremos



saludos



ms, 31-10-2010

[teniter]

HOLA AMIGOS AHI ESTA LO QUE DEJO EL ELISTARA.



(31-10-2010 21:22:13 (GMT))

EliStartPage v21.91 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 29 de Octubre del 2010)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

D:\DOCUME~1\ADMINI~1\CONFIG~1\TEMP\2N+QQO+Q.EXE --> Acceso Denegado.

D:\ARCHIVOS DE PROGRAMA\ESET\MINODLOGIN\MINODLOGIN.EXE --> Eliminado HackAV.MiNODLogin

D:\ARCHIVOS DE PROGRAMA\ASK.COM\GENERICASKTOOLBAR.DLL --> ASKToolbar(bho/tb) Renombrado a .VIR

Entrada Eliminada [HKCU\...\Run] "windows"="D:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\2N+qQO+q.exe"

Eliminada Class, "{00000000-6E41-4FD3-8538-502F5495E5FC}" -> D:\Archivos de programa\Ask.com\GenericAskToolbar.dll

Eliminada Class, "{D4027C7F-154A-4066-A1AD-4243D8127440}" -> D:\Archivos de programa\Ask.com\GenericAskToolbar.dll

Eliminado , Installed Components "{36A5A0DB-297E-FDE2-0501-060104070800}"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



(31-10-2010 21:24:16 (GMT))

EliStartPage v21.91 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 29 de Octubre del 2010)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 1737

Nº Total de Ficheros: 24470

Nº de Ficheros Analizados: 3907

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(31-10-2010 23:12:55 (GMT))

EliStartPage v21.91 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 29 de Octubre del 2010)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "D:\"

D:\Archivos de programa\Ask.com\GENERICASKTOOLBAR.DLL.VIR --> Eliminado, ASKToolbar(bho/tb)



Nº Total de Directorios: 17879

Nº Total de Ficheros: 201699

Nº de Ficheros Analizados: 30942

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



(31-10-2010 23:29:15 (GMT))

EliStartPage v21.91 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 29 de Octubre del 2010)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "G:\"



Nº Total de Directorios: 45

Nº Total de Ficheros: 155

Nº de Ficheros Analizados: 15

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[teniter]

inice el elipen tambien, despue les mando los archivos que me dijeron lo que pasa es que no tengo internet y tengo que estar viniendo a un cafe para poder hacer esto. Amigos aun tengo lo mismo conecto el usb en mi pc y aveces no lo reconoce, despue si, me detecta siempre como tres virus. Cuando vengo al cafe internet tambien no lo reconoce al prinicio y despues si, y el noddel cafe me detecta como 3 virus y netre ellos el autorun.inf, pero no lo borra, ok gracias.

[msc hotline sat]

Una vez hayas procesado el pendrive con el ELIPEN, este ya no te propagará virus al insertarlo en cualquier PC, y si ademas los PC los vacunas con dicha utilidad, no se infectarán por meterles cualquier pendrive aunque lleve un AUTORUN.INF malicioso.



Despues de ejecutar el ELIPEN en el ordenador y pendrives, posteanod el infosat.txt para ver lo que ha encontrado, gracias



saludos



ms, 2-11-2010