FOTOS_CELULAR sin poder solucionar (SOLUCIONADO)

mastercongo · Mensaje por **mastercongo** » 31 May 2007, 15:26

Hola

un amigo me trajo su computadora porque recibia una ventana que dice "sin disco" la cual aparece cada 20 segundo mas o menos.

cheque varias soluciones aqui pero hasta el momento sin poder resolver el problema. Elistar si quita todo, y hago lo del ntoskrnl.exe renombrarlo y borrar el que esta en dllcache pero aun sigo teniendo el mismo resultado de que reinicio y todo se restaura de nuevo. la ventanita y los archivos que borra elistar

(todo lo hice en modo a prueba de fallos y con system restore desactivado)

y ahora unas notas curiosas. instale el NOD32 y al parecer detecta esa ventanita como un virus rootkit.odys.a pero es lo mismo, nod32 solo no permite que ntoskrnl.exe se instale en system32. pero la ventanita sigue saliendo. y lo mismo, cada 20 segundos es detectada por nod32 nuevamente, elimina el archivo y se sigue repitiendo.

asi que desesperado me puse a usar monitores de archivos para ver que es lo que pasa cuando esa ventana se ejecuta, y pues al parecer el que la ejecuta es explorer.exe, lo cual se me hace raro ya que explorer.exe es el caparazon de windows.

en fin lo que al parecer pasa es que algo hace que explorer.exe abra oddysee.exe el cual hace que se abra esa ventanita y que todos los archivos se restauren. mas sin embargo debe de estar un archivo ahi escondido que se ejecute siempre al reiniciar ya que como les dije, todo se restaura despues de usar elistar.

aqui pongo mis logs de Hijack (donde veran que por alguna razon hay dos explorer.exe que se ejecutan en processos pero parecen el mismo) (e buscado mas archivos explorer.exe pero no me sale nada)

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 07:22:56 a.m., on 29/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\HP_Propietario\Escritorio\HiJackThis_v2.exe

C:\WINDOWS\system32\Notepad.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvcmx.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O3 - Toolbar: T1msn - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O8 - Extra context menu item: Agregar a HP Organize... - C:\ARCHIV~1\HEWLET~1\HPORGA~1\bin/module.main/favorites\ie_add_to.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Yahoo! Servicios - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvcmx.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~4\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra 'Tools' menuitem: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab

O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-MX/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown owner - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

O23 - Service: Servicio de uso compartido de red del Reproductor de Windows Media (WMPNetworkSvc) - Unknown owner - C:\Archivos de programa\Windows Media Player\WMPNetwk.exe

--

End of file - 7419 bytes

y este es el del elistar

Tue May 31 06:27:10 2007

EliStartPage v14.10 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\FOTO_CELULAR.SCR.Muestra EliStartPage v14.10

a "virus@satinfo.es". Gracias.

C:\FOTO_CELULAR.SCR --> Eliminado

C:\FOTO_CELULAR.ZIP --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\MSNWORM.EXE.Muestra EliStartPage v14.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\MSNWORM.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\ODDYSEE.EXE.Muestra EliStartPage v14.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\ODDYSEE.EXE --> Eliminado

C:\WINDOWS\SYSTEM32\SVSCHOST.SYS --> Eliminado

C:\WINDOWS\SYSTEM32\Dllcache\KLOG.DAT --> Eliminado (Fichero Complementario).

Eliminado Servicio, "Oddysee"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad ($)

ShellExecute=Info.exe protect.ed 480 480

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

el unico que si no se que sea es la ultima parte. eso de info.exe me sale en regedit junto con rundll pero la verdad no se que sea.

y pues espero recibir apoyo de ustedes, les estare muy agradecido.

muchos saludos

Raul

Mensaje por **msc hotline sat** » 31 May 2007, 17:53

El ELISTARA te pide que nos envies estas tres muestras:

Por favor, envienos una muestra del fichero

C:\Muestras\FOTO_CELULAR.SCR.Muestra EliStartPage v14.10

Por favor, envienos una muestra del fichero

C:\Muestras\MSNWORM.EXE.Muestra EliStartPage v14.10

Por favor, envienos una muestra del fichero

C:\Muestras\ODDYSEE.EXE.Muestra EliStartPage v14.10

Lo has hecho ya ???

Sino, recuerda:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saudos

ms, 31-05-2007

mastercongo · Mensaje por **mastercongo** » 31 May 2007, 21:59

ya envie los ficheros.

gracias por la ayuda

Mensaje por **msc hotline sat** » 31 May 2007, 22:07

Ahora SATINFO ya está cerrado, como es lógico, pero mañana los analizaremos.

saludos

ms, 31-5-2007

mastercongo · Mensaje por **mastercongo** » 31 May 2007, 23:04

lo he solucionado.

elistara borra todo menos un archivo llamado starting.exe el cual esta incluido en c:\windows\system32\dllcache\

borrandolo en modo a prueba de fallos hizo que ya no se crearan nuevamente los archivos al inicio.

todo bien. ya

Mensaje por **msc hotline sat** » 01 Jun 2007, 05:58

Pues lo tendremos presente cuando hoy analicemos las muestras de esta nueva variante, gracias

y consideranso solucionado el Tema, procedemos a cerrarlo

Si nos necesita de nuevo, ya sabe donde estamos

saludos

ms, 1-06-2007

Mensaje por **msc hotline sat** » 01 Jun 2007, 19:23

Nota postcierre:

analizadas las muestras resultan ser de una nueva variante, como pensabamos, la cual de los tres "Reyes Magos" (que para nosotros no son Melchor, Gaspar y Baltasar, sino McAfee, NOD32 y Kaspersky :wink: ) en el analisis con VirusTotal que hemos hecho a primera hora de la tarde desde SATINFO, (ahora ya estoy en casa), solo McAfee lo detecta como Backdoor CEP

Como que ha dicho que ya estaba solucionado, solo cabe buscar si aun tiene estos tres ficheros y en su caso eliminarlos, aunque estén "aparcados"

Agradeciendo su colaboracion , si nos necesita de nuevo, ya sabe donde nos tiene

saludos

ms, 1-06-2007

Mensaje por **msc hotline sat** » 05 Jun 2007, 18:02

POSTCIERRE:

Recibidas muestras celular. Se implementan en el ELISTARA 14.12 de hoy que estará disponible a partir de las 20 h

saludos

ms, 5-06-2007

NOTA AL RESPECTO: SE HAN RECIBIDO ESTE FIN DE SEMANA MAS DE 150 MUESTRAS DE 47 USUARIOS AFECTADOS, DE LOS DIFERENTES FICHEROS QUE INTEGRAN LAS NUEVAS VARIANTES DE ESTE DICHOSO VIRUS.

ESPERAMOS QUE CON EL ELISTARA 14.12 ESTE CONTROLADO, DE MOMENTO ... ms.