que pasa con el foto_celular

[xpak]

buen dia la verdad este foto_celular me tiene medio loco, no que mas hacer para eliminarlo y nada me funciona, prove con el elistara y me genero este post, espero lo puedan ver y me colaboren.

hu May 31 23:05:59 2007

EliStartPage v14.09 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\FOTO_CELULAR.SCR --> Eliminado MalWare.Celular

C:\FOTO_CELULAR.ZIP --> Eliminado

C:\WINDOWS\SYSTEM32\ODDYSEE.EXE --> Eliminado MalWare.Celular

C:\WINDOWS\SYSTEM32\SVSCHOST.SYS --> Eliminado

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



gracias

jaime saldarriaga

[msc hotline sat]

Pues recuerde lo que indicamos del NTOSKRNL...

Así que para eliminar el troyano del FOTOS_CELULAR puede probarse el ELISTARA


ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso


y luego hay que restaurar el fichero NTOSKRNL tanto de la carpeta de sistema como de la de DLLCACHE, para lo que puede hacerse una REPARACION de windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate , o bien mas fácil y que ha funcionado hasta ahora en los casos que lo hemos probado:

Se ha comprobado en varios casos que renombrando el NTOSKRNL.EXE de la carpeta de sistema, a extension .VIR y luego eliminando dicho fichero de la carpeta DLLCACHE, que cuelga de la de sistema, este fichero se vuelve a regenerar (posiblemente de la carpeta I386) y se restauran en ambas carpetas el fichero original limpio, con lo que se evita en muchos casos el tener que REPARAR el sistema.

y actualice los parches de microsoft, que le faltan muchos !!! lance un windowsupdate:

https://support.microsoft.com/es-es/hel ... update-faq

saludos
ms, 1-06-2007

[msc hotline sat]

Y para buscar si hay algo mas que no conozcamos, prueba esta utilidad:





SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Y posteanos el contenido del C:\SPROCLOG.TXT :



saludos



ms, 2-06-2007

[msc hotline sat]

Y mirad si encontrais lo siguiente:

Como que por aqui hay un rootkit que nos esconde procesos, claves y ficheros, arrancar en modo seguro y buscar este fichero STARTING.EXE ESTÉ DONDE ESTÉ, pues si está en DLLCACHE se reproduce de donde lo borremos...

Sobre todo renombrarlo a .VIR y ENVIARNOS MUESTRA !!!

Espero que si se hace junto con lo demas desaparezca el problema !!!

saludos

ms, 3-06-2007

nota: gracias a viewtopic.php?f=5&t=18907