PROBLEMAS CON Trj/Clicker.ZF

[maciasfuentes]

Hola a todos, desde hace días el Panda Antivirus Platinum me indica cada poco tiempo que ha neutralizado el virus Trj/Clicker.ZF.



Ya le he pasado al ordenador el el Ad-Aware SE, el SuperAntiSpyware y el Spybot, pero Panda sigue cada poco tiempo indicandome que ha neutralizado el virus.



Cuando le paso el Panda este no detecta nada.En un principio no he detectado problemas en el rendimiento del ordenador ni internet, pero es un suplicio estar quitando constantemente el aviso de Panda.



Alguien puede decirme como eliminar definitivamente este problema. Muchas Gracias a todos.

[Claudia34]

Pues descargate las siguientes herramientas de los siguientes enlaces respectivos, guardalos en una carpeta y lanzalos en modo a prueba de fallos:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.





Pasate tambien el Elitriip, y nos pegas el log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp





Y complementalo posteandonos el log del HJT:





HJT : (HiJackThis)



¿Como utilizar el Hijackthis ?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de windows y el otro escaneo en modo a prueba de fallos, obviamente peganos el log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.





Saludos.

[msc hotline sat]

Hay downloaders y dropers que regeneran el virus tras ser eliminado (se elimina al hijo pero no la madre)



Con el ELISTARA que le ha sugerido Claudia34, se detectan muchos de ellos, y si no se soluciona, con el log del HJT procederemos a analizarlo a ver qué encontramos ...



saludos



ms, 1-06-2007

[maciasfuentes]

Parece que el problema continua. Os comento los resultados del elistara t hijackthis.



El archivo infosat de elistara dice:





Thu Nov 09 15:51:09 2006

EliStartPage v12.67 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\WINDOWS\SYSTEM32\ISNOTIFY.EXE --> Puper Acceso Denegado.

C:\WINDOWS\SYSTEM32\ISHOST.EXE --> Eliminado Puper

C:\WINDOWS\SYSTEM32\ISMINI.EXE --> Puper-Is Renombrado a .VIR

C:\WINDOWS\SYSTEM32\ISSEARCH.EXE --> Eliminado Puper-Is

C:\WINDOWS\SYSTEM32\IXT0.DLL --> Eliminado Puper-Is (BHO)

C:\WINDOWS\SYSTEM32\IXT1.DLL --> Eliminado Puper-Is (BHO)

C:\ARCHIVOS DE PROGRAMA\SAVE\SAVE.EXE --> SaveNow Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\SAVEUNINST.EXE.Muestra EliStartPage v12.67

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\SAVE\SAVEUNINST.EXE --> Eliminado

C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKCU\...\Run] "WhenUSave"=""C:\Archivos de programa\Save\Save.exe""

Eliminada Class, "{39F25B12-74FF-4079-A51F-1D70F5B08B84}" -> C:\WINDOWS\System32\ixt0.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Nov 09 15:54:04 2006

EliStartPage v12.67 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\LANGSEL.EXE --> Eliminado, DownLoader.AXG (notify)

C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\PCLEMP3ENC.DLL --> Eliminado, Spam-Loot.dll

C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\SMARTMESSENGER.EXE --> Eliminado, Spy.Delf (BHO)

C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\STARTER.EXE --> Eliminado, DownLoader.AXG (notify)

C:\WINDOWS\system32\ISMINI.EXE.VIR --> Eliminado, Puper-Is

C:\WINDOWS\system32\ISNOTIFY.EXE --> Eliminado, Puper

C:\WINDOWS\system32\LTFIL13N.DLL --> Eliminado, WinAd

C:\WINDOWS\system32\PSDRVCHECK.EXE --> Eliminado, DownLoader.AXG (notify)

C:\WINDOWS\system32\SACSKZA.DLL --> Eliminado, FakeAlert



Thu Nov 09 17:19:09 2006

EliStartPage v12.67 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Archivos de Programa%\Save"

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Fri Jun 01 23:29:15 2001

EliStartPage v11.47 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.115.38,85.255.112.152

No detectado Parche MS06-001 de Microsoft instalado.

Eliminados Ficheros Temporales del IE



Fri Jun 01 23:34:40 2001











Y el Hijackthis.log es:





ogfile of HijackThis v1.99.1

Scan saved at 23:43:12, on 01/06/2001

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\ULI5289\ALi5289.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe

C:\WINDOWS\avp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe

C:\Archivos de programa\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe

C:\Archivos de programa\Microsoft ActiveSync\WCESCOMM.EXE

C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE

C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavProxy.exe

C:\WINDOWS\Notepad.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Documents and Settings\JAVI\Escritorio\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cikxi.info

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Microsoft Explorer - {3756900C-91CD-8645-BCA1-A735810F4101} - C:\WINDOWS\system\swtctl32.dll (file missing)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: bho3 Class - {58FB2CBB-C874-45FC-A1C9-B62CC9E3BED9} - C:\Documents and Settings\INES\521192224.dll (file missing)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: Helper Class - {890C7964-9320-4055-BE11-7D7B562A6417} - C:\WINDOWS\System32\mstrans1.dll (file missing)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [ALi5289] C:\Archivos de programa\ULI5289\ALi5289.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Archivos de programa\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [RegistrarCeresCertStoreDLL] C:\FNMT-RCM\ccs_setup.exe

O4 - HKLM\..\Run: [avp] C:\WINDOWS\avp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [InstantTray] C:\Archivos de programa\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe

O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Archivos de programa\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://C:\Archivos de programa\Windows Live Toolbar\Components\es-es\msntabres.dll.mui/229?74db4facddd342e298ae60d2d30a08c9

O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://C:\Archivos de programa\Windows Live Toolbar\Components\es-es\msntabres.dll.mui/230?74db4facddd342e298ae60d2d30a08c9

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Crear un favorito móvil - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INETREPL.DLL

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163084073608

O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{46AA0A4D-048A-4D8C-9208-B0E27A266EED}: NameServer = 85.255.115.38,85.255.112.152

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.38 85.255.112.152

O17 - HKLM\System\CS1\Services\Tcpip\..\{46AA0A4D-048A-4D8C-9208-B0E27A266EED}: NameServer = 85.255.115.38,85.255.112.152

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.38 85.255.112.152

O17 - HKLM\System\CS2\Services\Tcpip\..\{46AA0A4D-048A-4D8C-9208-B0E27A266EED}: NameServer = 85.255.115.38,85.255.112.152

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.38 85.255.112.152

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O21 - SSODL: IEFilter - {0CEB8CF4-9FA3-4130-B10F-76A6F8B41E58} - C:\WINDOWS\system32\IEFilter.dll (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe







A ver si sacamos algo. Muchisimas Gracias.

[msc hotline sat]

Se debe probar unicamente siempre la ultima version existente en la web, y el informe nos indica:



Fri Jun 01 23:29:15 2001

[b]EliStartPage v11.47[/b] (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.115.38,85.255.112.152

No detectado Parche MS06-001 de Microsoft instalado.

Eliminados Ficheros Temporales del IE





Estamos en la 14.11 , sin comentarios !!!



Aparte tiene configurados servidores de DNS maliciosos !



Descargue la version actual y repita la prueba:





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso





saludos



ms, 2-06.-2007



Nota: Quizas lo que ha pasado es que no ha posteado todo el infosat y lo ha cortado ... Tras actualizar version, posteelo entero, gracias