Tengo virus w32.Ecup y el Norton no lo quita (SOLUCIONADO)

[finlithwen]

Hola. Tengo el Norton antivirus, y en un escaneo detecto el virus w32.ecup en c:\archivos de programa\emule\incoming\sevillanasrocieras... El caso es que fue incapaz de eliminarlo, así que me fui a la página de ayuda de Symantec y seguí las instrucciones que daban allí, pero al hacer el escaneo en modo a prueba de fallos el Norton seguía encontrando el virus en el mismo sitio y seguía sin poder eliminarlo. Llegué hasta esta página buscando ayuda y leí algo de que había que ejecutar el elitriip, lo hice también en modo a prueba de fallos pero el norton sigue sin poder eliminar el virus. así que me bajé el HJT y aquí les dejo el log, espero que puedan ayudarme. GRACIAS









Logfile of HijackThis v1.99.1

Scan saved at 19:51:48, on 22/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\chat\CONFIG~1\Temp\Rar$EX00.062\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Archivos de programa\Archivos comunes\Symantec Shared\coShared\Browser\1.0\NppBho.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\es\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\es\msntb.dll

O3 - Toolbar: ToolBar Client - {DCF142A0-53A0-420A-84ED-764389A0F070} - C:\Archivos de programa\ToolbarClient\dlls\ToolBarClient.dll

O3 - Toolbar: Second ToolBar - {4BDEA342-F3FF-4B8A-A5FE-E8E4622EFC6B} - C:\Archivos de programa\ToolbarClient\dlls\ToolBarClient.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: Mostrar la Barra de herramientas de Norton - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Archivos de programa\Archivos comunes\Symantec Shared\coShared\Browser\1.0\UIBHO.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe

O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Archivos de programa\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe"

O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [EPSON Stylus CX3600 Series (Copiar 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P37 "EPSON Stylus CX3600 Series (Copiar 1)" /O5 "LPT1:" /M "Stylus CX3600"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [osCheck] "C:\Archivos de programa\Norton Internet Security\osCheck.exe"

O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"

O4 - HKLM\..\Run: [AgenteADSL_15] C:\Archivos de programa\Telefonica\KitAIM\AimExDll.exe AimGestA.dll 7

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - Startup: PalNetaware.lnk = C:\Paltalk\pnetaware.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: palstart.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - http://www.symantec.com/techsupp/asa/ctrl/LSSupCtl.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://martuscka.spaces.live.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100667659640

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - http://www.symantec.com/techsupp/asa/ctrl/SymAData.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\VAScanner\comHost.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Validación de contraseña de Symantec IS (ISPwdSvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\isPwdSvc.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)

O23 - Service: Programador de LiveUpdate automático - Symantec Corporation - C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\AppCore\AppSvc32.exe

[msc hotline sat]

Envianos estos ficheros sospechosos para analizar:





C:\Paltalk\pnetaware.exe



C:\Program Files\Media Access\MediaAccK.exe



C:\Program Files\Internet Optimizer\optimize.exe





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





Los ficheros indicados ya puedes renombrarlos a extension .VIR y asi en el proximo reinicio no se pondran en marcha. Tras analizarlos, si procede, implementaremos su control y eliminacion en nuestras utilidades y ya procederan con lo que haga falta en estos ficheros y otros que pudiera haber relacionados, ademas de restaurar las claves de registro correspondientes.



saludos



ms, 23-06-2007

[finlithwen]

He buscado los ficheros que me han dicho pero no aparecen en el ordenador, niguno de los tres, no sé como encontrarlos, por eso no puedo ni enviarle las muestras ni cambiar a extensión. vir. ¿Puede que estén ocultos? ¿si es así como hago para verlos? Gracias.

[finlithwen]

He seguido las instrucciones de su tutorial para ver archivos ocultos y aún así no aparecen. Ahora sí que no se me ocurre nada para encontrarlos (es que no tengo mucha idea de esto)

[Claudia34]

¿Haz probado encontrarlos en modo a prueba de fallos?

[msc hotline sat]

Si no los encuentras ni en modo seguro, ni configurando ver los ocultos o de sistema quizas los borrastes con algun antivirus, pero dejasta las claves de registro viricas, en tal caso elimina estas claves:





O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe



O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"



O4 - Startup: PalNetaware.lnk = C:\Paltalk\pnetaware.exe





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





saludos



ms, 23-06-2007

[efraingh]

Hola



Bueno, yo puedo comentarte con respecto al virus que detecta norton y que no puede eliminar que quiza este comprimido y hay antivirus como el caso del norton si mal no recuerdo que cuando estan comprimidos solo los detecta pero no los puede eliminar, hay que hacerlo a mano, seguir la ruta y normalmente el archivo comprimido no es un archivo util sino algun troyano y que puede eliminarse completo, mas por la ubicacion que mencionas que es un Software de descargas (el Emule).



En este caso, antes de eliminarlo quiza la gente del foro quiera que le envies muestra de ese archivo comprimido, pero como que el norton lo detecta ya debe estar controlado.



Espero te sirva este comentario.



Saludos

Efrain Glez

[msc hotline sat]

Vereis, el ECUP o PUCE deja su huella en muchas carpetas y demás:


[quote="SYMANTEC"]
Discovered: May 25, 2006

Updated: May 31, 2006 11:26:46 AM

Also Known As: W32/Generic.x!39379387 [McAfee]

Type: Worm

Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP



W32.Ecup is a worm that spreads through file-sharing networks.



Once executed, the worm copies itself as:

%Temp%\svchost.exe



The worm then copies itself as:



updated-fixed [MONTH]-[DAY].zip

updated-fixed [MONTH]-[DAY].rar

Setup.exe

Install.exe

_Run_Me_First.exe





in the following folders:



D:\Program files\emule\incoming

C:\Program files\emule\incoming

E:\Program files\emule\incoming

C:\Download

D:\Download

E:\Download

C:\T chargement

D:\T chargement

E:\T chargement

C:\Incoming

D:\Incoming

E:\Incoming

F:\Incoming

G:\Incoming

C:\Archivos de programa\emule\incoming

D:\Archivos de programa\emule\incoming

E:\Archivos de programa\emule\incoming

C:\Program Files\Kazaa Lite K++\My Shared Folder

D:\Program Files\Kazaa Lite K++\My Shared Folder

E:\Program Files\Kazaa Lite K++\My Shared Folder

C:\Program files\KMD\My Shared Folder

KD:\Program files\KMD\My Shared Folder

E:\Program files\KMD\My Shared Folder

:k(C:\Program files\KaZaA Lite\My Shared Folder

D:\Program files\KaZaA Lite\My Shared Folder

E:\Program files\KaZaA Lite\My Shared Folder

C:\Program files\Morpheus\My Shared Folder

D:\Program files\Morpheus\My Shared Folder

E:\Program files\Morpheus\My Shared Folder

C:\Program files\BearShare\Shared

D:\Program files\BearShare\Shared

E:\Program files\BearShare\Shared

C:\Program files\Edonkey2000\Incoming

D:\Program files\Edonkey2000\Incoming

E:\Program files\Edonkey2000\Incoming

C:\My Downloads

D:\My Downloads

E:\My Downloads

C:\My Shared Folder

D:\My Shared Folder

E:\My Shared Folder

C:\Program files\appleJuice\incoming

D:\Program files\appleJuice\incoming

E:\Program files\appleJuice\incoming

C:\Program files\Gnucleus\Downloads

D:\Program files\Gnucleus\Downloads

E:\Program files\Gnucleus\Downloads

C:\Program files\Grokster\My Grokster

D:\Program files\Grokster\My Grokster

E:\Program files\Grokster\My Grokster

C:\Program files\ICQ\shared files

D:\Program files\ICQ\shared files

E:\Program files\ICQ\shared files

C:\Program files\KaZaA\My Shared Folder

D:\Program files\KaZaA\My Shared Folder

E:\Program files\KaZaA\My Shared Folder

C:\Program files\LimeWire\Shared

D:\Program files\LimeWire\Shared

E:\Program files\LimeWire\Shared

C:\Program files\Overnet\incoming

D:\Program files\Overnet\incoming

E:\Program files\Overnet\incoming

C:\Program files\Shareaza\Downloads

D:\Program files\Shareaza\Downloads

E:\Program files\Shareaza\Downloads

C:\Program files\Swaptor\Download

D:\Program files\Swaptor\Download

E:\Program files\Swaptor\Download

C:\Program files\WinMX\My Shared Folder

D:\Program files\WinMX\My Shared Folder

E:\Program files\WinMX\My Shared Folder

C:\Program files\Tesla\Files

D:\Program files\Tesla\Files

E:\Program files\Tesla\Files

C:\Program files\XoloX\Downloads

D:\Program files\XoloX\Downloads

E:\Program files\XoloX\Downloads

C:\Program files\Rapigator\Share

D:\Program files\Rapigator\Share

E:\Program files\Rapigator\Share





This may result in some files being overwritten in the above folders.



The worm then creates the following registry entry so that it is executed every time Windows starts:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"WindowsServicesStartup" = "%Temp%\svchost.exe 1"



The worm creates the file %CurrentFolder%\log.txt and opens it, displaying the following text:

PRE-INSTALL v1.07

(C) pUcE Software 2006

Pre-install has checked your config.

Everything is ok, you can now run the setup program

Enjoy!
[/quote]

Por lo que si solo lo detectó en un fichero tambien podría ser una falsa alarma, y en cualquier caso, si este no es imprescindible, propongo eliminarlo arrancando en modo seguro y borrandolo.



saludos



ms, 24-06-2007

[finlithwen]

Eliminé las 3 claves con el HJT tal y como me dijeron, y busqué el archivo que el norton reconocía como un virus, y vi que efectivamente era un archivo comprimido (.rar) Como este archivo nunca ha sido abierto, y leyendo los consejos que me daban, lo he eliminado en modo a prueba de fallos, ya solo me queda pasar de nuevo el Norton en modo seguro a ver si está todo solucionado. No lo hago hoy porque tarda por lo menos 5 horas en escanear el disco completo, pero cuando lo haya hecho mañana les cuento el resultado. Muchísimas gracias.

[msc hotline sat]

Pues tanto si era falsa alarma como si era un empaquetado conteniendo el virus, con ello se habrá solucionado el problema.



Informenos de la comprobacion final, para proceder en consecuencia



saludos



ms, 26-06-2007

[finlithwen]

Efectivamente, ya está todo solucionado, muchas gracias por ayudarme a desfacer el entuerto :P

[msc hotline sat]

[url=http://forum.telecharger.01net.com][img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]



Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo.



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 27 de Junio de 2007