Utilidades Elistara y Elitriip no terminan de escanear

Gramos · Mensaje por **Gramos** » 30 Jul 2007, 21:45

En una laptop de un alumno, con antivirus PCllin caducado, me fue imposible revisar el contenido de un pendrive. Al tratar de navegar en Internet, me di cuenta que estaba infectada con trojanos ya que me cambiaba las paginas a las que quería ingresar.

Inicié el equipo en modo seguro con funciones de red, descargé elistara y elitriip y los corrí en el equipo donde encontró varias alimañas y las eliminó, pero de momento no tengo el informe, por lo que no lo agrego. Con ambas utilidades, en modo seguro, al realizar la exploración no terminaban de realizarla y se cerraban sin aparecer el aviso del info ni preguntar por la página de inicio.

Corrí el antivirus en linea nanoscan (1 minuto) y detecta un trojano pero no lo elimina, al querer utilizar el otro antivirus recomendado, no se actualizan las firmas por lo que no funcionó (más de una hora esperando por las firmas).

en modo normal el elistara funcionó completo y encontró otro troyano, pero el equipo sigue fallando.

Que me recomiendan?

Mensaje por **msc hotline sat** » 31 Jul 2007, 05:38

Nos dice "el antivirus en linea nanoscan (1 minuto) y detecta un trojano"

Pues díganos cual y envíenos el fichero donde lo detecta para analizarlo: -> Para ello recordar: viewtopic.php?f=2&t=45334

saludos
ms, 31-07-2007

Gramos · Mensaje por **Gramos** » 01 Ago 2007, 00:08

ya con el equipo volvi a pasar el av online y no detectó nada. quizas por que antes no habia reiniciado en modo normal y el elistara no habia terminado de hacer su funcion
el problema que se presenta ahora es que el equipo no puede conectarse a internet por la red movil, no se si como consecuencia de los archivos eliminados por el elistara o elitrip u otra razon
copio el informe de las utilidades y ya envie el archivo solicitado

Tue Jul 31 08:43:33 2007
EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------

Código: Seleccionar todo

Lista de Acciones (por Acción Directa):
C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek
Por favor, envienos una muestra del fichero
C:\Muestras\INTERNT.EXE.Muestra EliStartPage v14.50
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\INTERNT.EXE --> Eliminado 
Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"
Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"
Se ha detectado que el Servidor DNS no es el de su ISP.
 IPs: 85.255.116.23,85.255.112.74
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Tue Jul 31 08:44:00 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Archivos comunes\DriveCleaner 2006 Free\SDRMON.EXE --> Eliminado, DriveCleaner(dldr)
C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek
C:\WINDOWS\system32\IGFXPPH.DLL --> Acceso Denegado, NetNucleus(BHO/TB)
Instalada Utilidad "ELINOTIF.DLL"

	  Tue Jul 31 08:53:06 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Jul 31 08:53:11 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Trend Micro\Internet Security 2007\drivers\CfwDriver\TM_CFW.sys --> Eliminado, RootKit
C:\WINDOWS\system32\drivers\TM_CFW.sys --> Eliminado, RootKit

EliNotify v1.7.07.27 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones:
Detectado Flush o DNSChanger
Desinstalado EliNotif.dll

	  Tue Jul 31 08:57:46 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\KDCBI.EXE --> Eliminado 
Se ha detectado que el Servidor DNS no es el de su ISP.
 IPs: 85.255.116.23,85.255.112.74
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Tue Jul 31 09:02:25 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\WINDOWS\system32\IGFXPPH.DLL.VIR --> Eliminado, NetNucleus(BHO/TB)

	  Tue Jul 31 09:54:57 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek
Por favor, envienos una muestra del fichero
C:\Muestras\INTERNT.EXE.Muestra EliStartPage v14.50
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\INTERNT.EXE --> Eliminado 
Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"
Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"
Se ha detectado que el Servidor DNS no es el de su ISP.
 IPs: 85.255.116.23,85.255.112.74
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Tue Jul 31 09:55:09 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Archivos comunes\DriveCleaner 2006 Free\SDRMON.EXE --> Eliminado, DriveCleaner(dldr)
C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek
C:\WINDOWS\system32\IGFXPPH.DLL --> Eliminado, NetNucleus(BHO/TB)
Instalada Utilidad "ELINOTIF.DLL"

	  Tue Jul 31 10:05:06 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Jul 31 10:05:09 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Trend Micro\Internet Security 2007\drivers\CfwDriver\TM_CFW.sys --> Eliminado, RootKit
C:\WINDOWS\system32\drivers\TM_CFW.sys --> Eliminado, RootKit

EliNotify v1.7.07.27 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones:
Detectado Flush o DNSChanger
Desinstalado EliNotif.dll

	  Tue Jul 31 10:28:45 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\KDCBI.EXE --> Eliminado 
Se ha detectado que el Servidor DNS no es el de su ISP.
 IPs: 85.255.116.23,85.255.112.74
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Tue Jul 31 10:30:00 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

	  Tue Jul 31 16:00:17 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Jul 31 16:00:20 2007
EliTriIP v3.78  (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

	  Tue Jul 31 16:07:49 2007
EliStartPage v14.50  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Se ha detectado que el Servidor DNS no es el de su ISP.
 IPs: 85.255.116.23,85.255.112.74

algo que note es que el equipo tiene actualizaciones de update pendientes pero al querer instalarlas marca error y no las instala

Gramos · Mensaje por **Gramos** » 01 Ago 2007, 05:48

en un nuevo intento logre instalar las actualizaciones. El antivirus pc cillin lo desinstale porque no era posible actualizarlo e instale el avg free edition. El acceso a internet solo lo puedo hacer mediante modem de una linea dedicada conectada a un puerto usb. La conexión inalambrica no es posible, a pesar que tiene una tarjeta PCI con conexion inalambrica (IUSACELL), además de la integrada en el equipo.
Hice un Hijackthis y note un archivo perdido en los servicios(23) pero me es imposible eliminarlo ya que lo arreglo (Fix) y vuelve a aparecer. Copioensegida el log para sus comentarios
Logfile of HijackThis v1.99.1
Scan saved at 22:05:55, on 31/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium DVD\EDICT.EXE
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\WINDOWS\webshots.scr
C:\Documents and Settings\Personal\Escritorio\HijackThis_1.99.1.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.mx
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Complemento del Asistente para Internet de Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O3 - Toolbar: Asistente para Internet de Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NBDriver] D:\NBDriver.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [E07EXLRD_573234] "C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: Barra de búsqueda de Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//cabs/nanoinst.cab
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Trend Micro Personal Firewall (TmPfw) - Unknown owner - C:\ARCHIV~1\TRENDM~1\INTERN~1\TmPfw.exe (file missing)

Mensaje por **msc hotline sat** » 01 Ago 2007, 05:52

Pues si no lo has hecho todavía, recuerda:

Por favor, envienos una muestra del fichero
C:\Muestras\INTERNT.EXE.Muestra EliStartPage v14.50

(Puede tratarse de una nueva variante del USBAuto) y analiza (EXPLORA) tus pendrive con el ELISTARA !!!

Además, mira lo que se indica en el infosat !!!:

"Se ha detectado que el Servidor DNS no es el de su ISP. IPs: 85.255.116.23,85.255.112.74 "
85.255.116.23 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company
85.255.112.74 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Tras informarse con su ISP de cuales le recomiendan, puede probar cambiarlos con CONFGDNS y tras probar el CONFGDFNS e instalar los que le indique su ISP, quedaran configuradas las nuevas direcciones IP, confirme volviendo a lanzar el HJT que ya no figuran las maliciosas.

saludos
ms, 1-08-2007

Gramos · Mensaje por **Gramos** » 09 Ago 2007, 05:53

Para no dejar el tema abierto, quiero contar como se solucionó el problema.

Despues de correr los antivirus en linea y las utilidades elistara y elitriip, los virus y trojanos fueron eliminados, pero el pccillin no los había detectado por estar desactualizado y no era posible actualizarlo, al desinstalarlo, por alguna razón no se desinstaló el firewall del mismo y bloqueó el acceso a internet con una especie de firewall virtual ya que aparecía como hardware. Como se había desinstalado no podía configurarse el firewall y el equipo no se conectaba a internet por la red inalambrica ni tampoco permitía restaurar el sistema a algun punto anterior.

Para solucionar el problema volví a instalar el Pccillin y marcó un error en la instalación pidiendo reiniciar la maquina y volver a instalarlo y al reiniciar el firwall desapareció solucionando el problema. La maquina ahora no tiene virus y se conecta normalmente a internet

Gracias por su ayuda. Por cierto el archivo solicitado fue enviado pero no se ha echo comentario si era algun virus o no

Mensaje por **msc hotline sat** » 09 Ago 2007, 06:34

Gracias por tu colaboración, Gramos, y por lo del fichero enviado, SATINFO está cerrado por vacaciones y las muestras se examinaran a la vuelta de las mismas, pero provisionalmente ya lo pusimos fuera de circulación con el ELISTARA

Para saber de lo que se trata, sube dicho fichero al VirusTotal y nos posteas el resultado, gracias

https://www.virustotal.com/es/

Dejo este Tema abierto para que puedas postear dicho informe, y asi poder cerrarlo con conocimiento de causa, gracias (Posiblemente se trate de una variante del Backdoor Peeper: http://www.info.ccss.sa.cr/dirinfo/virus1136.htm )

saludos
ms, 9-08-2007

Nota: Y has solucionado lo de los servidores de DNS ??? sino te pueden llevar al huerto ...

Gramos · Mensaje por **Gramos** » 09 Ago 2007, 19:17

El resultado de virus total fue:

Análisis del archivo INTERNT.EXE.Muestra.zip recibido el 09.08.2007 19:03:24 (CET)Motor antivirus Versión Última actualización Resultado
AhnLab-V3 2007.8.9.2 2007.08.09 -
AntiVir 7.4.0.57 2007.08.09 TR/Dldr.VB.anf.59
Authentium 4.93.8 2007.08.08 W32/Trojan.APOV
Avast 4.7.1029.0 2007.08.09 Win32:VB-CLQ
AVG 7.5.0.476 2007.08.09 Downloader.Generic4.SLZ
BitDefender 7.2 2007.08.09 Generic.Malware.GBdld.6FBBEF4A
CAT-QuickHeal 9.00 2007.08.09 (Suspicious) - DNAScan
ClamAV 0.91 2007.08.09 Trojan.Crypted-4
DrWeb 4.33 2007.08.09 BackDoor.Generic.1563
eSafe 7.0.15.0 2007.07.31 Win32.VB.anf
eTrust-Vet 31.1.5045 2007.08.09 -
Ewido 4.0 2007.08.08 Downloader.VB.anf
FileAdvisor 1 2007.08.09 -
Fortinet 2.91.0.0 2007.08.09 PossibleThreat
F-Prot 4.3.2.48 2007.08.08 W32/Trojan.APOV
F-Secure 6.70.13030.0 2007.08.09 Trojan-Downloader.Win32.VB.anf
Ikarus T3.1.1.12 2007.08.09 Trojan-Downloader.Win32.VB.anf
Kaspersky 4.0.2.24 2007.08.09 Trojan-Downloader.Win32.VB.anf
McAfee 5094 2007.08.09 W32/USBAuto.worm!rootkit
Microsoft 1.2704 2007.08.09 Worm:Win32/VB!A49B
NOD32v2 2447 2007.08.09 Win32/TrojanDownloader.VB.ANF
Norman 5.80.02 2007.08.08 W32/DLoader.CVKO
Panda 9.0.0.4 2007.08.09 Trj/Downloader.PDT
Rising 19.35.33.00 2007.08.09 Trojan.DL.VB.dpl
Sophos 4.19.0 2007.08.01 -
Sunbelt 2.2.907.0 2007.08.09 Trojan-Downloader.Gen
Symantec 10 2007.08.09 W32.SillyFDC
TheHacker 6.1.7.166 2007.08.09 Trojan/Downloader.VB.anf
VBA32 3.12.2.2 2007.08.09 Trojan-Downloader.Win32.VB.anf
VirusBuster 4.3.26:9 2007.08.09 -
Webwasher-Gateway 6.0.1 2007.08.09 Trojan.Dldr.VB.anf.59

Información adicional
Tama?rchivo: 16047 bytes
MD5: 4c4cdfc3b5377977db27a77d16e1f05c
SHA1: 9d36a5f81543c795fd44a44b1dd5c853c7664c21
packers: MASKPE
Sunbelt info: Trojan-Downloader.Gen is a group of Trojan Downloaders which install download and install multiple unwanted applications of adware and malware from remote servers.

Mensaje por **msc hotline sat** » 09 Ago 2007, 20:49

Pues McAfee, en quien mas confiamos, lo detecta como Rootkit y USBAUTO: McAfee 5094 2007.08.09 W32/USBAuto.worm!rootkit

Por lo que conviene examinar los pendrive, para lo cual podrías probar el nuevo AVONLINE de NOD32, ya que lo detecta y es capaz de eliminar la infección

Dejo el Tema abierto por si necesitas alguna ayuda al respecto, pues si bien yo marcho esta noche, quedará ADMIN y forer@s fieles que podrán ayudarte también

Coméntanos el resultado, gracias

saludos y FELICES VACACIONES

ms, 9-08-2007

Gramos · Mensaje por **Gramos** » 09 Ago 2007, 23:43

felices vacaciones y gracias

como comenté al principio se trata de la compu de un alumno y sepa dios cuantos pendrives se conecten a el pero le diré que trate de examinarlos todos y tenga cuidado

Gracias nuevamente

Utilidades Elistara y Elitriip no terminan de escanear

Utilidades Elistara y Elitriip no terminan de escanear

avance

actualización

actualización

virus total