Amenaza tras 30min sin usar ordenador A0066853.dll

[integer]

Hola a todos!, a ver si me pueden ayudar. Tengo instalado el AVG antivirus y todo me va correctamente, solo que al dejar el ordenador encendido sin hacer nada al cabo de un tiempo me aparece el siguiente mensaje:



[img]http://img166.imageshack.us/img166/4536/virusdw9.gif[/img]



Da igual que lo repare o lo deje en cuarentena, a la siguiente vez me vuelve a aparecer. ¿Este archivo es algun troyano realmente?

[lucl]

para troyanos tenemos dos buenas herramientas, pasalas y peganos luego el log que te dejara en C infosat.txt y veremos lo que te han echo, saludos





http://www.zonavirus.com/descargas/elistara.asp



http://www.zonavirus.com/descargas/elitriip.asp

[msc hotline sat]

y con el mismo AVG, pero desactivando la restauracion del sistema (al estar en el RESTORE) y arrancando en modo seguro, lanzando dicho antivirus debería poder eliminarlo tambien



saludos



ms, 23-08-2007

[integer]

Aquí les dejo el resultado, ¿todo eso que eliminó era malo?:





Thu Aug 23 23:22:59 2007

EliTriIP v3.78 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):



Thu Aug 23 23:25:48 2007

EliTriIP v3.78 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Logitech\QuickCamWebInstall\autorun.inf --> Infectado, BackDoor.CMQ (inf)

C:\Archivos de programa\Macromedia\Dreamweaver 8\Configuration\JSExtensions\SSITranslator.dll --> Infectado, BackDoor.CMQ (dropper)

C:\BackUp_60GB\Archivos de programa\Dark Basic Software\Dark Basic\lang\spanish\help\examples\system\dbImageAccess.dll --> Infectado, SdBot.worm.gen.G

C:\BackUp_60GB\Archivos de programa\Macromedia\Dreamweaver 8\Configuration\JSExtensions\SSITranslator.dll --> Infectado, BackDoor.CMQ (dropper)

C:\BackUp_60GB\Archivos de programa\NASCAR SimRacing Demo\autorun.inf --> Infectado, BackDoor.CMQ (inf)

C:\BackUp_60GB\WINDOWS\system32\drivers\oreans32.sys --> Infectado, Bifrose (sys)



Fri Aug 24 00:02:18 2007

EliTriIP v3.78 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):



Fri Aug 24 01:27:12 2007

EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\AVGWLNTF] -> C:\WINDOWS\SYSTEM32\avgwlntf.dll

Por favor, envienos una muestra del fichero

C:\Muestras\AVGWLNTF.DLL.Muestra EliStartPage v14.50

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\AVGWLNTF.DLL --> Renombrado a .VIR

C:\WINDOWS\WT\WEBDRIVER.DLL --> Eliminado

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Aug 24 01:29:11 2007

EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Autodesk\3dsMax8\RESMGR.DLL --> Eliminado, Puper-Is

C:\Archivos de programa\THQ\Titan Quest\FONTCOMPILER.EXE --> Eliminado, 180Solutions

C:\BackUp_60GB\3dsmax7\RESMGR.DLL --> Eliminado, Puper-Is

C:\BackUp_60GB\Archivos de programa\Archivos comunes\BOONTY Shared\Service\BOONTY.EXE --> Eliminado, Boonty Games

C:\BackUp_60GB\Archivos de programa\Autodesk\3dsMax8\RESMGR.DLL --> Eliminado, Puper-Is

C:\BackUp_60GB\Archivos de programa\Dark Basic Software\Dark Basic\lang\spanish\help\examples\system\DBIMAGEACCESS.DLL --> Eliminado, PWS-WoW

C:\BackUp_60GB\Archivos de programa\Registry Mechanic\UPDATE.EXE --> Eliminado, Spy.Delf (BHO)

C:\BackUp_60GB\WINDOWS\IPUNINST.EXE --> Eliminado, Keylog-Briss

C:\WINDOWS\IPUNINST.EXE --> Eliminado, Keylog-Briss

[msc hotline sat]

Pues teniendo como tenía el downloader PUPER, cabe pensar que muchos de estos troyanos habian sido descargados por él.



Pero fijese que le pedimos que nos envie un fichero:



"Por favor, envienos una muestra del fichero

C:\Muestras\AVGWLNTF.DLL.Muestra EliStartPage v14.50 "



Podría ser un falso positivo al parecer ser una DLL de AVG, pero envienoslo indicando en el texto del mail donde lo adjunte, que :



PUEDE TRATARSE DE UN FALSO POSITIVO- REVISAR



Si asi fuera, lo corregiriamos y vd podría volver a copiar este fichero de C:\muestras en su lugar, de lo cual ya hablaremos en su caso.





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





saludos



ms, 24-08-2007

[integer]

OK, acabo de enviar el archivo. La dll que borró del directorio 3dsmax8 [i]"C:\Archivos de programa\Autodesk\3dsMax8\RESMGR.DLL --> Eliminado, Puper-Is"[/i] no me deja arrancar el programa. ¿No hay manera de reparar esa dll en vez de borrarla?

[msc hotline sat]

Renombra a extension .VIR y asi no la borras pero la aparcas



y nos comentas el resultado, gracuas



saludos



ms, 24-08-2007

[msc hotline sat]

Pues la muestra recibida ha resultado ser un falso positivo, pasamos a excluir su deteccion a partir del ELISTARA de hoy 14.58



mejor volver a instalar el AVG, pues esta DLL y su clave es de ellos.



saludos



ms, 5-09-2007