Otro virus más del Messenger **** (SOLUCIONADO)

[jalpego]

[color=green][b][code]Bueno encontré otra discusión en éste foro respecto al virus del messenger que es supuestamente una foto.

Mi asistente lo ejecutó en su ordenador y no hay forma de conectarse a la red local y tampoco el messenger o el internet explorer tienen acceso a la red.

No hay antivirus que lo detecte, ni el EliStarA ni el EliTriip, ninguno lo reconoce tiene el nombre de este bicho es:

Img67.jpg.www.photoshack.com.

No sé mucho de esto pero lo encontré alojado en la carpeta de windows lo puse en archivo .rar y lo puse en mi servidor. La liga es: [/b][/color]

http://www.<interceptado>\VirusFotoMessenger.rar

Ojalá y alguien me pueda ayudar.[/code][color=green][/color][b][/b]

[lucl]

Pues envianos el archivo, lo analizamos y te daremos la herramienta necesaria, saludos





https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

[msc hotline sat]

Descargado fichero sospechoso.



Efectivamente es un nuevo malware que pasaremos a analizar el lunes cuando volvamos a trabajar en SATINFO, de momento hemos visto en un analisis ONLINE que se trata de ello:


[quote]File: IMG67.jpg.www.photoshack.com

Status: INFECTED/MALWARE

MD5: ea413e8dd78eca1835bb6a52b3f631c2

Packers detected: -

Bit9 reports: File not found



Scanner results

Scan taken on 14 Sep 2007 13:31:15 (GMT)

A-Squared Found nothing

AntiVir Found TR/Crypt.ULPM.Gen

ArcaVir Found Worm.Agent.R

Avast Found nothing

AVG Antivirus Found SHeur.MWP

BitDefender Found Trojan.Peed.Gen

ClamAV Found nothing

CPsecure Found nothing

Dr.Web Found nothing

F-Prot Antivirus Found nothing

F-Secure Anti-Virus Found Backdoor:W32/IRCBot.BOR, IM-Worm.Win32.Agent.r

Fortinet Found W32/Agent.R!worm.im

Kaspersky Anti-Virus Found IM-Worm.Win32.Agent.r

NOD32 Found nothing

Norman Virus Control Found W32/Malware.APWL

Panda Antivirus Found nothing

Rising Antivirus Found nothing

Sophos Antivirus Found W32/IRCBot-XV

VirusBuster Found nothing

VBA32 Found nothing
[/quote]

Por lo que parece se trata de otra variante de SDBOT, como los recientes img_0012 e img_0024 y este para variar llega como IMG67.jpg



lLa proxima version del ELITRIIP 3.89 ya se controlará



saludos



ms, 14-09-2007

[msc hotline sat]

Efectivamente, es otro SDBOT similar a los anteriores del i,g_0012, img_0024. etc, pero este se caracteriza por que el fichero gusano que emplea le llama CSRSS.EXE, en la carpeta C:\windows\system\ , igual que los anteriores hacen con los ficheros SERVICES.EXE y LSASS.EXE, para confundir con los normales de windows que están en la carpeta de sistema, que en XP es C:\windows\system32\



Con la version 3.89 del ELITRIIP de hoy estará controlado tambien este junto con los anteriores:


[quote="msc"]
En resumen, sobre esta nueva moda de SDBOT por messenger:



nombre como llegan y fichero gusano que crean , estos en carpeta de sistema, C:\windows\system32\ en XP:



P0017_JPG ..... SDBOT ...... ELITRIIP >3 .79 - RCIMLBY.EXE



Z058_JPG   ..... SDBOT ...... ELITRIIP > 3.82 - WDFMGR.EXE



G0038_JPG ..... SDBOT ...... ELITRIIP > 3.87 - CDSPEED.EXE



___________________





nombre como llegan y fichero gusano que crean, estos en carpeta c:\windows\system



IMG_0024 ...... SDBOT ...... ELITRIIP > 3.87 - SERVICES.EXE



IMG_0012 ...... SDBOT ...... ELITRIIP > 3.88 - LSASS.EXE



IMG67      ...... SDBOT ...... ELITRIIP > 3.89 - CSRSS.EXE



nota: ELITRIIP 3.89 será publicado hoy 17-09-2007


[/quote]

saludos



ms, 17-09-2007

[evangelion_01]

entonces cual es el que elimina las "fotos" del msn? el elitrip o el elistara???????

[Claudia34]

Pues por lo que dice ahi arriba es el Elitrip, aunque no te vendria mal probar con los dos, eso si fijate que tenga la verion que te nombran arriba, y postea los resultados aqui (con un copiar y pegar) para que lo podamos ver. Saludos.

[msc hotline sat]

Efectivamente , los ultimos son del tipo SDBOT y es con el ELITRIIP, pero anteriormente los habia tipo "celular", "foto_posse", etc que eran PWS y se eliminaban con el ELISTARA



Prueba los dos... como dice Claudia34



saludos



ms, 17-09-2007

[jalpego]

[size=150][color=darkblue]Hola a todos



Bueno el motivo de este post es de total agradecimiento y reconocimiento al equipo de SATINFO.



Hacen una labor excelente, sobre todo para los que carecemos de conocimientos suficientes para atacar estos males.



La herraienta ELITRIIP eliminó correctamente el malaware del equipo.



Saludos desde México.[/color][/size]

[img]http://www.gamemex.com/zip/Archivos/publica/Yomero.jpg[/img]

[msc hotline sat]

Pero no olvidar que si llegan estas utilidades a Mexico, es gracias a zonavirus, pues SATINFO tiene actualmente cobertura solo para España, y es el tandem entre los dos medios lo que resulta tan productivo y beneficioso.



Y con las muestras reportadas por los foreros, pieza clave en el engranaje, y los ensayos de las utilidades que se ofrecen en este foro para evaluacion, conseguimos mantener a raya y muchas veces antes que nadie, a virus y troyanos, aunque cada vez el liston esté mas alto !



Y con lo indicado, damos por solucionado este Tema, si bien cabe decir que los virus indicados ya son el pasado, pues cada día tenemos nuevas variantes, como los recientemente controlados Lechuck y "PHOTOS-JPG2.SCR" , o los de hoy "JUCHECK.EXE, PICTS-****.ZIP", y N039_JPG.ZIP, por mencionar los recientes mas significativos.



Es un placer ir ganando batallas, aunque no ganemos la guerra :roll: pero mientras haya lucha, señal que sobrevivimos :wink:



Gracias por su confianza



saludos



ms, 2-10-2007