[AYUDA] Paginas chinas (SOLUCIONADO)

elturko · Mensaje por **elturko** » 25 Sep 2007, 17:19

Cada tanto me salen unas paginas automaticamente; Hace unos dias atras, tambien salian, pero le habia pasado el Elistara, y dejaron de aparecer, hasta hoy.

Aca dejo el LOG:

Tue Sep 25 12:11:58 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (C)

open=pagefile.pif

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Tue Sep 25 12:12:14 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

***************************************

Estas son las 2 paginas

http://<Intervenido>

http://<Intervenido>

Mensaje por **lucl** » 25 Sep 2007, 17:49

Complementa analisis con elitriip y ademas peganos log de hijackthis, saludos

http://www.zonavirus.com/descargas/elitriip.asp

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, informaremos

Mensaje por **msc hotline sat** » 25 Sep 2007, 19:13

Y comentenos si conoce lo indicado al repecto de :

"Detectado AUTORUN.INF en la Unidad (C)

open=pagefile.pif

Si Desconoce la Aplicación, por favor envienosla "

Si este pagefile.sys no sabe lo que es, envienoslo junto con el AUTORUN.INF segun indicamos:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 25-09-2007

elturko · Mensaje por **elturko** » 26 Sep 2007, 00:40

Bueno creo que el tema esta solucionado ya.

Aca estan los Log que faltaban

Elitrip:

Tue Sep 25 19:29:25 2007

EliTriIP v3.92 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\AUTORUN.INF --> Eliminado

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Tue Sep 25 19:29:38 2007

EliTriIP v3.92 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

******************************

Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 19:34:27, on 25/09/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Softwin\BitDefender10\bdmcon.exe

C:\Archivos de programa\Softwin\BitDefender10\bdagent.exe

C:\WINDOWS\system32\com\lsass.exe

C:\WINDOWS\system32\com\smss.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Update Service\livesrv.exe

C:\Archivos de programa\Softwin\BitDefender10\vsserv.exe

C:\Archivos de programa\LPerri\CiberControl 5.0 PRO\Control.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Documents and Settings\Administrador\Escritorio\download-cs16full_v7.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [BDMCon] "C:\Archivos de programa\Softwin\BitDefender10\bdmcon.exe" /reg

O4 - HKLM\..\Run: [BDAgent] "C:\Archivos de programa\Softwin\BitDefender10\bdagent.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Archivos de programa\Softwin\BitDefender10\vsserv.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

***************************************

Gracias...

Claudia34 · Mensaje por **Claudia34** » 26 Sep 2007, 02:22

Realiza un windows update, que te faltan parches del año pasado. Saludos.

Mensaje por **msc hotline sat** » 26 Sep 2007, 06:38

Pues no está solucionado !

Tiene en proceso estos dos ficheros sospechosos o mas bien dicho, posiblemente maliciosos:

C:\WINDOWS\system32\com\lsass.exe

C:\WINDOWS\system32\com\smss.exe

Envienoslos para analizar, pero ojo, no se confunda con los que tendrá con el mismo nombre en c:\windows\system32\ que son del sistema !

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 26-09-2007

Mensaje por **msc hotline sat** » 28 Sep 2007, 10:00

Recibidos los dos ficheros, resultan ser ujna variante del VB.Pagipef , virus que con estos dos ficheros se autoptotegen de manera que si borras uno u otro se autoregeneran.

Lo importante ademas es que infecta todas las unidades creando en ellas un AUTORUN.INF que en los pendrives hace que estos infecten las maquinas en los cuales simplemente ellos se conecten

Pasamos a monitorizarlos y una vez analizados los controlaremos y eliminaremos con la version 14.73 del ELISTARA de hoy

saludos

ms, 28-09-2007

elturko · Mensaje por **elturko** » 28 Sep 2007, 17:18

Mira pase el Elistara ese que me dijiste, al pricipio no arrancaba el proceso, se quedaba en Restaurando ...

Tube que abrir el Administrador de tareas, y cerrar muchas aplicaciones, luego de eso, pase el Elistara, y elimino un troyano. Pero al finalizar la exploracion, me salio este mensaje ``...Sistema infectado por troyano de AppInit. Puede requerir Arrancar en consola de reparacion para Eliminarlo...´´

De todas formas dejo el Log que me dio el Elistara

Fri Sep 28 11:45:41 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\COM\LSASS.EXE --> Eliminado Pagipef.B

C:\WINDOWS\SYSTEM32\COM\SMSS.EXE --> Eliminado Pagipef.B

Por favor, envienos una muestra del fichero

C:\Muestras\AVZXDMN.DLL.Muestra EliStartPage v14.73

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\AVZXDMN.DLL --> Acceso Denegado.

Fri Sep 28 12:07:06 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\AVZXDMN.DLL.Muestra EliStartPage v14.73

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\AVZXDMN.DLL --> Acceso Denegado.

Fri Sep 28 12:08:37 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\AVZXDMN.DLL.Muestra EliStartPage v14.73

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\AVZXDMN.DLL --> Acceso Denegado.

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 28 12:08:43 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\AUTORUN.INF --> Eliminado, Pagipef.B(inf)

C:\PAGEFILE.PIF --> Eliminado, Pagipef.B

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

-----------------

Gracias.

Mensaje por **msc hotline sat** » 28 Sep 2007, 18:19

Mira la ultima linea del informe, y aplicate el cuento ...

https://foros.zonavirus.com/viewtopic.php?f=5&t=18469

saludos

ms, 28-09-2007

elturko · Mensaje por **elturko** » 28 Sep 2007, 19:34

Disculpa, pero no entendi mucho lo que me dijiste...

Refiriendome a ``Aplicate el cuento´´

Otra: En conclusion, debo descargar el Elistara, colocarlo en en una carpeta de en C:, acontinuacion descargar el ELINOTIF.DLL, y colocarlo en la misma carpeta del Elistara, ahora pruebo el Elistara, reinicio, y listo?

Mensaje por **lucl** » 28 Sep 2007, 20:12

si, y ademas te ha dejado una nueva muestra, envianosla por favor , gracias, saludos

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

elturko · Mensaje por **elturko** » 29 Sep 2007, 01:14

Bueno pase el Elistara, e hice todo lo que debia hacer, al finalizar el proceso del Elistara decteto algo y lo elimino, reinicié la maquina y antes que arranque el Explorer.exe, al iniciarse la pc, se me abrio una ventana del Elistara, volvi a explorar, y no encontro nada, pero al clicklear en SALIR, me volvio a aparecer el mismo mensaje... De todas formas pego el Log

Fri Sep 28 17:25:29 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\AUTORUN.INF --> Eliminado, Pagipef.B(inf)

C:\PAGEFILE.PIF --> Eliminado, Pagipef.B

C:\WINDOWS\system32\Com\SMSS.EXE.VIR --> Eliminado, Pagipef.B

Instalada Utilidad "ELINOTIF.DLL"

EliNotify v1.7.09.05 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado SurfSideKick

C:\WINDOWS\SYSTEM32\kaqhdzy.dll -> Acceso Denegado.

Desinstalado EliNotif.dll

Fri Sep 28 17:32:27 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\kaqhdzy.dll.VIR --> Eliminado.

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 28 17:33:10 2007

EliStartPage v14.73 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Instalada Utilidad "ELINOTIF.DLL"

Paso a comentarles, la pc, se nota que anda mucho mas rapido ahora, entro a internet sin ningun problema, pero dando un vistazo en el C:, encontre la carpeta muestras, con 7 archivos mas... asi que bueno, les mando un mail con dichos archivos...

Saludos

Claudia34 · Mensaje por **Claudia34** » 29 Sep 2007, 03:50

Y no te vendria mal tambien, mientras probar los siguientes antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:

https://www.virustotal.com/es/

https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//

Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:

http://www.zonavirus.com/antivirus-on-line/

Mensaje por **msc hotline sat** » 29 Sep 2007, 07:42

Bueno, elturko, creo que ya estás limpio, y la expresion de "aplicate el cuento" es una frase coloquial de hacer lo que para ello se indica, quizas por acá no la useis...

EL lunes analizaremos las muestras recibidas y las implementaremos en las nuevas versiones de nuestras utilidades, de lo cual informaremos.

saludos

ms, 29-09-2007

elturko · Mensaje por **elturko** » 29 Sep 2007, 16:21

Lamentablemete, volvi a tener un altercado con estos virus...

Mis posts anteriores, eran de mi maquina personal; Y el post que realize aquí, es de la servidora de mi Cyber; Hoy cuando abri, prendi la pc; antes que arranque el explorer, inicio el Elistara, encontro un virus, y los mensajes que me salieron fueron los mismo que posteé el dia de ayer, ademas la encontre muy lenta, y ni siquiera podia iniciar el CyberControl; No me quedo mas que reiniciar y arrancar en modo seguro con funciones de red; Por lo que me parece a mi, voy a tener que formatear; Por que al iniciar normalmente, como te cuento; La pc va muy lenta; Luegos les cuento, que fue lo que paso; igual muchas gracias...

Mi forma de agradecer es clikeando en los anuncios....

Sin mas, saludo atte.

CML.

Mensaje por **lucl** » 29 Sep 2007, 18:02

no tires la toalla aun elturko, espera que el lunes te analicen los envios y te daran la herramienta necesaria para eliminarla, saludos

Mensaje por **msc hotline sat** » 29 Sep 2007, 20:30

Recuerda que has tenido el virus y que todos los pendrive que ha tocado esta maquina han sido infectados, y ellos infectaran todas las maquina en los que se conecten:

[quote]Recibidos los dos ficheros, resultan ser ujna variante del VB.Pagipef , virus que con estos dos ficheros se autoptotegen de manera que si borras uno u otro se autoregeneran.

Lo importante ademas es que infecta todas las unidades creando en ellas un AUTORUN.INF que en los pendrives hace que estos infecten las maquinas en los cuales simplemente ellos se conecten

Pasamos a monitorizarlos y una vez analizados los controlaremos y eliminaremos con la version 14.73 del ELISTARA [/quote]

Creo que lo debes tener muy presente si está en un cyber ...

saludos

ms, 29-09-2007

Mensaje por **msc hotline sat** » 01 Oct 2007, 16:34

Recibidas 6 diferentes DLL para analizar, corresponden a 6 diferentes PWS, que pasamos a controlar con la nueva version de hoy del ELISTARA 14.74 que estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus, a partir de las 19 h GMT de hoy

saludos

ms, 1-10-2007

elturko · Mensaje por **elturko** » 02 Oct 2007, 18:25

En el cyber no tengo Internet, por un problema de Telefonica, asi que ahora les escribo desde mi casa; Como les comente, la unica manera de arrancar la pc sin que se cuelgue al iniciar Windows, es en modo a prueba de fallos con funciones de red.

Esta noche paso el nuevo Elistara en las 6 pc, y les cuento...

Una pregunta, tengo un Motorola A1200i, este funciona con un sistema operativo Linux, se puede pasarle el Elistara a la memoria??

Muchisimas gracias.

Sin mas saludo atte.

Mensaje por **msc hotline sat** » 02 Oct 2007, 18:28

No, el ELISTARA no escanea memoria ni trabaja en LINUX.

Es para windows, analiza ficheros y claves de registro

saludos

ms, 2.10-2007

elturko · Mensaje por **elturko** » 02 Oct 2007, 20:19

Me podrias recomendar algo para pasarle a la memoria de mi Motorola a1200i, por que seguro esta infectado...

elturko · Mensaje por **elturko** » 02 Oct 2007, 22:35

Problema solucionado, el servidor funciona como el primer dia; Sin mas saludo atte.

Gracias.

Mensaje por **msc hotline sat** » 03 Oct 2007, 14:01

[url=http://forum.telecharger.01net.com]

[img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo.

Si nos necesita de nuevo, ya sabe donde estamos

saludos

ms, 3 de Octubre de 2007