Nuevo virus

Mensaje por **msc hotline sat** » 23 Nov 2007, 09:52

Pues el fichero sigue estando:

C:\WINDOWS\SYSTEM32\__C00DB1B1.DAT --> Acceso Denegado.

Si no puedes eliminarlo con el KILLBOX como te hemos indicado, arranca con el CD de instalacion, entra en la CONSOLA DE RECUPERACION y desde DOS ve a la carpeta de sistema y elimina dicho fichero, asi no habrá nada residente que lo impida.

Por si tuviera atributos, desde la consola entra ATTRIB C:\WINDOWS\SYSTEM32\__C00DB1B1.DAT y veras fichero y atributos, quitalos si los hay para poder eliminarlo con un DEL.

saludos

ms, 23-11-2007

jmfagudo · Mensaje por **jmfagudo** » 26 Nov 2007, 15:46

El Killbox los elimina bien, el problema es que cada vez que arranco genera otro _c00......dat

No se cual es el que lo genera para matarlo y que nos siga generando, sobre todo me sigue apareciendo muchas paginas de publicidad.

Espero comentarios

Gracias

Mensaje por **lucl** » 26 Nov 2007, 16:54

No obstante intenta esto que te dijo msc te copio

[i]Por si tuviera atributos, desde la consola entra ATTRIB C:\WINDOWS\SYSTEM32\__C00DB1B1.DAT y veras fichero y atributos, quitalos si los hay para poder eliminarlo con un DEL. [/i]

y nos comentas, saludos

jmfagudo · Mensaje por **jmfagudo** » 27 Nov 2007, 08:32

Mientras realizo lo de la consola, os paso el log del ultimo Elistar

Mon Nov 26 23:24:02 2007

EliStartPage v15.11 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminado Servicio, "DomainService"

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

OPEN=Info.exe folder.htt 480 480

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Mon Nov 26 23:24:41 2007

EliStartPage v15.11 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\KIHJWQPO.DLL --> Acceso Denegado, Vundo5

C:\WINDOWS\system32\LAQUWNSQ.DLL --> Eliminado, Morphine(notify)

C:\WINDOWS\system32\QNCBQEDU.EXE --> Acceso Denegado, DownLoader.Tiny.ID

C:\WINDOWS\system32\VGUBMIPN.EXE --> Acceso Denegado, FotoMoto

C:\WINDOWS\system32\__C00455C1.DAT --> Acceso Denegado, Morphine(notify)

Nº Total de Directorios: 12108

Nº Total de Ficheros: 99759

Nº de Ficheros Analizados: 22563

Nº de Ficheros Infectados: 5

Nº de Ficheros Limpiados: 1

Mon Nov 26 23:43:17 2007

EliStartPage v15.11 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Nº Total de Directorios: 198

Nº Total de Ficheros: 9202

Nº de Ficheros Analizados: 2292

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Instalada Utilidad "ELINOTIF.DLL"

EliNotify v1.7.10.25 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado SurfSideKick

C:\WINDOWS\SYSTEM32\C:\WINDOWS\system32\__c00455C1.dat -> Acceso Denegado.

Desinstalado EliNotif.dll

Mensaje por **lucl** » 27 Nov 2007, 08:47

Y estos que te dice acceso denegado

C:\WINDOWS\system32\KIHJWQPO.DLL --> Acceso Denegado, Vundo5

C:\WINDOWS\system32\QNCBQEDU.EXE --> Acceso Denegado, DownLoader.Tiny.ID

C:\WINDOWS\system32\VGUBMIPN.EXE --> Acceso Denegado, FotoMoto

intenta acceder a ellos y enviarnoslos, saludos

Mensaje por **msc hotline sat** » 27 Nov 2007, 12:36

Como que ya estan identificados con nombre y apellidos de los troyanos correspondientes, los puedes eliminar, pues ya tenemos las muestras originales.

Para ello lo puedes hacer con el KILLBOX o arrancando en consola de recuperacion con el CD de instalacion, pero como que es mal facil lo primero, pruebalo antes:

http://www.zonavirus.com/datos/descargas/193/Pocket_KillBox.asp

y nos comentas elñ resultado, gracias

saludos

ms, 27-11-2007

jmfagudo · Mensaje por **jmfagudo** » 28 Nov 2007, 19:17

He mirado y ya no estan, normalmente si estan no existe problema de borrarlos con el Killbox.

El problema es que se sigen generando mas ficheros de estos cada vez que enciendo el ordenador, tiene que haber uno que no detectamos y que sigue generando ma de estos, ya que ahora que estos no estan sigo teniendo mucha publicidad que interrumpe las sesiones de conexion a internet, supongo que es un virus que lo produce.

He comprobado tambien que el nº de ficheros del System32 van aumentando y no he instalado nada, esto quiere decir que algun proceso los crea, no se si tiene que ser así, pero algunos que he identificado como nuevos son los que luego detecta el Elistar.

Decirme por donde sigo

Gracias

Mensaje por **msc hotline sat** » 28 Nov 2007, 19:22

Prueba los nuevos ELISTARA / ELINOTIF que acabo de subir, controlan nuevas variantes y nuevos métodos en el ELINOTIF.

Luego nos posteas el infosat.txt generado, gracias

saludos

ms, 28-11-2007

jmfagudo · Mensaje por **jmfagudo** » 30 Nov 2007, 08:38

Os pego a continuacion el fichero del Eli....

He vista que el fichero _C00EA650.dat ya no esta, lo mismo con los otros de pone acceso denegado y al arrancar sale la ventanita diciendo que falta el wanobpfx.dll, que es uno de ellos.

No se si todos estos los elimina el Panda que detecta varios cada vez que arranco.

Espero comentarios

Gracias

Thu Nov 29 18:16:10 2007

EliStartPage v15.15 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\__C00EA650.DAT --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

OPEN=Info.exe folder.htt 480 480

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Thu Nov 29 18:16:57 2007

EliStartPage v15.15 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\CGSDCWGO.EXE --> Acceso Denegado, FotoMoto

C:\WINDOWS\system32\KCNBANYM.EXE --> Acceso Denegado, DownLoader.Tiny.ID

C:\WINDOWS\system32\TSMLKRWV.DLL --> Eliminado, Morphine(notify)

C:\WINDOWS\system32\WANOBPFX.DLL --> Acceso Denegado, Vundo5

C:\WINDOWS\system32\__C00EA650.DAT --> Acceso Denegado, Morphine(notify)

Nº Total de Directorios: 12115

Nº Total de Ficheros: 100399

Nº de Ficheros Analizados: 22571

Nº de Ficheros Infectados: 5

Nº de Ficheros Limpiados: 1

Sistema Infectado por Troyano de AppInit

Puede Requerir Arrancar en Consola de Reparación para Eliminalo.

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)

Thu Nov 29 18:33:49 2007

EliTriIP v4.14 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Thu Nov 29 18:33:52 2007

EliTriIP v4.14 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Nº Total de Directorios: 12115

Nº Total de Ficheros: 100402

Nº de Ficheros Analizados: 21535

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Thu Nov 29 18:43:45 2007

EliTriIP v4.14 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Nº Total de Directorios: 198

Nº Total de Ficheros: 9202

Nº de Ficheros Analizados: 2250

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

EliNotify v1.7.10.25 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado SurfSideKick

C:\WINDOWS\SYSTEM32\C:\WINDOWS\system32\__c00EA650.dat -> Acceso Denegado.

Desinstalado EliNotif.dll

Mensaje por **msc hotline sat** » 30 Nov 2007, 10:33

El que no los veas no quiere decir que no estén...

Mira si los puedes eliminar con el KILLBOX:

http://www.zonavirus.com/datos/descargas/193/Pocket_KillBox.asp

saludos

ms, 30-11-2007

NOTA: Arranca en modo seguro para ello...

jmfagudo · Mensaje por **jmfagudo** » 02 Dic 2007, 14:46

He arancado en modo seguro, he puesto el ver todo tipo de ficheros y he ejecutado el Killbox.

Desde este no he podido ver los ficheros, pero he puesto la direccion completa, para que los eliminen si existen.

He reiniciado y arrancado el internet explorer, sigo teniendo algun virus o algo, ya que va lento y siguen saliendo las paginas de publicidad.

Espero comentarios

Gracias

Mensaje por **msc hotline sat** » 02 Dic 2007, 19:31

Sí, no siempre se dejan eliminar así los mas duros de pelar...

Pues entonces aplica el plan B

Arranca con el CD de instalacion, pulsas R para acceder a la consola de recuperacion, vas a la carpeta de sistema y con un DEL borras dicho fichero

Es como el MSDOS de antaño:

D: <enter>

CD windows <enter>

CD system32 <enter>

DEL nombre del fichero a eliminar <enter>

y hazlo para con todos los ficheros que el ELISTARA te dice ACCESO DENEGADO.

Otra cosa dado lo que dices, es probar el KILLBOX pero arrancando en modo seguro, no sea que Panda juegue con ellos, pero asi no entrará en uso.

saludos

ms, 2-12-2007