MntDrCore.exe como lo elimino???

[payasin]

PORFAVOR AYUDENME A ELIMINAR ESTE MALDITO GUSANO NO SE DEJA ELIMINAR GRACIAS, SOY NUEVO EN ESTE ROLLO HE ESTADO UTULIZANDO PROGRAMAS COMERCIALES ..AYUDENME GRACIAS ..... :cry: :cry: :cry: :cry: :cry: :cry:

[msc hotline sat]

Con este nombre "MntDrCore.exe" encuentro:

MntDrCore.exe is a worm. It spread via removable drives, including floppy drives and USB keys. It creates an autorun.inf which is designed to start the worm once the removable drive is connected to an uninfected computer. Disable auto run in your computers. Even though the autorun is disabled it can infect the computer by double clicking the drive icon or by opening the drive content using right click & open option. Hence it is advisable to right click and exploring the drive in order to mitigate the risk.

MntDrCore.exe copies it self to %systemroot%\system32 with a name of isass.exe. There is an original system file which is also with the name lsass.exe. But isass.exe is a fake one. You can see it in the task manager as system process. It is not recommend delete the file listed above manually as this malware can use the same name as the genuine file and you could accidentally delete the genuine one.

O sea, es un gusano que se propaga por pendrive y crea un Isass.exe en la carpeta de sistema (no lsass.exe)

Pues prueba si el ELISTARA ya lo conoce y elimina, y si no, envianos muesra de dicho fichero Isass.exe (la primera letra es una i, no una ele, que tambien lo tendrás pero este ultimo es del sistema) y tras analizarlo lo pasariamos a controlar, de lo cual informariamos.

Para descargar el ELISTARA:

ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso


y si no lo detecta envianos el fichero indicado como se dice en:

Para ello recordar: viewtopic.php?f=2&t=45334

saludos
ms, 25-1-2008

[payasin]

AHI ESTA LO K M PEDISTE BRO GRACIAS,,,,









Tue Jan 22 11:53:10 2008

EliStartPage v15.49 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKCU\...\Run] "amva"="C:\WINDOWS\system32\amvo.exe"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Jan 22 11:54:01 2008

EliStartPage v15.49 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\CAPCOM\resident evil 4\RESIDENT_EVIL_4_MOUSE_AIM_V2.00.EXE --> Eliminado, Spy.Banker.FJB(dropper)

C:\Archivos de programa\CyberLink\PowerDVD\QT3SUPPORT4.DLL --> Eliminado, ISTBar

C:\Documents and Settings\CyberBlue\Menú Inicio\Programas\Inicio\POWERREG SCHEDULER.EXE --> Eliminado, PowerReg

C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\TRASH\JUEGOS PORTABLES\HALLO_SONICAHITS.COM.EXE --> Eliminado, Spy.Banker.FJB(dropper)

C:\WINDOWS\NIRCMD.EXE --> Eliminado, Tool-NirCmd

C:\WINDOWS\system32\SINTF32.DLL --> Eliminado, Spy-CmdLineExt

C:\WINDOWS\system32\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt



Nº Total de Directorios: 8436

Nº Total de Ficheros: 105195

Nº de Ficheros Analizados: 16752

Nº de Ficheros Infectados: 7

Nº de Ficheros Limpiados: 7



Fri Jan 25 08:35:59 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Jan 25 08:36:06 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\TRASH\JUEGOS PORTABLES\HALLO_SONICAHITS.COM.EXE --> Infectado, Spy.Banker.FJB(dropper)

C:\WINDOWS\NIRCMD.EXE --> Eliminado, Tool-NirCmd



Nº Total de Directorios: 8501

Nº Total de Ficheros: 106466

Nº de Ficheros Analizados: 16786

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 1

[payasin]

AMIGO FIJATE K MI PC SIGUE PROPAGANDO EL VIRUS..SOLO HAGO METER UN PENDRIVE..SE INFECTA...AMIGO...YA ME TIENE ENOJADO...AYUDENME PLEASE

[lucl]

Descargate este programa y protege tu ordenador con el

http://www.zonavirus.com/descargas/elipen.asp

(Edito: ya he visto que tienes el elipen asi que tan solo haz lo siguiente )

y descarga hijackthis y asi veremos las claves que tienes, saludos


HJT : (HiJackThis)
¿Como utilizar el Hijackthis ?
Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\
Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.
Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema
· Descargar Hijackthis

Tras analizarlo, informaremos

[msc hotline sat]

Envianos el fichero de marras (MntDrCore.exe) para analizar y controlar, como se te indicó, y por otro lado vacuna ordenador y pendrives con el ELIPEN:

ELIPEN.EXE
http://www.zonavirus.com/descargas/elipen.asp

saludos
ms, 25-1-2008

[payasin]

Logfile of HijackThis v1.99.1
Scan saved at 10:46:50 a.m.ZENTENO, on 25/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\PrevxCSI\prevxcsi.exe
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\Executive Software\Diskeeper\DkService.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UTSCSI.EXE
C:\Documents and Settings\CyberBlue\Mis documentos\RELOJES\servidor1.469\servidor.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_07\bin\ssv.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: (no name) - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - (no file)
O4 - HKLM\..\Run: [IntelAudioStudio] "C:\Archivos de programa\Intel Audio Studio\IntelAudioStudio.exe" BOOT
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [System Files Updater] C:\WINDOWS\FlyakiteOSX\Tools\System Files Updater.exe /S
O4 - HKLM\..\Run: [Flashget] "C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\FlashGet.exe" /min
O4 - HKLM\..\Run: [PrevxCSI] "C:\Archivos de programa\PrevxCSI\prevxcsi.exe" -boot
O4 - HKCU\..\Run: [Yz Shadow] C:\Archivos de programa\YzShadow\YzShadow.exe
O4 - HKCU\..\Run: [UberIcon] "C:\Archivos de programa\UberIcon\UberIcon Manager.exe"
O4 - HKCU\..\Run: [WinRoll] C:\Archivos de programa\WinRoll\winroll.exe
O8 - Extra context menu item: &Download All with FlashGet - C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\jc_all.htm
O8 - Extra context menu item: &Download with FlashGet - C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\jc_link.htm
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Archivos de programa\MP3 Player Utilities 3.77\AMVConverter\grab.html
O8 - Extra context menu item: Add to AMV Converter... - C:\Archivos de programa\MP3 Player Utilities 4.15\AMVConverter\grab.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Archivos de programa\MP3 Player Utilities 4.15\MediaManager\grab.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\FlashGet.exe (file missing)
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Documents and Settings\CyberBlue\Mis documentos\Mis archivos recibidos\FlashGet.exe (file missing)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish//kavwebscan_unicode.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.com/molbin/shared/mcinsctl/4,0,0,101/mcinsctl.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://adecosur.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-8d96a5d9e2d9e451.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Archivos de programa\Executive Software\Diskeeper\DkService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Intel(R) Desktop Utilities Service (iHCService) - OSA Technologies, Inc. - C:\Program Files\Intel\IDU\IDUServ.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Eset  - (no file)
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Start BT in service - Unknown owner - C:\Archivos de programa\IVT Corporation\BlueSoleil\StartSkysolSvc.exe
O23 - Service: USBest Service Zero (UTSCSI) - USBest - C:\WINDOWS\system32\UTSCSI.EXE

[payasin]

un favor mas lo k pasa k tengo un ciber me podrian ayudar a controlar masomenos..con programas que de verdad eliminen y controlen los virus que me traen ciertos clientes en su pendrive..gracias muchas gracias



necesito un buen antivirus cual me recomiendan...y uno para la usb



ahorita tengo el elistara y elipen ...con esto es suficiente..???



y gracias de nuevo

[msc hotline sat]

No, debes tener un buen antivirus residente y actualizado permanentemente.



Nuestras utilidades son complementarias a los antivirus, si bien muchas veces llegan donde no llegan estos, por rapidez, dinamismo y estar dedicadas a familias concretas, pero no controlan tods los cientos de miles que controla un antivirus global.



Mira en la opinión de nuestros foreros sobre los antivirus



y el que prefieras, mantenlo residente y actualizado.



Y cuando te infectes con algo descontrolado, ya sabes donde estamos.



Y el ELIPEN es una gran vacuna para evitar la propagacion de virus de USB a traves de pendrives.>ordenadores->pendrives.



saludos



ms, 25-1-2008

[payasin]

Muchas gracias por todo y mil disculpas por las molestias gracias a hora voy a verificar que antivirus GRACIAS...

[msc hotline sat]

Por cierto, revisando el log del HJT me fijo en una clave muy rara:

O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Eset - (no file)

Usas el antivirus de NOD32 (ESET), pero esta es de Norton y menciona a Eset ???

Dinos lo que es, si lo sabes, gracias

saludos
ms, 25-1-2008

[payasin]

ps amigo no se a k se deba anteriormente tuve el norton pero lo quite amigo y ahora tengo el nod ...la verdad no se si lo que hize fue desinstalarlo mal pero lo hize "normalmente" ????



otra cosa amigo una pequeña aclarcion al vacunar con el elipen mi memoria usb me crea una carpeta y un archivo autorun.info.old a que se debe es que no entiendo.??



gracias :?

[msc hotline sat]

Pues es clave eliminala, que no es lógica, no la habia visto nunca, parece una mezcla de una de Symantec con una de ESET ???



y este fichero que ahora tienes en el pendrive que termina con extension .OLD es de un virus que tenías en dicho medio, y que era lanzado cuando dicho fichero no terminaba en .OLD, sino que era solo AUTORUN.INF (antes de pasarle el ELIPEN) , lo que pasa es que estaba oculto y no lo veías, pero si lo ha encontrado y renombrado el ELIPEN, es que estaba !



Ahora en su lugar tienes una carpeta AUTORUN.INF que impide que se copien en este pendrive los AUTORUN.INF que quieren infectarlo.



Pero los ficheros que lanzaba, seguramente aun estan en el pendrive. Abre dicho fichero (el que termina en .OLD) con el bloc de notas y mira lo que lanza, y si no, mejor nos posteas el contenido del c:\infosat.txt y ya lo veremos y te aconsejaremos.



saludos



ms, 26-1-2008

[payasin]

1.- COMO ELIMINO LO DE LA CLAVE DE ESET CON NORTON..
2.-AL ABRIR EL ARCHIVO AUTORUN.INFO.OLD

ME SALE LO SIGUIENTE:

MXONE - ESTE ARCHIVO NO ES VIRUS

SALUDOS Y SIGO AGRADECIENDO POR QUE ESTOY APRENDIENDO DE ESTE FORO MUCHAS COSAS.....GRACIAS

[msc hotline sat]

Si, se trata de lanzar el HJT, escoger la segunda opcion, marcar la casilla de la izquierda de dicha clave y pulsar en FIX CHECKED.



Y lo del AUTORUN, pues enterados, a ver que es eso de MXONE ???



Y tras reiniciar cuentanos el resultado, gracias



saludos



ms, 26-1-2008