troyano

[afe]

hola, se me ha metido un troyano en el ordenador y no consigo eliminarlo, lo he intentado con el norton y con el spyware terminator y aunque si lo identifican no me lo eliminan. ¿podeis ayudarme?



Un saludo

[msc hotline sat]

Sin saber lo que es, primero lance este AV ONLINE para identificarlo, y a la vista del informe, obraremos en consecuencia:





[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Y escojer la opcion de MIPC para escanearlo todo. Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia. ms.



[img]http://img.photobucket.com/albums/v666/sUBs/Kas-SaveReport-1.gif[/img]



saludos



ms, 25-09-2008

[afe]

ya pase el AVONLINE Y este es el resultado



Estadísticas

Número de objeros analizados 46456

Virus encontrados 2

Objetos infectados 4 / 0

Objetos sospechosos 0

Duración del análisis 00:55:25



Bombre del objeto infectado Nombre del virus Última acción

C:\Archivos de programa\Archivos comunes\Symantec Shared\Antispam\Log\Spam.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDALRT.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDCON.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDDBG.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDFW.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDIDS.log Object is locked saltado



C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSYS.log Object is locked saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\AVApp.log Object is locked saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\AVError.log Object is locked saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\AVVirus.log Object is locked saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\Quarantine\0C752511 Infectados: Worm.Win32.AutoRun.mef saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\Quarantine\596108BC Infectados: Worm.Win32.AutoRun.mef saltado



C:\autorun.inf Infectados: Worm.Win32.AutoRun.mbk saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\Confid.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\Content.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\Privacy.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\Restrict.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\settings.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\Common Client\WebHist.log Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\user\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\user\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\user\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\user\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\user\ntuser.dat.LOG Object is locked saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado



C:\WINDOWS\Sti_Trace.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edbtmp.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\ckvo0.dll.ren Infectados: Worm.Win32.AutoRun.mef saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado



C:\WINDOWS\wiadebug.log Object is locked saltado



C:\WINDOWS\wiaservc.log Object is locked saltado



C:\WINDOWS\WindowsUpdate.log Object is locked saltado



Análisis completado.

[msc hotline sat]

Pues de entrada ya vemos:



Virus encontrados 2

Objetos infectados 4 / 0





Que corresponden a :



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\Quarantine\0C752511 Infectados: Worm.Win32.AutoRun.mef saltado



C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\Quarantine\596108BC Infectados: Worm.Win32.AutoRun.mef saltado



C:\autorun.inf Infectados: Worm.Win32.AutoRun.mbk saltado



C:\WINDOWS\system32\cInfectados: Worm.Win32.AutoRun.mef saltado





Como que los dos primeros ya están en cuarentena, envienos los dos últimos para analizar e implementar su control y eliminacion en la poróxima version de nuestras utiliddades, de lo cual informaremos





C:\autorun.inf



C:\WINDOWS\system32\ckvo0.dll.ren





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





De todas formas la dll ya tiene añadida la extension .ren por lo que no debe estar operativa, si bien conviene vacunar el ordenador y todos los pendrives con el ELIPEN:



.





[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 25-09-2008

[afe]

hola, el archivo c:\autorun.inf no me aparecia en c, no lo he encontrado me ha aparecido despues de pasar el elipen pero supongo que sería algo de ese programa no? el otro archivo c:\windows\system32\cko0.dll.ren os lo mando ahora. De todas formas he pasado el elipen y esto es lo que pone en infosat





Thu Sep 25 16:50:59 2008

EliPen v1.8 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------



Detectado C:\Autorun.inf

OPEN=KK3.BAT

C:\Autorun.inf -> Renombrado a .OLD

Unidad C:\ Protegida



Unidad C:\ YA esta Protegida



Error Creando TEST2.SAT

Unidad D:\ No se Pudo Proteger

[msc hotline sat]

Efectivamente, esto es típico de los virus de pendrive.



Envianos el AUTORUN.inf.old y el que lanza, KK3.BAT para analizarlos y controlarlos.





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms,

[afe]

ya os he mandado el archivo autorun, pero q es eso del KK3.BAT ?

[msc hotline sat]

Es el fichero que lanza dicho AUTORUN.INF



Mira si lo tienes en algun disco duro o en algun pendrive y nos lo envias.



Recuerda que puede estar oculto:



https://foros.zonavirus.com/viewtopic.php?f=5&t=13245



saludos



ms, 25-09-2008

[afe]

hola! no he podido contestaros antes. El archivo kk3.bat no lo encuentro por ningun lado, Puede ser que lo lo hayan eliminado del ordenador? este ordenador lo usamos varias personas. Se puede hacer algo si no aparece?

[lucl]

Pues si lo han eliminado alguna otra persona ya nada se puede hacer, a no ser que lo comentes y te digan algo...

Pero has enviado una muestras asi que mañana estate atento al post que te diran algo sobre ella, saludos

[msc hotline sat]

Cabe la posibilidad de que lo tengas en algun pendrive, buscalo por si acaso, y de paso los vacunas con el ELIPEN





saludos



ms, 2 de Octubre de 208