Virus similar al antiguo sasser, no hay forma..(SOLUCIONADO)

[SvanvesKa]

Hola, recurro a vosotros a ver que me aconsejais.

El infectado es un Acer aspire one con el XP sp2, creo que sin actualizar.

Empezo a dar la tabarra al reiniciar (por otros motivos) despues de estar conectado a mi red local wifi bastante rato.

Al volver a cargar windows se conectava al wifi con "conexion baja o nula , click aqui para reparar"

dando como causa no poder obtener la ip, al dar a reparar, produce un error de svhost ,este se cierra y salta la cuenta atras de nt authority, la detengo con el comando de shutdown y desde ahi ya no funciona: Internet (xD), la busqueda de archivos , no se pueden copiar o pegar ficheros,los instaladores no van, el autorun del pendrive no rula y tal.

Si deshabilito el controlador de redes inalambricas y enciendo el pc , en principio todo está correcto, pensando en un error del controlador y que no fuera un falso virus, me puse a desinstalarlo pero cual es mi sorpresa que al solo abrir las propiedades de conexiones de red, error de svhost y cuenta atras al canto : /

Descargue el elistara desde este pc ,lo movi al infectado mediante un pendrive, saque el pendrive, paso el programa y detectó spyrealtek, supuestamente lo eliminó, mire el log y efectivamente elemino un fichero .exe y una entrada en el registro, digo weno, arreglado, reinicio , vuelvo a encender el wifi, hago la conexion y tachan, exactamente lo mismo, conexion parcial, error svhost, pc medio K.O.

Decir que tambien le pase otros muchos anti spywares y antivirus actualizados y el unico que encontró algo fue el elistara como dije. Los sintomas no son identicos a los que causaba el antiguo sasser? Una ayudita porfavol

Gracias!

[lucl]

Dices continuamente [b]error svhost[/b] no sera error svchost? Mira si tienes algun archivo que se llame asi porque, svhots porque es virico. Inicia el pc en modo seguro y pasa de nuevo elistara y peganos el log que te dejara en C infosat.txt. Si encuentras el svhost lo renombras a .VIR , le quitas el exe vaya para que no incordie y nos lo envias para analizar, arriba a la derecha picas en envio muestras . Primero lo encriptas y le pones de contraseña VIRUS , nos cuentas saludos

[msc hotline sat]

Primero, no tiene porqué ser virus, aunque el Sasser lo provocara...



El Shutdown lo lanza windows ante un error de sistema, bien por anomalía del SVCHOST.EXE, como parece ser el caso, o por falta del mismo, aparte de miles de otras de anomalias de cualquier otro fichero que produzcan errores de sistema.



Efectivamente, virus como los de la familia del Sasser, o del Blaster, provocaban dicho error y el resultado era el del apagado el 1 minuto, (shutdown a 60 segundos)



Aparte el SVCHOST.EXE es el lanzador del sistema, por lo que aparte del mismo, puede que tal anomalia la provoque el fichero lanzado, y el lanzador haya sido un simple intermediario...



Bueno, vamos a ver si es del sistema y con una REPARACION de windows lo solucionamos:


[quote="para REPARAR WINDOWS, msc"]
Sugiero proceder a REPARAR windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate [/quote]

Sino, arranque en modo seguro con funciones de red y lance este AV ONLINE y posteenos el informe resultante:







[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Y de las opciones a escanear, escoger MIPC, para examinarlo todo. Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, indicando la utilidad a probar para solucionarlo.





(Este análisis con el kaspersky es muy lento, vaya este aviso por delante, tras lanzarlo, cargar la actualización y escoger MIPC, dejarlo trabajar (puede tardar varias horas), y cuando haya acabado, con un copiar y pegar, pegarnos el informe indicado)



saludos



ms, 11-10-2008

[SvanvesKa]

El causante es como bien me han corregido Svchost en lugar de svhost que yo decia.

Respecto a lo de reparar el windows, el acer aspire one no tiene lector de cd/dvd y no tengo ninguno externo. Lanzando la reparacion desde una imagen iso de windows con el daemon tools serviria? Por casualidad no abra algun paquete para reparar concretamente lo relacionado al svchost?

Igualmente adjunto el infosat.txt

Gracias, un saludo.



*PD: No se puede reparar desde una imagen porque uno de los archivos que usa el daemon tools para generar la unidad virtual debe ser reescribido por la instalacion, apareciendo como archivo en uso.

[lucl]

El infosat debes pegarlo no adjuntarlo, aun asi se ve que te han quitado dos virus, prueba el online que te aconsejo Msc y nos cuentas. Saludos

[SvanvesKa]

Ahora mismo se está actualizando el scanner online que me habeis recomendado, decir que en modo a prueba de fallos la conexion a la red funciona perfectamente, con eso ya se descarta que el problema lo esté ocasionando el propio windows, no?

En cuanto tenga el informe , haré un copy & paste.

Saludos y gracias.

[SvanvesKa]

Bien, aqui esta el informe (el elistara q aparece como troyano, lo deje yo en esa ubicacion y es el que he usado para analizar el pc.



sábado, 11 de octubre de 2008 16:17:07

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 11/10/2008

Registros en la base antivirus: 1167244

Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero

Objetivo a analizar Mi PC

C:\

D:\

Estadísticas

Número de objeros analizados 12979

Virus encontrados 2

Objetos infectados 2 / 0

Objetos sospechosos 0

Duración del análisis 00:13:42



Bombre del objeto infectado Nombre del virus Última acción

C:\Archivos de programa\NetMeeting\nmwb.exe Infectados: Trojan.Win32.KillAV.akf saltado

C:\Archivos de programa\PC Tools AntiVirus\PCTAVService.txt Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Historial\History.IE5\MSHist012008100920081010\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Historial\History.IE5\MSHist012008101020081011\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Configuración local\Historial\History.IE5\MSHist012008101120081012\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\acer aspire one\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\acer aspire one\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\PC Tools\PC Tools AntiVirus\Report Logs\Report39732.625393518516.xml Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Oblivion\Elder Scrolls IV - Obivlion\ELISTARA.AIA%D8B%D8%D8H.EXE Infectados: Trojan-Downloader.Win32.IstBar.xr saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\WINDOWS\CSC\00000001 Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\dtscsi.sys Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\drivers\sptd0205.sys Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

Análisis completado.

[msc hotline sat]

Pues mira donde tienes un bribón... :



C:\Archivos de programa\NetMeeting\nmwb.exe Infectados: Trojan.Win32.KillAV.akf



envianoslo para analizar y de momento cambia su extension a .VIR para que no se ponga en marcha a partir del siguiente reinicio.





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir la muestra, la monitorizaremos e implementaremos su control y eliminacion en nuestra proxima version de utilidad, de lo cual informaremos



saludos



ms, 11-10-2008





NOTA: y es posible que fuera el causante, pues el SVCHOST mencionado en otros post de este Tema pudiera ser solo el lanzador del mismo, sin estar mal, por lo que puede que no haga falta REPARAR el sistema.

[SvanvesKa]

Hola

Solo con renombrarlo supuestamente ya no me dara problemas ?

O hasta que vosotros fabriqueis el antidoto tendre que convivir con el?

Bueno, la muestra ya esta enviada y de mientras solo estoy entrando en modo seguro, hasta que me digais algo

Almenos algo encontramos.

Gracias, saludos.

[msc hotline sat]

Como que al parecer no hay nada mas malicioso, con cambiar la extension a este fichero lo dejarás "aparcado", y tras reiniciar ya no podrá ponerse en marcha.



Pero serás tu quien nos lo podrá ratificar si ya no mas shutdowns...



Ya nos contarás...



saludos



ms, 11-10-2008

[SvanvesKa]

Bien, pues si que era el causante, todo ha vuelto a la normalidad y ya se le puede atribuir otro efecto a ese bichejo porque en las descripciones q vi solo se le atribuye la capacidad de desarmar antivirus, pero tambien puede trastocar mas cositas como hemos visto.

Un saludo.

[msc hotline sat]

Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 12-10-2008

[msc hotline sat]

Recibido postcierra muestra del malware, se implementa su control y eliminacion a partir del ELITRIIP 5.14 de hoy



saludos



ms, 14-10-2008