virus impresionante ayudaaaa (SOLUCIONADO)

[alaurin]

os explico el otro día estaba con el pc se me reinicio el pc solo, al encenderse sale un mensaje NTSB investigators flight recorder (blackbox) analyzer como ejecutandose con una barra cargando, no le di mas importacia, pero posteriormente fui a encender la musica y no encontraba controlador, no tenia antivirus, xq desaparecio, me kito la red de la oficina, intento descargar antivirus y no me deja instalarlos, alguien me puede ayudar a solucionar este marron?

[msc hotline sat]

Pues no lo conocemos, puede ser cualquier cosa... Por si fuera un malware, lanza este AV ONLINE y posteanos el informe resultante:



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Y escojer la opcion de MIPC para escanearlo todo. Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia. ms.



[img]http://img.photobucket.com/albums/v666/sUBs/Kas-SaveReport-1.gif[/img]



saludos



ms, 6-11-2008

[alaurin]

perdon por la tardanza. me sale lo siguiente

KASPERSKY ONLINE SCANNER INFORME

viernes, 07 de noviembre de 2008 9:26:13

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 6/11/2008

Registros en la base antivirus: 1230656





Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero



Objetivo a analizar Mi PC

A:\

C:\

D:\

E:\



Estadísticas

Número de objeros analizados 226614

Virus encontrados 4

Objetos infectados 25 / 0

Objetos sospechosos 0

Duración del análisis 09:59:30



Bombre del objeto infectado Nombre del virus Última acción

C:\Disco C\WINDOWS\$hf_mig$\KB890859\SP2QFE\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\$hf_mig$\KB929338\SP2QFE\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\$hf_mig$\KB931784\SP2QFE\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\$NtUninstallKB890859$\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\$NtUninstallKB929338$\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\$NtUninstallKB931784$\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\SoftwareDistribution\Download\45a80f03cdbb32c3ac59269bc10c27b3\sp2gdr\ntoskrnl.exe Object is locked saltado



C:\Disco C\WINDOWS\SoftwareDistribution\Download\45a80f03cdbb32c3ac59269bc10c27b3\sp2qfe\ntoskrnl.exe Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\4SFRJALP\b64_1[1].jpg Infectados: Trojan-Downloader.Win32.Bagle.aep saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\4SFRJALP\b64_3[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\4SFRJALP\b64_3[2].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\8UWMPD6C\b64_1[1].jpg Infectados: Trojan-Downloader.Win32.Bagle.aep saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\IFL7IYK5\b64[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\NVNPQMX1\b64[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\NVNPQMX1\b64[2].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\NVNPQMX1\b64_1[1].jpg Infectados: Trojan-Downloader.Win32.Bagle.aep saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\NVNPQMX1\b64_2[1].jpg Infectados: Email-Worm.Win32.Bagle.vr saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\TSYMZATU\b64[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\TSYMZATU\b64_1[1].jpg Infectados: Trojan-Downloader.Win32.Bagle.aep saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\TSYMZATU\b64_2[1].jpg Infectados: Email-Worm.Win32.Bagle.vr saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\TSYMZATU\b64_3[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\U3IJ2REJ\b64_3[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\XIAUIJRL\b64_3[1].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\XIAUIJRL\b64_3[2].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\XIAUIJRL\b64_3[3].jpg Infectados: Email-Worm.Win32.Bagle.of saltado



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\WRDB4EZ3\JE93QA0F\Offline\HashFile.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Historial\History.IE5\MSHist012008110620081107\index.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Temp\Perflib_Perfdata_264.dat Object is locked saltado



C:\Documents and Settings\Administrador\Configuración local\Temp\Perflib_Perfdata_a44.dat Object is locked saltado



C:\Documents and Settings\Administrador\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\Administrador\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\Administrador\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\McAfee\Common Framework\Db\Agent_CARLOSMARTIN.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\McAfee\Common Framework\Db\PrdMgr_CARLOSMARTIN.log Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP1\A0000009.sys Infectados: Trojan-Downloader.Win32.Bagle.afm saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP1\A0000023.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP1\A0000024.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP1\A0000026.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP3\A0000065.exe Infectados: Email-Worm.Win32.Bagle.vr saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP3\A0000066.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP3\A0000067.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP3\A0000068.exe Infectados: Email-Worm.Win32.Bagle.of saltado



C:\System Volume Information\_restore{2EB1E7B6-710E-48B2-B262-76F7F0D603E1}\RP3\change.log Object is locked saltado



C:\WINDOWS\$hf_mig$\KB956841\SP3QFE\ntoskrnl.exe Object is locked saltado



C:\WINDOWS\$NtUninstallKB956841$\ntoskrnl.exe Object is locked saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{C58F6E59-140A-48D2-8B3F-92FA4FC063FF}.crmlog Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\Sti_Trace.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\config\Antiviru.evt Object is locked saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\Internet.evt Object is locked saltado



C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado



C:\WINDOWS\system32\config\OSession.evt Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



C:\WINDOWS\system32\h323log.txt Object is locked saltado



C:\WINDOWS\system32\MsDtc\Trace\dtctrace.log Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado



C:\WINDOWS\wiadebug.log Object is locked saltado



C:\WINDOWS\wiaservc.log Object is locked saltado



Análisis completado.

[msc hotline sat]

Perfecto ! Pues ya vemos que tiene Bagle, de los que cada dia recibimos nuevas muestras que vamos implememntando en el ELIBAGLA:





ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso





saludos



ms, 7-11-2008







NOTA: Lo que nos extraña son estos temporales de internet (en el CONTENT IE5) que dice haber y ser .jpg, lo cual sería propio de imagenes que hubiera en una web que visitara, y estuvieran infectados poor Bagle ??? (aun no hemos visto ningun Bagle en un .jpg, pero ...)



Por si acaso, elimine temporales de internet, desde el navegador, herramientas->opciones de internet-> seguridad -> Eliminar cookies y temporales o con el ELITEMPO:



http://www.zonavirus.com/datos/descargas/70/EliTempo.asp



MS.

[alaurin]

Fri Nov 07 10:27:02 2008

EliBagle v11.93 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\ADMINISTRADOR\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\ADMINISTRADOR\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle



Fri Nov 07 10:30:27 2008

EliBagle v11.93 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\ADMINISTRADOR\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle Acceso Denegado.

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.

[msc hotline sat]

Pues si tras reiniciar y lanzar de nuevo el ELIBAGLA, inbdica lo mismo, se trata de uno de los Bagles "resistentes" , en tal caso sigue las instrucciones:





https://foros.zonavirus.com/nuevas-variantes-de-bagle-mas-resistentes-metodo-a-seguir-t23824.html



Y por lo que vemos es una variante que tofavía no conoce el Kasperky, ya que su ONLINE no lo ha detectado , pero reconozcamos que nos ha dado la pista para probar el ELIBAGLA ... !!! :wink:



Y tras ello cuentanos si lo has solucionado, para poder cerrar el Tema, gracias



saludos



ms, 7-11-2008

[msc hotline sat]

Hemos recibido el fichero que nos envias, pero este ya se controla con el actual ELIBAGLA, COMO SE VE EN LA DETECCION :



C:\DOCUMENTS AND SETTINGS\ADMINISTRADOR\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle Acceso Denegado.



Lo que pasa es que es resistente a la eliminacion, por lo cual te indicabamos pauta a seguir en el link de mi post anterior, y si se resiste demasiado, arranca en consola de eliminacion y lo eliminas, pero vamos, que espero que no hayas de llegar a tanto !



saludos



ms, 10-11-2008

[alaurin]

gracias, ya me elimino el virus, un saludo

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 10-11-2008