editado: 1 virus 2 ficheros infectados [SOLUCIONADO]

[Stiggzab]

en este mes que llevaba ausente en este grandioso foro me han ido apareciendo virus como es normal, a los que he ido eliminando sin necesidad de crear un hilo para ello



sin embargo, tengo 1 virus que es un ARCHIVO OCULTO POR EL SISTEMA, y a lo mejor por ese motivo no sabia si lo tenia que eliminar de otro modo... por precaucion



parece que [b]C:\WINDOWS\system32\OfcpfwSvcs.exe[/b], el serio, ha infectado a 4 ficheros









KASPERSKY ONLINE SCANNER 7 REPORT

Monday, November 3, 2008

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Monday, November 03, 2008 17:50:06

Records in database: 1369040

--------------------------------------------------------------------------------



Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes



Scan area - My Computer:

A:\

C:\

D:\

E:\

F:\

G:\



Scan statistics:

Files scanned: 48463

Threat name: 1

Infected objects: 4

Suspicious objects: 0

Duration of the scan: 01:31:08





File name / Threat name / Threats count

C:\WINDOWS\system32\OfcpfwSvcs.exe/C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\autorun3.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\kas.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1



The selected area was scanned.







gracias anticipadas de nuevo

[lucl]

Pues como ya sabes renombralos a .VIR y envianoslos para analizarlos y darte la herramienta necesaria para eliminarlos. Y mirate este link por si acaso, saludos





https://foros.zonavirus.com/viewtopic.php?f=5&t=13245

[flacoroo]

ya lo controlamos desde esta fecha.... v12.81-(28 de Noviembre del 2006) (Muestras de Bongler o Busky "*******.DLL", LinkMaker "HLWIN.DLL", PowerReg, Fakealert.Renos "DRV***.DLL", [b]PcClient[/b] "XRSYWKCA.DLL" y Excluido "Winlogon/Notify/PCSINST" de IBM)



asi que bajate estos archivos, deshabilitas restaurar sistemas, los ejecutas y cuando diga explorar le das click; hasta que termine; despues nos pegas el resultado de C:infosat.txt (si no puedes ejecutarlos en forma normal hazlo reiniciando tu compu en modo seguro)



[url=http://www.zonavirus.com/descargas/elistara.asp]Descargar Elistara[/url]

[url=http://www.zonavirus.com/descargas/elitriip.asp]Descargar ElitriIP[/url]

[url=http://www.zonavirus.com/descargas/elinotif.asp]Descargar Elinotiff[/url] (complemento del elistara, no se ejecuta pero deben estar en la misma carpeta)

[msc hotline sat]

Es posible que se trate de una nueva variante que esté de moda, flacoroo, pues recuerdo que ayer mismo hubo un cliente de SATINFO que tuvo la misma infeccion, y justamente a dicho archivo vimos que le pone atributos de oculto y de sistema, para que si no se tiene configurado para ver ocultos y desmarcado el ocultar ficheros de sistema, no se ve...



Como que es muy posible que se trate de una variante no controlada del que indica flacoroo, si el ELITRIIP no lo conoce, envienos muestra para analizar, como indica lucl [img]http://www.satinfo.es/zonavirus/recochineo.gif[/img]



Y nos informa de ello, gracias



saludos



ms, 4-11-2008

Ref SP/BU42.3-3.7

[Stiggzab]

ayer por la noche pase el ELISTARA y el ELITRIIP









Mon Nov 03 22:11:35 2008

EliTriIP v5.19 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 31 de Octubre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\autorun3.exe --> Eliminado, BackDoor.CKB

C:\WINDOWS\system32\OfcpfwSvcs.exe --> Acceso Denegado, BackDoor.CKB (Reiniciar para completar la Limpieza)



Nº Total de Directorios: 6343

Nº Total de Ficheros: 46871

Nº de Ficheros Analizados: 9875

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 1









Mon Nov 03 22:18:57 2008

EliStartPage v17.32 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 3 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Nov 03 22:20:13 2008

EliStartPage v17.32 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 3 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\AskBarDis\bar\bin\ASKPOPSTP.DLL --> Eliminado, MyWebSearch



Nº Total de Directorios: 6349

Nº Total de Ficheros: 46696

Nº de Ficheros Analizados: 10183

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



Mon Nov 03 22:26:35 2008

EliStartPage v17.32 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 3 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

[lucl]

Reiniciaste para que elitriip terminara la limpieza?





C:\WINDOWS\system32\OfcpfwSvcs.exe --> Acceso Denegado, BackDoor.CKB (Reiniciar para completar la Limpieza)





comentanos saludos

[msc hotline sat]

Si ni asi puede eliminarlo, como que está en la carpeta de sistema, arranca con el CD de instalacion, pulsas R para entrar en Consola de RECUPERACION y lo borras manualmente con un DEL.



Pero primero, para poder verlo, lanza un ATTRIB -S -H -R c:\windows\system32\OfcpfwSvcs.exe <enter>



y luego el DEL c:\windows\system32\OfcpfwSvcs.exe <enter>



Y NOS CUENTAS EL RESULTADO, GRACIAS



SALUDOS



ms. 4-11-2007

[Stiggzab]

en efecto

reinicie y seguia ahi



en breves hago lo del cd

[msc hotline sat]

Sí, hay ocasiones en las que si no es arrancando desde otro disco duro, o con LIVE CD de LINUX o con el CD de instalacion, si se arranca con el mismo disco duro, queda atrapado el fichero y no hay manera, como con algunos VUNDO9 :



https://foros.zonavirus.com/informacion-sobre-vundo-9-control-y-eliminacion-t23759.html



Tras probar lo indicado, nos cuentas le resultado, gracias



saludos



ms, 6-11-2008

[Stiggzab]

de momento no puedo

me llevo dando cuenta de que los ultimos dias el proceso [u]HPTRA08.EXE[/u] me consume muchisimos recursos, en este momento esta por el 50%. no es un virus, eso ya lo se, pero me gustaria solucionar eso [por si tiene alguna relacion] antes de hacer lo del cd



el hptra08.exe no tiene que ver con la impresora? la tengo desconectada :|

[msc hotline sat]

Eso parece, vea http://www.bleepingcomputer.com/forums/topic124781.html , y lo que le será muy facil para excluir la posibilidad de que sea malware, es subir este fichero al VirusTotal:



www.virustotal.com



y vea si alguno de los treinta y tantos antivirus le detecta algo, y en tal caso posteenos el resultado, gracias



saludos



ms, 7-11-2008

[Stiggzab]

al parecer ese proceso no es el problema

me ha parecido ver 2.exe en el administrador de tareas y ahora mismo estoy al 100%

[msc hotline sat]

Pues ya sabe, haga lo mismo, subalo al virustotal y si sale positivo, envienoslo para analizar:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 7-11-2008

[Stiggzab]

esto es un completo caos, en dos dias que no he usado se ha armado la de dios

en mi sesion no puedo hacer nada, esta inservible porque los procesos se ponen al 100% y se satura. en el resto de las sesiones va todo bien



[b]ahora paso de [u]1 virus que ha infectado a 8 ficheros [/u]a [u]8 virus que han infectado a 27 ficheros[/u][/b]



pongo el nuevo log







KASPERSKY ONLINE SCANNER 7 REPORT

Saturday, November 8, 2008

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Saturday, November 08, 2008 10:59:17

Records in database: 1374460

--------------------------------------------------------------------------------



Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes



Scan area - My Computer:

A:\

C:\

D:\

E:\

F:\

G:\



Scan statistics:

Files scanned: 48059

Threat name: 8

Infected objects: 27

Suspicious objects: 0

Duration of the scan: 01:11:19





File name / Threat name / Threats count

C:\WINDOWS\system32\OfcpfwSvcs.exe/C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\6.bat Infected: Trojan-GameThief.Win32.Magania.ajfm 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\8996D1TQ\cc[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpk 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\8996D1TQ\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\OYRF865B\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\PCYQ3XON\cc[1].exe Infected: Trojan-GameThief.Win32.Magania.ajnf 1

C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\PCYQ3XON\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajng 1

C:\WINDOWS\system32\autorun3.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\kas.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\kavo0.dll Infected: Trojan-GameThief.Win32.Magania.ajpk 1

C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\OfcpfwSvcs.exe.vir Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\tavo1.dll Infected: Trojan-GameThief.Win32.Magania.ajpk 1

C:\WINDOWS\Temp\nod135.tmp Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\WINDOWS\Temp\nod13E.tmp Infected: Trojan-GameThief.Win32.Magania.ajpk 1

C:\WINDOWS\Temp\nod24.tmp Infected: Trojan-GameThief.Win32.Magania.ajlc 1

C:\WINDOWS\Temp\nod25.tmp Infected: Trojan-GameThief.Win32.Magania.ajlc 1

C:\WINDOWS\Temp\nod27.tmp Infected: Worm.Win32.AutoRun.rxh 1

C:\WINDOWS\Temp\nod28.tmp Infected: Trojan-GameThief.Win32.Magania.ajlc 1

C:\WINDOWS\Temp\nod29.tmp Infected: Worm.Win32.AutoRun.rxh 1

C:\WINDOWS\Temp\nod2A.tmp Infected: Trojan-GameThief.Win32.Magania.ajng 1

C:\WINDOWS\Temp\nod2D.tmp Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\WINDOWS\Temp\nod3C.tmp Infected: Trojan-GameThief.Win32.Magania.ajnf 1

C:\WINDOWS\Temp\nod3D.tmp Infected: Trojan-GameThief.Win32.Magania.ajng 1

C:\WINDOWS\Temp\nod99.tmp Infected: Trojan-GameThief.Win32.Magania.ajnf 1

C:\WINDOWS\Temp\nodBB.tmp Infected: Trojan-GameThief.Win32.Magania.ajng 1

C:\WINDOWS\Temp\nodBC.tmp Infected: Trojan-GameThief.Win32.Magania.ajnf 1











esta es la peor situacion en cuanto a virus en casi 2 años. los subo todos a virustotal?

adios, saludos y muchas gracias ante esta nueva situacion extrema

[lucl]

Subelos si quieres y los analizas, pero un par de cada no hace falta que subas los 27, renombralos a .VIR y envianoslos para analizarlos, saludos

[msc hotline sat]

Si los ha detectado el AV ONLINE no hace falta subirlos al VirusTotal ! :!: Pero si quereis saber lo que ya sabeis... :lol:



Envianos muestra de estos ficheros:



C:\WINDOWS\system32\OfcpfwSvcs.exe/C:\WINDOWS\system32\OfcpfwSvcs.exe



C:\WINDOWS\system32\autorun3.exe Infected: Backdoor.Win32.PcClient.wi 1



C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\PCYQ3XON\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajng 1



C:\WINDOWS\system32\kavo0.dll Infected: Trojan-GameThief.Win32.Magania.ajpk 1



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



y elimina los ficheros de c:\windows\temp\ y los temporales de internet.



Y por si no lo hubieras hecho ya, descarga el ELISTARA.EXE y tras probarlo, posteanos el c:\infosat.txt resultante




[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]



Por cierto, vacuna el ordenador y todos tus pendrives con el ELIPEN:





vacune todas sus unidades de disco y pendrive con el ELIPEN:



[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 8-11-2008





Y por cierto, tiene coleando y propagandose por pendrive un ONLINE GAMES !!!

[Stiggzab]

copio log del elistara









Sat Nov 08 19:35:08 2008

EliStartPage v17.36 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 6 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\KAVO.EXE.Muestra EliStartPage v17.36

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\KAVO.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\KAVO0.DLL.Muestra EliStartPage v17.36

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\KAVO0.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\TAVO.EXE.Muestra EliStartPage v17.36

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\TAVO.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\TAVO0.DLL.Muestra EliStartPage v17.36

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\TAVO0.DLL --> Renombrado a .VIR

Entrada Eliminada [HKCU\...\Run] "kava"="C:\WINDOWS\system32\kavo.exe"

Entrada Eliminada [HKCU\...\Run] "tava"="C:\WINDOWS\system32\tavo.exe"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (C)

open=fphj6j31.bat

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Reinicie para Completar la Limpieza.



Sat Nov 08 19:36:15 2008

EliStartPage v17.36 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 6 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 6578

Nº Total de Ficheros: 44329

Nº de Ficheros Analizados: 10165

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0







edito: una cosa interesante es que doy a desocultar los archivos y no se desocultan, y hago el paso correcto [herramientas> opciones de carpeta> ver> archivos ocultos]. el caso es que doy a desocultarlos y no se desocultan, y cuando vuelvo a hacer el procedimiento me aparece la casilla enmarcada cuando 10 segundos antes la he desenmarcado :roll:

esa es razon por la que no he podido mandar esos 2 archivos ocultos

[msc hotline sat]

Pues ya sabe, envienos los ficheros que se le piden:



Por favor, envienos una muestra del fichero

C:\Muestras\KAVO.EXE.Muestra EliStartPage v17.36



Por favor, envienos una muestra del fichero

C:\Muestras\KAVO0.DLL.Muestra EliStartPage v17.36



Por favor, envienos una muestra del fichero

C:\Muestras\TAVO.EXE.Muestra EliStartPage v17.36



Por favor, envienos una muestra del fichero

C:\Muestras\TAVO0.DLL.Muestra EliStartPage v17.36



Detectado AUTORUN.INF en la Unidad (C)

open=fphj6j31.bat

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF







[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





saludos



ms, 8-11-2008





Y NO SE OLVIDE DE VACUNAR CON EL ELIPEN EL ORDENADOR Y TODOS SUS PENDRIVES !!!



ms.

[Stiggzab]

C:\Muestras\KAVO.EXE.Muestra EliStartPage v17.36

C:\Muestras\KAVO0.DLL.Muestra EliStartPage v17.36

C:\Muestras\TAVO.EXE.Muestra EliStartPage v17.36

C:\Muestras\TAVO0.DLL.Muestra EliStartPage v17.36



eso de arriba ya esta mandado. con respecto a [u]AUTORUN.INF[/u], el [b][u]elipen[/u][/b] parece que lo ha borrado, generando el archivo [u]autorun.info.old[/u]

aparte ha creado otra carpeta llamada [u]autorun.inf[/u] con dos carpetas vacias [u]AUX.ELIPEN-SATINFO[/u] y [u]AUX.W98[/u] y el archivo [u]test2.sat[/u]



por si acaso mando el autorun.info.old







edit: hay avances. ahora de 8 virus hay 7, y de 27 archivos infectados hay 12

en este momento [b][u]SÍ[/u][/b] que puedo acceder a los archivos ocultos del sistema por lo tanto voy a mandar los archivos ahora mismo



--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7 REPORT

Saturday, November 8, 2008

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Saturday, November 08, 2008 17:23:19

Records in database: 1374606

--------------------------------------------------------------------------------



Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes



Scan area - My Computer:

A:\

C:\

D:\

E:\

F:\

G:\

H:\

I:\



Scan statistics:

Files scanned: 47818

Threat name: 7

Infected objects: 12

Suspicious objects: 0

Duration of the scan: 01:29:12





File name / Threat name / Threats count

C:\WINDOWS\system32\OfcpfwSvcs.exe/C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\6.bat Infected: Trojan-GameThief.Win32.Magania.ajfm 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\8996D1TQ\cc[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpk 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\8996D1TQ\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\Documents and Settings\-\Configuración local\Archivos temporales de Internet\Content.IE5\OYRF865B\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajpl 1

C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\PCYQ3XON\cc[1].exe Infected: Trojan-GameThief.Win32.Magania.ajnf 1

C:\Documents and Settings\Administrador\Configuración local\Archivos temporales de Internet\Content.IE5\PCYQ3XON\ff[1].exe Infected: Trojan-GameThief.Win32.Magania.ajng 1

C:\WINDOWS\system32\autorun3.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\kas.exe Infected: Backdoor.Win32.PcClient.wi 1

C:\WINDOWS\system32\OfcpfwSvcs.exe Infected: Backdoor.Win32.PcClient.wi 1

H:\RECYCLER\RECYCLER\autorun.exe Infected: Backdoor.Win32.PcClient.wi 1

I:\fphj6j31.bat Infected: Trojan-GameThief.Win32.Magania.ajne 1



The selected area was scanned.



_______________



<tel. interceptado>



https://foros.zonavirus.com/viewtopic.php?f=1&t=17044

[msc hotline sat]

Recibidas las muestras, se detecta un Backdoor CKB ya controlado con el ELITRIIP actual y 2 nuevas variantes de ONLINE GAMES que pasamosa controlar con el ELISTARA de hoy, 17.38




[quote="msc"]


[b] ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp



[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlos, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado de los procesos


[/quote]



A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus





saludos



ms, 10-11-2008

[Stiggzab]

[u][b]ELITRIIP[/b][/u]





Mon Nov 10 21:34:52 2008

EliTriIP v5.23 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\autorun3.exe --> Eliminado, BackDoor.CKB

C:\WINDOWS\system32\OfcpfwSvcs.exe --> Eliminado, BackDoor.CKB



Nº Total de Directorios: 6727

Nº Total de Ficheros: 48576

Nº de Ficheros Analizados: 10593

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2



[u][b]ELISTARA[/b][/u]



Mon Nov 10 21:45:07 2008

EliStartPage v17.38 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\KAVO.EXE.Muestra EliStartPage v17.38

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\KAVO.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\KAVO0.DLL.Muestra EliStartPage v17.38

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\KAVO0.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\TAVO.EXE.Muestra EliStartPage v17.38

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\TAVO.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\TAVO0.DLL.Muestra EliStartPage v17.38

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\TAVO0.DLL --> Eliminado

Entrada Eliminada [HKCU\...\Run] "kava"="C:\WINDOWS\system32\kavo.exe"

Entrada Eliminada [HKCU\...\Run] "tava"="C:\WINDOWS\system32\tavo.exe"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Nov 10 21:46:01 2008

EliStartPage v17.38 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 6727

Nº Total de Ficheros: 47481

Nº de Ficheros Analizados: 10781

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





y del pendrive y otro disco duro





Tue Nov 11 15:16:48 2008

EliTriIP v5.23 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\RECYCLER\RECYCLER\autorun.exe --> Eliminado, BackDoor.CKB



Nº Total de Directorios: 27

Nº Total de Ficheros: 503

Nº de Ficheros Analizados: 10

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



Tue Nov 11 15:16:54 2008

EliTriIP v5.23 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad I:\



Nº Total de Directorios: 108

Nº Total de Ficheros: 1667

Nº de Ficheros Analizados: 26

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Tue Nov 11 15:17:23 2008

EliStartPage v17.38 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Nov 11 15:17:34 2008

EliStartPage v17.38 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\AUTORUN.INF --> Eliminado, PWS-OnLineGames.KAVO(inf)



Nº Total de Directorios: 27

Nº Total de Ficheros: 502

Nº de Ficheros Analizados: 8

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



Tue Nov 11 15:17:39 2008

EliStartPage v17.38 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad I:\

I:\AUTORUN.INF --> Eliminado, PWS-OnLineGames.KAVO(inf)



Nº Total de Directorios: 108

Nº Total de Ficheros: 1667

Nº de Ficheros Analizados: 23

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1





creo que mande las pruebas pedidas hace dos dias, si no es asi, hacedmelo saber y las mando

en una hora, analisis del kaspersky

[lucl]

Vuelve a descargarte las herramientas y pasalas de nuevo a ver si te las eliminan si no es asi las vuelves a enviar, gracias saludos

[msc hotline sat]

Sí, claro que las recibimos, ya se te indicó en mi último post:



[b][i]"Recibidas las muestras, se detecta un Backdoor CKB ya controlado con el ELITRIIP actual y 2 nuevas variantes de ONLINE GAMES que pasamosa controlar con el ELISTARA de hoy, 17.38"[/i][/b]



y ahora ya hemos subido la 17.39, descargala y tal como indica lucl, pruebala, y nos posteas el informe resultante , con lo que espero que ya podremos dar por solucionado el Tema





saludos



ms, 12-11-2008

[Stiggzab]

es interesante como KAVO.EXE KAVO.DLL TAVO.EXE TAVO.DLL se borran y vuelven a reaparecer



otros como los archivos bat [6.bat y fphj6j31.bat] son como intocables y [b]cc.exe[/b] y [b]ff.exe[/b] se propagan por 3 cuentas de usuario diferentes



hay algun programa que permita borrar archivos sueltos? recomiendan el FILE ASSASSIN?







[b]y ademas hay otro problema, no me deja desocultar los archivos... haciendo bien el procedimiento[/b]

edito: he borrado todos los virus manualmente tras poder desocultarlos y creo que los he eliminado todos



mañana se confirma y posiblemente se podra cerrar

[msc hotline sat]

Todo lo que dices es tipico de la familia ONLINE GAMES, y con el ELISTARA vamos controlando nuevas variantes a diario.



Son miles las que ya conocemos, prueba el ELISTARA 17.40 y posteanos el infosat,txt resultante. Ademas, por si hubiera muestras en c:\muestras que no nos hubieras enviado, o que no hubieramos recibido, empaquetalas en un ZIP o RAR con password virus y envianoslas.



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 12-11-2008

[Stiggzab]

en ese caso confirmadme si habeis recibido estos cuatro archivos

KAVO.EXE

KAVO.DLL

TAVO.EXE

TAVO.DLL



los he mandado pero por alguna razon no pudo haber llegado

confirmadme tambien si habeis recibido CC.EXE y FF.EXE porque creo que puede ser el origen del problema, al estar presentes en todas las cuentas de usuario

[msc hotline sat]

De KAVOS Y TAVOS recibimos muchos cada día, pero la ultima carpeta de Vd ciontiene:



KAVO0.DLL.Muestra EliStartPage v17.36

KAVO.EXE.Muestra EliStartPage v17.36

OfcpfwSvcs.exe.vir

TAVO0.DLL.Muestra EliStartPage v17.36

TAVO.EXE.Muestra EliStartPage v17.36

Test2.Sat



Los cuales supongo que ya los controla la ultima version del ELISTARA 17.40, LA HA PROBADO ???



Los que no se ven son los otros que menciona CC.EXE y FF.EXE , empaquetelos en un zip o rar con password virus y envienoslos:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 13-11-2008

[Stiggzab]

este es el log final del kaspersky, hoy mismo se podria cerrar este hilo



--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7 REPORT

Thursday, November 13, 2008

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Thursday, November 13, 2008 12:06:28

Records in database: 1383094

--------------------------------------------------------------------------------



Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes



Scan area - My Computer:

A:\

C:\

E:\

F:\

G:\



Scan statistics:

Files scanned: 48215

Threat name: 1

Infected objects: 2

Suspicious objects: 0

Duration of the scan: 01:20:04





File name / Threat name / Threats count

C:\fphj6j31.bat Infected: Packed.Win32.Krap.b 1

C:\WINDOWS\system32\KAVO0.DLL.VIR Infected: Packed.Win32.Krap.b 1



The selected area was scanned.



[b]fphj6j31.bat[/b] lo borré ayer y volvio a aparecer

[b]KAVO0.DLL.VIR[/b] esta desinfectado por el elistara, solo tengo que desocultarlo y borrarlo



[u]conclusion[/u]: ayer hice una limpieza manual de archivos, de todo lo que no me pudo borrar el elistara [cc.exe, ff.exe, 6.bat, autorun.exe, kas.exe, autorun3.exe]





edito: [b]fphj6j31.bat[/b] y [b]KAVO0.DLL.VIR[/b] han sido recien eliminados con el FileAssassin

creo que este todo limpio y el hilo listo a ser cerrado



por si acaso, log del HijackThis



Logfile of HijackThis v1.99.1

Scan saved at 04:07:22 p.m., on 13/11/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0013)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Archivos de programa\Java\jre1.6.0_07\bin\jusched.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Documents and Settings\-\Escritorio\Killers\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://satinfo.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Archivos de programa\AskBarDis\bar\bin\askBar.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Kwyshell MidpX BHO - {EBE9E2B5-B526-48BC-AD46-687263EDCB0E} - C:\Archivos de programa\Manuel\MidpX\JadInvoker\MidpInvoker.dll

O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)

O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Archivos de programa\Styler\TB\StylerTB.dll

O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Archivos de programa\DAEMON Tools Toolbar\DTToolbar.dll

O3 - Toolbar: Kwyshell MidpX - {EBE9E2B5-B526-48BC-AD46-687263EDCB0E} - C:\Archivos de programa\Manuel\MidpX\JadInvoker\MidpInvoker.dll

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Archivos de programa\AskBarDis\bar\bin\askBar.dll

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Archivos de programa\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [EnvyHFCPL] C:\Archivos de programa\Audio Deck\EnMixCPL.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O10 - Unknown file in Winsock LSP: c:\archivos de programa\bonjour\mdnsnsp.dll

O11 - Options group: [INTERNATIONAL] International*

O11 - Options group: [TABS] Tabbed Browsing

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\system32\ImapiRox.exe

O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe







seguire cogiendo virus en un futuro. si veo que alguno no lo puedo borrar al menos se donde acudir. espero no haberos molestado demasiado y hasta la proxima

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 13-11-2008