Problema con Administrador y acceso a Zonavirus.com (SOLUCIONADO)

[sebasbull18]

Buenas Tardes.

Desde hace un buen tiempo no los consultaba, pero lastimosamente para mi pc debo hacerlo otra vez.



hace algunos dias empezon un problema en mi pc, las ventanas se cerraban o minimizaban solas, hasta que hace unos dias aparecia una pantalla negra al iniciar windows, con unos comandos extraños, con el nombre de mIRC. Con esto tampoco podia acceder al administrador de tareas, modo a prueba de errores, restaurar sistema, etc. Todo de cia que habia sido desactivado por un "administrrador" pero yo no tengo diferentes cuentas en mi pc.....

Trate de ingresar a zonavirus pero cada vez que escribia la direccion, aparecia como si fuera una busqueda de google y al darle clic a uno de los vinculos ninguno podia acceder.



Les estoy escribiendo este mensaje a travez de otro computador, esperando a ver si ya a aparecido un caso parecido y si es posible hacer algo. Ya descarge las aplicaciones que ustedes ofrecen, esperando a probarlas inmediatamente llegue a mi casa (HJT, elistar, etc).



Personas que han visto mi caso me dijeron que probablemente sea un espia, por lo que tambien llevo algunas aplicaciones para deshacerme de ellos.



Cualquier ayuda que me puedan brindar se las agradecer eternamente, al igual que lo hicieron la ultima vez.



Hastapronto

[lucl]

Pues si pasaste elistara y hijackthis debes pegarnos el log, para ver resultados, en caso de que sea un espia debes ponerte un antiespias. Pero ojo con los programas que te instalas no siendo que sea peor el remedio que la enfermedad. Pasa elistara y peganos el log de infosat que tendras en C, luego hijackthis y nos pegas el log resultante y lo analizamos, saludos

[sebasbull18]

despues de correr el HJT y el elistara ya pude acceder a zonavirus normalmente.



Aqui les mando los logs=





Sat Aug 30 11:39:40 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\CRYPT]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\CRYPTS.DLL

a "virus@satinfo.es". Gracias.

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 30 11:40:13 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\OPTIONS\CABS\CABI\BLUSOLEII.EXE --> Eliminado, Autoit.BQG



Nº Total de Directorios: 2793

Nº Total de Ficheros: 37313

Nº de Ficheros Analizados: 16656

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



Sat Aug 30 12:00:00 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\

E:\Documents and Settings\Familia\Configuración local\Temp\CMDLINEEXT03.DLL --> Eliminado, Spy-CmdLineExt

E:\Documents and Settings\Familia\Configuración local\Temp\SINTF32.DLL --> Eliminado, Spy-CmdLineExt

E:\Documents and Settings\Familia\Configuración local\Temp\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt



Nº Total de Directorios: 3978

Nº Total de Ficheros: 35658

Nº de Ficheros Analizados: 13048

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



Sat Aug 30 12:15:59 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 19

Nº Total de Ficheros: 115

Nº de Ficheros Analizados: 103

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





HJT



Logfile of HijackThis v1.99.1

Scan saved at 10:03:49 a.m., on 30/08/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\MASTER\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com.co

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [Lexmark 1200 Series] "C:\Archivos de programa\Lexmark 1200 Series\lxczbmgr.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [AudioDeck] C:\Archivos de programa\VIA\VIAudioi\SBADeck\ADeck.exe 1

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [Siemens SmartSync - ScheduleSync] C:\ARCHIV~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [MSN] C:\Windows\svrse.exe

O4 - HKLM\..\Run: [msennger] C:\WINDOWS\system32\drive\calling.com

O4 - HKLM\..\Run: [Symantec BootSec Monitor] symboot.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [hohohhaha] C:\WINDOWS\system32\drive\calling.com

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: SAVRoam (SavRoam) - symantec - C:\Archivos de programa\Symantec AntiVirus\SavRoam.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\Rtvscan.exe



Gracias.



Pd. Descargue el Spybot - Search & Destroy pero le doy doble clic y no pasa nada, tambien descargue el ad-aware pero no pude actualizarlo.

[msc hotline sat]

Vea lo que dice el infosat:



Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\CRYPTS.DLL



Ademas instale el SP3 lanzando un windowsupdate...





Y tras analizar el log del HJT:



Cambie la extension de estos dos ficheros a .VIR:



C:\Windows\svrse.exe



C:\WINDOWS\system32\drive\calling.com





y envienoslos tambien para analizar y controlar en las proximas versiones de nuestras utilidades:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





y elimine esta clave:



O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1





Tras ello, reinicie y comentenos el resultado, gracias



saludos



ms, 30 de Agosto de 2008

[sebasbull18]

Buenas noches. aqui esta el resultado de lo ultimo que me recomendaron:



Elistara





Nº Total de Directorios: 3978

Nº Total de Ficheros: 35660

Nº de Ficheros Analizados: 8993

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Aug 30 11:39:40 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\CRYPT]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\CRYPTS.DLL

a "virus@satinfo.es". Gracias.

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 30 11:40:13 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\OPTIONS\CABS\CABI\BLUSOLEII.EXE --> Eliminado, Autoit.BQG



Nº Total de Directorios: 2793

Nº Total de Ficheros: 37313

Nº de Ficheros Analizados: 16656

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



Sat Aug 30 12:00:00 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\

E:\Documents and Settings\Familia\Configuración local\Temp\CMDLINEEXT03.DLL --> Eliminado, Spy-CmdLineExt

E:\Documents and Settings\Familia\Configuración local\Temp\SINTF32.DLL --> Eliminado, Spy-CmdLineExt

E:\Documents and Settings\Familia\Configuración local\Temp\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt



Nº Total de Directorios: 3978

Nº Total de Ficheros: 35658

Nº de Ficheros Analizados: 13048

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



Sat Aug 30 12:15:59 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 19

Nº Total de Ficheros: 115

Nº de Ficheros Analizados: 103

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Aug 30 17:33:36 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinDir%\PeerNet"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 30 17:33:47 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad A:\



Nº Total de Directorios: 0

Nº Total de Ficheros: 0

Nº de Ficheros Analizados: 0

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Aug 30 17:33:52 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 2927

Nº Total de Ficheros: 38608

Nº de Ficheros Analizados: 17252

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Aug 30 17:48:09 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 19

Nº Total de Ficheros: 115

Nº de Ficheros Analizados: 103

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Aug 30 17:48:14 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\



Nº Total de Directorios: 3978

Nº Total de Ficheros: 35655

Nº de Ficheros Analizados: 13045

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





HJT



Logfile of HijackThis v1.99.1

Scan saved at 06:01:50 p.m., on 30/08/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Documents and Settings\MASTER\Escritorio\antivirus\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com.co

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [Lexmark 1200 Series] "C:\Archivos de programa\Lexmark 1200 Series\lxczbmgr.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [AudioDeck] C:\Archivos de programa\VIA\VIAudioi\SBADeck\ADeck.exe 1

O4 - HKLM\..\Run: [Siemens SmartSync - ScheduleSync] C:\ARCHIV~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Symantec BootSec Monitor] symboot.exe

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [hohohhaha] C:\WINDOWS\system32\drive\calling.com

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {6531D99C-0D0E-4293-B3CB-A3E1D0D41847} (AhnASP Control) - http://aspglobal.ahnlab.com/asp/cab/AhnASP.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe



PD:Intente instalar un nuevo antivirus pero el administrador no me lo permite, me dice que no tengo privilegios para hacerlo.

-El problema con el adminstrador de tareas y "apagar" persiste.

-El spybot detecto 4 problemas en registros y algunas cookies las cuales ya repare.



Gracias

[msc hotline sat]

Pues buscando mas a fondo dado lo que indica, aunque sea por antivirus mas que por virus (o tambien por virus en esto que dice ser de Symantec, un symboot.exe), vemos que aparte de las claves propias del AVG que usa, hay estas otras de otros "antivirus"





O4 - HKLM\..\Run: [Symantec BootSec Monitor] symboot.exe



O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe





Si tuvo instalado antes McAfee, desinstalelo totalmente, pero esta de Symantec... además de no tener que estar si usa AVG, despierta sospechas.



Aparte de renombrar los dos ficheros de dichas claves a .VIR para dejarlos fuera de servicio a partir del proximo arranque, por no ser del antivirus actualmente usado, suba este SYMBOOT.EXE que ahora será SYMBOOT.VIR al virus total, (www.virustotal.com/es ) y si mas de un antivirus lo detecta como malware, posteenos el informe en cuestion y envienos el fichero para analizar, y en caso de confirmarse que es malware, lo pasaremos a controlar con las nuevas versiones de nuestras utilidades



saludos



ms, 31 de Agosto de 2008

[sebasbull18]

Buenos dias. ya hice el cambio del framework y lo envie, sin ningun resultado. el que dice symboot lo busque y aparece en la direccion c:\windows\prefetch pero con extencion pf. El antivirus que tengo en el momento es AVG. Antes tenia el symantec, pero como no podia actualizarlo lo desinstale, luego trate de instalar el mcafee pero me dice que no tengo derechos para hacerlo, por ultimo instale el avg, pero aparece como desactivado por la misma razon. Como les comentaba, el spyboot encontro 4 entradas de registro como amenazas pero el problema persiste.



-Elimino las claves que ustedes mencionan en el mensaje anterior?

-Elimino los archivos que se encuentran en la carpeta de mcafee?

-al iniciar windows se pone muy lento hasta que carga el messenger, despues esta normal. Deberia eliminar algunas claves demas?

-Favor confirmar el recibo de la muestra de los mensajes anteriores (crypts.dll)



Espero su respuesta, Gracias

[msc hotline sat]

Pues si habia tenido el Norton, probablemente este SYMBOOT fuera del mismo, y el .PF ya no sirve dado que es un extracto para acelerar el lanzamiento, y sin el fichero .EXE correspondiente, no sirve para nada, buedes borrarlo



Y si dices que ahora tienes el AVG, claro que debes borrar todo lo de McAfee, y de los demas antivirus, solo debe quedar el que uses.



Y este CRYPTS.DLL, renombra su extension a .VIR ya que lo califican como malware:



http://www.bleepingcomputer.com/startups/crypts.dll-21047.html



Y mañana, cuando reentremos en SATINFO, se clasificaran los miles de mails recibidos en vacaciones, se pondrán en cola las muestras para analizar y monitorizar, y se irá implementando su control y eliminaicon, si proicede en nuestras utilidades, de lo cual iremos informando a diario.



saludos



ms, 31 de Agosto de 2008

[msc hotline sat]

Efectivamente , este fichero CRYPTS.DLL es malware:



C:\WinLogon\CRYPTS.DLL



File CRYPTS.DLL received on 09.01.2008 11:10:43 (CET)

Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED





Result: 26/36 (72.23%)



Antivirus Version Last Update Result

AhnLab-V3 2008.8.29.0 2008.09.01 -

AntiVir 7.8.1.23 2008.09.01 TR/Downloader.Gen

Authentium 5.1.0.4 2008.09.01 -

Avast 4.8.1195.0 2008.08.31 Win32:Trojan-gen {Other}

AVG 8.0.0.161 2008.08.31 Downloader.Generic7.AHRK

BitDefender 7.2 2008.09.01 Trojan.Downloader.Zlob.ABZN

CAT-QuickHeal 9.50 2008.08.29 Trojan.Zlob.gen

ClamAV 0.93.1 2008.09.01 -

DrWeb 4.44.0.09170 2008.08.31 -

eSafe 7.0.17.0 2008.08.31 Suspicious File

eTrust-Vet 31.6.6057 2008.08.29 Win32/Redirand.C

Ewido 4.0 2008.08.31 -

F-Prot 4.4.4.56 2008.09.01 -

F-Secure 7.60.13501.0 2008.09.01 Trojan-Downloader.Win32.Small.aciv

Fortinet 3.14.0.0 2008.09.01 W32/MNLESS.FG!tr

GData 19 2008.09.01 Trojan-Downloader.Win32.Small.aciv

Ikarus T3.1.1.34.0 2008.09.01 Trojan-Downloader

K7AntiVirus 7.10.433 2008.08.30 Trojan.Win32.Malware.1

Kaspersky 7.0.0.125 2008.09.01 Trojan-Downloader.Win32.Small.aciv

McAfee 5373 2008.08.29 Generic Downloader.x

Microsoft 1.3807 2008.08.25 -

NOD32v2 3402 2008.08.31 Win32/TrojanDownloader.Agent.OCZ

Norman 5.80.02 2008.08.29 W32/DLoader.JBUM

Panda 9.0.0.4 2008.08.31 Trj/Downloader.UMW

PCTools 4.4.2.0 2008.08.31 -

Prevx1 V2 2008.09.01 Malicious Software

Rising 20.60.01.00 2008.09.01 Trojan.DL.Win32.Mnless.aph

Sophos 4.33.0 2008.09.01 Mal/Heuri-E

Sunbelt 3.1.1592.1 2008.08.30 Trojan-Downloader.Zlob.Media-Codec

Symantec 10 2008.09.01 Downloader

TheHacker 6.3.0.6.068 2008.08.30 -

TrendMicro 8.700.0.1004 2008.09.01 TROJ_MNLESS.FG

VBA32 3.12.8.4 2008.08.31 Trojan-Downloader.Win32.Satray.ce

ViRobot 2008.9.1.1359 2008.09.01 Trojan.Win32.Downloader.32768.D

VirusBuster 4.5.11.0 2008.08.31 -

Webwasher-Gateway 6.6.2 2008.09.01 Trojan.Downloader.Gen





En consecuencia busca este fichero que seguramente estará en C:\windows\system32 (aparte de c:\muestras, claro) y renombra su extension a .VIR para que no pueda lanzarse en el proximo reinicio



Aparte, implementaremos su control y eliminacion en el ELISTARA, pero de momento así ya estará aparcado





Tras ello reinicia y cuentanos el resultado.





saludos



ms, 1-09-2008





NOTA : Y revisa la actualizacion del AVG, ya que debería haberlo detectado: AVG 8.0.0.161 2008.08.31 Downloader.Generic7.AHRK . ms.

[sebasbull18]

Buenas noches. Ya corri la ultima actualizacion del elistara pero sin ninguna novedad. El crypt ya lo renombre y no hay ningun problema con el. El administrado de tareas es accesible otra vez pero el boton de apagado todavia no aparece. Ademas tambien empezo a salir un aviso de memoria virtual demasiado baja, pero no he instalado nuevos programas aparte del Avg.



Todavia no se que le pasa a mi pc, ya esta mejor pero todavia tiene esas pequeñas fallas que les comento.



Gracias

[msc hotline sat]

En el log hay esta clave de Symantec:



O4 - HKLM\..\Run: [Symantec BootSec Monitor] symboot.exe





y estas de McAfee:



O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey



O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe





No se las que puede tener en el resto del registro, pero con AVG instalado las que haya de otras molestan y pueden ocasionar colisiones y ralentizacion, debe eliminarlas, puede probar el BUSCAREG para ello:



[size=150][color=darkblue][b]BuscaReg[/b][/color][/size] (SATINFO)

Busca una cadena dentro del registro de windows, una vez encontradas permite borrarlas con tan solo pinchar encima de cada entrada encontrada, ademas realiza la exportacion de las claves eliminadas por si se necesitan restaurar las claves borradas.



[url=http://www.zonavirus.com/descargas/buscareg.asp][b]Descargar BuscaReg[/b][/url]







y para las que sean servicios, que se resistieran a ser eliminadas, pruebe el ELISERV



http://www.zonavirus.com/datos/descargas/273/eliservexe.asp





saludos



ms, 4-09-2008







nota: Aparte, por si hubiera algun otro malware no visible en el log de HJT, lance este SAV ONLINE y posteenos el informe resultante:



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Y de las opciones a escanear, escoger MIPC, para examinarlo todo. Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, indicando la utilidad a probar para solucionarlo.





(Este análisis con el kaspersky es muy lento, vaya este aviso por delante, tras lanzarlo, cargar la actualización y escoger MIPC, dejarlo trabajar (puede tardar varias horas), y cuando haya acabado, con un copiar y pegar, pegarnos el informe indicado)



ms.

[sebasbull18]

Buenos dias.

Aqui les dejo el resultado del test online:



KASPERSKY ONLINE SCANNER INFORMEKASPERSKY ONLINE SCANNER INFORME

jueves, 04 de septiembre de 2008 13:09:48

Sistema operativo: Microsoft Windows XP Professional, Service Pack 3

(Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 4/09/2008

Registros en la base antivirus: 1063478





Configuración del análisis

Analizar usando las siguientes basesstandard

Analizar archivosverdadero

Analizar bases de correoverdadero



Objetivo a analizarMi PC

A:\

C:\

D:\

E:\



Estadísticas

Número de objeros analizados98808

Virus encontrados9

Objetos infectados100 / 0

Objetos sospechosos0

Duración del análisis04:10:08



Bombre del objeto infectadoNombre del virusÚltima acción

C:\cepi.exe/BluSoleiI.exe/script.au3 Infectados: Trojan.Win32.Autoit.cz

saltado



C:\cepi.exe/BluSoleiI.exe Infectados: Trojan.Win32.Autoit.cz saltado



C:\cepi.exe/System Infectados: Backdoor.Win32.mIRC-based saltado



C:\cepi.exe Instyler: infectado - 3 saltado



C:\Documents and Settings\All Users\Datos de

programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de

programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos

temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración

local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked

saltado



C:\Documents and Settings\LocalService\ntuser.dat Object is locked saltado





C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked

saltado



C:\Documents and Settings\MASTER\cepi.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\Documents and Settings\MASTER\cepi.exe/BluSoleiI.exe Infectados:

Trojan.Win32.Autoit.cz saltado



C:\Documents and Settings\MASTER\cepi.exe/System Infectados:

Backdoor.Win32.mIRC-based saltado



C:\Documents and Settings\MASTER\cepi.exe Instyler: infectado - 3 saltado



C:\Documents and Settings\MASTER\Configuración local\Archivos temporales

de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object

is locked saltado



C:\Documents and Settings\MASTER\Configuración local\Archivos temporales

de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\MASTER\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\MASTER\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\MASTER\Configuración

local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\MASTER\Cookies\index.dat Object is locked

saltado



C:\Documents and Settings\MASTER\ntuser.dat Object is locked saltado



C:\Documents and Settings\MASTER\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de

programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked

saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked

saltado



C:\RECYCLER\S-1-5-21-1229272821-1960408961-1801674531-1003\Dc3.EXE

Infectados: Trojan-Downloader.Win32.IstBar.vv saltado



C:\sts.exe Infectados: Trojan.Win32.Agent.zre saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is

locked saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080513.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080513.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080513.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080513.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080524.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080524.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080524.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080524.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080525.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080525.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080525.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080525.exe

PE_Patch.UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080551.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080554.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080555.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080565.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080569.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080576.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080580.INS

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080589.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080593.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080602.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080602.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080602.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080724.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080724.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080724.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0080724.exe

PE_Patch.UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP100\A0085079.DLL

Infectados: Trojan-Downloader.Win32.Small.aciv saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP102\change.log

Object is locked saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP94\A0067988.EXE

Infectados: Trojan-Downloader.Win32.IstBar.vv saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070168.exe

Infectados: Trojan-Downloader.Win32.Agent.pdl saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070226.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070226.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070226.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070226.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070227.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070227.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070227.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070227.exe

PE_Patch.UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070292.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070292.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070292.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070297.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP97\A0070314.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0070359.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0070359.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0070359.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0070364.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0070379.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072403.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072403.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072403.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072407.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072433.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072433.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072433.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072435.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072439.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072477.exe/calling.com

Infectados: Backdoor.Win32.IRCBot.dsh saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072477.exe/lam2.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072477.exe

Instyler: infectado - 2 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072481.exe

Infectados: not-a-virus:NetTool.Win32.Sniffer.c saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072591.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072591.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072591.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072591.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072592.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072592.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072592.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP98\A0072592.exe

PE_Patch.UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072705.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072705.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072705.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072705.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072706.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072706.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072706.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072706.exe

PE_Patch.UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072719.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072719.exe/BluSoleiI.exe

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072719.exe/System

Infectados: Backdoor.Win32.mIRC-based saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072719.exe

Instyler: infectado - 3 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072721.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072721.exe

Embedded: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072721.exe

UPX: infectado - 1 saltado



C:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP99\A0072721.exe

PE_Patch.UPX: infectado - 1 saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked

saltado



C:\WINDOWS\Sti_Trace.log Object is locked saltado



C:\WINDOWS\svrse.exe Infectados: Trojan.Win32.Agent.zre saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\Internet.evt Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



C:\WINDOWS\system32\crypts.dll Infectados:

Trojan-Downloader.Win32.Small.aciv saltado



C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado



C:\WINDOWS\system32\h323log.txt Object is locked saltado



C:\WINDOWS\system32\symboot.exe Infectados: Trojan.Win32.Agent.abue

saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked

saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked

saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked

saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked

saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked

saltado



C:\WINDOWS\wiadebug.log Object is locked saltado



C:\WINDOWS\wiaservc.log Object is locked saltado



C:\WINDOWS\WindowsUpdate.log Object is locked saltado



C:\WinLogon\CRYPTS.vir Infectados: Trojan-Downloader.Win32.Small.aciv

saltado



D:\System Volume Information\MountPointManagerRemoteDatabase Object is

locked saltado



E:\Documents and Settings\All Users\Datos de programa\Microsoft\Dr

Watson\user.dmp Object is locked saltado



E:\Documents and Settings\All Users\Datos de

programa\Symantec\SRTSP\SrtETmp\EEC3FFF2.TMP Object is locked saltado



E:\System Volume Information\MountPointManagerRemoteDatabase Object is

locked saltado



E:\System Volume

Information\_restore{809AAAD6-8E2F-47F5-BDA5-1E552B159ADD}\RP102\change.log

Object is locked saltado



Análisis completado.



Espero respuesta. Gracias

[msc hotline sat]

Ante todo descargue el ELISTARA actual y pruebelo:




[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]





Renombre la extension de todos los ficheros que le queden de estos a .VIR





C:\cepi.exe/BluSoleiI.exe Infectados: Trojan.Win32.Autoit.cz saltado



C:\cepi.exe/System Infectados: Backdoor.Win32.mIRC-based saltado



C:\cepi.exe Instyler: infectado - 3 saltado



C:\Documents and Settings\MASTER\cepi.exe/BluSoleiI.exe/script.au3

Infectados: Trojan.Win32.Autoit.cz saltado



C:\Documents and Settings\MASTER\cepi.exe/BluSoleiI.exe Infectados:

Trojan.Win32.Autoit.cz saltado



C:\Documents and Settings\MASTER\cepi.exe/System Infectados:

Backdoor.Win32.mIRC-based saltado



C:\sts.exe Infectados: Trojan.Win32.Agent.zre saltado



:\WINDOWS\svrse.exe Infectados: Trojan.Win32.Agent.zre saltado





C:\WINDOWS\system32\crypts.dll Infectados:

Trojan-Downloader.Win32.Small.aciv saltado



C:\WINDOWS\system32\symboot.exe Infectados: Trojan.Win32.Agent.abue

saltado



C:\WinLogon\CRYPTS.vir Infectados: Trojan-Downloader.Win32.Small.aciv

saltado





C:\Documents and Settings\MASTER\cepi.exe Instyler: infectado - 3 saltado





Tras ello envienoslos para analizar





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 5-09-2008

[sebasbull18]

Buenas tardes.

Ya ejecute el elistara pero sin ninguna novedad.....

Algunos de los archivos que mencionan en el posta anterior no aparecen y los pocos que habia ya les envie la muestra esperando por actualizacion.....

Aunque el problema del boton de apagado y de modo seguro persiste, tengo una pregunta mientras espero por sus actualizaciones: es seguro navegar en internet y/ó utilizar el messenger?

Desde que me aparecio este problema, como medida de "seguridad" no he visto ninguna otra pagina diferente de zona virus. El AVG esta activado pero quisiera saber su opinion.



Gracias

[msc hotline sat]

Pues mientras esperamos a volver al trabajo en SATINFO, el lunes, claro, sube estos ficheros que nos has enviado al VirusTotal ( www.virustotal.com/es ) y posteenos los informes resultantes



Aparte de ganar tiempo, sabremos como les llaman los demas antivirus, con lo cual sabremos de qué se tratan (Backdoor, gusano, cazapasswords, adware, virus, etc) y podremos obrar en consecuencia



saludos



ms, 5-09-2008

[sebasbull18]

Este es el resultado del test:



---cepi.exe



AhnLab-V3 2008.9.5.1 2008.09.05 -

AntiVir 7.8.1.28 2008.09.05 DR/Autoit.CZ.1

Authentium 5.1.0.4 2008.09.05 -

Avast 4.8.1195.0 2008.09.05 -

AVG 8.0.0.161 2008.09.05 -

BitDefender 7.2 2008.09.06 Application.Irc.Flood.Tool.E

CAT-QuickHeal 9.50 2008.09.02 -

ClamAV 0.93.1 2008.09.05 -

DrWeb 4.44.0.09170 2008.09.05 Trojan.Copyself.56

eSafe 7.0.17.0 2008.09.03 Win32.mIRC-based

eTrust-Vet 31.6.6072 2008.09.05 Win32/IRCFlood

Ewido 4.0 2008.09.05 -

F-Prot 4.4.4.56 2008.09.05 -

F-Secure 8.0.14332.0 2008.09.05 Backdoor.Win32.mIRC-based

Fortinet 3.112.0.0 2008.09.05 W32/Autoit.CZ!tr

GData 19 2008.09.06 Backdoor.Win32.mIRC-based

Ikarus T3.1.1.34.0 2008.09.06 Trojan-Dropper.Win32.Agent.amm

K7AntiVirus 7.10.443 2008.09.05 -

Kaspersky 7.0.0.125 2008.09.06 Trojan.Win32.Autoit.cz

McAfee 5378 2008.09.05 -

Microsoft 1.3903 2008.09.06 -

NOD32v2 3421 2008.09.06 -

Norman 5.80.02 2008.09.05 -

Panda 9.0.0.4 2008.09.05 W32/Sohanat.AS.worm

PCTools 4.4.2.0 2008.09.05 -

Prevx1 V2 2008.09.06 Cloaked Malware

Rising 20.60.42.00 2008.09.05 -

Sophos 4.33.0 2008.09.06 -

Sunbelt 3.1.1610.1 2008.09.05 Trojan.Win32.Autoit.cz

Symantec 10 2008.09.06 -

TheHacker 6.3.0.8.072 2008.09.04 -

TrendMicro 8.700.0.1004 2008.09.05 TROJ_DROPPER.ACL

VBA32 3.12.8.5 2008.09.05 Trojan.Win32.Autoit.cz

ViRobot 2008.9.5.1365 2008.09.05 -

VirusBuster 4.5.11.0 2008.09.05 -

Webwasher-Gateway 6.6.2 2008.09.05 Trojan.Dropper.Autoit.CZ.1



--sts.exe



AhnLab-V3 2008.9.5.1 2008.09.05 Win-Trojan/Agent.20480.UC

AntiVir 7.8.1.28 2008.09.05 TR/Dropper.Gen

Authentium 5.1.0.4 2008.09.05 -

Avast 4.8.1195.0 2008.09.05 Win32:Inject-PW

AVG 8.0.0.161 2008.09.05 Generic_r.A

BitDefender 7.2 2008.09.06 Trojan.Inject.GF

CAT-QuickHeal 9.50 2008.09.02 Trojan.Agent.zre

ClamAV 0.93.1 2008.09.05 -

DrWeb 4.44.0.09170 2008.09.05 Win32.HLLW.Autoruner.848

eSafe 7.0.17.0 2008.09.03 Suspicious File

eTrust-Vet 31.6.6072 2008.09.05 Win32/Shliser.A

Ewido 4.0 2008.09.05 Trojan.Inject.zg

F-Prot 4.4.4.56 2008.09.05 -

F-Secure 8.0.14332.0 2008.09.05 Trojan.Win32.Agent.zre

Fortinet 3.112.0.0 2008.09.05 PossibleThreat

GData 19 2008.09.06 Trojan.Win32.Agent.zre

Ikarus T3.1.1.34.0 2008.09.06 Trojan.Win32.Inject.zg

K7AntiVirus 7.10.443 2008.09.05 Trojan.Win32.Agent.zre

Kaspersky 7.0.0.125 2008.09.06 Trojan.Win32.Agent.zre

McAfee 5378 2008.09.05 potentially unwanted program Generic PUP

Microsoft 1.3903 2008.09.06 VirTool:Win32/Injector.gen!E

NOD32v2 3421 2008.09.06 a variant of Win32/Injector.AR

Norman 5.80.02 2008.09.05 W32/Smalldrp.AHOZ

Panda 9.0.0.4 2008.09.05 Bck/IrcBot.CDY

PCTools 4.4.2.0 2008.09.05 -

Prevx1 V2 2008.09.06 Cloaked Malware

Rising 20.60.42.00 2008.09.05 Trojan.Win32.Undef.hdk

Sophos 4.33.0 2008.09.06 -

Sunbelt 3.1.1610.1 2008.09.05 Trojan.Inject.GF

Symantec 10 2008.09.06 W32.Spybot.Worm

TheHacker 6.3.0.8.072 2008.09.04 -

TrendMicro 8.700.0.1004 2008.09.05 WORM_AUTORUN.MCS

VBA32 3.12.8.5 2008.09.05 Backdoor.Win32.Poison.gec

ViRobot 2008.9.5.1365 2008.09.05 Trojan.Win32.Agent.20480.AB

VirusBuster 4.5.11.0 2008.09.05 -

Webwasher-Gateway 6.6.2 2008.09.05 Trojan.Dropper.Gen





Esperare entonces las actualizaciones.

Gracias.



Una pregunta: el spybot tambien sirve como proteccion mientras se navega en internet ó solamente sirve para buscar los espias en el pc?



Gracias

[lucl]

Sirve como proteccion si lo configuras para el explorador, ayuda algo pero no es lo mismo, saludos

[msc hotline sat]

Analizada muestra recibida con este nick, pasamos a controlarla a partir del ELISTARA 17.11:


[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]

saludos



ms, 3 de Octubre de 2008

[msc hotline sat]

Recibida muestra de este usuario sin que haya Tema al respecto, se añade a este antiguo para que conste:



La muestra recibida es un prefetch (extension .PF) y no es util para minitorizar.



Envienos el EXE correspondiente y conviene que abra Tema al respecto para que podamos informarle al respecto



saludos



ms, 12-11-2008

[msc hotline sat]

Siguiendo indicaciones en privado del usuario, se da el Tema por solucionado y se procede a cerrarlo



saludos



ms, 8-5-2011