virus y trojanos en mi ordenador:backdoor.graybird (CERRADO)

[XxelmidelomoxX]

buenas a todos esta es mi primera ves que posteo en este foro,para empezar le doy las gracias por el trabajo que hacen al ayudarnos a nosotros los novatos del pc,xD y bueno mi problema es el siguiente,al descargarme un archivo antes de abrirlo le pase el norton y me detecto en el archivo un virus con el nombre que puse arriba por lo visto esta alojado en c:/windows/temp/tmp y bueno le pase dos antivirus y me salieron otros 2 mas entre ellos trojanosy nada al terminar de escanear me pone que no se han podido reparar ni mandar a cuarentena ni borrar y ahora too el rato me aparece una advertencia de virus con el norton que no se puede quitar,le doy a ok y sale otro con otro nombre y asi too el rato,no hay manera de borrarloy nada no se que hacer ya,espero que me ayuden,el ordenador ahora me va mu lento y no se que hacer,necesito ayuda que hago??,muchas gracias y espero respuesta,diganm,e que tengo que hacer y lo hare.

[julibaga]

Hola.

Pues de entrada, desactiva Restaurar Sistema y bájate

Elistara: http://www.zonavirus.com/descargas/elistara.asp

Elitriip: http://www.zonavirus.com/descargas/elitriip.asp

Elinotif: http://www.zonavirus.com/descargas/elinotif.asp



Ponlos en el mismo directorio y ejecuta el elistara y el elitriip.

A continuación postea el log que te deja en C:\infosat.txt



Salu2

[msc hotline sat]

Si dichas utilidades no lo eliminaran ni pidieran muestras para analizar, lanza este AV ONLINE y posteanos el informe resultante,





http://www.kaspersky.com/kos/english/kavwebscan.html



y seleccionar MY COMPUTER para escanearlo todo. Si no se tiene la version de Java



actualizada, a la izquierda de la ventana que presenta dicho acceso, ofrecen link de



descarga...



Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el



Informe, ya obraremos en consecuencia. ms.



[img]http://img.photobucket.com/albums/v666/sUBs/Kas-SaveReport-1.gif[/img]







saludos



ms, 13-1-2009

[XxelmidelomoxX]

[quote="julibaga"]Hola.

Pues de entrada, desactiva Restaurar Sistema y bájate

Elistara: http://www.zonavirus.com/descargas/elistara.asp

Elitriip: http://www.zonavirus.com/descargas/elitriip.asp

Elinotif: http://www.zonavirus.com/descargas/elinotif.asp



Ponlos en el mismo directorio y ejecuta el elistara y el elitriip.

A continuación postea el log que te deja en C:\infosat.txt



Salu2[/quote]



muchas gracias, desde que llègue a mi casa lo hago,ahora estoy en otro ordenador para poder ver tu respuesta si no tardaria años,xD,bueno 3 preguntillas hace tiempo que no toco naa del ordenador y ya ni me acuerdo como se desactiva el restaurar el sistema, se que es dandole a ejecutar y poniendo una palabra pero no me acuerdo cual es,seria config??luego dices que me descarge esos archivos,ok, son 3 y que son antivirus o cosas de estas?perdon por mi incompetencia pero cuando te refieres a ponerlas en el mismo directorio te refieres a ponerlas toas en la misma carpeta??ejecuto esos 2 y que hago con el tercero?y ya por ultimo la pregunta mas tonta de toas aunque yo creo que la segunda pregunta fue la mas tonta pero bueno,c:/infosat.txt donde lo encuentro??porque al darle al disco duro o c: te sale archivos de programas windows etccc....donde lo buscaria¿???gracias por aguantar estas preguntas que seguramente seran un insulto para tu inteligencia,por cierto muchas gracias por la ayuda, que hariamos nosotros" la gente de a pie "sin ustedes?.saludos y espero respuesta.

[julibaga]

Desactivar Restaurar Sistema:

Botón derecho del ratón sobre MiPc -> Propiedades -> Restaurar Sistema y marcas la casilla de desactivarlo.



Segunda Respuesta:

Sí, son utilidades complementarias de antivirus que detectan virus "especiales".

El tercer archivo (Elinotiff)es (el complemento del Elistara) por si tiene que ejecutarse el (Elistara)al reiniciar la máquina.

Y sí, deben estar en la misma carpeta.



Tercera:

Pues como te indico en el post anterior está en C:\ y se llama infosat.txt

Le das doble click y se abre. Copias todo lo que tenga ahí y lo pegas en el post.



Salu2

[XxelmidelomoxX]

[quote="julibaga"]Desactivar Restaurar Sistema:

Botón derecho del ratón sobre MiPc -> Propiedades -> Restaurar Sistema y marcas la casilla de desactivarlo.



Segunda Respuesta:

Sí, son utilidades complementarias de antivirus que detectan virus "especiales".

El tercer archivo (Elinotiff)es (el complemento del Elistara) por si tiene que ejecutarse el Elibagla( Elistara)al reiniciar la máquina.

Y sí, deben estar en la misma carpeta.



Tercera:

Pues como te indico en el post anterior está en C:\ y se llama infosat.txt

Le das doble click y se abre. Copias todo lo que tenga ahí y lo pegas en el post.



Salu2[/quote]

ok muchas gracias de nuevo,entonces cuando llegue a mi casa cojo el portatil me bajo eso lo meto en pentdrive y lo paso a mi ordenador infectao,ejecuto toos los programillas esos menos el tercero elinotiff,sino es asi rectificarme por favor y antes de eso desactivo el restaurar sistema,pero una pregunta he echo lo de desactivar el restaurador en los ordenadores de mi curro y no me aparece esa casilla de desactivar restaurar,no se porque sera?espero que en el mio si aparezca,he leido por ahy que si no te sale es porque no te has metio en el ordenador como el administrador sino como usuario,puede ser por eso?=graicassss

[lucl]

Si puede ser eso si. Supongo que en la empresa lo han puesto asi por seguridad. Recuerda pegarnos el infosat cuando hayas pasado los programas ok? Saludos

[XxelmidelomoxX]

[quote="lucl"]Si puede ser eso si. Supongo que en la empresa lo han puesto asi por seguridad. Recuerda pegarnos el infosat cuando hayas pasado los programas ok? Saludos[/quote]



ok,muchas gracias por la aclaracion,entonces si veo que no me aparece le doy a inicio cambiar de usuario haber si sale el del administrador que creo que si saldra de toos modos.por cierto soy de tenerife,tu eres de arona?tenerife?saludossss

[msc hotline sat]

Pues aunque no creo que le disgustara vivir por aqui, lucl es de mucho mas al Norte, donde se pasa mas frio ! :wink:



Aparte de nuestra moderadora lucl, tenemos, mas cerca tuyo, otra moderadora, nuestra "cañera", en otra isla de Tenerife, la de La Palma, pero actualmente está muy ocupada y, en el foro, le ha tomado el relevo "lucl", que como ves "luce" por si sola :lol:



Y ya que no has pasado el AV ONLINE que te indiqué, para lo de la pestaña de RESTAURAR, prueba ejecutar el SRESTORE, a ver si lo arregla:



http://www.zonavirus.com/descargas/srestore.asp



y nos comentas el resultado, gracias



saludos



ms, 14-1-2009

[XxelmidelomoxX]

[quote="msc hotline sat"]Pues aunque no creo que le disgustara vivir por aqui, lucl es de mucho mas al Norte, donde se pasa mas frio ! :wink:



Aparte de nuestra moderadora lucl, tenemos, mas cerca tuyo, otra moderadora, nuestra "cañera", en otra isla de Tenerife, la de La Palma, pero actualmente está muy ocupada y, en el foro, le ha tomado el relevo "lucl", que como ves "luce" por si sola :lol:



Y ya que no has pasado el AV ONLINE que te indiqué, para lo de la pestaña de RESTAURAR, prueba ejecutar el SRESTORE, a ver si lo arregla:



http://www.zonavirus.com/descargas/srestore.asp



y nos comentas el resultado, gracias



saludos



ms, 14-1-2009[/quote]

jkljkljkl,ok,bueno ya he echo lo que me dijeron,voy a decir paso a paso lo que hice para ver si lo hice bien,bueno para empezar desactive el restaurar sistema,luego como hiba mu lçento el ordenador por los virus lo puse en modo a prueba de fallos,me descarge esos 3 archivos y ejecute los dos porimeros y me salio eso de infosat,ahora lo pego



Thu Jan 15 13:12:48 2009

EliStartPage v17.79 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Enero del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 15 13:13:35 2009

EliStartPage v17.79 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Enero del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Thu Jan 15 13:14:00 2009

EliTriIP v5.43 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 13 de Enero del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



Thu Jan 15 13:14:03 2009

EliTriIP v5.43 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 13 de Enero del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 3184

Nº Total de Ficheros: 47952

Nº de Ficheros Analizados: 22355

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



tam,bien pase el hijackthis por si sirve de algo ahy va:



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:30:26, on 15/1/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16762)

Boot mode: Safe mode with network support



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Documents and Settings\Administrador\Escritorio\virus\ELITRIIP.BC%D8AB%D8%D8I.EXE

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: MyIdentityDefender - {A26503FE-B3B8-4910-A9DC-9CBD25C6B8D6} - C:\Documents and Settings\israel martin\Configuración local\Datos de programa\CyberDefender\cdmyidd.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Archivos de programa\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: MyIdentityDefender - {A26503FE-B3B8-4910-A9DC-9CBD25C6B8D6} - C:\Documents and Settings\israel martin\Configuración local\Datos de programa\CyberDefender\cdmyidd.dll

O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Archivos de programa\Styler\TB\StylerTB.dll

O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [DrvIcon] C:\Archivos de programa\Vista Drive Icon\DrvIcon.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ISSVC.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\archivos de programa\archivos comunes\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe



--

End of file - 7038 bytes





bueno eso es too,espero respuest y ahora me pongo a pasarle el karspesky online ese.ciaoooo

[XxelmidelomoxX]

[quote="msc hotline sat"]Pues aunque no creo que le disgustara vivir por aqui, lucl es de mucho mas al Norte, donde se pasa mas frio ! :wink:



Aparte de nuestra moderadora lucl, tenemos, mas cerca tuyo, otra moderadora, nuestra "cañera", en otra isla de Tenerife, la de La Palma, pero actualmente está muy ocupada y, en el foro, le ha tomado el relevo "lucl", que como ves "luce" por si sola :lol:



Y ya que no has pasado el AV ONLINE que te indiqué, para lo de la pestaña de RESTAURAR, prueba ejecutar el SRESTORE, a ver si lo arregla:



http://www.zonavirus.com/descargas/srestore.asp



y nos comentas el resultado, gracias



saludos



no me deja escanear con el kaspersky online pues me falta el javale doy a descargar y me pone descarga fallida asi que voy con lo que me dijistes aqui.



ms, 14-1-2009[/quote]

[XxelmidelomoxX]

[quote="XxelmidelomoxX"][quote="msc hotline sat"]Pues aunque no creo que le disgustara vivir por aqui, lucl es de mucho mas al Norte, donde se pasa mas frio ! :wink:



Aparte de nuestra moderadora lucl, tenemos, mas cerca tuyo, otra moderadora, nuestra "cañera", en otra isla de Tenerife, la de La Palma, pero actualmente está muy ocupada y, en el foro, le ha tomado el relevo "lucl", que como ves "luce" por si sola :lol:



Y ya que no has pasado el AV ONLINE que te indiqué, para lo de la pestaña de RESTAURAR, prueba ejecutar el SRESTORE, a ver si lo arregla:



http://www.zonavirus.com/descargas/srestore.asp



y nos comentas el resultado, gracias



saludos



no me deja escanear con el kaspersky online pues me falta el javale doy a descargar y me pone descarga fallida asi que voy con lo que me dijistes aqui.



ms, 14-1-2009[/quote][/quote]

y esto ultimo que me dijistes que pusiera le doy y lo unico que pone es el restaurar sistyema esta desactivado y una pèstaña que es para activar le di y cerre,nop se si hay que hacer algo mas,espero respuesta y espero que el ordenador pueda seguir viviendo aun xD

[msc hotline sat]

Pues mira ahora en botin drecho en MIPC -> Propiedades -> Restauracion sistema , si ves la casilla de restaurar o no



La utilidad activa si está desactiva y la desactiva si está activada, y ademas puede habilitar la casilla si no está.



Comentanos el resultado, gracias



saludos



ms, 15-1-2009

[XxelmidelomoxX]

[quote="msc hotline sat"]Pues mira ahora en botin drecho en MIPC -> Propiedades -> Restauracion sistema , si ves la casilla de restaurar o no



La utilidad activa si está desactiva y la desactiva si está activada, y ademas puede habilitar la casilla si no está.



Comentanos el resultado, gracias



saludos



ms, 15-1-2009[/quote]



ok,gracias pues bueno te cuento:



despues de hacer too eso me mti otra vez en el ordenador y ya no me aparece el mensaje ese imposible de quitar que pone que tengo virus,pero,le volvi a pasar el norton y me puso que tenia 3 virus aun,pero esta vez si pudo eliminar 2 creo pero 1 aun sigue que debo hacer,ahjora el ordenador va perfecto,pero todavia tengo un virus y ademas el norton me pone que esta mal,me pone que la autoproteccion no funciona,le doy a que funcione y me da error,que hago con losa virus y el antivirus+que programas antivirus me recomendais y que otro programa antispyware o malware me recomendais+suelen decir que apartte de un antivirus tambien es bueno tener esas cxosas,espero respuesta y muchas gracias por la ayuda prestada desde tenerife con calo,xD,otra cosa,acabo de meterme en prueba de errores de nuevo pa pasdar el norton y a prueba de errores no me deja utilizar norton pone eso de enviar error.???



bueno parece que ya se ha desinfectao pues ya no me sale cuando escaneo pero no se alomejor se escondio o algo,xD,aqui os dejo el nombre del virus por si sirve de algo:



sv.pro8.144-nope.exe virus nombre

threat name: trojan horse

estaba en c:documents and setting israel martin mis documentos ya lo he borrao,espero respeuysta,no se si lo hice bien.

[msc hotline sat]

Pues otra vez envianos muestra en lugar de eliminarla, y asi podremos analizarla, e implementar su control y eliminacion en nuestras utilidades, de lo cual informariamos



uNA VEZ ELIMINADO EL FICHERO, NADA QUE ANALIZAR.



Has quemado tus barcos, asi no podemos ayudarte-.



Y dando por terminado el Tema, procedemos a cerrarlo



saludos



ms, 15-1-2009





[img]http://img138.imageshack.us/img138/4893/closed2ur0.gif[/img]