puedo eliminar estos virus directamente? (SOLUCIONADO)

[juancar373]

Hola a todos, qué tal? Acabo de hacer una pasada con el kaspersky online y parece ser que me ha encontrado un par de virus.

Mi pregunta es si los archivos que me dice que estan infectados los puedo eliminar directamente o voy a tener algun problema posterior. Lo digo porque uno esta en una carpeta temporal y supongo que no habria problema, pero el otro esta en la de system32 y no se si hay problema... Copio el log de todas formas. (remarco en rojo las entradas mencionadas)



Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero



Objetivo a analizar Mi PC

C:\

D:\



Estadísticas

Número de objeros analizados 69313

Virus encontrados 1

Objetos infectados 2 / 0

Objetos sospechosos 0

Duración del análisis 01:02:11



Bombre del objeto infectado Nombre del virus Última acción

C:\Archivos de programa\Nero\Nero8\Nero BackItUp\BIU1.txt Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Nero\Nero8\Nero BackItUp\Cache\NeroBackItUpScheduler3.log Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Ahead\Nero Home\bl.db Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Ahead\Nero Home\is2.db Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Media Player\CurrentDatabase_360.wmdb Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\Logs\Dfsr00005.log Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\pending.dat Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\Working\database_6C3C_714F_3C71_1574\dfsr.db Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\Working\database_6C3C_714F_3C71_1574\fsr.log Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\Working\database_6C3C_714F_3C71_1574\fsrtmp.log Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Messenger\juancar@hotmail.com\SharingMetadata\Working\database_6C3C_714F_3C71_1574\tmp.edb Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\juancar@hotmail.com\real\members.stg Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\juancar@hotmail.com\shadow\members.stg Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Historial\History.IE5\MSHist012009013020090131\index.dat Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Temp\NAILogs\UpdaterUI_X080304128.log Object is locked saltado



[color=#FF0000]C:\Documents and Settings\Usuario\Configuración local\Temp\server-orig.exe Infectados: Backdoor.Win32.MoSucker.30.ay saltado [/color]



C:\Documents and Settings\Usuario\Configuración local\Temp\~DF70CA.tmp Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Temp\~DF7150.tmp Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Temp\~DF7E31.tmp Object is locked saltado



C:\Documents and Settings\Usuario\Configuración local\Temp\~DF7E4A.tmp Object is locked saltado



C:\Documents and Settings\Usuario\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\Usuario\ntuser.dat Object is locked saltado



C:\Documents and Settings\Usuario\ntuser.dat.LOG Object is locked saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



C:\System Volume Information\_restore{1625C07B-4120-4AF5-9280-128761406244}\RP95\change.log Object is locked saltado



C:\WINDOWS\CSC\00000001 Object is locked saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\SoftwareDistribution\DataStore\DataStore.edb Object is locked saltado



C:\WINDOWS\SoftwareDistribution\DataStore\Logs\edb.log Object is locked saltado



C:\WINDOWS\SoftwareDistribution\DataStore\Logs\tmp.edb Object is locked saltado



C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\CcmExec.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\CertificateMaintenance.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\ClientIDManagerStartup.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\execmgr.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\LocationServices.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\mtrmgr.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\PatchInstall.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\PatchUIMonitor.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\PolicyAgent.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\PolicyAgentProvider.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\PolicyEvaluator.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\Scheduler.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\SrcUpdateMgr.log Object is locked saltado



C:\WINDOWS\system32\CCM\Logs\StatusAgent.log Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\CertificateMaintenanceEndpoint\0000000M.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\CertificateMaintenanceEndpoint\0000000M.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\CTMDTSReply\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\CTMDTSReply\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\execmgr\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\execmgr\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\InventoryAgent\00000004.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\InventoryAgent\00000004.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\LS_ReplyLocations\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\LS_ReplyLocations\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\LS_ScheduledCleanup\0000000C.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\LS_ScheduledCleanup\0000000C.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\MtrMgr\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\MtrMgr\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PatchUIMonitor\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PatchUIMonitor\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_Cleanup\0000000L.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_Cleanup\0000000L.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_PolicyDownload\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_PolicyDownload\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_PolicyEvaluator\0000008V.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_PolicyEvaluator\0000008V.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_ReplyAssignments\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_ReplyAssignments\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_RequestAssignments\0000003W.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_RequestAssignments\0000003W.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_ReRequestPolicy\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\PolicyAgent_ReRequestPolicy\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\RemoteToolsAgent\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\RemoteToolsAgent\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\SrcUpdateMgr\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\SrcUpdateMgr\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\SWMTRReportGen\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\SWMTRReportGen\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\UpdatesInstallMgr\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\UpdatesInstallMgr\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\UploadProtocol\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\EndpointQueues\UploadProtocol\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\amp_[http]mp_locationmanager\00000020.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\amp_[http]mp_locationmanager\00000020.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_ddrendpoint\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_ddrendpoint\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_hinvendpoint\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_hinvendpoint\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_sinvendpoint\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_mp_sinvendpoint\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_statusreceiver\00000001.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_statusreceiver\00000001.que Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_[http]mp_policymanager\0000003B.msg Object is locked saltado



C:\WINDOWS\system32\CCM\ServiceData\Messaging\OutgoingQueues\mp_[http]mp_policymanager\0000003B.que Object is locked saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



[color=#FF0000]C:\WINDOWS\system32\Updater.exe Infectados: Backdoor.Win32.MoSucker.30.ay saltado [/color]



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado



C:\WINDOWS\WindowsUpdate.log Object is locked saltado



A ver si alguien pudiera decirme algo al respecto, le estaria muy agradecido.

Un saludo

[msc hotline sat]

El temporal si que lo puedes eliminar:



C:\Documents and Settings\Usuario\Configuración local\Temp\server-orig.exe Infectados: Backdoor.Win32.MoSucker.30.ay





Pero este otro no, conviene que nos lo envies para analizar y tras monitorizarlo ver las claves que ha creado para eliminarlas o restaurar las modificadas.



Para ello envianos este fichero para analizar:



C:\WINDOWS\system32\Updater.exe Infectados: Backdoor.Win32.MoSucker.30.ay saltado



y añadele extension .VIR para que tras reiniciar ya no se ponga en uso



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlo, lo analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 30-1-2009

[juancar373]

Vale, muchas gracias. Ya lo acabo de enviar, creo que bien. Si hubiera algun problema lo reenvio.



Un saludo y muchas gracias de nuevo

[msc hotline sat]

Y si ya has eliminado el temporal, cambiado el nombre y añadir .VIR al otro, dinos si tras reiniciar vuelve a crear el temporal o ya nos deja en paz...



Si no fuera asi, te pediria que pasaras el SPROCES, ya nos dirás.



saludos



ms, 30-1-2009

[juancar373]

Hola una vez mas. Si, ya elimine el temporal, y el otro lo deje como Updater.vir.

He reiniciado y el temporal ya no vuelve a aparecer.



Gracias

[msc hotline sat]

Bien, pues así tienes aparcado el problema, y fuera de circulacion el malware.



El lunes, cuando volvamos al trabajo en SATINFO, analizaremos el fichero que nmos has enviado e implementaremos su control y eliminacion en nuestras utilidades, de lo cual infomaremos.



saludos



ms, 31-1-2009

[juancar373]

Vale, muchisimas gracias por la ayuda.Estoy a la espera.

Un saludo

[msc hotline sat]

De nada. Es un placer.



saludos



ms, 31-1-2009

[msc hotline sat]

Recibida la muestra, vemos que se trata de un backdoor, que pasaremos a controlar y eliminar con la version de hoy del ELITRIIP 5.54


[quote]
[[b] ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]

A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus



SALUDOS



MS, 2-2-2009

[juancar373]

Hola una vez mas. Ya he pasado el Elitrip y parece que todo fue muy bien. Este es el log:





Mon Feb 02 23:13:41 2009

EliTriIP v5.54 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 2 de Febrero del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKCU\...\Run] "Windows Update"="C:\WINDOWS\system32\Updater.exe"



Mon Feb 02 23:13:52 2009

EliTriIP v5.54 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 2 de Febrero del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\WINDOWS\system32\Updater.vir --> Eliminado, MoSucker.30.AY



Nº Total de Directorios: 4941

Nº Total de Ficheros: 54125

Nº de Ficheros Analizados: 17673

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1





Muchisimas gracias por la preciada ayuda, sois los mejores!

Un saludo

[msc hotline sat]

Detectado y eliminado :


[quote="Elitriip"]Mon Feb 02 23:13:52 2009

EliTriIP v5.54 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 2 de Febrero del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\WINDOWS\system32\Updater.vir --> Eliminado, MoSucker.30.AY[/quote]



Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 3-2-2009