virus bagle

[eugeniamon]

Hoka soy nueva en el foro

Mi antivirus Norton dejo de funcionar; he investigado por el foro y creo que se trata del virus bagle

He pasado el Malwarebytes_Antimalware y mucahs veces se cuelga, pero una vez consegui que llegara al final y detecto una serie de errores; a continuacion.



Malwarebytes' Anti-Malware 1.34

Versión de la Base de Datos: 1851

Windows 5.1.2600 Service Pack 2



15/03/2009 15:08:24

mbam-log-2009-03-15 (15-08-24).txt



Tipo de examen : Examen Completo (C:\|D:\|)

Objetos examinados: 284974

Tiempo transcurrido: 1 hour(s), 48 minute(s), 7 second(s)



Procesos en Memoria Infectados: 0

Módulos en Memoria Infectados: 0

Claves del Registro Infectadas: 9

Valores del Registro Infectados: 0

Elementos de Datos del Registro Infectados: 0

Carpetas Infectadas: 4

Ficheros Infectados: 40



Procesos en Memoria Infectados:

(No se han detectado elementos maliciosos)



Módulos en Memoria Infectados:

(No se han detectado elementos maliciosos)



Claves del Registro Infectadas:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{09f1adac-76d8-4d0f-99a5-5c907dadb988} (Rogue.Multiple) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{5929cd6e-2062-44a4-b2c5-2c7e78fbab38} (Fake.Dropped.Malware) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b64f4a7c-97c9-11da-8bde-f66bad1e3f3a} (Rogue.WinAntivirus) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1d4db7d2-6ec9-47a3-bd87-1e41684e07bb} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6fd31ed6-7c94-4bbc-8e95-f927f4d3a949} (Adware.180Solutions) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sk9ou0s (Rootkit.Bagle) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sk9ou0s (Rootkit.Bagle) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sk9ou0s (Rootkit.Bagle) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa (Rootkit.Bagle) -> Delete on reboot.



Valores del Registro Infectados:

(No se han detectado elementos maliciosos)



Elementos de Datos del Registro Infectados:

(No se han detectado elementos maliciosos)



Carpetas Infectadas:

C:\WINDOWS\system32\drivers\down (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\Beatriz\Datos de programa\m (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\m (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Laura\Datos de programa\m (Trojan.Agent) -> Delete on reboot.



Ficheros Infectados:

C:\Documents and Settings\Beatriz\Datos de programa\drivers\srosa2.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\drivers\srosa2.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\Documents and Settings\Laura\Datos de programa\drivers\srosa2.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP739\A0176395.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0176469.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0176485.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0176494.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0176509.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0177498.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0177517.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0177536.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0177627.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0178534.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP740\A0179157.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP741\A0179210.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP742\A0180211.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\1970968.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\2179781.exe (Trojan.Packed) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\668546.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\6860890.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\7159437.exe (Trojan.Packed) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\down\944031.exe (Trojan.Packed) -> Quarantined and deleted successfully.

C:\Documents and Settings\Beatriz\Datos de programa\m\data.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Beatriz\Datos de programa\m\list.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Beatriz\Datos de programa\m\srvlist.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\m\data.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\m\list.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\m\srvlist.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Laura\Datos de programa\m\data.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Laura\Datos de programa\m\list.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Laura\Datos de programa\m\srvlist.oct (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Beatriz\Datos de programa\drivers\winupgro.exe (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\drivers\winupgro.exe (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Laura\Datos de programa\drivers\winupgro.exe (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\RBXML550.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\mdelk.exe (Trojan.Spammer) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wintems.exe (Trojan.Spammer) -> Delete on reboot.

C:\Documents and Settings\Beatriz\Datos de programa\m\flec006.exe (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\Compaq_Propietario\Datos de programa\m\flec006.exe (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Laura\Datos de programa\m\flec006.exe (Trojan.Agent) -> Quarantined and deleted successfully.









No me deja pasar el CCleaner y si intento pasar un elibagle que me he descargado me dice que no es software libre



Tambien he marcado la opcion de Deshabilitar restaurar sistema, aunque la tenia en gris y he tenido que borrar una clave con regedit para poder hacerlo.

No se que hacer pues los antivirus que me descargo no me deja ejecutarlos.



Agradeceria una ayuda

[lucl]

Aunque te ponga que no es software libre deberia funcionarte . Prueba de nuevo y nos pegas el log que te dejara en C infosat.txt saludos





http://www.zonavirus.com/descargas/elibagla.asp

[msc hotline sat]

Todas las utilidades de SATINFO tienen copyright y solo deben usarlas los que, con contrato de asistencia tecnica de SATINFO, tienen licencia para ello, pero en este foro se pueden probar en concepto de evaluacion.



Lo cual se indica a título de recordatorio, dado que en algunas webs se facilitaban como utilidades "freeware", sin serlo, y por ello aparece el cartelito de marras, con el botón de ACEPTAR, tras lo cual, con conocimiento de causa, el usuario prosigue su proceso.



Así que ACEPTA, y tras probar dicha utilidad, posteanos el contenido de c:\infosat.txt y seguiremos con tu Tema.



saludos



ms, 17-3-2009

[eugeniamon]

Sigo intentando ejecutar el antivirus elibagla ,que me he vuelto a descargar del enlace que me dais; es un fichero de 58K

y sigue pasando lo mismo, me aparece una ventana diciendo que no es software libre y debe ser contratada con la licencia.

La ventana desaparece en 3 segundos y le de o no a aceptar , se cierra y no pasa nada

¿Tal vez el link que teneis esté mal?

No se que hacer

[msc hotline sat]

Mira la fecha que tienes, no sea caso que esté fuera de madre, porque están rondando troyanos que la modifican al año 2070...



Si es el caso, normalizala y prueba de nuevo tras ello





saludos



ms, 17-3-2009

[eugeniamon]

La fecha esta bien, no es ese el problema.

Estoy bastante desesperada. No se si podeis aconsejarme algo

Ya estoy pensando en formatear todo.

La copia de windows para poder resturar la tengo en la particion D:

Si quiero formatear todo y volver a poner windows XP desde la particion D: ¿que tengo que hacer?

[eugeniamon]

Sorpresa! Acabo de descubrir que tengo un fichero infosat.txt en c: pero parece ser que es de los dias 14 y 15 sabado y domingo, cuando intente ejecutar el elibagla y yo pensaba que no hacia nada estaba haciendo algo.

Si entonces ya lo pase porque ahora no me deja?







Sat Oct 14 18:48:48 2006

EliTriIP v2.60 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\MICROSOFTMSN.HTM --> Eliminado

C:\WINDOWS\MOTABA.HTA --> Eliminado

Entrada Eliminada [HKLM\...\Run] "Explorer"="C:\WINDOWS\system\motaba.exe"



Sat Oct 14 18:52:50 2006

EliTriIP v2.60 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Compaq_Propietario\Configuración local\Archivos temporales de Internet\Content.IE5\Y9LMN294\fotos[1].cmd --> Eliminado, MsnSpy



Sun Mar 15 16:51:05 2009

EliBagle v12.34 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\SROSA2.SYS --> Eliminado Bagle(rootkit)

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\10221125.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\184421.EXE --> Eliminado Bagle.dldr



Sun Mar 15 17:34:53 2009

EliBagle v12.34 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\191562.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\200687.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\250328.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\269875.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\287312.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\302500.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\343984.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\363437.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\369296.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\384078.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\411875.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\423312.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\456500.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\467390.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\491140.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\500031.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\534515.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\565828.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\625437.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\634750.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\6767140.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\7062406.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\7140171.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\732312.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\740234.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\7530828.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\783718.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\811890.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\965000.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\9778906.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\9956765.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\9985140.EXE --> Eliminado Bagle

[eugeniamon]

Bueno no se que ha pasado pero parece que el elibagle se ejecuta, aunque no aparece la ventana grande de SatInfo sino una ventana pequeñita que pone:

"Procesando ficheros viricos" y rapidamente se termina

Lo he ejecutado 3 veces y os mando el infoSat.txt

Parece que algunos fichero no los puede desinfectar?



Tue Mar 17 21:46:28 2009

EliBagle v12.34 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\SROSA2.SYS --> Eliminado Bagle(rootkit)

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\1006609.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15253343.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15415000.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15743703.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\1578968.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\169437.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\189453.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\273203.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\320031.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\326968.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\347265.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\3784015.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\408296.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\4213453.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\438859.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\460671.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\464187.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\524140.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\564296.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\605078.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\626281.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\644250.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\662968.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\668062.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\793953.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\795265.EXE --> Eliminado Bagle



Tue Mar 17 21:49:21 2009

EliBagle v12.34 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.



Tue Mar 17 21:51:35 2009

EliBagle v12.34 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

[flacoroo]

bajate la nueva version, y reicinias tu compu en modo seguro y la ejecutas y nos pegas el resultado creado en c:infosat.txt

[eugeniamon]

No puedo entrar en modo seguro, cuando marco la opcion se vuelve a reiniciar el ordenador.

Al iniciar en modo mormal ejecuta automaticamente elibagla que quedo sin ejecutar al cerrar

y despues aparece una ventana:

NTSB investigators flight recorder (black box) analyzer

me ha pasado en dos reinicios seguidos.

despues de pasae el elibagla mando infosat.txt







Tue Mar 17 22:40:43 2009

EliBagle v12.36 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 17 de Marzo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\COMPAQ_PROPIETARIO\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle







hay cuatro ficheros que siempre da aceso denegado

[lucl]

Bien pues sigue la ruta de los cuatro ficheros y cuando los encuentres intenta añadirles extension .VIR. No es seguro que puedas hacerlo pero tu intentalo. Si puedes envianoslos a analizar, te dejo link de modo de envio saludos





https://foros.zonavirus.com/viewtopic.php?f=5&t=14253

[msc hotline sat]

y tener presente lo que decimos en:



https://foros.zonavirus.com/viewtopic.php?f=5&t=23824



saludos



ms, 18-3-2009

[eugeniamon]

no encuentro esos ficheros. Sigo correctamente la trayectoria y tengo puesto que se vean los ficheros ocultos, pero ninguno de los 4 está ????





existen estos con nombre parecido:

c:\windos\Prefetch\WINTERMS.exe-377E42D4.pf

c:\windos\Prefetch\MDELK.exe-0EF461CE.pf

c:\windos\Prefetch\WINUPGRO.exe-1E627863.pf

c:\windos\Prefetch\FLEC006.exe-14720162.pf





Dentro de c:\Windows\system32 hay cantidad de carpetas que aparecen en azul con el explorador de windows y son $NTUnistall.....$

¿que significa que esten en azul?

[eugeniamon]

Bueno los ficheros no los puedo ver, pero si que estan porque si intento guardar uno con el mismo nombre me dice que el fichero ya existe.

He pasado el antivirus gmer y me detecta esos ficheros y muchos mas, pinchando en ellos aparece la opcion copiar lo he hecho y he conseguido tener copia de los archivos aunque no estoy segura de que sean los correctos. os los mando

[msc hotline sat]

CLaro que no, porque los oculta el RootKit del bagle.



Tendrías que aarrancar en modo seguro para ello, pero claro, lo impide la clave del ErrorSafe que modifica el bicho !



Por eso ya decimos que pruebes el ELIBAGLA, acto seguido reinicia en modo seguro, que en este momento podrás ya que hemos modificado dicha clave , y vuelvas a lanzar el ELIBAGLA, cuando acabes arranca normal y posteanos el c:\infosat.txt



Pero esto ya te lo deciamos en el Tema del link de los bagles resistentes...



Ajgun problema ???



saludos



ms, 18-3-2009

[msc hotline sat]

Y descarga la nueva version del ELIBAGLA, que ya controla las nuevas variantes que has enviado para analizar



saludos



ms, 18-3-2009

[msc hotline sat]

Tras comprobar que con la 12.37 del ELIBAGLA ya se detecta y elimina estos malwares, reinicia y posteanos el contenido de c:\infosat.txt , gracias



saludos



ms, 19-3-2009

[eugeniamon]

Al final restaure Xp y entonces pude ejecutar correctamente eliblagle (aparecia la ventana de infosat) ha eliminado ya el virus.

Por ultimo solo preguntar que puedo hacer para protegerme de este virus. he vuelto ha instalar norton, pero ya no me inspira mucha confianza.

Gracias por vuestra paciencia y hasta otra ocasion mejor (sin virus)

Tema cerrado

[lucl]

Peganos el log de infosat que tendras en C:\ , completo por favor. Y sobre los virus para protegerse ya sabes precaucion, antivirus y mucho cuidado. Saludos

[msc hotline sat]

Y aparte de lo correctamente indicado por lucl, señalar que el Bagle entra por mail o redes P2P, y es por ejecutar un fichero desconocido cuando te infectas, y como que ningun antivirus puede controlar los virus de mañana (y los de hoy con rootkit algunos tampoco :roll: ), te recuertdo que no deben ejecutarse ficheros recibidos popr e-mail no solicitados, aunque el remitente sea conocido (confirmar antes que lo haya enviado voluntariamente) y asi mismo tampoco ejecutar ficheros no conocidos , bajados de una web o por comparticiones P2P...



Y si caes de nuevo en la tentacion ... ya sabes donde estamos :wink:



saludos



ms, 20-3-2009