Equipo infectado con Worm.Win32.Agent.ggd

[granmaestre]

Hola otra vez :(



he analizado otra vez el equipo con KASPERSKY ON LINE y me proporciona el siguiente informe:





KASPERSKY ONLINE SCANNER INFORME

domingo, 24 de mayo de 2009 8:49:14

Sistema operativo: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.2

Ultima actualización: 23/05/2009

Registros en la base antivirus: 2017957





Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero



Objetivo a analizar Mi PC

A:\

C:\

D:\

E:\

F:\

G:\

H:\

I:\

J:\



Estadísticas

Número de objeros analizados 67427

Virus encontrados 2

Objetos infectados 4 / 0

Objetos sospechosos 0

Duración del análisis 05:10:02



Bombre del objeto infectado Nombre del virus Última acción

C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Ent.dat Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\prov.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\service.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\service.xml.bak Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\user.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\user.xml.bak Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\SubInfo.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\edb.log Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\edbtmp.log Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\tmp.edb Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\WinSS_st.edb Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\onecaremp_log.bin Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\WinSSSvc_log.bin Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\LocalCopy\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe Infectados: Trojan.Win32.Agent.bptr saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\Support\MPLog-09272008-113531.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\edb.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\edbtmp.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\MPSSVCPolicyIdLog.etl Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\SRTSP\LightningSand.CFD Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Feeds Cache\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Historial\History.IE5\MSHist012009052320090524\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Temp\IMG1F0.tmp Object is locked saltado



C:\Documents and Settings\Propietario\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Datos de programa\Microsoft\Internet Explorer\UserData\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\Propietario\ntuser.dat.LOG Object is locked saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066054.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066055.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066056.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP335\change.log Object is locked saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado



C:\WINDOWS\Sti_Trace.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\Internet.evt Object is locked saltado



C:\WINDOWS\system32\config\MSFWSVC.evt Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



C:\WINDOWS\system32\config\Windows_OneCare_Evt.evt Object is locked saltado



C:\WINDOWS\system32\h323log.txt Object is locked saltado



C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado



C:\WINDOWS\Temp\Perflib_Perfdata_624.dat Object is locked saltado



C:\WINDOWS\wiadebug.log Object is locked saltado



C:\WINDOWS\wiaservc.log Object is locked saltado



C:\WINDOWS\WindowsUpdate.log Object is locked saltado



Análisis completado.



Me decis como puedo solucionarlo.



Gracias

[msc hotline sat]

Bien, como que ya eliminamos lo que conocian nuestras utilidades ELISTARA y ELIBAGLA en https://foros.zonavirus.com/viewtopic.php?f=5&t=28654&p=159610#p159610



Esto debe ser un resto, mutacion o copia en la papelera de uno del Restore, pues por el nombre y al estar dentro de la carpeta que indica, asi lo parece , lo analizaremos a ver qué es (probablemente relativo al Bagle, que el ELIBAGLA parece que no conoce ?)



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\LocalCopy\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe Infectados: Trojan.Win32.Agent.bptr saltado



Si no lo encontras facilmente, prueba el ELIMOVER y lo copias a C:\MUESTRAS, y ya marca la casilla inferior izquierda para añadir .VIR al fichero original para dejarlo "aparcado" y fuera de circulación.





ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp





y envianos dicho fichero para analizar y pasar a controlarlo.







y los otros del RESTORE,



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066054.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066055.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP333\A0066056.exe Infectados: Email-Worm.Win32.Agent.ggd saltado



están aparcados y salvo que restaurases sistema a un punto anterior, no afectan, pero desactivando restauración de sistema y arrancando en modo seguro, podrás acceder a ellos y eliminarlos (tú, tu antivirus o el ELISTARA)





saludos



ms, 24-5-2009











NOTA:

>[b]ENVIO DE MUESTRAS Y



ELIMINACION DE CLAVES - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos

[granmaestre]

Para los ficheros invectados del restore



¿como desactivo restauración de sistema?

[msc hotline sat]

Sí, Botón derecho sobre MIPC -> Propiedades -> RESTAURAR SISTEMA -> marcar la casilla de desactivar la restauracion de sistema



y no te olvides de volver a activar la restauracion (desmarcando la casilla) cuando hayas eliminado dichos ficheros.



saludos



ms, 24-5-2009

[granmaestre]

hola,



He marcado la casilla de ''desactivar sistema''



He reinicado en ''modo seguro''



He analizado con ''elistara''



Durante el analisis me indica ''acceso denegado'' a los siguientes ficheros:



Archivos de programa\Microsoft windows one care live\clientsd (16)

Archivos de programa\Microsoft windows one care live\databaese (16)



Termina el proceso y vuelvo a analizar para comprobar que no ha sido un error y en el segundo analisis me vuelve a indicar lo mismo.



Adjunto resultados de los analisis:



Fri Jan 04 20:16:12 2008

EliStartPage v15.37 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Favoritos%\Software"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Jan 04 20:19:33 2008

EliStartPage v15.37 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\HP\Digital Imaging\{A1062847-0846-427A-92A1-BB8251A91E91}\MIGRATE.DLL --> Eliminado, RXBar

C:\WINDOWS\AUTOCLK.EXE --> Eliminado, Autoclk



Nº Total de Directorios: 4792

Nº Total de Ficheros: 56705

Nº de Ficheros Analizados: 17118

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2



(23-5-2009 13:28:32)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\SROSA2.SYS --> Eliminado Bagle(rootkit)

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\DRIVERS\DOWN\1624625.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\1379796.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\141281.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15154859.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15293140.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15335250.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\15650046.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\1664718.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\220250.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\271171.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\295750.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\386234.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\417046.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\51699968.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\51712546.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\51715484.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\51725500.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\555937.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\66245234.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\66376671.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\66394437.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\66642218.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\692203.EXE --> Eliminado Bagle

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.



(23-5-2009 13:28:54)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\RECYCLER\S-1-5-21-73586283-1580818891-725345543-1003\Dc75\PATCH.EXE --> Eliminado Bagle.dldr

C:\RECYCLER\S-1-5-21-73586283-1580818891-725345543-1003\Dc77\PATCH.EXE --> Eliminado Bagle.dldr



Nº Total de Directorios: 5434

Nº Total de Ficheros: 63280

Nº de Ficheros Analizados: 13807

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2



(23-5-2009 13:39:15)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurada Clave: "SafeBoot\Minimal y Network"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(23-5-2009 13:40:05)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\WINDOWS\BricoPacks\Vista Inspirat 2\PackFiles\7_CALC.EXE --> Eliminado, Email-Worm.Agent.GGD

C:\WINDOWS\system32\CALC.EXE --> Eliminado, Email-Worm.Agent.GGD

C:\WINDOWS\system32\dllcache\CALC.EXE --> Eliminado, Email-Worm.Agent.GGD



Nº Total de Directorios: 5405

Nº Total de Ficheros: 60882

Nº de Ficheros Analizados: 19489

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



(23-5-2009 15:41:12)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

Eliminada Carpeta "%WinSys%\Drivers\Down"

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.



(23-5-2009 15:41:22)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5404

Nº Total de Ficheros: 60885

Nº de Ficheros Analizados: 13799

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(23-5-2009 16:6:3)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

Reinicie para Completar la Limpieza.



(23-5-2009 16:6:11)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5406

Nº Total de Ficheros: 60977

Nº de Ficheros Analizados: 13799

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(23-5-2009 16:22:9)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

Reinicie para Completar la Limpieza.



(23-5-2009 16:22:31)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5406

Nº Total de Ficheros: 61153

Nº de Ficheros Analizados: 13799

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(23-5-2009 17:3:35)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\SROSA2.SYS --> Eliminado Bagle(rootkit)

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\228890.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\359750.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\570203.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\DOWNLD\676890.EXE --> Eliminado Bagle

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.



(23-5-2009 17:4:28)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.



(23-5-2009 17:10:11)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Bagle.dldr Acceso Denegado.

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.

Restaurada Clave: "SafeBoot\Minimal y Network"

Reinicie para Completar la Limpieza.



(23-5-2009 17:14:3)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\MDELK.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\DRIVERS\WINUPGRO.EXE --> Eliminado Bagle.dldr

C:\DOCUMENTS AND SETTINGS\PROPIETARIO\DATOS DE PROGRAMA\M\FLEC006.EXE --> Eliminado Bagle.dldr



(23-5-2009 17:14:19)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5414

Nº Total de Ficheros: 61399

Nº de Ficheros Analizados: 13804

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(23-5-2009 17:36:51)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%AppData%\Drivers"

Eliminada Carpeta "%AppData%\M"



(23-5-2009 17:36:57)

EliBagle v12.58 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5412

Nº Total de Ficheros: 61400

Nº de Ficheros Analizados: 13804

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(24-5-2009 09:10:54)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-5-2009 09:11:18)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5657

Nº Total de Ficheros: 62422

Nº de Ficheros Analizados: 19932

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(24-5-2009 09:37:31)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-5-2009 09:37:50)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5657

Nº Total de Ficheros: 62421

Nº de Ficheros Analizados: 19932

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



He intenado analizar tambien con el antivirus residente (onecare live) y me ha dado un error. :shock: :x



Espero vuestras noticias.



Gracias

[msc hotline sat]

No se si desinstalastes el antivirus que dices y lo volvioste a instalar, porque sino has de hacerlo, ya que el bagle corompe las aplicaciones antivirus existentes cuando infecta el ordenador.



Y los accesos denegados a las carpetas que dices es proteccion de acceso, para que no se toquen, lo que si no ha eliminado los ficheros del RESTORE, vuelve a hacer lo indicado y simplemente borrarlos a mano:



RP333\A0066054.exe

RP333\A0066055.exe

RP333\A0066056.exe



Es raro que si se han eliminado los de procesos no detecte estos. Puede que de estos se encargara el antivirus, y si ahora no está disponible, no pueda. De todas formas no tienen importancia salvo que restaiuraras a un punto anterior que los contuviera.



Si quieres, puedes enviarnoslos junto con el C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\LocalCopy\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe , y los pasariamos a controlar, con el ELISTARA y con el ELIBAGLA



saludos



ms, 24-5-2009

[granmaestre]

Hola,



os he enviado la muestra solicitada.



Espero vuestras noticias

[msc hotline sat]

bien, pues hasta mañana, que en SATINFO la monitorizaremos e informaremos



saludos



ms, 24-5-2009

[granmaestre]

Hola,



os adjunto informe de analisis con kaspersky on line



KASPERSKY ONLINE SCANNER INFORME

lunes, 25 de mayo de 2009 6:42:54

Sistema operativo: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.2

Ultima actualización: 24/05/2009

Registros en la base antivirus: 2023526





Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero



Objetivo a analizar Mi PC

A:\

C:\

D:\

E:\

F:\

G:\

H:\

I:\

J:\



Estadísticas

Número de objeros analizados 62892

Virus encontrados 1

Objetos infectados 3 / 0

Objetos sospechosos 0

Duración del análisis 03:52:11



Bombre del objeto infectado Nombre del virus Última acción

C:\Archivos de programa\eMule\Temp\001.part Object is locked saltado



C:\Archivos de programa\eMule\Temp\002.part Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Ent.dat Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\prov.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\service.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\service.xml.bak Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\user.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\Prov\user.xml.bak Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\ClientSD\SubInfo.xml Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\edb.log Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\tmp.edb Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\Database\WinSS_st.edb Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\onecaremp_log.bin Object is locked saltado



C:\Archivos de programa\Microsoft Windows OneCare Live\WinSSSvc_log.bin Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\LocalCopy\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe .vir Infectados: Trojan.Win32.Agent.bptr saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\Support\MPLog-09272008-113531.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\edb.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\edbtmp.log Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Microsoft\Protection Service\MPSSVCPolicyIdLog.etl Object is locked saltado



C:\Documents and Settings\All Users\Datos de programa\Symantec\SRTSP\LightningSand.CFD Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Feeds Cache\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Historial\History.IE5\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Historial\History.IE5\MSHist012009052420090525\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Configuración local\Temp\IMG61D.tmp Object is locked saltado



C:\Documents and Settings\Propietario\Cookies\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\Datos de programa\Microsoft\Internet Explorer\UserData\index.dat Object is locked saltado



C:\Documents and Settings\Propietario\NTUSER.DAT Object is locked saltado



C:\Documents and Settings\Propietario\ntuser.dat.LOG Object is locked saltado



C:\Muestras\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe .Muestra EliMover v1.1 Infectados: Trojan.Win32.Agent.bptr saltado



C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP2\A0000022.exe Infectados: Trojan.Win32.Agent.bptr saltado



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP2\change.log Object is locked saltado



C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado



C:\WINDOWS\SchedLgU.Txt Object is locked saltado



C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado



C:\WINDOWS\Sti_Trace.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado



C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado



C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\default Object is locked saltado



C:\WINDOWS\system32\config\default.LOG Object is locked saltado



C:\WINDOWS\system32\config\Internet.evt Object is locked saltado



C:\WINDOWS\system32\config\MSFWSVC.evt Object is locked saltado



C:\WINDOWS\system32\config\SAM Object is locked saltado



C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado



C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\SECURITY Object is locked saltado



C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado



C:\WINDOWS\system32\config\software Object is locked saltado



C:\WINDOWS\system32\config\software.LOG Object is locked saltado



C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado



C:\WINDOWS\system32\config\system Object is locked saltado



C:\WINDOWS\system32\config\system.LOG Object is locked saltado



C:\WINDOWS\system32\config\Windows_OneCare_Evt.evt Object is locked saltado



C:\WINDOWS\system32\h323log.txt Object is locked saltado



C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado



C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado



C:\WINDOWS\Temp\Perflib_Perfdata_670.dat Object is locked saltado



C:\WINDOWS\wiadebug.log Object is locked saltado



C:\WINDOWS\wiaservc.log Object is locked saltado



C:\WINDOWS\WindowsUpdate.log Object is locked saltado



Análisis completado.





espero vuestras noticias

[msc hotline sat]

Bien, los tres estan fuera de circulacion:



C:\Documents and Settings\All Users\Datos de programa\Microsoft\OneCare Protection\LocalCopy\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe .vir Infectados: Trojan.Win32.Agent.bptr



C:\Muestras\{A470D7E5-8EAF-7D4E-F01B-DB8FAFD90589}-A0066030.exe .Muestra EliMover v1.1 Infectados: Trojan.Win32.Agent.bptr



C:\System Volume Information\_restore{BBB96841-8E1A-40F1-8111-C5D5FA6148D2}\RP2\A0000022.exe Trojan.Win32.Agent.bptr





El primero ya está con extensión .VIR, el segundo está en la carpeta de cuarentena (C:\muestras) y en tercero en el RESTORE (que solo con una restauracion de sistema lo reviviría)



Puede estar tranquilo y trabajar normalmente, pero hoy se monitorizarán las muestras recibidas e implementaremos su control y eliminacion en nuestras utilidades, de lo cual informaremos.



saludos



ms, 25-5-2009

[granmaestre]

Hola,



teneis la solución para la eliminación del virus???



Gracias

[msc hotline sat]

Revisadas todas las entradas de muestras a zonavirus@satinfo.es de esta semana, ninguna corresponde a su nick



Vuelva a enviar las muestras pedidas, y recuerde:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir los ficheros, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 27-5-2009

[granmaestre]

Hola,



ahora creo que si habeis recibido la muestra, espero vuestras noticias.



Gracias

[lucl]

No te preocupes que si han llegado bien mañana te diran algo sobre el envio. Estate atento al post saludos

[msc hotline sat]

Efectivamente, se van analizando diariamente todas las que vamos recibiendo, asi que esperamos hoy analizar las tuyas.



saludos



ms, 28-5-2009

[granmaestre]

Hola



teneis la solución para la eliminación del virus?



gracias

[msc hotline sat]

Hoy es festivo y no puedo saberlo, pero normalmente las muestras de los mails que llegan de zonavirus, una vez monitorizados, me informan del resultado, y no ha sido el caso



Pero por si no hubiera llegado segun normas y estuviera ya controlado, descarga la actual version del ELISTARA y nos informas del resultado, gracias:


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

saludos



ms, 6-6-2009







NOTA: Si no lo controla, es que no ha llegado la muestra, en tal caso envianosla segun se indica:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



ms.