Virus destructivo no controlado por Elistara

[zetor]

Hola, tuve una fuerte infeccion cuyo principal síntoma fue que al querer arrancar en modo normal se producia un BSOD. Solo podia entrar en modo seguro ( por suerte :) ) ,dll`s en System32, Vundo, Banker,rootkits y un pack mas. Elistara saco algunos y otros lo detectaban pero me pedian reiniciar y al hacerlo, otra vez el pantallazo .

Como este foro siempre me presto ayuda ( y a todos) quiero saber si puedo contribuir a mejorar esta excelente herramienta que es Elistara enviandole la muestra de lo que estoy casi seguro causo el desquicio. Es un archivo que viene adjunto al setup del BSPlayer (ahora lo pude ver con el 7-Zip), que lo baje de un sitio que ahora se que no es confiable :x y por lo pronto en VirusTotal da este informe, muetro solo los positivos.



Motor antivirus Versión Última actualización Resultado



AntiVir 7.9.0.204 2009.07.13 [color=#FF0000]TR.Redol.C [/color]

Avast 4.8.1335.0 2009.07.13 [color=#FF0000]Win32:Alureon-CB [/color]

AVG 8.5.0.387 2009.07.13 [color=#FF0000]Packed.Monder [/color]

BitDefender 7.2 2009.07.13 [color=#FF0000]Trojan.CryptRedol.Gen.3[/color]

eSafe 7.0.17.0 2009.07.13 [color=#FF0000]Win32.DNSChanger.Ad [/color]

GData 19 2009.07.13 [color=#FF0000]Trojan.CryptRedol.Gen.3 [/color]

McAfee 5675 2009.07.13 [color=#FF0000]DNSChanger.ad [/color]

McAfee+Artemis 5675 2009.07.13 [color=#FF0000]DNSChanger.ad [/color]

McAfee-GW-Edition 6.8.5 2009.07.13 [color=#FF0000]Heuristic.LooksLike.Win32.Sality.B [/color]

Microsoft 1.4803 2009.07.13 [color=#FF0000]VirTool:Win32/Obfuscator.ET [/color]

NOD32 4239 2009.07.13 [color=#FF0000]a variant of Win32/Kryptik.XJ [/color]

Norman 6.01.09 2009.07.13 [color=#FF0000]W32/DNSChanger.ERDX [/color]

Panda 10.0.0.14 2009.07.12 [color=#FF0000]Trj/CI.A [/color]

Sophos 4.43.0 2009.07.13 [color=#FF0000]Mal/Generic-A[/color]



Espero su confirmacion



Gracias

[msc hotline sat]

El Elistara controla muchos DNS changer, que se caracterizan por cambiar los servidores de DNS en el registro, instalando unos de maliciosos, como unos típicos de Ukraina y Polonia, entre otros.



Pero cada día aparecen nuevas variantes, que vamos controlando tras recibir las muestras de los malwares, por lo que si nos envia dicho fichero, pasaremos a añadir su control y eliminacion.



Aparte, y para su interés, posteenos el informe que genera el SPROCES y miraremos que no le hayan quedado instalados dichos servidores maliciosos:







[b]SPROCES[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp





Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT con un copiar y



pegar



saludos



ms, 14-7-2009







NOTA: Pero esto de "destructivo" ..., diganos lo que le "destruyó", gracias. ms.





y el mismo fichero que subiste a VirusTotal, envianoslo segun indicamos:

[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253

Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos

[zetor]

Ya envie la muestra con pass virus, espero haya llegado ya que en un primer intento se aborto la subida. Veo que implementaron la forma de subirlo sin utilizar el correo, este foro se supera a diario :D . Mi duda es si este archivo solo causo todo, ya que pesa solo 84.4 Kb (aunque lo subi adjunto al setup del BsPlayer que es como vino).

Aqui el log del SPROCES



[color=#0000BF](14-7-2009 07:12:51 GMT)

SProces v3.9 (c)2009 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) Instalado.

Internet Explorer: (v7.0.5730.13) 0

Nombre Equipo: --------

Nombre Usuario: Administrador



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDUL2.EXE

C:\ARCHIVOS DE PROGRAMA\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2009\AVP.EXE

C:\ARCHIVOS DE PROGRAMA\DISKEEPER CORPORATION\DISKEEPER\DKSERVICE.EXE

C:\WINDOWS\EXPLORER.EXE

C:\ARCHIVOS DE PROGRAMA\MALWAREBYTES' ANTI-MALWARE\MBAMSERVICE.EXE

C:\WINDOWS\SYSTEM32\S3TRAYP.EXE

C:\ARCHIVOS DE PROGRAMA\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2009\AVP.EXE

C:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGEHOME\TRUEIMAGEMONITOR.EXE

C:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGEHOME\TIMOUNTERMONITOR.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDHLP.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\REAL\UPDATE_OB\REALSCHED.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\STARDOCK\OBJECTDOCK\OBJECTDOCK.EXE

C:\ARCHIVOS DE PROGRAMA\WEBSHOTS\WEBSHOTS.SCR

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\SYSTEM32\WUAUCLT.EXE

D:\PROGR S- INSTALACION\SEGURIDAD & MANTENIMIENTO\SPROCESS\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Archivos de programa\TechSmith\Snagit 9\SnagitBHO.dll

O2 - BHO: FGCatchUrl - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Archivos de programa\FlashGet\jccatch.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: IeMonitorBho Class - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Archivos de programa\Megaupload\Mega Manager\MegaIEMn.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Archivos de programa\FlashGet\getflash.dll

O3 - Toolbar: Snagit - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Archivos de programa\TechSmith\Snagit 9\SnagitIEAddin.dll

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [S3Trayp] "S3Trayp.exe"

O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Archivos de programa\Acronis\TrueImageHome\TrueImageMonitor.exe

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Archivos de programa\Acronis\TrueImageHome\TimounterMonitor.exe

O4 - HKLM\..\Run: [Servicio de Acronis Scheduler2 ] "C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Flashget] C:\Archivos de programa\FlashGet\FlashGet.exe /min

O4 - HKLM\..\Run: [TrojanScanner] C:\Archivos de programa\Trojan Remover\Trjscan.exe /boot

O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Archivos de programa\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray

O4 - Startup: desktop.ini

O4 - Startup: Stardock ObjectDock.lnk

O4 - Startup: Webshots.lnk

O4 - Global Startup: desktop.ini

O8 - Extra context menu item: &Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: &Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Agregar al componente Anti-Banners - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Enlace de descarga usando Mega Manager... - C:\Archivos de programa\Megaupload\Mega Manager\mm_file.htm

O8 - Extra context menu item: Translate this web page with Babylon - res://D:\Progr s- instalacion\Babylon\Babylon Pro 8.0.0 (r27)\Babylon Pro 8.0.0 (r27)\App\Babylon\Utils\BabylonIEPI.dll/ActionTU.htm

O8 - Extra context menu item: Translate with Babylon - res://D:\Progr s- instalacion\Babylon\Babylon Pro 8.0.0 (r27)\Babylon Pro 8.0.0 (r27)\App\Babylon\Utils\BabylonIEPI.dll/Action.htm

O9 - Extra button: Estadísticas de protección del tráfico Web - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - (no file)

O11 - Options group: [TABS] Tabbed Browsing

O16 - DPF: Microsoft XML Parser for Java - file:///C:/WINDOWS/Java/classes/xmldso.cab

O16 - DPF: Yahoo! Chess - http://origin.games.yahoo.net/games/clients/y/ct5_x.cab

O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} - http://download.microsoft.com/download/E/3/9/E39C664F-A8E3-4F69-A109-1AE9849204EE/OGAControl.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish//kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {1E3F1348-4370-4BBE-A67A-CC7ED824CA85} (Microsoft Genuine Advantage Self Support Tool) - http://download.microsoft.com/download/7/4/9/749b0dc5-2175-4d5b-a6dd-9c4bc923683e/Selfhelpcontrol.cab

O16 - DPF: {233C1507-6A77-46A4-9443-F871F945D258} (Shockwave ActiveX Control) -

O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} -

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - http://catalog.update.microsoft.com/v7/site/ClientControl/en/x86/MuCatalogWebControl.cab?1242967872937

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -

O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} -

O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} - http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab

O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?39958.1268634259

O16 - DPF: {B1E2B96C-12FE-45E2-BEF1-44A219113CDD} - http://www.superadblocker.com/activex/sabspx.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} -

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\Windows Live\Messenger\msgrapp.14.0.8050.1202.dll

O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Information Retrieval\MSITSS.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\Windows Live\Messenger\msgrapp.14.0.8050.1202.dll

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O20 - Winlogon Notify: !SASWINLOGON - C:\ARCHIVOS DE PROGRAMA\SUPERANTISPYWARE\SASWINLO.DLL

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: KLOGON - C:\WINDOWS\SYSTEM32\KLOGON.DLL

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - %systemroot%\system32\stobject.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------

ShellExecuteHooks: {5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} - - C:\Archivos de programa\SUPERAntiSpyware\SASSEH.DLL



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Servicio de Acronis Scheduler2 (AcrSch2Svc) - Acronis - C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

**O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Archivos de programa\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: MBAMService - Malwarebytes Corporation - C:\Archivos de programa\Malwarebytes' Anti-Malware\mbamservice.exe

**O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: Acronis True Image FS Filter (tifsfilter) - Acronis - C:\WINDOWS\SYSTEM32\DRIVERS\tifsfilt.sys



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: catchme - Unknown owner - C:\Windows\Temp\catchme.sys (file missing)

O23 - Service: C-Media WDM Audio Interface (cmuda) - C-Media Inc - C:\WINDOWS\SYSTEM32\drivers\cmuda.sys

**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: VIA Rhine-Family Fast-Ethernet Adapter Driver Service (FET5X86V) - VIA Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\fetnd5bv.sys

O23 - Service: Controlador para NT del adaptador Fast Ethernet VIA PCI 10/100Mb (FETNDIS) - VIA Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\fetnd5.sys

O23 - Service: Kaspersky Lab KLFltDev (KLFLTDEV) - Kaspersky Lab - C:\WINDOWS\SYSTEM32\DRIVERS\klfltdev.sys

O23 - Service: Kaspersky Anti-Virus NDIS Filter (klim5) - Kaspersky Lab - C:\WINDOWS\SYSTEM32\DRIVERS\klim5.sys

O23 - Service: MBAMProtector - Malwarebytes Corporation - C:\WINDOWS\system32\drivers\mbam.sys

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: SABProcEnum - Unknown owner - C:\Archivos de programa\Internet Explorer\SABProcEnum.sys (file missing)

O23 - Service: SASENUM - SUPERAdBlocker.com and SUPERAntiSpyware.com - C:\Archivos de programa\SUPERAntiSpyware\SASENUM.SYS

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys

O23 - Service: TempLog - Unknown owner - C:\Archivos de programa\Hard Disk Sentinel\HDSentinel.sys

*O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

O23 - Service: TVICHW32 - EnTech Taiwan - C:\WINDOWS\system32\DRIVERS\TVICHW32.SYS

O23 - Service: viagfx (VIAGfx) - Copyright (C) VIA/S3 Graphics Co, Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\Vtmini.sys

O23 - Service: VMware Virtual Ethernet Adapter Driver (VMnetAdapter) - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\vmnetadapter.sys (file missing)



Listado de Servicios (Deshabilitados):

--------------------------------------

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys



27 Servicios.

7 de Carga Automatica.

19 de Carga Manual.

1 Deshabilitados.[/color]

Gracias

[msc hotline sat]

El fichero que nos ha enviado supera los 10 MB en RAR y es una instalacion.



Debe enviarnos el fichero que subió a VirusTotal, como le pedíamos, no vamos a instalar todo una aplicacion que creará cientos de ficheros quien sabe donde...



Tras enviarnos el de 84,4 kb que indicam lo analizaremos e informaremos



saludos



ms, 14-7-2009





NOTA: y analizado el log del HJT, no se ven claves O17 de DNS Servers modificados, asi que si no persiste ninguna anomalía, no parece que las haya modificado. ms.

[zetor]

Oops, pense que era mejor enviarlo como lo baje, suerte que lo pude extraer del setup con el 7-Zip. Y lo envie nuevamente.


[code]NOTA: y analizado el log del HJT, no se ven claves O17 de DNS Servers modificados, asi que si no persiste ninguna anomalía, no parece que las haya modificado. ms.[/code]

Bueno, esto es porque ya estoy desinfectado, pero no esta demas ratificarlo :D



Saludos

[msc hotline sat]

Sí, lo que pasa es que muchas veces se detecta y elimina un troyano, pero no se corrige los cambios que han modificado, y en el caso del DNS CHANGER podía haber implementado nuevos servidores en las O17, pero no ha sido el caso, o las ha limpiado el eliminador que has usado.



Sea como fuere, no parece que tengas restos.



Y gracias por el envio de la nueva muestra, la analizaremos y procederemos en consecuencia, de lo cual informaremos



saludos



ms, 14-7-2009

[zetor]

Ok, ya me diras si este 10010_~1.EXE pudo causar todo lo que describi, es posible que ademas hayan venido otros y con todo lo que hice los haya eliminado.



Un saludo

[msc hotline sat]

Efectivamente, este fichero crea un servicio HLMSVC apuntando al mismo fichero en la carpeta de sistema con lo que empieza el baile



Pero decias destructivo ... dinos que te destruyó, gracias



saludos



ms, 14-7-2009







NOTA: En cualquier caso implementamos su control y eliminacion a partir del ELISTARA 19.02 de hoy. ms.

[zetor]

[quote="msc hotline sat"]
Pero decias destructivo ... dinos que te destruyó, gracias
[/quote]

No fue muy feliz ese termino, pero sí que me destruyo los nervios :D

Pruebo la nueva version de Elistara y te comento.



Saludos

[msc hotline sat]

Ah bueno !,, es que en las pruebas de monitorizacion solo hemos visto la creacion de dicho servicio, pero no nos ha afectado, y quería saber si a tí te había borrado o dañado algo.



Pues sí, esta tarde pasa la 19.02 y posteanos el informe, aunque quizas no encontrará nada, pero mejor ! :mrgreen:



saludos



ms, 14-7-2009

[zetor]

Me preocupe cuando dijiste que no iba a encontrar nada porque el 10010_~1.EXE lo tenia en el escritorio, pero la nueva version de Elistara lo detecto y elimino:





[color=#000080] (14-7-2009 17:24:29 (GMT))

EliStartPage v19.02 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(14-7-2009 17:24:46 (GMT))

EliStartPage v19.02 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\Documents and Settings\Administrador\Escritorio"

C:\Documents and Settings\Administrador\Escritorio\10010_~1.EXE --> Eliminado, DNSChanger.AD



Nº Total de Directorios: 0

Nº Total de Ficheros: 2

Nº de Ficheros Analizados: 1

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



(14-7-2009 17:25:39 (GMT))

EliStartPage v19.02 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Julio del 2009)

--------------------------------------------------[/color]

[color=#FF0000]Lista de Acciones (por Exploración):

Explorando "D:\Prog. Vs\BSplayer Pro"



Nº Total de Directorios: 1

Nº Total de Ficheros: 3

Nº de Ficheros Analizados: 1

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

--------------------------------------------------

[/color]

[color=#000080](14-7-2009 17:25:45 (GMT))

EliStartPage v19.02 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 14 de Julio del 2009)



Lista de Acciones (por Exploración):

Explorando "D:\"



Nº Total de Directorios: 1588

Nº Total de Ficheros: 36519

Nº de Ficheros Analizados: 1957

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0[/color]

Pero me preocupa lo que esta en rojo, porque este archivo sigue [i]dentro del setup [/i]del BSPlayar, te pongo una captura por si no me explico bien



[img]http://i32.tinypic.com/10743mr.jpg[/img]



El .rar que ves en la captura es el mismo que les envie primero y gracias al 7-Zip se puede ver que dentro del bsplayer_pro242.1005.EXE esta el 10010_~1.EXE ; basta un doble clic al primero para que comienze el baile, como bien dijiste :D



Saludos

[msc hotline sat]

No sé donde leiste lo que dice al respecto de "Me preocupé cuando dijiste que no iba a encontrar nada porque el 10010_~1.EXE lo tenia en el escritorio," mas bien podía decir que no figuraba en el log, y se suponía que con el antivirus que lo detectó lo debería haber eliminado, pero no, aun estaba y la nueva version del ELISTARA lo ha detectado y eliminado.



Y claro que lo encuentras en el empaquetado, si quieres elimina dicho fichero RAR o descomprimelo, elimina el fichero malware (10010_~1.EXE) y comprimelo de nuevo.



saludos



ms, 14-7-2009

[zetor]

Me referia a lo que dijiste aqui
[quote="msc hotline sat"]
Pues sí, esta tarde pasa la 19.02 y posteanos el informe, aunque quizas no encontrará nada, pero mejor ! :mrgreen:
[/quote]
Pero bueno, no importa, voy a eliminar 10010_~1.EXE de donde todavia esta, por supuesto; supongo que Elistara no lo encuentra porque esta empaquetado no ? Lo importante y por último, si se desencadena la infeccion, Elistara la va a controlar ?



Gracias!



Aclaracion: el 10010_~1.EXE, estaba en el escritorio porque despues de la desinfeccion descomprimi el rar para poder mandarles la muestra.

[msc hotline sat]

Ya, pero aqui no se dice nada del escritorio, y ya te he dicho que si tu antivirus lo detectó, debía haberlo eliminado... pero por si acaso hemos potenciado el ELISTARA con el control de dicho malware y lo hemos pillado, perfecto ! :)



Ahora ya sabes, elimina el RAR o dicho fichero que contiene, aunque yo de entrada eliminaría RAR y desinstalaría dicha aplicacion, pues no es de fiar si contiene de entrada malwares !



Pero tu mismo, al menos elimina dicho fichero del empaquetado y que no incordie mas.



saludos



ms, 14-7-2009

[zetor]

Escribimos al mismo tiempo
[quote="zetor"]

Aclaracion: el 10010_~1.EXE, estaba en el escritorio porque despues de la desinfeccion descomprimi el rar para poder mandarles la muestra.[/quote]

El programa no lo tengo instalado ni tampoco lo instalare :D

Me confirmas que si en el futuro esta misma infeccion se desencadena Elistara la va a controlar?



Gracias

[msc hotline sat]

Si no muta, cuando pases el ELISTARA lo detectará si está desempaquetado, no dentro de ZIP o RAR.



saludos



ms, 14-7-2009

[zetor]

[quote="msc hotline sat"] no dentro de ZIP o RAR.
[/quote]
Agrego, ni tampoco dentro de un setup, correcto ?



Muchas gracias por todo

[msc hotline sat]

Si te refieres al SETUP del CMOS, eso no es ningun fichero ni está en el disco duro.



Si te refieres a algun fichero con el nombre de SETUP, sí que lo detectaría, si la extension fuera de ejecutable, esto es, EXE, COM, PIF, BAT, SCR, DLL etc, pero en empaquetados como ZIP o RAR.



Pues nada, lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos neceta de nuevo, ya sabe donde estamos



saludos



ms, 15-7-2009