Mensaje
por msc hotline sat » 20 Sep 2009, 07:19
Pues vemos que no se detectan mas ficheros con el BREDOLAB, posiblemente eliminó el de la carpeta C:\muestras, lo cual no debía haber hecho..., para comprobar que la cadena entrada al ELIMD5 era la correcta, pero en fin ...
Hay pendientes de instalar muchos parches:
No detectado SP3 de Windows XP
No detectado Parche MS08-067 de Microsoft instalado. (SServidor)
No solo los 1073 del SP3, sino posteriroes como el tan importante MS08-067 para evitar la entrada del Conficker, pero esto veo que ya te lo habiamos dicho, aunque todavía están pendientes de instalar ...
Aparte vemos que tenía las claves de arranque en modo seguro interceptadas, lo cual se ha restaurado, ahora hay que ver si se mantienen asi o algo se las ha vuelto a cambiar. Pruebe arrancar en modo seguro (pulsando repetidamente F8 al arrancar y escogiendo dicha opción)
Tras arrancar en dicha forma, mire de eliminar la clave que ya indicabamos y tras reiniciar vea si persiste algun problema, pero en cualquier caso mire de localizar este fichero sospechoso, ya que no usa AVIRA, y enviarnoslo para analizar: AVGVCNT.EXE
O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe
Por cierto, el AVGVCNT.EXE si no usa AVIRA, puede ser el culpable, vea:
http://www.prevx.com/filenames/1326385918234491986-X1/AVGVCNT.EXE.html
y como que vemos que usa NOD32, es por lo que entendemos que es malware.
Sobre todo lo importante es que arranque en modo seguro para ello, y si aun asi no lo ve por estar oculto, mire si lo localiza con el ELIMOVER
ELIMOVER
http://www.zonavirus.com/descargas/elimover.asp
y lo copia a C:\muestras sin atributos, para poder enviarnoslo (posiblemente esté en C:\windows\system32\AVGVCNT.EXE )
[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:
https://foros.zonavirus.com/viewtopic.php?f=5&t=14253
Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos
saludos
ms, 20-9-2009
NOTA: Y como que posiblemente sea de los que se propaga por pendrive:
vacune todas sus unidades de disco y pendrive con el ELIPEN:
[b]ELIPEN.EXE[/b]
http://www.zonavirus.com/descargas/elipen.asp
Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso . ms.
msc hotline sat Virus Research Engineer 