Tengo un problema muy molesto con un troyano

[Jess Molina]

Ante todo un saludo, me llamo Jesús y soy nuevo en este foro... necesito ayuda con un virus que al parecer se ha instalado en el sistema y creo que por aquí hay buenos eruditos en este tema. Bueno, uso windows xp profesional, el antivirus es el nod32 y tengo también el CCleaner... resulta, que al hacer una descarga al parecer se instaló un virus que no puedo quitar, pues a decir verdad no soy muy técnico con el PC... :oops: os explico, cada poco tiempo me sale la ventana de registro del nod32 avisándome de un virus que está en [b]C:/Documents and settings/MUSIC/Datos de programa/Macromedia/Common/a795606219 (Troyano)[/b] que ha sido bloqueado y está en cuarentena, pero esto cada vez que intento ejecutar cualquier programa. He intentado desinfectarlo y no puedo quitarlo de Windows, pues por lo visto me ha infectado el archivo reg32 o algo así dentro de la carpeta de Windows, (no sé si me estoy explicando con suficiente claridad), me dice que es [b]Win32/Agent.QHS (Troyano)[/b]. Bien, como os digo le paso el nod32 a las dos particiones y los registros de virus que me forma en el sistema sí me deja eliminarlos, pero el registro de la carpeta de Windows no me dá la opción, al clicar con el boton dos, de eliminarlo... :?: supongo que será una estrategia del susodicho... por suerte si puedo entrar en modo seguro, también puedo usar otra cuenta de usuario que tengo abierta,pero no como administrador, desde la cual os escribo pues aquí no se reproduce el virus, pero no me deja restaurar el sistema... bueno no quiero enrollarme demasiado, pero me gustaría que algún buen samaritano me ayudase y a ser posible, de una forma no demasiado técnica, pues como he comentado, aún no entiendo mucho y no quisiera tocar algo que me pueda estropear el PC... :mrgreen: muchas gracias de antemano...

[msc hotline sat]

Posiblemente se trata de un Bredolab que ha descargado un Riern...



Pruebe el ELISTARA y nos postea el informe resultante:


[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]

saludos



ms, 10-11-2009

[Jess Molina]

Hola de nuevo, he ejecutado el archivo que me dijo de Elisat y le mando el informe que me salió, creo que es éste, pero como cuando terminó el programa de hacer el escaneo, estaba comiendo y la verdad no estuve atento a la finalización del mismo. Con lo cual se me presenta la duda de si tenía que hacer algo al finalizar, espero que nó, pues me llevó algunas horas... bien, el texto que encontré es éste:





(11-11-2009 8:46:53 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\LJJBAXOM] -> C:\WINDOWS\SYSTEM32\ljJbaXom.dll

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(11-11-2009 8:48:19 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5108

Nº Total de Ficheros: 67715

Nº de Ficheros Analizados: 13022

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



(11-11-2009 8:52:22 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 9840

Nº Total de Ficheros: 134279

Nº de Ficheros Analizados: 17720

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1

Exploración Detenida por el Usuario.



(11-11-2009 9:00:26 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\A79560621.DLL.Muestra EliStartPage v19.66

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A79560621.DLL --> Eliminado

Entrada Eliminada [HKCU\...\Run] "rundll32.exe"=""

Entrada Eliminada [HKCU\...\Run] "WAB"="C:\Documents and Settings\MUSIC\Datos de programa\Macromedia\Common\a795606219.exe"

Linea Eliminada del HOSTS --> 127.0.0.1 mpa.one.microsoft.com

Linea Eliminada del HOSTS --> 127.0.0.1 bin.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 dynamique.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 es.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 hk.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 jsp.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 nl.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 se.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 support.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 trial.updates.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 ulog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.win-anti-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.win-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantiviruspro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.windrivesafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winsoftware.com ## added by CiD

No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(11-11-2009 9:01:25 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



(11-11-2009 11:24:31 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\A79560621.DLL.Muestra EliStartPage v19.66

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A79560621.DLL --> Eliminado

Entrada Eliminada [HKCU\...\Run] "rundll32.exe"=""

Entrada Eliminada [HKCU\...\Run] "WAB"="C:\Documents and Settings\MUSIC\Datos de programa\Macromedia\Common\a795606219.exe"

No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(11-11-2009 11:25:05 (GMT))

EliStartPage v19.66 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 10 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"









Creo que es éste el archivo que me creó. Otra duda es que como no tengo WinZip, sólo Winrar, no sé si puedo enviarles el archivo de muestra comprimido con esta aplicación a través de ésta página, o lo hago por e-mail a la dirección que me referencia, le agradecería me lo aclarase... una cosa más, después de la exploración con Elisat, el virus sigue activo, por eso no estoy seguro de si el programa que descargué sirve para un análisis sólo, o para la eliminación de virus...

Perdone que le cause tantas dudas, pero como le dije no soy muy técnico con el PC, por eso le agradecería que me detallara los pasos a seguir próximamente... mil gracias por su ayuda y espero su respuesta, pues me trae loco este problema, ya que trabajo con el PC. Le pido disculpas por mi torpeza... Un saludo!!

[julibaga]

[quote="Jess Molina"]Por favor, envienos una muestra del fichero

C:\Muestras\A79560621.DLL.Muestra EliStartPage v19.66

a "virus@satinfo.es". Gracias.[/quote]
[quote="Jess Molina"]Otra duda es que como no tengo WinZip, sólo Winrar, no sé si puedo enviarles el archivo de muestra comprimido con esta aplicación a través de ésta página,[/quote]
Sí, puedes usar el winrar, pero comprímelo en Zip. No te olvides de ponerle la contraseña "virus" (sin comillas). Si la contraseña tuviera que ser de 8 dígitos como mínimo, te aconsejo uses como contraseña "virusvirus" y lo informes en el siguiente post.



Para ello recuerda:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Y para ver los procesos bájate el [b][url=http://www.zonavirus.com/descargas/sproces.asp]SProcess[/url][/b] (herramienta de investigación) y lo ejecutas. Tras pulsar en SALIR, postea el contenido del [b]c:\sproclog.txt[/b] con un copiar y pegar.

El Elistara y cualquier utilidad de Infosat, no sólo son de escaneo, sino que también eliminan.

De todas formas, una vez envíes el archivo solicitado, lo analizarán y harán una nueva versión del Elistara. Te informarán de ello en este tema. Al utilizar la nueva versión, también eliminará las muestras, aun cuando dichas muestras ya esén fuera de circulación.

[msc hotline sat]

Recibida la muestra enviada, ha resultado ser nueva variante del Trojan Riern, que pasamos a controlar con la nueva version del ELISTARA 19.66 de hoy:


[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]





A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus



saludos



11-11-2009

[Jess Molina]

Hola amigos! bien, he descargado la versión nueva y os mando el resultado y las muestras ok? solo una duda, tengo que eliminar la aplicación que está en [b]C:/Documents and settings/MUSIC/Datos de programa/Macromedia/Common/a795606219.exe[/b]? Pues al abrir la carpeta contenedora, me aparece la aplicación ".dll" pero hay un nuevo ejecutable que no estaba antes, como si fuera un instalador... :?: como os comento, los elimino? o ElistarA los ha desinfectado y no hay porque eliminarlos? no sé, tengo dudas de si serán necesarios para el correcto funcionamiento del Macromedia Dreamweaver 8... aunque no lo uso aún... otra cosa que me sale en una ventana es que la imagen [b]C:/DOCUME-1/MUSIC/CONFIG-1/TEMP/a79560622.tmp[/b](los guiones son un símbolo que no encuentro en el teclado, como si fuera el símbolo que va encima de ñ") esto no es una imagen de Windows o algo así... que la busco y no sé dónde está... pero creo que no es buena cosa no? siento la torpeza :oops: bien os mando el texto de ElistarA





(13-11-2009 8:13:39 (GMT))

EliStartPage v19.68 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A795606219.EXE --> Eliminado

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A79560621.DLL --> Eliminado Trojan.Riern.A(dll)

Entrada Eliminada [HKCU\...\Run] "rundll32.exe"=""

Entrada Eliminada [HKCU\...\Run] "WAB"="C:\Documents and Settings\MUSIC\Datos de programa\Macromedia\Common\a795606219.exe"

No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(13-11-2009 8:15:30 (GMT))

EliStartPage v19.68 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



(13-11-2009 9:12:25 (GMT))

EliStartPage v19.68 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\A795606219.EXE.Muestra EliStartPage v19.68

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A795606219.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\A79560621.DLL.Muestra EliStartPage v19.68

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\MUSIC\DATOS DE PROGRAMA\MACROMEDIA\COMMON\A79560621.DLL --> Acceso Denegado.

Entrada Eliminada [HKCU\...\Run] "rundll32.exe"=""

Entrada Eliminada [HKCU\...\Run] "WAB"="C:\Documents and Settings\MUSIC\Datos de programa\Macromedia\Common\a795606219.exe"

No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.







y os mando también las muestras que me han salido ok? esperando una respuesta... un abrazo!!

[msc hotline sat]

Analizada las muestras enviadas se tratan de una nueva variante de Riern, que hemos pasado a controlar con la nueva versión del ELISTARA 19.69 que ya está en esta web



---v19.69-(13 de Noviembre del 2009) (Muestras de Cutwail.H "READER_S.EXE", AutoRun.Restore "AUTORUN.EXE", StartPage.Ini "INI.EXE", DownLoader.Agent.LBV "A3RDCX86.EXE", (2)DownLoader.BQC "KEYGEN.EXE", (6)Trojan.Riern.A "*********9.EXE y *********.DLL")




[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]

saludos



ms, 13-11-2009

[julibaga]

Y no te olvides de actualizar. Es importante.
[quote="Jess Molina"]No detectado SP3 de Windows XP

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)[/quote]

[flacoroo]

sigue enviando las muestras pedidas para que se siga actualizando el Elistara, pero tambien como te dijo Julibaga, debes actualizar por medio de WindowsUpdate tu windows XP, te falta y es necesario que instales el parche MS08-067 de Microsoft que sea para windows XP y en español y tambien despues bajarte el Service Pack 3 y despues de ahi las demas actualizaciones que Windows XP ha tenido. Tambien actualiza tu antivirus y entra en modo seguro y ejecutalo, si puedes configurarlo para que escanee: Discos duros, archivos guardados, memorias, procesos en ejecución, registrso, cookis, etc, etc.



esperamos respuestas tuyas...

[msc hotline sat]

Como he dicho en [url=https://foros.zonavirus.com/viewtopic.php?f=5&t=30215&p=167101&hilit=+%2A%2A%2A%2A%2A%2A%2A%2A%2A9.EXE+y+%2A%2A%2A%2A%2A%2A%2A%2A%2A.DLL+#p167101]mi post anterior[/url], ya hemos recibido las muestras e implementado su control y eliminación a partir de la versión 19.69 del ELISTARA.



Descargala y tras probarla nos posteas el informe resultante, gracias



y como muy bien le indica flacoroo, actualice los parches, para lo cual sugiero lance un windowsupdate, desde el Internet Explorer -> Herramientas -> Windowsupdate



saludos



ms, 14-11-2009