Mensaje
por msc hotline sat » 17 Oct 2010, 09:53
Pues mañana recibiremos las muestras enviadas y tras analizarlas informaremos.
Aparte, debe lanzar un windowsupdate y actualizar parches, pues este MS08-067 hace falta tenerlo instalado para evitar la entrada del peligroso Conficker.
[b][i]Parche MS08-067 (Servicio Servidor) NO Instalado.[/i][/b]
Para ello pulse en Herramientas (en el navegador IE, arriba, en la barra de herramientas), y escoja WINDOWSUPDATE, y cuando se lo ofrezca, escoja ACTUALIZACION RAPIDA.
y efectivamente, en el SPROCES vemos, en ubicacion sospechosa, alguno de los que dices que nos envias:
C:\WINDOWS\SYSTEM32\DRIVERS\WINLOGON.EXE
C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\SYSTEM\SERVICES.EXE
C:\WINDOWS\SERVICES.EXE
los que no hayas enviado, hazlo ahora...
y ahi tenemos entradas maliciosas:
F2 - REG:system.ini: Shell=C:\RECYCLER\S-1-5-21-8929905741-5559993088-835592382-0643\syscr.exe,explor er.exe,C:\Documents and Settings\Administrador\Datos de programa\ltzqai.exe (HKCU)
F2 - REG:system.ini: Shell=Explorer.exe "C:\Documents and Settings\Administrador\Datos de programa\lsass.exe"
F2 - REG:system.ini: Taskman=C:\Documents and Settings\Administrador\Datos de programa\ltzqai.exe
envianos además pues, estos ficheros:
C:\Documents and Settings\Administrador\Datos de programa\ltzqai.exe
C:\Documents and Settings\Administrador\Datos de programa\lsass.exe
y lanza el ELISHELL, para restaurar la primera clave indicada
[b] ELISHELL.EXE: [/b]
http://www.zonavirus.com/datos/descargas/elishellexe.asp
y lanza el ELIPALEVO, que la última clave indicada delata a un Palevo rondando por ahí...
[b] ELIPALEVO.EXE: [/b]
http://www.zonavirus.com/descargas/elipalevo.asp
y envianos tambien este fichero:
C:\RECYCLER\S-1-5-21-8929905741-5559993088-835592382-0643\syscr.exe
para lo cual deberás usar el ELIMOVER, entrando con un copiar dicha ruta\fichero
[b] ELIMOVER: [/b]
http://www.zonavirus.com/descargas/elimover.asp
y pulsa sobre la casilla inferior izquierda para añadir .VIR al fichero original, ya que se trata de un malware
y todas estas claves lanzan ficheros maliciosos, entre ellos algunos ya antes mencionados:
O4 - HKLM\..\Run: [Windows Data Serivce] services.exe
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKLM\..\Run: [Windows] lsass.exe
O4 - HKLM\..\Run: [Windows Update] C:\Archivos de programa\Archivos comunes\System\services.exe
O4 - HKLM\..\Run: [spoolsv] C:\WINDOWS\TEMP\spoolsv.exe
O4 - HKLM\..\Run: [MSWUpdate] "C:\Documents and Settings\Administrador\Datos de programa\lsass.exe"
O4 - HKLM\..\Run: [winlogon] C:\Windows\System32\drivers\winlogon.exe
O4 - HKCU\..\Policies\Explorer\Run: [winlogon] C:\Windows\System32\drivers\winlogon.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsgs] C:\Documents and Settings\Administrador\Datos de programa\pufrlwl.exe
O4 - HKLM\..\Policies\Explorer\Run: [Driversys] C:\WINDOWS\mwljdba.exe
O4 - HKLM\..\Policies\Explorer\Run: [VGA] C:\WINDOWS\system32\26.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsg] C:\Documents and Settings\Administrador\Datos de programa\pqrsq.exe
O4 - HKLM\..\Policies\Explorer\Run: [Driversys32] C:\WINDOWS\wboxa.exe
O4 - HKLM\..\Policies\Explorer\Run: [VGAResolution] C:\WINDOWS\wboxa.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKLM\..\Policies\Explorer\Run: [spoolsv] C:\WINDOWS\TEMP\spoolsv.exe
O4 - HKLM\..\Policies\Explorer\Run: [winlogon] C:\Windows\System32\drivers\winlogon.exe
Desde luego, despues de lo que ya habíamos hecho, no es lógico que tengas esto, mas bien lo has ingresado posteriormente, quizas por algun downloader desconocido que quedó en el ordenador...
Y como que dices habernos ya enviado:
C:\Muestras\SPOOLSV.EXE.Muestra EliStartPage v21.81
C:\WINDOWS\TEMP\\SPOOLSV.EXE --> Eliminado
C:\Muestras\SERVICES.EXE.Muestra EliStartPage v21.81
C:\Muestras\MSVMIODE.EXE.Muestra EliStartPage v21.81
C:\Muestras\LSASS.EXE.Muestra EliStartPage v21.81
pues conviene que nos envies también estos otros:
C:\Documents and Settings\Administrador\Datos de programa\pufrlwl.exe
C:\WINDOWS\mwljdba.exe
C:\WINDOWS\system32\26.exe
C:\Documents and Settings\Administrador\Datos de programa\pqrsq.exe
C:\WINDOWS\wboxa.exe
C:\WINDOWS\cfdrive32.exe
C:\Windows\System32\drivers\winlogon.exe
y añadas a todos ellos la extension .VIR, para que no se carguen a partir del proximo reinicio
Por último, lo que pide del ELINOTIF.DLL , es una DLL complementaria que conviene copies en la misma carpeta del ELISTARA:
[i][b]"Y si pide el ELINOTIF.DLL, copiar dicho fichero en la misma carpeta que el ELISTARA.EXE, el cual la utilizará si la necesita:
ELINOTIF.DLL
http://www.zonavirus.com/descargas/elinotif.asp"[/b][/i]
Bueno, con lo que nos has posteado hemos visto bichos nuevos, que una vez nos envies, los analizaremos y pasaremos a controlar.
Lo que no sé es cual o qué causó su entrada, no es normal tras todo lo que habíamos hecho, por ello creo que han entrado posteriormente, a través de cualquier downloader.
Venga, que ya tienes faena... si no puedes hoy por tus quehaceres, hazlo cuando puedas :) . Hasta mañana no volvemos al trabajo en SATINFO, y hoy tenemos invitados en casa y tampoco podré estar mucho por aquí ! Pero si puedes enviarlos hoy a cualquier hora, nosotros podremos trabajar mañana mientras aun estareis durmiendo donde estás, y para cuando despiertes igual ya habermos podido analizar las muestras pedidas.
Sobre todo añade .VIR a los ficheros indicados, y lanza el ELISHELL, ELIPALEVO y el ELISTARA con el ELINOTIF en la misma carpeta, y cuando puedas haz lo del windowsupdate.
saludos y recuerdos para tu hermosa tierra, donde ya he estado, y, el año que viene, puede que vuelva, aunque no en tu ciudad, sino mas al Sur y mas al Norte, en ruta organizada por la empresa que cada año nos lleva de viaje por todo el mundo: http://www.viatgeseurovacances.net/2010-estiu-colombia.php
ms, 17-10-2010
msc hotline sat Virus Research Engineer 
[img]
[img]