Bagle

[noelia]

Hola!!! me llamo Noelia y "gracias" a que bagle se instaló en mi ordenador os he encontrado. He hecho lo que poneis (me he bajado el elibagla) y he conseguido sacarlo de él. Después poneis que os gustaría que os llegará el informe pero es que no sé en qué post tengo que ponerlo ya que todo lo hice antes de registrarme. Os lo copio aquí por si os sirve de algo. Gracias



(15-10-2011 13:11:07 (GMT))

EliBagle v14.19 (c)2011 S.G.H. / Satinfo S.L. (Actualizado el 27 de Junio del 2011)

----------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Acción Directa):

C:\WINDOWS\TASKS\AT1.JOB --> Eliminado Bagle



(15-10-2011 13:35:26 (GMT))

EliBagle v14.19 (c)2011 S.G.H. / Satinfo S.L. (Actualizado el 27 de Junio del 2011)

----------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 27202

Nº Total de Ficheros: 173336

Nº de Ficheros Analizados: 28974

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[noelia]

Vaya, pensaba que lo había solucinado pero acabo de intentar instalar el ccleaner y no me deja. Me sigue poniendo que .exe no es válido para win32. ¿Qué puedo hacer?



Gracias

[noelia]

Bueno, me lo he conseguido descargar a través de vuestra página. Pero entonces no me queda claro que tenga el problema resuelto. ¿Cómo lo puedo saber?



Gracias

[msc hotline sat]

Pues pruebe el ELISTARA y nos postea el informe resultante:


[quote="para DESCARGAR el ELISTARA, msc"]



http://www.zonavirus.com/descargas/descargar-elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el

resultado

del proceso [/quote]



Y si en el informe no se detectara nada ni pidiera muestra para analizar, proceder

con el SPROCES :




[quote="msc"]
[b]SPROCES.EXE[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/descargar-sproces.asp



Y tras pulsar en SALIR, postearnos el contenido del C:\SPROCLOG.TXT [/quote]

lo analizaremos e informaremos al respecto.



saludos



ms, 16-10-2011

[noelia]

Hola:

He pasado el Elistara y esto es lo que me ha salido. Lo he pasado dos veces uno antes de reiniciar y otra después.



(22-10-2011 18:40:32 (GMT))

EliStartPage v24.13 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Octubre del 2011)

--------------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Acción Directa):

Restaurado "Userinit"

[Userinit anterior] = "userinit.exe"

[Userinit actual] = "userinit.exe,"

Key Eliminada [URLSearchHook (HKUS) "{0558df35-d276-4dfb-88d9-c6398aeedf91}"] -> C:\PROGRAM FILES (X86)\SOFTONIC_ESPANA_FF\TBSOFT.DLL

Key Eliminada [URLSearchHook (HKLM) "{0558df35-d276-4dfb-88d9-c6398aeedf91}"] -> C:\PROGRAM FILES (X86)\SOFTONIC_ESPANA_FF\TBSOFT.DLL

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3CJPEG.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3DTACTL.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3HISTSW.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3HTMLMU.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3HTTPCT.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3POPSWT.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3PSSAVR.SCR --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3REPROX.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3RESTUB.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3SCRCTR.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\F3WPHOOK.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3HTML.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3MSG.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3OUTLCN.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3PLUGIN.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3SKIN.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\M3SRCHMN.EXE --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSOEMON.EXE --> MyWebSearch Renombrado a .VIR

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSOEPLG.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSOESTB.DLL --> MyWebSearch Renombrado a .VIR

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSSVC.EXE --> MyWebSearch Renombrado a .VIR

C:\WINDOWS\SYSTEM32\F3PSSAVR.SCR --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\MYWEBSEARCH\BAR\1.BIN\MWSSRCAS.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES (X86)\SOFTONIC_ESPANA_FF\TBSOFT.DLL --> Eliminado TBConduit(tb)

Entrada Eliminada [HKUS\S-1-5-21-1797806156-4127936074-2174673735-1001\...\Run] "MyWebSearch Email Plugin"="C:\PROGRA~2\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Entrada Eliminada [HKLM\...\Run] "MyWebSearch Email Plugin"="C:\PROGRA~2\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Eliminada Class, "{00A6FAF1-072E-44CF-8957-5838F569A31D}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Eliminada Class, "{00A6FAF6-072E-44CF-8957-5838F569A31D}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Eliminada Class, "{07B18EA1-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA9-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EAB-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{0F8ECF4F-3646-4C3A-8881-8E138FFCAF70}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HISTSW.DLL

Eliminada Class, "{147A976F-EEE1-4377-8EA7-4716E4CDD239}" -> NULL1

Eliminada Class, "{25560540-9571-4D7B-9389-0F166788785A}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3DTACTL.DLL

Eliminada Class, "{3DC201FB-E9C9-499C-A11F-23C360D7C3F8}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{3E720452-B472-4954-B7AA-33069EB53906}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3HTML.DLL

Eliminada Class, "{53CED2D0-5E9A-4761-9005-648404E6F7E5}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{63D0ED2C-B45B-4458-8B3B-60C69BBBD83C}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{7473D292-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D294-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D296-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{84DA4FDF-A1CF-4195-8688-3E961F505983}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3CJPEG.DLL

Eliminada Class, "{8E6F1832-9607-4440-8530-13BE7C4B1D14}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{938AA51A-996C-4884-98CE-80DD16A5C9DA}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{98D9753D-D73B-42D5-8C85-4469CDA897AB}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

Eliminada Class, "{9FF05104-B030-46FC-94B8-81276E4E27DF}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{A9571378-68A1-443D-B082-284F960C6D17}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{ADB01E81-3C79-4272-A0F1-7B2BE7A782DC}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3OUTLCN.DLL

Eliminada Class, "{B813095C-81C0-4E40-AA14-67520372B987}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HISTSW.DLL

Eliminada Class, "{C9D7BE3E-141A-4C85-8CD6-32461F3DF2C7}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HISTSW.DLL

Eliminada Class, "{CFF4CE82-3AA2-451F-9B77-7165605FB835}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HISTSW.DLL

Eliminada Class, "{D9FFFB27-D62A-4D64-8CEC-1FF006528805}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\F3HTTPCT.DLL

Eliminada Class, "{E79DFBCA-5697-4FBD-94E5-5B2A9C7C1612}" -> C:\Program Files (x86)\MyWebSearch\bar\1.bin\M3MSG.DLL

Eliminada Class, "{0558df35-d276-4dfb-88d9-c6398aeedf91}" -> C:\Program Files (x86)\Softonic_Espana_FF\tbSoft.dll

Eliminado Servicio, "MyWebSearchService"

Detectado Proxy Activo: http=127.0.0.1:54505

Eliminada Carpeta "%Archivos de Programa%\FunWebProducts"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



(22-10-2011 18:51:55 (GMT))

EliStartPage v24.13 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Octubre del 2011)

--------------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Program Files (x86)\ConduitEngine\CONDUITENGINE.DLL --> Eliminado, TBConduit(tb)

C:\Program Files (x86)\MyWebSearch\bar\1.bin\MWSSVC.EXE.VIR --> Acceso Denegado, MyWebSearch (Reiniciar para Completar la Limpieza)

C:\Program Files (x86)\Windows Live\Messenger\RICHED20.DLL --> Eliminado, MyWebSearch



Nº Total de Directorios: 26546

Nº Total de Ficheros: 159078

Nº de Ficheros Analizados: 40998

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 2



(22-10-2011 18:54:38 (GMT))

EliStartPage v24.13 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Octubre del 2011)

--------------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Acción Directa):

Detectado Proxy Activo: http=127.0.0.1:54505

Eliminada Carpeta "%Archivos de Programa%\MyWebSearch"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(22-10-2011 19:08:19 (GMT))

EliStartPage v24.13 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Octubre del 2011)

--------------------------------------------------

Usuario: Ivan & Noe

ID de Usuario: S-1-5-21-1797806156-4127936074-2174673735-1001



Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 26547

Nº Total de Ficheros: 158993

Nº de Ficheros Analizados: 41000

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[msc hotline sat]

Pues ya ves que aparte del Bagle, tenías muchos mas "visitantes" ...



Ahora solo vemos atípico este mensaje:



[i][b]Detectado Proxy Activo: http=127.0.0.1:54505[/b][/i]





Si no utilizas proxy para tu comunicacion con internet, convendrá eliminar la clave, no sea que sea un port de entrada para algun malware.



En tal caso, posteanos el log que te generará el SPROCES y tras analizarlo, veremos si hay algo mas y te diremos como eliminar dicha clave cpon el mismo SPROCES:




[quote="msc"]
[b]SPROCES.EXE[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/descargar-sproces.asp



Y tras pulsar en SALIR, postearnos el contenido del C:\SPROCLOG.TXT [/quote]

lo analizaremos e informaremos al respecto.



saludos



ms, 23-10-2011