Virus $RECYCLE.BIN (SOLUCIONADO)

[sbuguenoc]

Hola a todos, soy un usuario nuevo y me gustaria que me ayudasen con este problemita... He estado leyendo temas antiguos sobre este virus y considere pertinente postear un tema nuevo, ya que tendria que enviarles el scan que hizo el "EliStarA" en mi pc.

PD: cuando lo ejecute, me dijo que habia eliminado un troyano.



Asi que les pido ayuda, ya que en mi disco externo tengo unos trabajo de la Universidad que me sirven.



espero su respuesta, Saludos cordiales!!

[msc hotline sat]

Pues posteanos, con un COPIAR Y PEGAR, el contenido del fichero que generó el ELISTARA en C:\infosat.txt, para saber lo que se detectó y eliminó, para poder informarle al respecto.



saludos



ms, 10-6-2012

[sbuguenoc]

Hola te dejo lo que arrojo el elistart y lo del block de notas:





(10-6-2012 04:43:44 (GMT))

EliStartPage v25.65 (c)2012 S.G.H. / Satinfo S.L. (Actualizado el 8 de Junio del 2012)

--------------------------------------------------

Usuario: usuario

ID de Usuario: S-1-5-21-546631990-885050354-2611511182-1000



Lista de Acciones (por Acción Directa):

Restaurado "Userinit"

[Userinit anterior] = "userinit.exe"

[Userinit actual] = "userinit.exe,"

Key Eliminada [URLSearchHook (HKUS) "{fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5}"] -> C:\PROGRAM FILES (X86)\BS_PLAYER\TBBS_P.DLL

Key Eliminada [URLSearchHook (HKLM) "{fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5}"] -> C:\PROGRAM FILES (X86)\BS_PLAYER\TBBS_P.DLL

C:\PROGRAM FILES (X86)\BS_PLAYER\TBBS_P.DLL --> Eliminado TBConduit(tb)

Eliminada Class, "{fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5}" -> C:\Program Files (x86)\BS_Player\tbBS_P.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(10-6-2012 08:44:33 (GMT))

EliStartPage v25.65 (c)2012 S.G.H. / Satinfo S.L. (Actualizado el 8 de Junio del 2012)

--------------------------------------------------

Usuario: usuario

ID de Usuario: S-1-5-21-546631990-885050354-2611511182-1000



Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Program Files (x86)\ConduitEngine\CONDUITENGINE.DLL --> Eliminado, TBConduit(tb)

C:\Users\usuario\Desktop\PELICULAS.LNK --> Eliminado, Worm.Dorkbot(lnk)



Nº Total de Directorios: 37929

Nº Total de Ficheros: 563406

Nº de Ficheros Analizados: 46914

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2







Y lo que arrojo el elistart (lo subi como un pantallaso):

http://25.media.tumblr.com/tumblr_m5f3qtmXvf1rxc6pwo1_500.gif

[msc hotline sat]

Pues tuviste un RootKit DORKBOT, que se propaga por pendrive, y puede que en alguno de ellos aun quede dicho engendro.



Recomendamos vacuna ordenadores y pendrives con el ELIPEN:



[b] ELIPEN.EXE: [/b]

http://www.zonavirus.com/descargas/descargar-elipen.asp



Así se evitará la propagación de este virus y de otros que utilizan dicho medio de propagacion



saludos



ms, 11-6-2012





NOTA: Ver lo que decimos de una de sus variuantes en http://www.zonavirus.com/noticias/2012/detalles-de-lo-que-hace-el-popular-rootkit-dorkbot-que-aparentemente-solo-se-ve-cambios-en-los-pendrives.asp ms.

[sbuguenoc]

Hola, sabes que intento ejecutar elipen y Ad-Watch me bloquea el acceso a el, porque dice que el proceso se ha identificado como win32.Trojan.Agent. Luego intente ejecutar el elistara y también me lo bloquea, diciendo que lo identifica como un virtumonde.a (fs)... Que puedo hacer?. Ademas intento borrar el residuo del dorkbot, y luego me aparece nuevamente, también intente restaurar las carpetas afectadas y no me funciono, me dijo comando incorrecto.

[msc hotline sat]

La deteccion de troyanos en nuestras utilidades es un falso positivo del AV, ya que las validamos con checksum para que, si se infectaran, dejaran de funcionar, indicando haber sido modificadas.



Desactiva el antivirus para hacer lo indicado, o arranca en MODO SEGURO para que no esté residente.



saludos



ms, 11-6-2012

[sbuguenoc]

Amigo, sabes que pude restaurar las carpetas de mi disco externo, pero aun el residuo del virus sigue. Busque info en otro foro, y encontre otro programa (malwarebytes anti malware), el cual encontro varias anormalidades (una de ellas el elistart pero segun lo que me respondiste antes obviamente no es un virus ni nada por el estilo), tambien encontro unos worms y troyanos, los cual los elimino. pero los demas no los borre porque puede que sean archivos del sistema. a todo esto ejecute el programa en modo seguro. Te dejo lo que arrojo el malwarebytes





Malwarebytes Anti-Malware (Versión de Prueba) 1.61.0.1400

www.malwarebytes.org



Versión de la Base de Datos: v2012.06.11.09



Windows 7 x64 NTFS (modo seguro)

Internet Explorer 8.0.7600.16385

usuario :: USUARIO-PC [administrador]



Protección: Personas de movilidad reducida



11-06-2012 21:29:09

mbam-log-2012-06-11 (21-29-09).txt



Tipos de Análisis: Análisis Rápido

Opciones de análisis activado: Memoria | Inicio | Registro | Sistema de archivos | Heurística/Extra | Heurística/Shuriken | PUP | PUM

Opciones de análisis desactivados: P2P

Objetos examinados: 210391

Tiempo transcurrido: 4 minuto(s), 37 segundo(s)



Procesos en Memoria Detectados: 1

C:\Users\usuario\Desktop\EliStarA.exe (Adware.ISTBar) -> 1584 -> No se tomaron medidas.



Módulos de Memoria Detectados: 0

(No se han detectado elementos maliciosos)



Claves del Registro Detectados: 42

HKCR\CLSID\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\Interface\{3718D0AF-A3B8-4F5E-86F3-FAD8D02043BE} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\bbylntlbr.bbylntlbrHlpr.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\bbylntlbr.bbylntlbrHlpr (PUP.Funmoods) -> No se tomaron medidas.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoods.funmoodsHlpr.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoods.funmoodsHlpr (PUP.Funmoods) -> No se tomaron medidas.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{75A4D144-506D-4BE5-81DB-EC7DA1E7F840} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\TypeLib\{960DF771-CFCB-4E53-A5B5-6EF2BBE6E706} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\esrv.funmoodsESrvc.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\esrv.funmoodsESrvc (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{965B9DBE-B104-44AC-950A-8A5F97AFF439} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\escort.escortIEPane.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\escort.escortIEPane (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\TypeLib\{4E1E9D45-8BF9-4139-915C-9F83CC3D5921} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoods.dskBnd.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoods.dskBnd (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> No se tomaron medidas.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{A9DB719C-7156-415E-B49D-BAD039DE4F13} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\TypeLib\{D7EE8177-D51E-4F89-92B6-83EA2EC40800} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\Interface\{9E393F82-2644-4AB6-B994-1AD39D6C59EE} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoodsApp.appCore.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\funmoodsApp.appCore (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{F03FD9D0-4F2B-497C-8A71-DD41D70B07D9} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\CLSID\{B8276A94-891D-453C-9FF3-715C042A2575} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\TypeLib\{B12E99ED-69BD-437C-86BE-C862B9E5444D} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\Interface\{78888F8B-D5E4-43CE-89F5-C8C18223AF64} (PUP.Funmoods) -> No se tomaron medidas.

HKCR\bbylntlbr.xtrnl.1 (PUP.Funmoods) -> No se tomaron medidas.

HKCR\bbylntlbr.xtrnl (PUP.Funmoods) -> No se tomaron medidas.

HKCR\f (PUP.Funmoods) -> No se tomaron medidas.

HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{C87FC351-A80D-43E9-9A86-CF1E29DC443A} (PUP.Funmoods) -> No se tomaron medidas.

HKLM\SOFTWARE\Google\chrome\Extensions\fdloijijlkoblmigdofommgnheckmaki (PUP.Funmoods) -> No se tomaron medidas.

HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\FUNMOODS (PUP.Funmoods) -> No se tomaron medidas.



Valores del Registro Detectados: 3

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> datos: Funmoods Toolbar -> No se tomaron medidas.

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> datos: -> No se tomaron medidas.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\funmoods|UninstallString (PUP.Funmoods) -> datos: "C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\uninstall.exe" -> No se tomaron medidas.



Elementos de Datos del Registro Detectados: 0

(No se han detectado elementos maliciosos)



Carpetas Detectadas: 2

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2 (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\bh (PUP.Funmoods) -> No se tomaron medidas.



Archivos Detectados: 17

C:\Users\usuario\Desktop\EliStarA.exe (Adware.ISTBar) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\bh\funmoods.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\funmoodssrv.exe (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\funmoodsTlbr.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\funmoodsApp.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\funmoodsEng.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarEng.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\ProgramData\IBUpdaterService\ibsvc.exe (PUP.BundleInstaller.IB) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\escortShld.dll (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\funmoodsOEM.crx (PUP.Funmoods) -> No se tomaron medidas.

C:\Program Files (x86)\Funmoods\funmoods\1.5.12.2\uninstall.exe (PUP.Funmoods) -> No se tomaron medidas.

C:\Users\usuario\AppData\Roaming\2567.tmp (Worm.Palevo.H) -> En cuarentena y eliminado con éxito.

C:\Users\usuario\AppData\Roaming\662.tmp (Worm.Palevo.H) -> En cuarentena y eliminado con éxito.

C:\Users\usuario\AppData\Roaming\8076.tmp (Trojan.VUPX.PTI1) -> En cuarentena y eliminado con éxito.

C:\Users\usuario\AppData\Roaming\BC0F.tmp (Trojan.VUPX.PTI1) -> En cuarentena y eliminado con éxito.

C:\Users\usuario\AppData\Roaming\DADF.tmp (Trojan.VUPX.PTI1) -> En cuarentena y eliminado con éxito.



fin)

[msc hotline sat]

Pues parece que todo es del funmoods, que no es exactamente virus, pero mejor prescindir de ello:



http://funmoods.com/es/what_is_funmoods



El MBAM los detecta como PUP (programas no recomendables), haga lo que quiera con ellos.



Si tras eliminarlos ya el funciona todo bien, diganoslo para dar por solucionado el Tema, gracias



saludos



ms, 12-6-2012

[sbuguenoc]

Gratamente puedo decirte que ha quedado todo normal en mi disco duro externo. Ayer después de que borrara los virus (andando en modo seguro), reinicie e ingrese el disco, en el cual todavía quedaba el residuo del virus, lo borre, actualice el disco y no volvió a aparecer. Nuevamente hoy revise si aparecía y por suerte no lo hizo.



Para finalizar, quiero agradecerte por la ayuda brindada. Se valora mucho que haya gente en la red que esta dispuesta a ayudar a los demás. Nuevamente te doy gracias y espero que estés bien. Saludos!!

[msc hotline sat]

Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesitas de nuevo, ya sabes donde estamos.



Y gracias por tus palabras, ... a nadie amarga un dulce :)



saludos



ms, 13-7-2012