Ayuda... gusano se come a mi siatema.....

Smog · Mensaje por **Smog** » 16 May 2004, 05:09

help please.

Oigan sucede que tengo el virus w32/jefoo y no se como sacarlo, ya baje la utilidad de elijefoo k esta en esta page, pero aun algunas veces aparece un error que dice: SvSHOST o algo asi, a efectuado una operacion ...... y se cerrara. Lo que supongo que es bueno porque asi ya no esta en funcion pero se supone que ya lo habia eliminado de c:/windows/svshot.exe (o como se llame)

Tengo windows 98. Salu2 a todos.

ayuda, este gusano se come a mi sistema.[/img]

Mensaje por **msc hotline sat** » 17 May 2004, 09:21

Pues has ido a pillar un mal bicho.

Encripta polimorficamente de manera que algunas encriptaciones solo las desencripta el autor.

Hemos hecho una utilidad que puedes probar, y que por lo menos podrá limpiarte muchos ficheros, que los antivirus borrarían por no descubrir la encriptacion.

De todas maneras, manualmente llegamos a lo que automaticamente no podemos lograr, por hacerlo viruslmante detectando el MZ encriptado del inicio en las proximidades de donde se supone que coloca la cabecera encriptada, por lo que si algun fichero afectado no tienes copia y no te lo limpia la utilidad, puedes enviarnoslo y miraríamos de limpiatelo manualmente.

Si es el caso, indicalo primero en un post, de respuesta a este, y te diríam,os como proceder

saludos
ms, 17-05-2004

Smog · Mensaje por **Smog** » 17 May 2004, 18:03

Ok, pero a quien o a que parte mando los ficheros infectados???

Muchas grax por su ayuda.

Mensaje por **msc hotline sat** » 17 May 2004, 18:08

como siempre a zonavirus@satinfo.es

Por lo visto de tanto repetirlo, me olvidé de indicarlo.

Recuerda poner comon texto, un copiar y pegar de este post, o del link al mismo para poder saber a que tema corresponde.

Cuando nos los envies, indicanos en un post de respuesta a este cuantos ficheros ha podido desencriptar y cuantos no, de los cuales adjuntanos los que no tengas originales o copia de sehuridad y trataremos de hacerlo a mano,

saludos

ms, 17-05-2004

Mensaje por **msc hotline sat** » 19 May 2004, 16:28

Recibidos dos ficheros muestrasm estas han sido manipuladas por su antivirus, o por lo que sea, de forma que ha sobreescrito con ceros los bytes del último sector del virus, correspondiente a la cabecera encriptada del fichero original, por lo que partiendo de ceros, no hay retorno posible.

Nosotros, si no encontramos la rutina o método de descencriptacion de las diferentes partes, renombramos el fichero a VIR, para poder recuperarlo manualmente o por método que lo consiga, pero si anteriormente otro proceso lo que ha hecho es sobreescribir dicho encabezamiento encriptado, con ceros, nada puede ya hacerse con él.

No sabemos si se lo ha hecho su antivirus u ottra utilidad que ha probado antes que la nuestra, o un bug del propio virus, pero, de lo que nos ha enviado, no puede extraerse el encabezamiento del fichero original.

Si vuelve a tener otra incidencia con este virus, antes de procesar o intentar reparar o limpiar los ficheros con cualquier otro método, pruebe primero con nuestra utilidad, que si no lo puede limpiar, lo renombrará sin manipularlo, para que pueda probar manualmente.

saludos

ms, 19-04-2004

Mensaje por **msc hotline sat** » 19 May 2004, 16:58

Y examinando el fichero INFOSAT.TXT generado como log del proceso ELIJEEFO, vemos que aparte de estos dos, el resto de ficheros infectados por este virus, has sido limpiados correctamente, aparte del SVCHOST gusano que ha sido convenientemente eliminado, con lo cual vemos que nuestra utilidad ha funcionado perfectamente.

Agradecemos su colaboracion, y si sabe si estos dos ficheros en cuestion, habían sido procesados por otra utilidad, o directamente han sido destruidos por el virus, agradeceremos que nos lo indique, como respuesta de este Tema, para experiencia al respecto.

saludos

ms, 19-05-2004

Smog · Mensaje por **Smog** » 21 May 2004, 04:11

no, yo no he alterado ninguno de esos ficheros, posiblemente fue mi antivirus, pk algunos ficheros no los desinfectaba solo dice: neutralizado, y yo creo que es el que hizo eso. Salu2 y muchas gracias por su ayuda, y muy buena utilidad.

Mensaje por **msc hotline sat** » 21 May 2004, 10:02

Pues gracias por decirnoslo.

Vaya una manera de neutralizar !

Los ficheros así tocados ya no pueden ser recuperados, pero piueden seguir infectando al tener todo el código vírico entero al principio, y lo que ha sido sibreescrito con ceros es la parte final del infectado, que es justamente el encabezamiento encriptado del fichero original.

Lástima que no pasara el ELIJEEFO primero "

saludos

ms, 21-05-2004