mytob DJ (solucionado)

larose · Mensaje por **larose** » 30 May 2005, 12:52

he hecho un scaneo on line y me he encontrado con este virus mytob DJ; podéis ayudarme a eliminarlo?

Mensaje por **maura63** » 30 May 2005, 12:58

Prueba esta herramienta

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

Saludos

maura63

larose · Mensaje por **larose** » 30 May 2005, 13:10

No detecta nada; lo ha detectado https://www.eset.es/analisis-online/

Mensaje por **maura63** » 30 May 2005, 13:31

Si tienes ADSL via router o cable moden y usas XP o w2k podras arrancar en modo segro con funciones de red y limpiar con ese antivirus online.

Saludos

maura63

Mensaje por **msc hotline sat** » 30 May 2005, 13:32

Debes tenerlo ya en cuarentena, y el elitriip va a piñón fijo donde se instala, y detiene el proceso virico en memoria y lo elimina, pero si lo has hecho con el antivirus, como que no ha podido eliminarlo por estar en uso, posiblemente lo ha movido a cuarentena.

Arranque en modo seguro y eliminalo de donde lo tengas, con antiviurus o manualmente.

Si tienes algun problema, enviando el fichero infectado y utilizaremos su codigo para buscarlo por cadenas, que con la tan gran cantidad de MyTob existente, ya solo buscamos nombres, rutas, y claves a piñon fijo.

Si todavía lo tienes y quieres enviarnos muestra, dinoslo y te diremos como

saludos

ms, 30-05-2005

larose · Mensaje por **larose** » 30 May 2005, 13:40

he vuelto a pasar https://www.eset.es/analisis-online/

y me dice :

infección: win32 mytob.DJ

archivo: nec.exe

estado: cannot cure

Mensaje por **msc hotline sat** » 30 May 2005, 13:43

Pues envianos este fichero a zonavirus@satinfo.es y lo incluiremos con deteccion por cadena y eliminacion total en el la proxima version del ELITRIIP que haremos en cuanto la recibamos. Anexala a un mail en cuyo texto pongas un copiar y pegar de este post, para poder contestarte como respuesta a este tema

saludos

ms, 30-05-2005

larose · Mensaje por **larose** » 30 May 2005, 14:10

pues nada, muchas gracias; ya te acabo de enviar todo al e-mail que me indicas.

Mensaje por **msc hotline sat** » 30 May 2005, 14:50

Recibida la muestra en cuestion. Corresponde a una nueva variante del MyTob, para la que acabamos de hacer el ELITRIIP 1.33, si bien esta tarde lo potenciaremos con la cadena que extraigamos de tu muestra.

Ahora voy a subir a esta web la version 1.33 aunque vayamos a potenciarla, pero por si te sirve y no tienes que esperar la otra, que será mas completa para esta variante, ya que la detectará en cualquier fichero por cadena de deteccion, esté donde esté, bájala y ejecútala, y nos cuentas el resultado

http://www.zonavirus.com/descargas/elitriip.asp

saludos

ms, 30-05-2005

larose · Mensaje por **larose** » 30 May 2005, 15:52

no me ha solucionado nada; espero la nueva versión; gracias de nuevo. un saludo!

Mensaje por **msc hotline sat** » 30 May 2005, 15:56

La estamos haciendo y en breve la subiremos (cuestion de 15 minutos)

Conforma la hipotesis de que el antivirus ONLINE ya lo ha movido a cuarentena, y no está en el sitio previsto, pero la nueva version dispondrá de la cadena para encontrarlo donde estuviere y eliminarlo como se desea.

saludos

ms, 30-05-3005

Mensaje por **msc hotline sat** » 30 May 2005, 16:27

Ya se han subido las nuevas versiones. Descarguelas de nuevo y nos comenta el resultado, gracias

saludos

ms, 30-05-2005

larose · Mensaje por **larose** » 30 May 2005, 16:34

genial!

lo ha detectado en A0008332.EXE y lo ha eliminado. Entre tanto, he estado leyendo sobre este virus y recomiendan cambiar las claves de acceso; cree que es necesario que lo haga?

muchas gracias por todo. Buenas tardes.

Mensaje por **maura63** » 30 May 2005, 16:38

No cuesta nada cambiarlas por si las moscas.

Saludos

maura63

Mensaje por **msc hotline sat** » 30 May 2005, 17:06

Todos los backdoors han tenido tiempo de capturar contraseñas mientras han estado activos en el ordenador.

Este en particular asi lo indica:

[quote]
Obtain system information, such as the operating system (OS), available memory and connection speed
[/quote]

No es que sea especialmente importante solo en este caso, sino en general con todos los backdoors el cambiar claves y contraseñas tras eliminarlo.

saludos

ms, 30-05-2005

larose · Mensaje por **larose** » 31 May 2005, 10:08

Acabo de hacer una comprobación pasando el https://www.eset.es/analisis-online/

para ver si mi pc está perfectamente limpio y me encuentra esto:

archivo: NEC.EXE.Muestra EliTriIP v1.33

infección: win32 mytob.DJ

estado: infected

ruta: C:\Documents and Settings\gober\Configuración local\Temp\

Aun tengo el virus?

Mensaje por **msc hotline sat** » 31 May 2005, 10:26

No activp, guardamos una muestra en un directorio temporal cuando detectamos un fichero sospechoso que no controlamos con la version que se utiliza de nuestras utilidades, y con la version 1.33 del ELITRIIP se detectó este fichero y se guardó en una carpeta temporal pero con una extension no ejecutable, en este caso la extension fué .Muestra EliTriIP v1.33, siendo el nombre del fichero NEC.EXE, pero fijate que digo el nombre, incluyendo .EXE, o sea que la extension actual ya no es EXE sino la indicada, no operativa, claro.

Entonces queda claro que la penultima version que utilizaste te eliminó el virus activo, moviendote dicho fichero a la carpeta temporal, y además cambiandote la extension para que ya no pudieras, ni por error, ejecutarlo, solo enviarnoslo si no lo hubieras hecho, lo cual no era el caso.

Y gracias al envio de la muestra pudimos pillar a un fichero con nombre variable que sí que era ejecutable y contenóa el virus, el cual fué eliminado.

Este fichero no te puede hacer ningun daño, pero ya puedes borrarlo tranquilamente, pues ya nos enviaste la muestra en cuestion, que es para lo que se conservó con este nombre y en esta ruta.

Y aclarado y eliminado el virus, consideramos solucionado el problema y procedemos a cerrar el Tema

saludos

ms, 31-05-2005