virus alemod

[ptsr]

me ha entrado un virus primero win32/oleloa y no he podido eliminarlo con ningun antivirus y luego me ha entrado otro virus relacionado llamado w32/alemod.e.dll y tampoco he podido eliminarlo he utilizado tres antivirus: mcAfee v6; sin espias 3.3 : y el ultimo de vuestra pagina panda software online. El informe que ha generado este ultimo es el siguiente:

Incidencia Estado Elemento



Adware:adware/popuper No desinfectado C:\WINDOWS\System32\intmon.exe

Adware:adware/psguard No desinfectado C:\DOCUMENTS AND SETTINGS\PINOPC\CONFIGURACIN LOCAL\TEMP\PSGuardInstall.exe

Adware:adware/popuper No desinfectado C:\WINDOWS\SYSTEM32\shnlog.exe

Adware:adware/virmaid No desinfectado C:\WINDOWS\SYSTEM32\ole32vbs.exe

Adware:adware/cws.homesearchasisstantNo desinfectado Registro de Windows

Adware:Adware/PsGuard No desinfectado C:\WINDOWS\system32\config\systemprofile\Datos de programa\Microsoft\Internet Explorer\Desktop.htt

Dialer:Dialer.BZG No desinfectado C:\WINDOWS\system32\LogFiles\OD8081500.so

Os ruego que si alguien sabe como solucionar mi problema me informeis. muchas gracias.

[msc hotline sat]

Primero lanza el ELISTARA, arrancando en modo seguro y deshabilitanbdo la restauracion de sistema. Si te pide que envies unas muestras, hazlo, pues puedes tener nuevas variantes de esta familia de virus



Si tras ello te elimina todo lo que tienes, compruba que puedas cambiar el fondo de escritorio y listos, y sino, posteanos el log del HiJackThis, como respuesta de este Tema, pero siempre tras eliminar todo lo posivle con las utilidades indicadas.



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



y en su caso peganos un log del HJT como respuesta a este Tema:



[size=150][color=darkblue][b]Como utilizar el Hijackthis para analizar su contenido[/b][/color][/size]



[i]¿Que son los Hijack?[/i]

Es un termino en ingles que en español quiere decir, secuestrador del navegador.



[i]¿Y que es el Hijackthis?[/i]

El HijackThis es un programa que analiza todos los añadidos de nuestro navegador, entre ellos están, barras de herramientas, active x, dll y programas que arrancan en el inicio del sistema ademas de otra informacion, permitiendo activarlos y desactivarlos.



[i]¿Como utilizar el Hijackthis en los foros?[/i]

Lo primero que debemos hacer es decargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta en el [url=http://foros.zonavirus.com/viewforum.php?f=13][b]foro HijackThis[/b][/url].



· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



saludos



ms, 11-08-2005

[ptsr]

Logfile of HijackThis v1.99.1

Scan saved at 7:54:04, on 12/08/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\msagent\AgentSvr.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\PinoPC\CONFIG~1\Temp\Rar$EX08.032\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = lacaixa.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MSKAGENTEXE] C:\ARCHIV~1\McAfee\SPAMKI~1\MskAgent.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\MCAFEE.COM\PERSON~1\MPFTRAY.EXE

O4 - HKLM\..\Run: [Sin Espias] C:\Archivos de programa\SinEspias\No-Spy.exe /autorun

O4 - HKLM\..\Run: [stnospy] C:\Archivos de programa\SinEspias\no-spy.exe /autorun

O4 - HKLM\..\Run: [PSGuard] C:\Archivos de programa\PSGuard\PSGuard.exe

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\PinoPC\Configuración local\Archivos temporales de Internet\Content.IE5\KH67SXQ3\EliStarA[1].exe

O4 - Global Startup: FDServer.lnk = C:\FDS\Bin\FDServer.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/es/4,0,0,83/mcinsctl.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} - https://www5.aeat.es/es13/h/cactivex.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/es/1,0,0,20/mcgdmgr.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{BAE80588-D81C-45D5-97E9-B7EA95ED4CF0}: NameServer = 194.224.52.4,194.224.52.6

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\ARCHIV~1\MCAFEE.COM\PERSON~1\MPFSERVICE.exe

O23 - Service: McAfee SpamKiller Server (MskService) - Networks Associates Technology. Inc. - C:\ARCHIV~1\McAfee\SPAMKI~1\MSKSrvr.exe

[ptsr]

he hecho todo lo que me habeis indicado, pero cuando vuelvo al arranque normal, aunque puedo cambiar el fondo del escritorio, todos los antivirus me avisan que sigo teniendo el virus. ¿que mas puedo intentar?. Muchas gracias.

[admin]

[url=http://www.zonavirus.com/datos/manuales/6/Pasos_Utilidades_eliminar_Spyware.asp][b]¿Como eliminar el SPYWARE?[/b][/url]



Sigue los pasos de nuestro manual antispyware

[msc hotline sat]

Me parece que te has olvidado de arrancar en modo seguro y ejecutar la última version del ELISTARA, pues la clave de carga del PS-GUARD se hubiera eliminado, pero como que hay variantes que quizas te ha pedido muestra (y se supone que nos has enviado), por si es el caso te indico instrucciones manuales.



Como sea que este bicho se reporduce mediante un sistema de dos servcios que se reproducen el uno al otro, debes ARRANCAR EN MODO SEGURO !!!



tIENES UNA CLAVE DE CARGA DEL bo-spy, COMO QUE ESTÑÁ CONSIDERADO COMO UN ANTISPYWARE CON SPYWARES TE ACONSEHARÍA DESINSTALARLO O ELIMINARLA,



O4 - HKLM\..\Run: [stnospy] C:\Archivos de programa\SinEspias\no-spy.exe /autorun



y vamos por los bichos:



Lanza el HJT, Selecciona estas claves y eliminalas con FIX



O4 - HKLM\..\Run: [PSGuard] C:\Archivos de programa\PSGuard\PSGuard.exe



-> O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)



-> O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)



-> O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)



-> O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)











---> El problema será para las 015 PROTOCOL DEFAULTS que no se te eliminará tan facilmente, y que te pone a cero la seguridad cuando navegues a una UEL http://... por lo que es necesario eliminarla, y para ello deberás seguir estas intrucciones;





solucion manual a la eliminacion de claves 015 protocol defaults: (que se añadirá al ELISTARA)



Seleccionar el contenido entre líneas del siguiente script y pegarlo en el bloc de notas y guardarlo como ELIPROTO.REG y después arrancar en modo seguro y con restauracion de sistema deshabilitada, ejecutar el ELIPROTO.REG generado y aceptar los cambios:



_______________________







REGEDIT4



[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL]



[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL]



[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix]

@="http://"



[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes]

"ftp"="ftp://"

"gopher"="gopher://"

"home"="http://"

"mosaic"="http://"

"www"="http://"



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults]

@=""

"http"=dword:00000003

"https"=dword:00000003

"ftp"=dword:00000003

"file"=dword:00000003

"@ivt"=dword:00000001

"shell"=dword:00000000



[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults]

@=""

"http"=dword:00000003

"https"=dword:00000003

"ftp"=dword:00000003

"file"=dword:00000003

"@ivt"=dword:00000001

"shell"=dword:00000000







___________________



y reas ejecutar el .REG en cuestion y acepotar los cambios, lanzar el HJT y eliminar la 015 PROTOCOL DEFAULTS de marras



t tras comprobar que se elimina de verdad, mira si se han resuelto los problemas y nos informas, como respuesta de este Tema, gracias



saludos



ms, 12-08-2005