virus mira las fotos.. (SOLUCIONADO)

[angeli]

hola me llego un mensaje por el messenger diciendo:

Mira las fotos>>>http://<INTERCEPTADO>/foto.exe



y se me bajo un archivo llamado ''foto'' cogi y sin abrir ese lo mande a la papelera y lo borre..esta ya eliminado? o que puedo hacer para estar seguro de ello? gracias de antemano

[msc hotline sat]

Seguramente se trataba del virus MyDOOM, y si no llegó a ejecutar el fichero gusano, no llegí a infectarse, pero de todas formas confirmelo lanzando un antivirus ONLINE:



https://www.virustotal.com/es/



Y nos comenta el resultado como respuesta de este Tema. gracias



aludos



ms, 26-12-2005

[msc hotline sat]

ULTIMA NOTICIA AL RESPECTO: Resulta ser un nuevo downloader no controlado aun por muchos antivirus !!!

saludos
ms, 26-12-2005

[angeli]

Una vez pasado el antivirus que me ha dicho me ha salido lo siguiente:



Hacker Exposure Check Safe

Windows Vulnerability Check Safe

Trojan Horse Check Safe

Antivirus Product Check At Risk!



nose si seria alguno de esos,el archivo solo se me descargo no lo llegue a abrir.

[msc hotline sat]

Vea el link del post siguiente al quele indicana el antivirus ONLINE, pues en otro Tema he aclarado posteriormente que hay un nuevo viris Downloader que no estñá controlado por la mayorçia de virus actuales, incluido el que le indiqué, ya que no es el MyDoom conocido.



Por suerte no llegó a ejecutar el fichero, pues si lo hubiera ejecutado se hubiera infectado, ya que la mayoría de los antivirus, incluido McAfee, CAI, Panda, etc aun no lo detectan. Vea en la lista de VIRUSTOTAL si el que Vd usa es de los que lo detectan o no:



[quote?"VirusTotal"]Este es el resultado de analizar el archivo "foto.exe" que VirusTotal ha procesado el dia 26/12/2005 a las 12:47:35 (CET).



[b]Antivirus Version Actualización Resultado [/b]



AntiVir 6.33.0.70 26.12.2005 TR/Dldr.Banload.NU.3

Avast 4.6.695.0 24.12.2005 no ha encontrado virus

AVG 718 23.12.2005 no ha encontrado virus

Avira 6.33.0.70 26.12.2005 TR/Dldr.Banload.NU.3

BitDefender 7.2 26.12.2005 Trojan.Downloader.Banload.NU

CAT-QuickHeal 8.00 24.12.2005 TrojanDownloader.Banload.nu

ClamAV devel-20051108 24.12.2005 no ha encontrado virus

DrWeb 4.33 26.12.2005 DLOADER.Trojan

eTrust-Iris 7.1.194.0 25.12.2005 no ha encontrado virus

eTrust-Vet 12.4.1.0 25.12.2005 no ha encontrado virus

Fortinet 2.54.0.0 24.12.2005 no ha encontrado virus

F-Prot 3.16c 23.12.2005 no ha encontrado virus

Ikarus 0.2.59.0 23.12.2005 no ha encontrado virus

Kaspersky 4.0.2.24 26.12.2005 Trojan-Downloader.Win32.Banload.nu

McAfee 4658 23.12.2005 no ha encontrado virus

NOD32v2 1.1339 24.12.2005 Win32/TrojanDownloader.Banload.NU

Norman 5.70.10 26.12.2005 no ha encontrado virus

Panda 8.02.00 25.12.2005 no ha encontrado virus

Sophos 4.01.0 26.12.2005 no ha encontrado virus

Symantec 8.0 26.12.2005 Download.Trojan

TheHacker 5.9.1.061 25.12.2005 no ha encontrado virus

VBA32 3.10.5 26.12.2005 Trojan-Downloader.Win32.Banload.nu







VirusTotal es un servicio gratuito ofrecido por Hispasec Sistemas, que no garantiza la disponibilidad y continuidad de funcionamiento de este. Pese a que el indice de detección ofrecido por el análisis simultaneo de múltiples motores antivirus es muy superior al de un solo producto, los resultados NO pueden garantizar la inocuidad de un archivo. No existe solución que pueda ofrecer un 100% de efectividad en el reconocimiento de virus y malware en general.> Ir a: Inicio Contactar English Version

--------------------------------------------------------------------------------

http://www.virustotal.com :: ©Hispasec Sistemas 2004,05:: e-mail info@virustotal.com[/quote]



Hoy en Cataluña es fiesta (San Esteban), pero en cuanto lleguemos mañana al trabajo daré la muestra a I+D para su control y eliminacion con nuestras utilidades.



De todas formas he subido dicho fichero a Webimmune de McAfee para su control y posterior control en proximos DAT



Mientras, como que Symantec ya lo detecta, puede comprobarse con un analisis ONLINE :



http://security.symantec.com/default.asp?productid=symhome&langid=ie&venid=sym



saludos



ms, 26-12-2005

[lamper]

tengo el mismo problema, ahora mismo estoy pasando el antivirus online citado en el segundo post.



msc hotline sat perdona q te corrija pero con solo bajarte "la foto" ya tienes el pc infectado

[msc hotline sat]

No me digas eso, que yo me la he bajado !!! :lol: :lol: :lol:



Espero que no sea así, pero por si acaso voy a escanear con uno de los que ya lo controlan tambien... (Por si el cazador hubiera sido cazado, que todo es posible !!! :lol: :lol: :lol: )



Dinos si te ha pasado y lo detectas tu con dichos antivirus, gracias



saludos



ms, 26-12-2005

[Jorge913]

He leido en una web, no se sera verdad, que puedes eliminar de forma muy facil el virus mediante el registro, no se si sera verdad, si os interesa decidmelo, busco la pagina y os la pongo aqui :wink:

[msc hotline sat]

Evidentemente será cuestion de eliminar la clave de carga, lo cual hacemos con todos los virus, lo cual analizaremos mañana monitorizando el gusano, pero si nos indicas link al respecto, ya procedemos a ello, incluso mirando si la tengo yo en el registro, independientemente de cualquier antivirus



Esperamos tus noticias como respuesta de este Tema, Jorge913



saludos



ms, 26-12-2005

[Jorge913]

Ok, este es el link, es la primera noticia de todas y se llama Solucion al Virus. Ahi dicen que se hace de esa forma :wink:

http://www.info-keko.es/

[lamper]

Resultados de la exploración 54454 archivos explorados. se ha detectado 1 virus



Archivo Infección Estado Ruta

username.Vexe Win32.Betalire.F infected C:\WINDOWS\system32\





eso me ha salido con el antivirus online, ahora ejecuto el elistara mencionado en otro hilo?



lo q dije antes de q con tal solo bajartelo ya lo tienes metido, me lo ha comentado un amigo, q suyo fue el caso

[lamper]

el elistara no lo he ejecutado ya q tenia duda, pero he utilizado el hijackthis

Logfile of HijackThis v1.99.1
Scan saved at 18:39:17, on 26/12/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\Norton Ghost 2003\GhostStartTrayApp.exe
C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\service\services.exe
C:\WINDOWS\system32\ctfmon.exe
D:\juegos\valve\steam\steam.exe
C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Archivos comunes\Autodata Limited Shared\Service\ADCDLicSvc.exe
C:\Archivos de programa\Norton Ghost 2003\GhostStartService.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\Archivos de programa\Messenger\msmsgs.exe
D:\PROGRAMAS\Firefox\firefox.exe
C:\Archivos de programa\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.efsytikphhpfzkodzb.com/Aeay19NPs7Q42gS0ExJcCfnAjntWw5K90ckvYGphOjRqHUUPb1NAFOzC71B2ifbG.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O1 - Hosts: 82.194.71.25 L2authd.lineage2.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O4 - HKLM\..\Run: [nod32kui] C:\Archivos de programa\Eset\nod32kui.exe /WAITSERVICE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Archivos de programa\Norton Ghost 2003\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\system32\khooker.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\PROGRAMAS\DAEMON\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [Sin Espias] C:\Archivos de programa\SinEspias\No-Spy.exe /autorun
O4 - HKLM\..\Run: [stnospy] C:\Archivos de programa\SinEspias\no-spy.exe /autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Archivos de programa\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [Steam] "d:\juegos\valve\steam\steam.exe" -silent
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Autodata Limited License Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Autodata Limited Shared\Service\ADCDLicSvc.exe
O23 - Service: GhostStartService - Symantec Corporation - C:\Archivos de programa\Norton Ghost 2003\GhostStartService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Archivos de programa\Eset\nod32krn.exe

espero respuesta

[msc hotline sat]

Hablamos es del FOTO.EXE que no controla aun el antivirus de CAI ni Symantec.

saludos
ms, 26-12-2005

[lamper]

estoy perdido, yo he sufrido la infeccion del virus foto.exe, q pasa q ya lo he eliminado?



yo tengo el nod32

[msc hotline sat]

Y del log del HJT posteado despues, bo hay rastros del FOTO.EXE, pero puedes eliminar estas claves:
O1 - Hosts: 82.194.71.25 L2authd.lineage2.com
O2 - BHO: (no name) - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - (no file)
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

saludos
ms, 26-12-2005

[lamper]

acabo de pasar el simantec el security scan y me dice esto



Recommendation:

Install the latest version of a commonly-used virus protection product.



me habia detectado algo



ahora estoy con el virus detection

[msc hotline sat]

Pues haciendo lo indicado por Jorge913 no tengo Back web lite en el registro, por lo que no me he infectado por bajar dicho fichero...



Y tampoco aparece en el loh del HJT posteado, seguramente porque no lo llegaste a ejecutar



Asi qiue limpia las otras claves que te indicamos, y tras reiniciar, si persiste algin probkemna, indicanoslo.



saludos



ms, 26-12-2005

[lamper]

si lo he llegado a ejecutar :s y le he enviado a mis contactos el link :s , el nod32 me lo detectaba pero no me lo consegia eliminar

las claves ya han sido eliminadas

cuando me termine el virus detection posteo el resultado y reinicio el ordenador

[msc hotline sat]

Para eliminar bichos, es cuestión de hacerlo siempre habiendo arrancado en modo seguro y si usas XP, deshabilitando la restauracion de sistema

saludos
ms, 26-12-2005

[lamper]

si, pero como los elimino?

[msc hotline sat]

Cada cual con lo que lo detecte, sea antivirus, antispyware o utilidad especifica segun sea el caso

Y si ninguno lo detecta, posteandonos el log del HJT vemos lo que hay residente y lo que no procede vemos desde donde se lanza y eliminamos o restauramos la clave, segun proceda.

saludos
ms, 26-12-2005

[lamper]

el virus detection me dice esto:

Código: Seleccionar todo

D:\JUEGOS\Battlefield 2\Redist\ArcadeInstallBATTLEFIELD2_20.EXE is infected with Adware.GameSpyArcade  
C:\WINDOWS\system32\username.Vexe is infected with Trojan.Elitebar  
C:\Documents and Settings\beep\Configuración local\Temp\75b02720.exe is infected with Download.Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\chkiwjer.exe is infected with Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\staA58.exe is infected with Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\staCEB.exe is infected with Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\syzaywmt.exe is infected with Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\wjusucop.exe is infected with Adware.Lop  
C:\Documents and Settings\beep\Configuración local\Temp\NI.UWFX5Y\setup.exe is infected with WinFixer  
C:\Documents and Settings\All Users\Datos de programa\Sign Poll Default Move\Eggs Flap.exe is infected with Adware.Lop  
C:\Documents and Settings\All Users\Datos de programa\Sign Poll Default Move\Flag site.exe is infected with Adware.Lop  
C:\Documents and Settings\All Users\Datos de programa\Sign Poll Default Move\GLUE PING.exe is infected with Adware.Lop  
C:\Archivos de programa\Archivos comunes\WinSoftware\CrXML.dll is infected with WinFixer  

como elimino eso? sin hacer daño a la computadora?

[msc hotline sat]

Todos son adwares, troyanos de publicidad no ética, para los cuales procede aplicar lo indicado en el tutorial de antispywares

Y no te olvides del ELISTARA como complemento de los mismo, como ya se indica en dicho tutorial

saludos
ms, 26-12-2005

[Elisabeth]

hola, yo no entiendo mucho de esto, pero yo me he bajado el bitdefender y me ha detectado y eliminado el archivo foto.exe

Tb se me creó un archivo a la vez q se creo el foto.exe, que se llama FOTO.EXE-20750808.pf y este el bitdefender no me lo reconoce como virus. creeis que ya lo he eliminado?

[msc hotline sat]

Los .pf son prefectch que sirven para acelerar la carga pero sin el basico no sirven para nada, puedes eliminarlo, pero ya no tienes virus.



saludos



ms, 27-12-2005

[otaco]

Hola,



Hay alguna utilidad q eliimine este molesto virus? saldra alguna?



Gracias y saludos

[msc hotline sat]

Sí, hoy subiremos el ELISTARA 10.81 para este dowbloader. aparte de lo indicado para los usuarios de McAfee, cuyo EXTRA.DAT para control, detección y eliminación

saludos
ms, 27-12-2005

[Wherters Original]

Soy bastante ignorante en los temas de informatica y no entiendo una palabra de lo que decís que tengo que hacer para borrar el virus. No tengo McAfee ni ningún antivirus salvo el Ad-Ware y el Spy-bot.

Por favor, explicadmelo un poco para tontos porque no para de enviarse el link a mis contactos y no hay manera de borrar el virus.

Muchísimas gracias de antemano.

[lamper]

el elistara a mi me detecta unas cosas pero no me las elimina, o no se como se eliminan :S

[msc hotline sat]

Copiarnos el contenido del C:\infosat.txt y te las aclararemos

Pero para el control del nuevo downloader de la FOTO.EXE, se debe utilizar la próxima versión 10.81

saludos
ms, 27-12-2005