Mi antivirus no me elimina los espias (SOLUCIONADO)

vipmuzumv · Mensaje por **vipmuzumv** » 23 Ene 2006, 13:11

Bueno decir que el ordenador me sigue funcionando mal, el antivirus no puedo abrirlo para hacer un analisis de sistema, cuando me conecto a internet para ejecutar algun antivirus online no me deja bajar el ~~[b]~~ACTIVEX[/b] y asi varias cosas mas.

Ayer entre en el modo seguro y pude arrancar el antivirus me detecto 5 virus y 7 espias en teoria los virus los elimino pero los espias no, ha veces el antivirus me indica un troyano que me pone que se llama ~~[b]~~download.troyan[/b] siempre me dice que lo elimina pero despues de un rato me suele aparecer la misma pantalla de eliminación, tengo el spyboot y en teoria me elimina cosas, pero noto que sigue igual no creo que lo elimine completamente.

Espero que me echeis una mano

Mensaje por **msc hotline sat** » 23 Ene 2006, 13:47

Si con el SPYBOT en modo seguro lo eliminas y te reaparece es que tienes un dropper que te lo regenera, o que lo descargas al acceder a Internet.

Mira si con el ELISTARA de hoy lo detectas:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

y nos informas como respuesta de este Tema, gracias

saludos

ms, 23.1-2006

NOTA: Sino, procederiamos con el HiJackThis

vipmuzumv · Mensaje por **vipmuzumv** » 23 Ene 2006, 14:26

Os pongo lo que me ha dicho el ELISTARA

~~[b]~~

Mon Jan 23 14:00:18 2006

EliStartPage v11.01 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\DDCYX]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\DDCYX.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\JKKJH]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\JKKJH.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\JKKJJ]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\JKKJJ.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\DOCUME~1\LUISLP~1\CONFIG~1\TEMP\JKKJH.DLL.Muestra EliStartPage v11.01

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJH.DLL --> Renombrado a .VIR

Eliminada Class, "{00DBDAC8-4691-4797-8E6A-7C6AB89BC441}" -> C:\WINDOWS\system32\jkkjh.dll

Linea Eliminada del HOSTS --> 127.0.0.1 viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 microsoft.com

Linea Eliminada del HOSTS --> 127.0.0.1 update.microsoft.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.virustotal.com

Linea Eliminada del HOSTS --> 127.0.0.1 virustotal.com

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Jan 23 14:04:46 2006

EliStartPage v11.01 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\\c32.exe --> AutoExtraible

C:\Archivos de programa\Archivos comunes\WinFixer 2005\FCrXML.dll --> Eliminado, WinFixer 2005

C:\Documents and Settings\Luis López\c32.exe --> AutoExtraible

C:\Documents and Settings\Luis López\ca32.exe --> AutoExtraible

C:\WINDOWS\system32\xr32.exe --> AutoExtraible

C:\WINDOWS\Temp\KAV Updater update files\patch_pers_5.0.121_236_to_237.exe --> AutoExtraible

Mon Jan 23 14:21:56 2006

EliStartPage v11.01 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\DDCYX]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\DDCYX.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\JKKJH]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\JKKJH.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\JKKJJ]

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\JKKJJ.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\DOCUME~1\LUISLP~1\CONFIG~1\TEMP\JKKJH.DLL.Muestra EliStartPage v11.01

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJH.DLL --> Renombrado a .VIR

Eliminada Class, "{00DBDAC8-4691-4797-8E6A-7C6AB89BC441}" -> C:\WINDOWS\system32\jkkjh.dll

Linea Eliminada del HOSTS --> 127.0.0.1 viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 microsoft.com

Linea Eliminada del HOSTS --> 127.0.0.1 update.microsoft.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.virustotal.com

Linea Eliminada del HOSTS --> 127.0.0.1 virustotal.com

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE[/b]

Mensaje por **msc hotline sat** » 23 Ene 2006, 15:21

Pues ya sabes, a enviarnos los ficheros que te pide como muestras sospechosas el ELISTARA !!!

A su recepcion las analizaremos y potenciaremos en consecuencia la proxima version de dicha utilidad

saludos

ms, 23-1-2006

Mensaje por **msc hotline sat** » 23 Ene 2006, 15:39

Y además, vista la existencias en el HOSTS de determinadas lineas dirigidas a la URL 127.0.0.1, se considera la posibilidad que tengas este virus:

http://securityresponse.symantec.com/avcenter/venc/data/w32.mytob.dj@mm.html

Por lo que se te sugiere lances un antiviurus ONLINE, ya que el tuyo si no lo detecta puede ser que no esté actualizado:

https://www.eset.es/analisis-online/

y nos informas del resultado como respuesta de este Tema, gracias

saludos

ms, 23-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 23 Ene 2006, 23:36

A que dirección lo envió?? Y lo tengo que comprimir??

vipmuzumv · Mensaje por **vipmuzumv** » 24 Ene 2006, 01:58

Para colmo para reiniciar el ordenador me va fatal no se reinicia rapido y va lentisimo, no puedo utilizar el antivirus online pk no me deja bajarme el activex si se puede bajar de otra forma lo agradeceria, va muy mal todo el pc en general, lento y tosco :cry:

Mensaje por **msc hotline sat** » 24 Ene 2006, 06:28

Ya te hemos comentado que probablemente tienes virus MYTOB

Debes arrancar en modo seguro y eliminarlo con el antivirus que te lo detecte

Como que tienes XP, si tienes la ADSL a traves de router puedes arrancar en modo seguro con funciones de red y lanzar cualquiera de los ONLINE que puedas y tratar de eliminarlo

[url=http://www.pandasoftware.es/activescan/es/activescan_principal.htm]~~[b]~~Antivirus Online Panda Software[/b][/url]

· [url=http://www.commandondemand.com/eval/index.cfm]~~[b]~~Antivirus Online Command on demand[/b][/url]

· [url=http://security.symantec.com/sscv6/default.asp]~~[b]~~Antivirus Online Symantec[/b][/url]

· [url=http://www.freedom.net/viruscenter/index.html]~~[b]~~Antivirus Online Freedom[/b][/url]

· [url=http://www.ravantivirus.com/scan/]~~[b]~~Antivirus Online RAV Antivirus[/b][/url]

· [url=http://es.trendmicro-europe.com/enterprise/products/housecall_launch.php]~~[b]~~Antivirus Online Trend Micro[/b][/url]

· [url=https://www.eset.es/analisis-online/]~~[b]~~Antivirus Online Computer Associates[/b][/url]

· [url=http://www2.globalhauri.com/html/onlineservice/livecall_service.html]~~[b]~~Antivirus Online Hauri[/b][/url]

Si desea mas [url=http://www.zonavirus.com/antivirus-on-line/]~~[b]~~antivirus online gratis[/b][/url] y antivirus multiples vaya a nuestra parte dedicada a los [url=http://www.zonavirus.com/antivirus-on-line/]~~[b]~~antivirus online[/b][/url] en zonavirus.com.

Y las muestras ya se te indica en cada una que las envies a virus@satinfo.es

Si tienes problema en ello y no detectas el virus, mira de añadirnos ficheros gusano del mismo decritos en la descripcion del virus y lo añadiriamos a una de nuestras utilidades para que te lo detectara/eliminara con su ejecucion.

saludos

ms, 24-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 25 Ene 2006, 12:03

Despues de sudores y lagrimas he podido lanzar un antivirus online y me ha encontrado 51 espias y 2 herramientas de hacking :shock:, estoy acojonado pero porfavor ayudarme a quitarme esa basura de encima...

Os dejo el informe de el Panda Online :cry:

[url]http://www.megaupload.com/?d=35OTY74E[/url]

Lo he subido a megaulpload el archivo text pk si lo pongo aqui desvaria mucho y no se ve bien.

Me he quedado de piedra, por dios que asco me da eso, normal que vaya tan petao mi ordenador y 2 herramientas hacking nunca me habia pasado juuuuu :oops:

Mensaje por **msc hotline sat** » 25 Ene 2006, 12:32

Lo unico que veo es

"Nombre del archivo: Activescan.txtTamaño del archivo: 25.16 KBDescripción: Active Scan de Panda Online

"

Envienos las muestras que le pide el ELISTARA, y veremos de qué se trata. Aparte en texto ASCII, pegado a su proximo post, postee el resultado con la deteccion del Panda utilizado, gracias

saludos

ms, 25-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 25 Ene 2006, 13:40

Arriba sale como un marcador que tiene que llegar a 0 empieza la cuenta atras des de 44 segundos o asi cuando llega a 0 pone descargar, os descargais el archivo y ya esta.

En cuanto puedo os envio los archivos que me pide elistara

Mensaje por **flacoroo** » 25 Ene 2006, 18:18

aparte de lo que te dijo MSc ...entra en modo seguro y borrate todos tus archivos temporales...ve a inicio...ejecutar y escribes el siguiente comando %temp% ....despues abres una pagina de internet y te vas al menu herramientas...de ahi a opciones de internet de ahi se abrira otra ventana en la pestaña general en el apartado archivos temporales de internet....en configuracion...entra a Ver archivos y ver objetos y borras todo lo que hay ahi...despues de salirte...ve a la pestaña seguridad y hay una opcion para determinadas dale ahi...tanto en internet como intranet....y despues reinicias.......no se te olvide hacer lo que te digo MSC......y tambien sigue estos pasos del SPybot.....

1.- Enciende tu computadora en modo seguro, y deshabilita Restaurar Sistema.

2.- Spybot debe estar actualizado(la version 1.4).

3.- Abre tu Spybot …sigue estos pasos:

a).- en el menú modo toma la opción avanzado.

b).- entras en la pestaña herramientas

c).- del lado derecho te aparecerán varias opciones, habilitas todas

d).- después entras a información de desinstalación y vas uno por uno buscando programas que creas que no haz instalado o programas que pueden llevarte a que sea lenta la computadora o tenga fallas, como toolsbars, programas gratuitos para mejorar el puntero del Mouse, emoticons, etc…

e).- También debes eliminar cadenas de programas que están solas o que no hagan referencia a un programa especifico.

Ejemplo: mxhsjxhsga1237493021%dffg$$$hdhdhsjs

f).-Después entras en Inicio de sistemas

g:- Ahí veras a todos los programas que se cargan al comenzar Windows…de lado derecho hay una imagen como un pequeño teclado dale clic para que se abra una ventana…y ahora iras de arriba hacia abajo o inversa…chécando uno por uno cada archivo y ayudándote con la información que te sale lado derecho donde dice base de datos iras haciendo lo siguiente:

1.- deshabiltar todas las que te digan NO NECESARIO…

2.- Eliminar todas las que te digan : virus, troyano, innecesario, etc.

3.-en caso de que no te salga información sobre un programa, debes de ver de que programa es, si vez que es un programa conocido pues no lo deshabilites, en la parte de abajo hay unos archivos que dicen WINLOGON esos no los deshabilites (en caso de tenerlos)

h).- de ahí te iras a la opción Partes Internas del Sistemas y oprimes la opción comprobar y si te sale algo en la ventana de abajo le das reparar los problemas seleccionado y le das borrar a todos.

i).- de ahí te vas a la opción BHOs y eliminas las cadenas que no están en verde

j).- de ahí también el mismo procedimiento a la siguiente opción ActiveX

y de ahí corres el spybot y eliminas todo lo que te salga y inmunizas….

nos dices como te fue....

vipmuzumv · Mensaje por **vipmuzumv** » 26 Ene 2006, 20:53

Ya esta solucionado me ha eliminado la mayoria de los espias pero me dice que algunos se eliminaran al iniciar el sistema y todabia persisten en cuanto pueda subo los spyware que no me puede eliminar, pero el spybot me ha eliminado un 90% de lo que tenia gracias

Mensaje por **msc hotline sat** » 26 Ene 2006, 21:36

Pues esperamos las muestras y mantenemos este Tema abierto para indormarle del analisis de las mismas

saludos

ms, 26-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 27 Ene 2006, 22:43

Incidencia Estado Elemento

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkkjj.dll

Spyware:spyware/virtumonde No desinfectado Registro de Windows

Hacktool:HackTool/EvID No desinfectado C:\Archivos de programa\Archivos comunes\Synacast\SynaLive\EvID4226Patch.exe

Virus:Eicar.Mod Renombrado C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\eicar_html.vir

Spyware:Spyware/Virtumonde No desinfectado C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\VWIZUMUZ\raser[1].exe

Spyware:Spyware/Virtumonde No desinfectado C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\WRDET858\raser[1].zip

Herramienta potencialmente no deseada:Application/Winfixer2005 No desinfectado C:\Documents and Settings\Luis López\Configuración local\Datos de programa\Mozilla\Firefox\Profiles\z12sw90o.default\Cache\3B47AA82d01

Spyware:Spyware/Virtumonde No desinfectado C:\Documents and Settings\Luis López\Configuración local\Temp\JKKJH.DLL.Muestra EliStartPage v11.01

Spyware:Spyware/Virtumonde No desinfectado C:\Documents and Settings\Luis López\Configuración local\Temp\temp.fr1ABF

Spyware:Cookie/Reliablestats No desinfectado C:\Documents and Settings\Luis López\Cookies\luis lópez@stats1.reliablestats[1].txt

Spyware:Cookie/WinFixer No desinfectado C:\Documents and Settings\Luis López\Cookies\luis lópez@winfixer[2].txt

Spyware:Cookie/Reliablestats No desinfectado C:\Documents and Settings\Luis López\Datos de programa\Mozilla\Firefox\Profiles\z12sw90o.default\cookies.txt[]

Spyware:Spyware/Virtumonde No desinfectado C:\rasermset.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\awtqn.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\ddayw.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\ddccb.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\gebcc.dll

Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\gebyy.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\geeba.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\geebx.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkhfg.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkkjg.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkkji.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkkjj.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\jkkll.dll

Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\pmkhe.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\pmkjg.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\pmkji.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\pmkjj.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\pmnlj.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\sstqn.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\sstqr.dll

Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\ssttq.dll

Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\sstts.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\ssttt.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\ssttu.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\vtsqo.dll

Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\vtsqq.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\vtsqr.dll

Adware:Adware/DollarRevenue No desinfectado C:\WINDOWS\system32\vturo.dll

~~[b]~~ Se ve fatal pero esos espias no me lo puedo quitar de encima ni el spybit ni nada, parece que se eliminan pero vuelven no se [/b] :cry:

Mensaje por **msc hotline sat** » 28 Ene 2006, 05:14

Bajate las nuevas versiones de ELISTARA-EXE y ELINOTIF.DLL a la misma carpeta

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Arranca en modo seguro y lanza el ELISTARAm y luego reinicia:

https://foros.zonavirus.com/viewtopic.php?t=5266

Por cierto, el AD_Aware, ya lo lanzabas arrancando en modo seguro ???

Mira en C:\Infosat.txt, al final, el log de esta pasada de ELISTARA y si te pide que envies muestras, hazlo !!!

Y tras todo ello nos cuentas el resultado, gracias

saludos

ms, 28-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 28 Ene 2006, 13:48

Para buscar las muestras que me pide de forma rapida que hago?? Es que sino me tengo que pasar buscando en la carpeta y tardo una barbaridad, tengo que probar el ad-ware en modo a prueba de fallos no lo habia echo solo con el spybot

Mensaje por **msc hotline sat** » 28 Ene 2006, 18:05

P te indica la rita el INFOSAT.TXT o con un INICIO -> BUSCAR -> ficheros y carpetas las encontrará el windows !

Si quieres, postea el c:\INFOSAT.TXT y te ayudamos

saludos

ms, 28-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 29 Ene 2006, 14:19

Me dice que os mande esto

C:\WINDOWS\SYSTEM32\DDCYX.DLL

Pero no me lo encuentra por ninguna de las formas que me habeis dicho :?

Mensaje por **msc hotline sat** » 29 Ene 2006, 17:18

Arranca en modo seguro, lanza el ELISTARA, y el fichero que te indique lo tendrás, quizas con atributos de oculto y de sistema, sacale los atributos y recuerda que es posible que en cada reinicio cambie de nombre, asi que no reinicies hasta que lo hayas localizado, y copiado a un disquete o a otra carpeta, por ejemplo en el escritorio, y luego arrancas en modo normal y nos lo envias

Los gusanos de algun que otro SPY... hacen esto para dificultar su localizacion y consecuente eliminacion, pero ya estamos acostumbrados :lol: :lol: :lol:

Tras enviarnos la muestra, la analizaremos e implantaremos su eliminacion y la de las claves que instala en el registro, en la proxima version del ELISTARA.

saludos

ms, 29-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 30 Ene 2006, 13:27

Me es imposible encontrar el archivo para enviarlo en modo seguro me dije que el la carpeta system 32 no esta y en normal tampoco no lo entiendo, he probado en buscarlo por toda la carpeta y nada :cry:

Mensaje por **msc hotline sat** » 30 Ene 2006, 15:02

system32 va junto, y debe colgar de la de windows, y claro que está, es la de sistema !

Es necesario que nos lo envies si quieres que implementemos su eliminacion en el ELISTARA

Piensa que la DLL puede cambiar de nombre em cada reinicio...

saludos

ms, 30-1-2006

vipmuzumv · Mensaje por **vipmuzumv** » 30 Ene 2006, 22:48

Si si ya se que va junto lo he puesto tal y como me pone en el informe del elistara pero no me lo encuentra ire intentando hasta que de con el, no hay alguna forma para encontrarlo?? juer :cry:

Mensaje por **msc hotline sat** » 31 Ene 2006, 08:45

Puede tener atributos de Oculto (H) o de Sistema (S) y por esto no verlos.

Con ATTRIB, desde DOS, los verás. Quitaselos

saludos

ms, 31.1.2006

vipmuzumv · Mensaje por **vipmuzumv** » 10 Feb 2006, 11:45

Podeis dar el tema como cerrado siento ausentarme tanto tiempo pero ya esta solucionado, gracias :oops:

Mensaje por **msc hotline sat** » 10 Feb 2006, 12:07

Pues solucionado el Tema, procedemos a cerrarlo como indicas

saludos

ms, 10-2-2006