esta pagina http://www.ejmx.com/index.asp

[mota]

Hola

espero puedan ayudarme, esta pagina http://www.ejmx.com/index.asp que esta en chino me instalo en la barra de direccion de ie un menu y no se como quitarlo espero peudan ayudarme



gracias



mota



eenano@hotmail.com

[msc hotline sat]

Posteenos el log del HJT y lo analizaremos



[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



saludos



ms, 25-8-2006

[mota]

ya le di con el ELISTARA AHORA NO ME DEJA ENTRAR A IE aqui esta lo que sale



Logfile of HijackThis v1.99.1

Scan saved at 01:46:02 p.m., on 25/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\Directorio temporal 1 para hijackthis.zip\HijackThis.exe



O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe

[msc hotline sat]

EL log que nos postea está limpio, pero no hay claves hasta el grupo O20 ??? Hagalo de nuevo y vea si no hay mas...



Sobre que tras lanzar el ELISTARA no puede navegar (???) Posteenos el contenido de C:\infosat.txt y veremos el proceso y obrarermos en consecuencia.



saludos



ms, 26-8-2006

[mota]

Hace un momento corri el Elistara y se quedo en eliminado temporales pero saque el infosat:







Thu Aug 24 20:40:49 2006

EliTriIP v2.40 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\SVCH0ST.EXE.Muestra EliTriIP v2.40

a "virus@satinfo.es". Gracias.

C:\[b]WINDOWS\SYSTEM32\SVCH0ST.EXE --> Eliminado[/b]



Thu Aug 24 20:46:52 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Aug 24 20:49:01 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\hmota\Mis documentos\STRANGEWORLD.EXE --> AutoExtraible

C:\Documents and Settings\hmota\Mis documentos\Mis archivos recibidos\XPMANIASWINDOWSMAXAPOCALYPSEX64POWEREDEDITION.EXE --> Eliminado, Bifrose (dropper)



Fri Aug 25 08:52:51 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Aug 25 17:28:23 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 26 09:26:30 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE



Sat Aug 26 09:28:44 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE



Sat Aug 26 09:33:13 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE





crees que pueda sustituir el archivo svchost.exe por el otro equipo???



o que puedo hacer???

:shock:

Saludos

[msc hotline sat]

Ante todo, ¿enviaste el fichero que se te pedía???_


[quote]Por favor, envienos una muestra del fichero

C:\Muestras\SVCH0ST.EXE.Muestra EliTriIP v2.40

a "virus@satinfo.es". Gracias.[/quote]

Sino lo has hecho, hazlo YA !





Todas las muestras que pedimos al respecto, nos las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF %NICK FORERO%" y asi podremos informarle si hay alguna incidencia sobre el particular, gracias.





Y sobre copiar otro SVCHOST NOOOO !



El que pedimos muestra ya está en cuarentena y eliminado de donde estaba, pues era malware, pero no era el de la carpeta de sistema, que sigue estando y es el del sistema operativo



Lo que veremos con la muestra es lo que puede haber modificado y que se deberá restaurar con nuestras utilidades, cuando, tras el analisis implementemos en ellas el control y eliminacion de este malware



De todas formas.como que no habia terminado el ELISTARA, por los temporales que debes tener un monton, lanza el ELLITEMPO y luego el ELITRIIP y el ELISTARA y nos posteas de nuevo el C:\infosat.txt , aparte de enviarnos la muestra indicada, gracias





ELITEMPO

http://www.zonavirus.com/datos/descargas/70/EliTempo.asp



saludos



ms, 26-8-2006

[mota]

sorry ya mande por mail el archivo muestra



y aqui esta el infosat:



Thu Aug 24 20:40:49 2006

EliTriIP v2.40 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\SVCH0ST.EXE.Muestra EliTriIP v2.40

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\SVCH0ST.EXE --> Eliminado



Thu Aug 24 20:46:52 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Aug 24 20:49:01 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\hmota\Mis documentos\STRANGEWORLD.EXE --> AutoExtraible

C:\Documents and Settings\hmota\Mis documentos\Mis archivos recibidos\XPMANIASWINDOWSMAXAPOCALYPSEX64POWEREDEDITION.EXE --> Eliminado, Bifrose (dropper)



Fri Aug 25 08:52:51 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Aug 25 17:28:23 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 26 09:26:30 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE



Sat Aug 26 09:28:44 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE



Sat Aug 26 09:33:13 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE



Sat Aug 26 10:19:11 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Aug 26 10:20:49 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\hmota\Mis documentos\STRANGEWORLD.EXE --> AutoExtraible



Mon Aug 28 08:54:28 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Aug 28 08:56:02 2006

EliStartPage v12.24 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\hmota\Mis documentos\STRANGEWORLD.EXE --> AutoExtraible





Gracias anticipadas.



Hector Mota

[msc hotline sat]

Bueno por lo menos no tienes nada mas posterior, y el marrano del SVCHOST malware lo tenemos en cuarentena, asi que, tranquilo !



Tan pronto como se analice la muestra se implementará en nuestras utilidades, de lo cual informaremos en el foro. Entonces ejecutala y se aplicaran los cambios necesarios en el registro y demas restos del malware.



saludos



ms, 28-8-2006