W32.Myzor.Fk@yf (SOLUCIONADO)

Alfauny · Mensaje por **Alfauny** » 11 Jul 2006, 11:17

Holas!!!

Desde hace unas horas tengo en mi computador el W32.Myzor.Fk@yf... tras probar en varios foros opte por pasarle el ELISTARA con lo que logre recuperar mi pagina de inicio y dejaron de aparecer los molestos avisos del spyware, pero sigue apareciendo el aviso "your computer is infected" en la barra de tareas y me tiene traumada... No se que hacer ni que otra cosa pasarle...

He pegado el contenido del archivo infosat.txt

Desde ya, Gracias!!!

Tue Jul 11 03:42:39 2006

EliStartPage v12.05 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WINHZA32] -> C:\WINDOWS\SYSTEM32\WINHZA32.DLL

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3CJPEG.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3HTMLMU.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3POPSWT.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3PSSAVR.SCR --> Eliminado

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3REPROX.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3RESTUB.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3SCRCTR.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3WPHOOK.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3HTML.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3OUTLCN.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3SKIN.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL --> MyWebSearch Renombrado a .VIR

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOEMON.EXE --> MyWebSearch Renombrado a .VIR

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOEPLG.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOESTB.DLL --> MyWebSearch Renombrado a .VIR

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\SRCHASTT\1.BIN\MWSSRCAS.DLL --> MyWebSearch Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\DCOMCFG.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\DCOMCFG.EXE --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\SIMPOLE.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\ATMCLK.EXE --> Puper (dldr) Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\REGPERF.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\REGPERF.EXE --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\HP100.TMP.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\HP100.TMP --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\WINHZA32.DLL --> BackDoor-CVT (notify) Renombrado a .VIR

C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Makis\Favoritos\Antivirus Test Online.url --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "My Web Search Bar"="rundll32 C:\ARCHIV~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL,S"

Entrada Eliminada [HKCU\...\Run] "MyWebSearch Email Plugin"="C:\ARCHIV~1\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Entrada Eliminada [HKLM\...\Run] "MyWebSearch Email Plugin"="C:\ARCHIV~1\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Eliminada Class, "{00A6FAF1-072E-44CF-8957-5838F569A31D}" -> C:\Archivos de programa\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

Eliminada Class, "{00A6FAF6-072E-44CF-8957-5838F569A31D}" -> C:\Archivos de programa\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

Eliminada Class, "{07B18EA1-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA3-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA9-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EAB-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{3DC201FB-E9C9-499C-A11F-23C360D7C3F8}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{3E720452-B472-4954-B7AA-33069EB53906}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3HTML.DLL

Eliminada Class, "{53CED2D0-5E9A-4761-9005-648404E6F7E5}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{5F4C3D09-B3B9-4F88-AA82-31332FEE1C08}" -> C:\WINDOWS\system32\hp101.tmp

Eliminada Class, "{63D0ED2C-B45B-4458-8B3B-60C69BBBD83C}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{7473D292-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D294-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D296-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{8E6F1832-9607-4440-8530-13BE7C4B1D14}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{938AA51A-996C-4884-98CE-80DD16A5C9DA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{98D9753D-D73B-42D5-8C85-4469CDA897AB}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

Eliminada Class, "{9FF05104-B030-46FC-94B8-81276E4E27DF}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{A9571378-68A1-443D-B082-284F960C6D17}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{ADB01E81-3C79-4272-A0F1-7B2BE7A782DC}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3OUTLCN.DLL

Eliminada Carpeta "%Archivos de Programa%\FunWebProducts"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Jul 11 03:45:10 2006

EliStartPage v12.05 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\\TFDEH.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Bittornado\BITTORNADO-0.3.12-W32INSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Bittornado\BitTornado\UNINST.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\MATROSKA_PACK_FULL_V1.1.0.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\MATROSKA_PACK_LITE_V1.1.1.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\Matroska Pack\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\Matroska Pack\haali\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Programas Graficos\Imagenes\SmartDraw 7\SDOFFICEADDIN.DLL --> Eliminado, BB Bargains

C:\Archivos de programa\Mis Programas\Programas de la Net\SMS\ayudasms\EZUPDATE.EXE --> Eliminado, EasyUpdate

C:\Archivos de programa\MSN Messenger\RICHED20.DLL --> Eliminado, MyWebSearch

C:\WINDOWS\system32\F3PSSAVR.SCR --> Eliminado, MyWebSearch

Tue Jul 11 04:08:30 2006

EliStartPage v12.05 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\\TFDEH.EXE --> AutoExtraible

Tue Jul 11 04:12:27 2006

EliStartPage v12.05 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\DCOMCFG.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\DCOMCFG.EXE --> Eliminado

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\ATMCLK.EXE --> Eliminado Puper (dldr)

Por favor, envienos una muestra del fichero

C:\Muestras\REGPERF.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\REGPERF.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\HP101.TMP.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\HP101.TMP --> Eliminado

Eliminada Class, "{5F4C3D09-B3B9-4F88-AA82-31332FEE1C08}" -> C:\WINDOWS\system32\hp101.tmp

Eliminada Carpeta "%WinSys%\1024"

Eliminada Carpeta "%Archivos de Programa%\MyWebSearch"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Jul 11 04:12:47 2006

EliStartPage v12.05 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\\TFDEH.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Bittornado\BITTORNADO-0.3.12-W32INSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Bittornado\BitTornado\UNINST.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\MATROSKA_PACK_FULL_V1.1.0.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\MATROSKA_PACK_LITE_V1.1.1.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\Matroska Pack\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Mis Programas\Programas de la Net\Matroska_Pack_Full_v1.1.0\Matroska Pack\haali\UNINSTALL.EXE --> AutoExtraible

C:\WINDOWS\system32\WINHZA32.DLL.VIR.VIR --> Eliminado, BackDoor-CVT (notify)

Mensaje por **msc hotline sat** » 11 Jul 2006, 11:28

Pues aparte de los conocidos que ya eliminó, debe enviarnos estas muestras:

Por favor, envienos una muestra del fichero

C:\Muestras\DCOMCFG.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\REGPERF.EXE.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\HP101.TMP.Muestra EliStartPage v12.05

a "virus@satinfo.es". Gracias.

Son variantes de otros ya conocidos y que heuristicamente se detectan como sospechosos, que tras analizarlas, implementarenos su control y eliminacion en la proxima version del ELISTARA

Todas las muestras que pedimos al respecto, nos las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF Alfauny" y asi podremos informarle si hay alguna incidencia sobre el particular, gracias.

saludos

ms, 11-7-2006

Alfauny · Mensaje por **Alfauny** » 12 Jul 2006, 21:17

Holas!!!

Solo quería contar que ya he ~~[b]~~solucionado el problema[/b]... al parecer tenia además el ~~[b]~~Adware.SpywareQuake[/b] el que me enviaba el siguiente mensaje desde la barra de tareas:

[i]"Your computer is infected!

Critical System Error!

System detected virus

activities. They may cause

critical system failure. Please,

use antimalware software to

clean and protect your system

from parasite programs.

Click here to get all available

software." [/i]

Que obviamente me enviaba a una supuesta pagina que podía eliminarlo con solo pagar una suma de dinero lo cual es falso.

La cosa es que al final le he pasado el ~~[b]~~Ewido antispyware[/b] y hasta el momento no he tenido problemas!!!

Mensaje por **msc hotline sat** » 13 Jul 2006, 07:23

Y para qué cree que le pediamos las muestras ???

Cada día hay unos 200 nuevas variantes que detectamos como sospechosos y pasamos a controlar con las muestras que recibimos de los usuarios, pues las utilidades son para evaluacion, pero hay quien no las envia, a pesar de que lo decimos muy claro, y nos quedamos sin poder controlar lo que ya sabemos que esconde bicho...

Ahora los ficheros ya los ha eliminado el ewido, asi que ya es tarde !

Solucionado el problema. procedemos a cerrar el Tema

Flaco favor ha hecho a nosotros y a los demas foreros !. Otra vez haga lo que se le indica, gracias.

saludos

ms, 13-7-2006

Mensaje por **msc hotline sat** » 13 Jul 2006, 11:41

En privado indica este forero que envio las muestras, si bien no lo habia dicho, a lo que se le responde que entonces le faltó bajar la version posterior del ELISTARA (Usaba la 12.05 y ayer ya subimos la 12.07...que seguro que controló sus muestras)

Por lo menos nuestro trabajo sirvirá para los demas, ya que él no lo aprovechó, pero al menos cumplió (SE RETIRA LA BRONCA !!! :lol: )

saludos

ms, 13-7-2006

Informacion de versiones posteriores a la que usó:

https://foros.zonavirus.com/nueva-version-1207-del-elistaraexe-vt12526.html

https://foros.zonavirus.com/nuevas-versiones-de-elistara-1206-y-elinotif-60711-vt12510.html

ms.

Mensaje por **msc hotline sat** » 16 Nov 2006, 10:39

Hemos recibido un infosat.txt por correo electronico.

Se recuerda que solo se analizan las muestras enviadas, no los informes (que van a la papelera)! Estos deben ser posteados en el foro

saludos

ms, 16-11-2006

Mensaje por **msc hotline sat** » 16 Nov 2006, 11:30

Pues sí !!!

Esta utilizando uinos servbidores de DNS de Ukraina:

5.255.116.51 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

85.255.112.96 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Con ello le pueden llevar al huerto...

Contacte con su ISP para saber los que le recomiendan usar y pruebe la utilidad quew hemos hecho para corregirlos:

CONFGDNS.EXE

http://www.zonavirus.com/descargas/confgdns.asp

saludos

ms, 16-11-2006

Mensaje por **msc hotline sat** » 16 Nov 2006, 11:39

Pues sí !!!

Esta utilizando uinos servbidores de DNS de Ukraina:

85.255.116.51 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

85.255.112.96 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Con ello le pueden llevar al huerto...

Contacte con su ISP para saber los que le recomiendan usar y pruebe la utilidad quew hemos hecho para corregirlos:

CONFGDNS.EXE

http://www.zonavirus.com/descargas/confgdns.asp

saludos

ms, 16-11-2006