¿como lo arreglo? (Threat; isaddon.dll; downloader.zlob.bv)

[pablo1202]

Primero tenía el mal del malware (creo que era ese) y busque en este foro y encontre la solución: el Elistara.

Una vez eliminado el problema surgió otro. El entivirus (AVG) me detecta un Threat que no se que es, el archivo que me indica es isaddon.dll y supongo que el tipo de Threat es

downloader.zlob.bv.

Una de las pciones del antivirus es reparar, que me dice que no se puede efectuar, otra es mover a cuarentena que tampoco puedo hacerlo. Asi que lo unico que me queda por hacer es omitirlo. Ya le pase el Elistara, el a-squared Free y el Ad-aware 6.0. Y ahí se me acabaron las ideas.

¿como lo arreglo?

[Nuker]

Pruebe en modo seguro y pase el SpyBot (actualizado).



Eso deberia detectar tu problema.

[koga]

Como dice Nuker pruebe ejecutar el antivirus en modo seguro y deberia solucionarse el problema, recuerde desactivar la restauracion del sistema antes de ejecutar el antivirus para que no se cree una copia de seguridad de este al ser borrado por el antivirus.



Si despues de haber seguido estos pasos persisten lso problemas posteenos un log de Hijackthis.



[i]¿Como utilizar el Hijackthis en los foros?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútelo y presione el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo le pedira el nombre del archivo y su ubicación, puede simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copie todo el contenido y péguelo como respuesta a este tema.

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]





Saludos.

[msc hotline sat]

Dices "Ya le pase el Elistara,"çç



pues posteanos el contenido de c:\infosat.txt a ver su te pedia que enviaras nuestras...



Eso no es mas que variantes del PUPER y con el ELISTARA debe ser suficiente para detectarlo, eliminarlo o enviar muestras si las pide:





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso





recuerdese siempre probar la ultima version...



saludos



ms, 6-12-2006

[pablo1202]

Ya le pase el spybot, pero me sigue apareciendo el cartelito. Debe ser que no puse en modo en modos seguro. ¿como pongo en modo seguro el antivirus? Soy de los mas novatos :wink:

Por otro lado ¿que es un threat? ¿que hace? ¿como funciona?



[b]Este es el archivo infostat:[/b]





Mon Dec 04 18:23:26 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\ARCHIVOS DE PROGRAMA\MALWAREWIPE\MALWAREWIPE.EXE --> Eliminado MalwareWipe (antispy)

C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\IESPLUGIN.DLL --> Eliminado Puper-Isa

C:\Documents and Settings\PABLO ACOSTA\Escritorio\MALWAREWIPE.LNK --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "MalwareWipe"="C:\Archivos de programa\MalwareWipe\MalwareWipe.exe /h"

Eliminada Class, "{96EBBE6A-2864-4345-B32B-26EE9BE524B5}" -> C:\Archivos de programa\Video ActiveX Object\iesplugin.dll

Eliminada Class, "{588599F4-DE26-4C28-BA14-F4EB17E33481}" -> C:\WINDOWS\system32\xxfgmy.dll

Eliminada Carpeta "%ProgMenuInicio%\MalwareWipe"

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Dec 04 18:27:54 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\AutoCAD 2004\ADIMON2.DLL --> Eliminado, AltNet

C:\Archivos de programa\Image-Line\FL Studio 6\OPENASIO.DLL --> Eliminado, CommanderNET (BHO)

C:\Archivos de programa\Image-Line\FL Studio 6\Plugins\Fruity\Generators\Sytrus\SYTRUS.DLL --> Eliminado, Spy.Delf (BHO)

C:\Archivos de programa\Video ActiveX Object\ISAMINI.EXE --> Eliminado, Puper-Isa

C:\Documents and Settings\PABLO ACOSTA\Escritorio\Lo de la otra compu\JESUSONIC0991-INSTALL.EXE --> AutoExtraible

C:\WINDOWS\ADIRAS.EXE --> Eliminado, Dialer-RAS.DE

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart



Mon Dec 04 19:23:00 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\VCEHAEB.DLL.Muestra EliStartPage v12.85

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\VCEHAEB.DLL --> Renombrado a .VIR

Eliminada Class, "{9D635A36-6B3C-4146-8625-F3AAF507BBF8}" -> C:\WINDOWS\system32\vcehaeb.dll

Eliminada Carpeta "%Archivos de Programa%\MalwareWipe"

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Dec 04 19:29:33 2006

EliTriIP v2.84 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)



Mon Dec 04 20:39:19 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Dec 04 20:44:57 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\PABLO ACOSTA\Escritorio\Lo de la otra compu\JESUSONIC0991-INSTALL.EXE --> AutoExtraible



Tue Dec 05 16:09:53 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Eliminados Ficheros Temporales del IE



Tue Dec 05 16:15:34 2006

EliStartPage v12.85 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Video ActiveX Object\ISAMINI.EXE.VIR --> Eliminado, Puper-Isa

C:\Documents and Settings\PABLO ACOSTA\Escritorio\Lo de la otra compu\JESUSONIC0991-INSTALL.EXE --> AutoExtraible









__________________________________________________________________________________________________________

-------------------------------------------------------------



[b]Y este es el de Hijacjthis:[/b]



Logfile of HijackThis v1.99.1

Scan saved at 01:53:03 p.m., on 06/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgrssvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Video ActiveX Object\isamonitor.exe

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\sm56hlpr.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Huawei Technologies\Huawei SmartAX MT810\dslmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\DAP\DAP.EXE

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\WINDOWS\system32\Notepad.exe

C:\DOCUME~1\PABLOA~1\CONFIG~1\Temp\Rar$EX13.373\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Archivos de programa\Video ActiveX Object\isaddon.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" --force_start_minimized

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: DSLMON.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Clean Traces - C:\Archivos de programa\DAP\Privacy Package\dapcleanerie.htm

O8 - Extra context menu item: &Download with &DAP - C:\Archivos de programa\DAP\dapextie.htm

O8 - Extra context menu item: Download &all with DAP - C:\Archivos de programa\DAP\dapextie2.htm

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{D5DA3406-2827-47F0-91F6-D885FB928DE0}: NameServer = 200.45.191.35 200.45.191.40

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgrssvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe









[b][b]Seleccione todos los errores y le puse Fix y el archivo HijackThis quedo así:[/b]



Logfile of HijackThis v1.99.1

Scan saved at 01:53:03 p.m., on 06/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgrssvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Video ActiveX Object\isamonitor.exe

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\sm56hlpr.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Huawei Technologies\Huawei SmartAX MT810\dslmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\DAP\DAP.EXE

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\WINDOWS\system32\Notepad.exe

C:\DOCUME~1\PABLOA~1\CONFIG~1\Temp\Rar$EX13.373\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Archivos de programa\Video ActiveX Object\isaddon.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" --force_start_minimized

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: DSLMON.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Clean Traces - C:\Archivos de programa\DAP\Privacy Package\dapcleanerie.htm

O8 - Extra context menu item: &Download with &DAP - C:\Archivos de programa\DAP\dapextie.htm

O8 - Extra context menu item: Download &all with DAP - C:\Archivos de programa\DAP\dapextie2.htm

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{D5DA3406-2827-47F0-91F6-D885FB928DE0}: NameServer = 200.45.191.35 200.45.191.40

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgrssvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe





Gracias por su paciencia...[/b]

[flacoroo]

para entrar a modo seguro haz lo siguiente.....



1.- reinicia tu computadora....cuandos e este reiniciando y empizena salir las primeras letras oprimir varias veces la tecla especial F8 hasta que entres a un menu; en caso de que te haya ganado y entra a windows....intentarlo de nuevo....y en caso de que si ahi entras a modo seguro.....



nos dices como te fue.....

[msc hotline sat]

envianos estas muestras para analizar:



C:\Muestras\VCEHAEB.DLL.Muestra EliStartPage v12.85



C:\Archivos de programa\Video ActiveX Object\isamonitor.exe



C:\Archivos de programa\Video ActiveX Object\isaddon.dll





recuerda: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





y lanza un windowsupdate para actualizar los parches que te faltan !!!





saludos



ms, 6-12-2006

[pablo1202]

Creo que ya se arreglo el problema, por lo menos el cartelito no aparece mas.

Muchisimas gracias a todos

[msc hotline sat]

Sí, lo hemos aparcado, pero no restaurado las claves que no conoceremos hasta que analicemos las muestras que te pedimos



recuerda:


[quote]
envianos estas muestras para analizar:



C:\Muestras\VCEHAEB.DLL.Muestra EliStartPage v12.85



C:\Archivos de programa\Video ActiveX Object\isamonitor.exe



C:\Archivos de programa\Video ActiveX Object\isaddon.dll





recuerda: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334
[/quote]

saludos



ms, 7-12-2006