Trojano Peacomm

Edjimen · Mensaje por **Edjimen** » 27 Ene 2007, 21:51

Mi prima tiene este trojano y usa el Norton pero no se lo elimina, me gustaria quitarlo muchas gracias.

Mensaje por **lucl** » 27 Ene 2007, 21:58

Hola, pasaros el elistara en modo seguro a ser posible y peganos luego el log que te genera en c:infosat.txt, saludos

http://www.zonavirus.com/descargas/elistara.asp
http://www.zonavirus.com/articulos/como ... fallos.asp

Mensaje por **msc hotline sat** » 27 Ene 2007, 21:59

Envianos los ficheros donde el Norton detecta este troyano y tras analizarlo, implementaremos su eliminacion en el ELISTARA

saludos

ms, 27-01-2007

Edjimen · Mensaje por **Edjimen** » 27 Ene 2007, 23:11

Pos nose en que fixero estara el trojano ya que cuando analiza no sale nada y en el mensaje de alerta namas me poner el nombre del trojano

Mensaje por **lucl** » 28 Ene 2007, 09:55

Hola, a ver, es imprescindible que paseis el elistara, como te indicaba en mi respuesta anterior, en modo seguro, el mismo os pedira que nos envies el fichero infectado y te lo colocara en una carpeta que crea a tal efecto. Cuando pases el elistara peganos el log que te genera en c:infosat.txt. Tratamos de que nos envieis la muestra pues esta dando bastante guerra. El elistara lo dejara fuera de juego,asi que ya sabeis, pasadlo y seguiremos con la limpieza. saludos.

Mensaje por **msc hotline sat** » 28 Ene 2007, 10:25

Cabe indicar la descripcion del Norton al respecto:

Avisos de Seguridad
Aviso de Seguridad: Trojan.Peacomm (Storm Trojan)

Aviso de Seguridad
Trojan.Peacomm (conocido como Storm Trojan) es un troyano que se propaga por mensajes de correo no solicitado relacionados con diferentes noticias recientes.

Qué es
Aviso de Seguridad: Trojan.Peacomm

*** El 22 de Enero, Symantec Security Response ha incrementado el nivel de la amenaza del troyano Trojan.Peacomm (Storm Trojan) de nivel 1 (bajo) a nivel 3 (moderado). ***

Symantec Security Response ofrece un resumen del troyano Trojan.Peacomm para ayudar a los usuarios a comprender su impacto y ofrecerles información adicional de utilidad para evitar la amenaza.

Los primeros signos de Trojan.Peacomm fueron descubiertos el 17 de enero de 2007. Symantec Security Response ha observado un gran incremento en la cantidad de infecciones así como también nuevas capacidades del troyano. Este caballo de troya llega como adjunto a un e-mail que pretende contener un video relacionado con alguna noticia reciente. El mensaje no tiene texto en sí mismo, pero contendrá uno de los siguientes títulos:

A killer at 11, he's free at 21 and kill again!
U.S. Secretary of State Condoleezza Rice has kicked German Chancellor Angela Merkel
British Muslims Genocide
Naked teens attack home director
230 dead as storm batters Europe
Re: Your text
Radical Muslim drinking enemies's blood
Chinese missile shot down Russian satellite
Chinese missile shot down Russian aircraft
Chinese missile shot down USA aircraft
Chinese missile shot down USA satellite
Russian missile shot down USA aircraft
Russian missile shot down USA satellite
Russian missile shot down Chinese aircraft
Russian missile shot down Chinese satellite
Saddam Hussein safe and sound!
Saddam Hussein alive!
Venezuelan leader: "Let's the War beginning"
Fidel Castro dead

Symantec recomienda además extrema cautela frente a mensajes no solicitados que contengan archivos adjuntos que aseguren ser legítimos o interesantes. La técnica de utilizar frases interesantes como título (subject) del mensaje o nombres de archivos adjuntos en emails para distribuir código malicioso es conocida como "ingeniería social" (social engineering). Esta técnica ha sido utilizada por los autores de las amenazas por muchos años, y por desgracia, suele ser efectiva contra usuarios no protegidos. El uso de noticias recientes como parte del mensaje es una técnica especialmente común.

El archivo adjunto al email tendrá alguno de estos nombres:

FullVideo.exe
Full Story.exe
Video.exe
Read More.exe
FullClip.exe
GreetingPostcard.exe
MoreHere.exe
FlashPostcard.exe
GreetingCard.exe
ClickHere.exe
ReadMore.exe
FlashPostcard.exe
FullNews.exe

Debido a la naturaleza de esta amenaza, es probable que aparezca bajo nuevos títulos de e-mail (subjects) o utilice nuevos nombres de adjuntos. Se recomienda a los usuarios no abrir mensajes de este tipo.

El adjunto es en realidad un troyano que se auto instalará en el sistema como un controlador (driver) del sistema y luego descargará de Internet otros programas maliciosos de diversos equipos. El archivo adjunto y el troyano que contiene serán detectados.

Una vez que está instalada y ejecutándose, esta amenaza intentará establecer comunicaciones con otros sistemas infectados en Internet. Esta conexión es la fuente de distribución desde donde los otros programas maliciosos son descargados.

Se ha detecado que las nuevas versiones detectadas de esta amenaza utilizan rootkits que intentan ocultar su presencia. Symantec Security Response ofrecerá firmas de detección de virus actualizadas a última hora del 22 de Enero (Hora del Pacífico) que detectarán y removerán las versiones de esta amenaza que incluyen capacidades de rootkit. Todas las variantes previas de esta amenaza ya están siendo detectadas y eliminadas con las definiciones de virus existentes.

Puede encontrar información detallada acerca de esta amenaza puede en el blog de Symantec Security Response (en inglés). Puede consultar además los detalles técnicos, recomendaciones y instrucciones de eliminación en la ficha de Trojan.Peacomm de Security Response en español.

En este momento, Symantec Security Response a aumentado la valoración de Trojan.Peacomm a mediana severidad, con una calificación de riesgo de 3 (sobre un máximo posible de 5).

Ya antes, McAfee lo detectó como Downloader BAI, spam que incluía anexados viricos, y lo implementamos en el ELISTARA, pero al haber habido posteriores incidencias no detectadas , entendemos que pueden haber nuevas variantes, por lo que pedimos muestras de los ficheros detectados, y si no hay muestras, puede ser una falsa alarma de Norton...

saludos

ms, 28-01-2007

Edjimen · Mensaje por **Edjimen** » 28 Ene 2007, 20:02

Pues sera una falsa alarma ya que lo pase con el kaspersky, con el McAfee y luego con SpyBot y el Ad-awre y me eliminaron algunas tonterias pero no indicava nada de eso.Y ninguno me indicava que tenia ficheros infectados.

Edito:Es un poco estraño el elistara en la uniad C me a encontrao algo y eliminao pero al cavo de un rato se a apagado el elistara solo y luego se lo e pasao a la unidad D y a eliminao algo pero no se a apagado igualmente aqui os dejo lo que me pone

Sun Jan 28 19:10:42 2007

EliStartPage v13.20 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "AlcxMonitor"="ALCXMNTR.EXE"

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun Jan 28 19:12:56 2007

EliStartPage v13.20 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Microsoft Works\WKDBOLE.DLL --> Eliminado, ZangoSA (BHO)

C:\Archivos de programa\Microsoft Works\WKSSOLE.DLL --> Eliminado, ZangoSA (BHO)

Sun Jan 28 19:17:04 2007

EliStartPage v13.20 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun Jan 28 19:19:37 2007

EliStartPage v13.20 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun Jan 28 19:19:51 2007

EliStartPage v13.20 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\I386\Apps\APP04944\src\MSWORKS\PFiles\MSWorks\WKDBOLE.DLL --> Eliminado, ZangoSA (BHO)

D:\I386\Apps\APP04944\src\MSWORKS\PFiles\MSWorks\WKSSOLE.DLL --> Eliminado, ZangoSA (BHO)

D:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP314\A0055241.DLL --> Eliminado, ZangoSA (BHO)

D:\System Volume Information\_restore{72135246-D116-4BE8-92FC-1AFE1F338C80}\RP314\A0055242.DLL --> Eliminado, ZangoSA (BHO)

Mensaje por **msc hotline sat** » 29 Ene 2007, 19:08

Como que sea que hemos recibido nuevas variantes del Downloader BAI que hemos implementado en la version de hoy del ELISTARA 13.21, sugiero pruebes a partir de las 20 h descargar dicha nueva version y nos comnetes el resultado, gracias

ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 29-01-2007