posible problemas con virus

[gatocrack]

Desde hace tiempo me esta dando problemas el ordenador. Tenia el kaspersky instalado y tuvo q desintalarlo pq dejo de funcionar y tambien dejarlo de funcionar el ad-ware y el spyboot.Ademas no me deja instalar ningun antivirus ni ad-ware ni el spyboot.

Me disponia a formatear el ordenador como he echo otra veces, pero esta vez el no puedo. En el programa de instalacion de windows donde tengo q indicarle en donde quiero instalar windows me dice q no reconoce ninguna unidad de disco. Pero si inicio windows normalmente, el ordenador se inicia bien salvo q no puedo instalar antivirus y q hace un par de cosas raras.



Pq puede ser,gracias anticipadas

[msc hotline sat]

Podría ser uno de tantyos Bagles que recibimos nuevos a diario



prueba el ELIBAGLA y postyeanos el contenido de c:\infosat.txt





ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp





Si no es el caso, lanza el HJT y posteanos el log:



[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



Tras analizarlo, informaremos



saludos



ms, 27-02-2007

[gatocrack]

he echo lo q me has dicho y hay va lo q me ha dado



InfoSat.txt



Tue Feb 27 17:44:47 2007

EliBagle v10.19 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\WINTEMS.EXE.Muestra EliBagle v10.19

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\ISAAC\DATOS DE PROGRAMA\HIDIRES\HIDR.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\ISAAC\DATOS DE PROGRAMA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle (rootkit)

Por favor, envienos una muestra del fichero

C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.19

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\HLDRRR.EXE --> Bagle Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\FLEC006.EXE.Muestra EliBagle v10.19

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\ISAAC\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle Renombrado a .VIR

C:\DOCUMENTS AND SETTINGS\ISAAC\DATOS DE PROGRAMA\M\LIST.OCT --> Eliminado Bagle

Eliminada Carpeta "%WinDir%\exefld"

Restaurada Clave: "SafeBoot\Minimal y Network"



Tue Feb 27 17:45:01 2007

EliBagle v10.19 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Tue Feb 27 17:45:08 2007

EliBagle v10.19 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



y el otro

Logfile of HijackThis v1.99.1

Scan saved at 17:48:02, on 27/02/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\WMonitor\InfoMyCa.exe

C:\WINDOWS\stsystra.exe

C:\Archivos de programa\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\WMonitor\WLService.exe

C:\Archivos de programa\WMonitor\WLanCfgG.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Intel\Intel Matrix Storage Manager\iaantmon.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\msiexec.exe

C:\Documents and Settings\ISAAC\Escritorio\EliBaglA.exe

C:\Documents and Settings\ISAAC\Escritorio\EliBaglA.exe

C:\hijackthis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://dellsearchedit.myway.com/samisc/dellsidebar.jhtml?p=EA

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.sonic.com/DigitalMedia/redirect.aspx?tla=DLD&lang=ESN&prod=9&type=DM_MEDIA

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: (no name) - {4D25F926-B9FE-4682-BF72-8AB8210D6D75} - C:\Archivos de programa\MyWaySA\SrchAsDe\deSrcAs.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {4D25F921-B9FE-4682-BF72-8AB8210D6D75} - C:\Archivos de programa\MyWaySA\SrchAsDe\deSrcAs.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Openwares LiveUpdate] C:\Program Files\LiveUpdate\LiveUpdate.exe

O4 - HKLM\..\Run: [DLCJCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\DLCJtime.dll,_RunDLLEntry@16

O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" -startup

O4 - HKLM\..\Run: [Getca] C:\Archivos de programa\WMonitor\InfoMyCa.exe

O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe

O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\ISAAC\Escritorio\EliBaglA.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Archivos de programa\Windows Media Player\WMPNSCFG.exe

O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {32F8A4C7-8B05-44D2-8DA9-6538FDC85B2B} (PSA.Dispatcher) - http://visatel.coit.es/coit/templates/coit/activex/psa.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.com/molbin/shared/mcinsctl/4,0,0,101/mcinsctl.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1172572511466

O17 - HKLM\System\CCS\Services\Tcpip\..\{409F1E70-E0E7-4805-B313-461750B6E79E}: NameServer = 80.58.61.250

O17 - HKLM\System\CCS\Services\Tcpip\..\{89AACA60-53E0-46D8-9236-15257244BE4A}: NameServer = 95.26.15.24

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: 54Mbps Wireless Network Service (54Mbps Wireless Network) - Unknown owner - C:\Archivos de programa\WMonitor\WLService.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: dlcj_device - Unknown owner - C:\WINDOWS\system32\dlcjcoms.exe

O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMon) - Intel Corporation - C:\Archivos de programa\Intel\Intel Matrix Storage Manager\iaantmon.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Archivos de programa\Intel\PROSetWired\NCS\Sync\NetSvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[msc hotline sat]

Era un Bagle !



Pues envienos las muestras que pedimos, y tranquilo que ya los hemos puesto a cuarentena





NOTA IMPORTANTE: ENVIENOS LAS MUESTRAS COMO INDICAMOS EN: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





Solo mañana, cuando hayamos recibido las muestras e implementado en el nuevo ELIBAGLA, probarlo para asi eliminar restos y restaurar claves



Pero ahora reinicie y vea que ya pue puede trabajar normal



saludos



ms, 27.02.2007

[gatocrack]

Hola, ante todo muchisimas gracias,pq la cosa esa me estaba jodiendo demasiado



Despues, q es lo q tengo q enviar?

He visto como hay q enviarlo, pero q te envio



Se nota q no estoty demasiado puesto,n?

[msc hotline sat]

y hay este fichero sospechoso:



C:\Program Files\LiveUpdate\LiveUpdate



Podría ser un troyano, envienos muestra para analizar, gracias



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 27-02-2007

[gatocrack]

te estoy intentando enviar lo q me has dicho y he comprimido el archivo con winrar y con la clave q me has dicho, pero hotmail no me deja enviarlo pq dice q no puede analizar su contenido

[gatocrack]

ya te lo he enviado





muchas gracias por todo

[msc hotline sat]

mañana lo vemos, que ahora ya está cerrado en SATINFO



Si quieres, mientras, renombra la extension a .VIR y asi tras reiniciar ya no se podrá en uso, sea lo que sea, luego , tras el analisis, ya veremos



saludos



ms, 27-02-2007