virus messenger (minijuego)

[malva]

Hola!

No se is podréis ayudarme, tengo un virus que me ha entrado por messenger, cuando estoy hablando me cierra las ventanas y al contacto con el que hablo le pone:



"mira este minijuego que esta wapiisimo:



http:// <interceptado>



ahora vuelco y me cuentas lo que te parece"



Sabéis como borrarlo?

Muchas gracias y saludos!!

[msc hotline sat]

Analizado el fichero por VIRUS TOTAL con 30 antivirus actualizados no se ha detectado virus ???


[quote]
ESTADO: FINALIZADOEste es el resultado completo de analizar el archivo "game.zip" que VirusTotal ha recibido el día 24.01.2007 a las 19:06:11 (CET).



Antivirus Version Actualización Resultado

AntiVir 7.3.0.26 24.01.2007 no ha encontrado virus

Authentium 4.93.8 24.01.2007 no ha encontrado virus

Avast 4.7.936.0 24.01.2007 no ha encontrado virus

AVG 386 24.01.2007 no ha encontrado virus

BitDefender 7.2 24.01.2007 no ha encontrado virus

CAT-QuickHeal 9.00 24.01.2007 no ha encontrado virus

ClamAV devel-20060426 24.01.2007 no ha encontrado virus

DrWeb 4.33 24.01.2007 no ha encontrado virus

eSafe 7.0.14.0 23.01.2007 no ha encontrado virus

eTrust-InoculateIT 23.73.121 24.01.2007 no ha encontrado virus

eTrust-Vet 30.3.3347 24.01.2007 no ha encontrado virus

Ewido 4.0 24.01.2007 no ha encontrado virus

Fortinet 2.85.0.0 24.01.2007 no ha encontrado virus

F-Prot 3.16f 23.01.2007 no ha encontrado virus

F-Prot4 4.2.1.29 23.01.2007 no ha encontrado virus

Ikarus T3.1.0.27 24.01.2007 no ha encontrado virus

Kaspersky 4.0.2.24 24.01.2007 no ha encontrado virus

McAfee 4947 23.01.2007 no ha encontrado virus

Microsoft 1.1904 24.01.2007 no ha encontrado virus

NOD32v2 2003 24.01.2007 no ha encontrado virus

Norman 5.80.02 24.01.2007 no ha encontrado virus

Panda 9.0.0.4 24.01.2007 no ha encontrado virus

Prevx1 V2 24.01.2007 no ha encontrado virus

Sophos 4.13.0 24.01.2007 no ha encontrado virus

Sunbelt 2.2.907.0 22.01.2007 no ha encontrado virus

TheHacker 6.0.3.155 24.01.2007 no ha encontrado virus

UNA 1.83 24.01.2007 no ha encontrado virus

VBA32 3.11.2 23.01.2007 no ha encontrado virus

VirusBuster 4.3.19:9 24.01.2007 no ha encontrado virus





Información adicional

Tamaño archivo: 13315 bytes

MD5: bcfecdc0afb10d5b22f5550e10828b5e

SHA1: e2a9a9c5de8ab109dd4a0c48190a9f804eaa2e6f
[/quote]

Mañana cuando volvamos al trabajo en SATINFO, lo monitorizaremos e informaremos





saludos



ms, 24-01-2007

[Carl]

Hola,



sufro el mismo "problema" que malva.



un compañero me comento que hiciese lo que deciais en el otro post y así lo hice, pero el problema del virus este persiste, no hay manera de pillarlo.



he pasado el ELISTARA tal y como recomendabais pero aunq la primera vez me puso algo de troyano eliminado o algo asi, luego entre los archivos no encontro ninguno infectado, y al reiniciar el problema persistia.



A continuacion pego lo que ELISTARA me dejó en el C: con el nombre de infosat a ver si sirve de algo.

Gracias de antemano.





Thu Jan 25 00:55:40 2007

EliStartPage v13.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NCOMPAT.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).

Eliminada Class, "{21FFB6C0-0DA1-11D5-A9D5-00500413153C}" -> NULL1

Eliminada Class, "{7A932ED2-1737-4AB8-B84D-C71779958551}" -> C:\WINDOWS\system32\hp2483.tmp

Eliminada Class, "{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}" ->

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.ca.com

Linea Eliminada del HOSTS --> 127.0.0.1 download.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads-eu1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads-us1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads2.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads3.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads4.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.f-secure.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.kaspersky.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate symantecliveupdate.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 updates.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 us.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.trendmicro.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.avp.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.vsantivirus.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.rzw.com.ar

Eliminada Carpeta "%WinSys%\1024"

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 25 01:22:01 2007

EliStartPage v13.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

[msc hotline sat]

Aun no hemos implementado nada en el ELISTARA para este virus. Lo que se detecta y corrige es por ser de otros o lo mismo que hacen otros...



Tan pronto como hoy entremos a trabajar en SATINFO, lo minitorizaremos e informaremos (aun no son las 6 de la mañana en España !)



saludos



ms, 25-01-2007

[msc hotline sat]

Pues efectivamente, el minijuego dichoso es un virus no controlado todavía poor ningun antivirus, que se propaga por MSN y modifica el HOSTS y se autocopia en la carpeta del MSN con el nombre de MSNMSENG.EXE y crea bats y un txt que indica haber sido hecho en España.



Logicamente crea claves de ejecucion en el registro para ponerse en marcha en cada reinicio.



Con la version de hoy del ELISTARA ( 13.18 ) ya lo controlaremos, deteniendo el proceso y eliminando claves y ficheros.



Al ser español, se recomienda cuidado a los usuarios de España, pues son los primeros que recibiran de sus contactos dicho "minijuego" al que no deben jugar !



saludos



ms, 25-01-2007



NOTA: COMO QUE NADIE MAS LO CONTROLA, SE SUBIRA ESTA VERSION ESTA MAÑANA, TAN PRONTO ESTE COMPILADA Y PROBADA.


[quote]
ESTADO: FINALIZADOEste es el resultado completo de analizar el archivo "game.zip" que VirusTotal ha recibido el día 25.01.2007 a las 12:12:10 (CET).



Antivirus Version Actualización Resultado

AntiVir 7.3.0.26 25.01.2007 no ha encontrado virus

Authentium 4.93.8 24.01.2007 no ha encontrado virus

Avast 4.7.936.0 24.01.2007 no ha encontrado virus

AVG 386 24.01.2007 no ha encontrado virus

BitDefender 7.2 25.01.2007 no ha encontrado virus

CAT-QuickHeal 9.00 25.01.2007 no ha encontrado virus

ClamAV devel-20060426 25.01.2007 no ha encontrado virus

DrWeb 4.33 25.01.2007 no ha encontrado virus

eSafe 7.0.14.0 24.01.2007 no ha encontrado virus

eTrust-InoculateIT 23.73.123 25.01.2007 no ha encontrado virus

eTrust-Vet 30.3.3349 25.01.2007 no ha encontrado virus

Ewido 4.0 24.01.2007 no ha encontrado virus

Fortinet 2.85.0.0 24.01.2007 no ha encontrado virus

F-Prot 3.16f 23.01.2007 no ha encontrado virus

F-Prot4 4.2.1.29 23.01.2007 no ha encontrado virus

Ikarus T3.1.0.27 25.01.2007 no ha encontrado virus

Kaspersky 4.0.2.24 25.01.2007 no ha encontrado virus

McAfee 4948 24.01.2007 no ha encontrado virus

Microsoft 1.1904 25.01.2007 no ha encontrado virus

NOD32v2 2004 24.01.2007 no ha encontrado virus

Norman 5.80.02 25.01.2007 no ha encontrado virus

Panda 9.0.0.4 25.01.2007 no ha encontrado virus

Prevx1 V2 25.01.2007 no ha encontrado virus

Sophos 4.13.0 24.01.2007 no ha encontrado virus

Sunbelt 2.2.907.0 22.01.2007 no ha encontrado virus

TheHacker 6.0.3.156 25.01.2007 no ha encontrado virus

UNA 1.83 24.01.2007 no ha encontrado virus

VBA32 3.11.2 24.01.2007 no ha encontrado virus

VirusBuster 4.3.19:9 24.01.2007 no ha encontrado virus





Información adicional

Tamaño archivo: 13315 bytes

MD5: bcfecdc0afb10d5b22f5550e10828b5e

SHA1: e2a9a9c5de8ab109dd4a0c48190a9f804eaa2e6f
[/quote]

(no hacer caso, ya que la no deteccion es debido a la novedad del mismo, pero en verdad es virus, y aunque el ELISTARA corregía las modificaciones del HOSTS por tenerlo contemplado para otros virus , pero no detectaba este , ni lo eliminaba, claro, hasta la version que estamos compilando y subiremos en breve.) ms.

[msc hotline sat]

Acabamos de subir la nueva version 13.18 del ELISTARA:



---v13.18-(25 de Enero del 2007) (Muestras de (2)DownLoader.ConHook "*****.DLL" y MiniJuego(msn) "MSNMSENG.EXE")





tras probarla, postearnos el contenido de c:\infosat.txt, gracias



saludos



ms, 25-01-2007

[msc hotline sat]

Nos complace informar que, una vez mas, somos los primeros en detectar y eliminar un virus no controlado por nadie que conozcamos. Sin duda todo un logro, gracias a la colaboracion de los usuarios y a la experiencia de nuestros tecnicos.



Nos congratulamos por ello :lol:



[url=http://forum.telecharger.01net.com][img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]



saludos



ms, 25-01-2007

[Carl]

Hola de nuevo, pues por lo que creo el virus ha perdido la guerra en mi pc al menos xDD con la inestimable ayuda en el frente de ELISTARA, y del equipo de operaciones especiales de SATINFO.

paranoiaz a parte..



Gracias gente soys unos cracks.





por cierto os pongo lo que me dejó el elistara por si os ayuda...





Thu Jan 25 00:55:40 2007

EliStartPage v13.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NCOMPAT.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado

C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).

Eliminada Class, "{21FFB6C0-0DA1-11D5-A9D5-00500413153C}" -> NULL1

Eliminada Class, "{7A932ED2-1737-4AB8-B84D-C71779958551}" -> C:\WINDOWS\system32\hp2483.tmp

Eliminada Class, "{8D83B16E-0DE1-452B-AC52-96EC0B34AA4B}" ->

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.ca.com

Linea Eliminada del HOSTS --> 127.0.0.1 download.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads-eu1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads-us1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads2.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads3.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads4.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.f-secure.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.kaspersky.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate symantecliveupdate.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 updates.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 us.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.trendmicro.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.avp.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.vsantivirus.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.rzw.com.ar

Eliminada Carpeta "%WinSys%\1024"

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 25 01:22:01 2007

EliStartPage v13.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 25 01:46:44 2007

EliStartPage v13.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 25 17:20:19 2007

EliStartPage v13.18 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\ARCHIV~1\MSNMES~1\MSNMSENG.EXE --> Eliminado MiniJuego(msn)

C:\WINDOWS\READ.TXT --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "MSNMSENG"="C:\archiv~1\MSNMes~1\msnmseng.exe"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Jan 25 17:21:11 2007

EliStartPage v13.18 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\eMule\Incoming\CRACK CLONEDVD 2.9.0.1.EXE --> Eliminado, MiniJuego(msn)

[msc hotline sat]

Eso sí que es hacer limpieza !



"EliStartPage v13.18 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\ARCHIV~1\MSNMES~1\MSNMSENG.EXE --> Eliminado MiniJuego(msn)

C:\WINDOWS\READ.TXT --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "MSNMSENG"="C:\archiv~1\MSNMes~1\msnmseng.exe"



y por exploracion encuentra un hermano del bicho en:



EliStartPage v13.18 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\eMule\Incoming\CRACK CLONEDVD 2.9.0.1.EXE --> Eliminado, MiniJuego(msn)



Todo eliminado, tambien las lineas del HOSTS que eso ya lo controlabamos de otros virus, y colorin colorado... este virus se ha acabado ! [url=http://forum.telecharger.01net.com][img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]



Esperamos a ver lo que dice "malva", que solo detectó las cadenas del HOSTS, pero no el virus ya que aun no se conocia entonces. En cuanto nos postee el infosat y veamos que se elimina de verdad el virus, daremos este Tema por solucionado.



saludos



ms, 25-01-2007

[msc hotline sat]

Para los interesados al respecto, ver la comunicacion que hemos enviado por mail a los asociados a SATINFO:



http://www.satinfo.es/web/2007/minijuego.html



a ver si con ello conseguimos que NO JUEGUEN unos cuantos miles y eviten infectarse !



saludos



ms, 25-01-2007

[fuller]

Hola, a mi me pasa lo mismo con el dichoso minijuego del messenger. ¿Sabéis cómo me puedo descargar elistara?¿hay que registrarse?¿comprarlo?

Gracias

[msc hotline sat]

Esn este foro se puede descargar y probar para evaluacion:





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso





saludos



ms, 9-04-2007

[fuller]

Hola!

he pasado elistara y este es el infosat.txt (parece que la cosa se ha arreglado ^^, qué me decís?):



Fri Mar 09 15:09:41 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\AVCONSOL.EXE --> Eliminado Bush(msn)

C:\WINDOWS\ZAP.EXE --> Eliminado Bush(msn)

C:\WINDOWS\SYSTEM32\HIDE32.EXE --> Eliminado Bush(msn)

C:\WINDOWS\SYSTEM32\TTT.EXE --> Eliminado Bush(msn)

Entrada Eliminada [HKCU\...\Run] "AVantivirus"="c:\windows\Avconsol.exe"

Entrada Eliminada [HKCU\...\Run] "Servicewin"="c:\windows\system32\Hide32.exe"

Entrada Eliminada [HKCU\...\Run] "System"="c:\windows\Zap.exe"

Entrada Eliminada [HKCU\...\Run] "WinService"="c:\windows\system32\Ttt.exe"

Eliminada Carpeta "%WinSys%\LogFiles"

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Mar 09 15:11:13 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\APPS\CLICKME\CLICKME.EXE --> Eliminado, StartPage-CPE

C:\APPS\CyberLink\PowerProducer\REGACCESS.EXE --> Eliminado, PWS-WoW

C:\Archivos de programa\Borland\CBuilder6\Bin\MTSINST.EXE --> Eliminado, Spy.Delf (BHO)

C:\Archivos de programa\OpenOffice.org 2.0\program\CANVASFACTORY.UNO.DLL --> Eliminado, SaveNow

C:\Archivos de programa\SpeedFan\UNINSTALL.EXE --> AutoExtraible

C:\downloads\INSTALLSPEEDFAN431.EXE --> AutoExtraible

C:\DRIVERS\MCDBF\MMCDBF.EXE --> Eliminado, Spy.Delf (BHO)



Muchísimas gracias.

Y una consulta más, relacionada con esto. El caso es que ayer, a una compañera de piso se le rompió el portátil. Cuando va a cargar windows le da pantallazo azul y reinicia. Tanto con arranque normal, modo seguro, modo seguro con funciones de red y modo seguro con símbolos del sistema. A ella también le pasó lo del virus este pero no le dio mucha importancia. Puede haber sido por este virus? A mí sólo me ralentizaba el sistema y no me dejaba abrir algunos programas y el administrador de tareas.

Muchas Gracias!!!!!!!!!!

[msc hotline sat]

Aqui no tenia uno solo sino muchos !!! A ver si lo cuida mas ...



Y los virus no acostumbran a dejar el ordenador como el de su compañera, pero si lo cuida tan poco como Vd, todo es posible.



Si quiere hacer algo, trate de REPARAR windows, ya que poco mas puede hacer, luego ya analizara los virus, pero para ello tiene que poder arrancar


[quote]
Sugiero que proceda a REPARAR windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate
[/quote]



cuentenos sus progresos, gracias



saludos



ms, 9-03-2007



nota: y recuerde [url=https://foros.zonavirus.com/viewtopic.php?p=52059#52059][b]NAVEGA PROTEGIDO[/b][/url]

[fuller]

Intento ser lo más cuidadoso posible con mi pc.

Navego con firefox (IE sólo y exclusivamente cuando firefox no abre bien la página), uso firewall (sygate) y antivirus (avast, lo pasé hará cosa de un mes y no me he encontró nada) y paso relativamente a menudo el antispyware search&destroy (el dichoso jueguecito del messenger lo aceptó mi novia, a mí en la vida se me habría ocurrido aceptarlo sin preguntarle antes al que me lo mandaba).

Trato mi pc lo mejor que sé, ahora bien, por lo visto parece que no es suficiente.

Miraré con atención el tutorial al que me ha referido.

Podría, si no le es mucha molestia, comentarme un poco el infosat.txt para que me diga que tenía "muchos" virus?

Muchas gracias

Un saludo

[msc hotline sat]

Pues aparte del Bush, de MSN, tenía el StartPage-CPE, el PWS-WoW , el Spy.Delf y el SaveNow



Si le parecen pocos... :lol:



Pero ya los ha eliminado con el ELISTARA, ahora a procurar que dure !



saludos



ms, 9-03-2007