Secuelas de un virus

VIRUSES · Mensaje por **VIRUSES** » 13 Mar 2007, 13:16

Hola a tod@s

Os estaría muy agradecido si pudierais aconsejarme sobre el siguiente problema que he tenido en mi ordenador:

1-Estando trabajando normalmente y estando conectado a internet (ADSL) recibí un mensaje del antivirus Norton comunicándome que existía un problema con el mismo, así como con el cortafuegos (Symantec), y debía de reinstalarlos. Al intentar arrancarlos, recibía un mensaje que decía que no existía uno de los archivos de Norton (era un ejecutable pero no recuerdo cuál).

2-Además, me desapareció la pestaña de “Redes Inalámbricas” en el menú “Estado de conexiones de red inalámbricas” y al tratar de “ver redes inalámbricas” recibía el mensaje “Windows no puede configurar esta red inalámbrica” (hay un problema con la WZC).

3-Un antivirus online detectó el virus Bagle. En el proceso de eliminación del virus al intentar arrancar en modo seguro (ejecutar/msconfig/opciones de inicio/SAFEBOOT) el ordenador se reiniciaba una y otra vez, por lo que creé una partición para reparar BOOT.INI e iniciar Windows XP, (lo cual funcionó) y eliminé el virus.

4- Los problemas que han quedado en mi ordenador tras este proceso han sido:

4.1-al encender el pc, he de seleccionar qué SO quiero iniciar, los dos son el mismo SO, quisiera saber si puedo eliminar la partición que realicé, ( sólo he reiniciado el pc desde ella, no sé si la otra funciona ahora correctamente) o, si no es aconsejable, qué hacer para que el pc se inicie automáticamente en uno de los dos. (En el menú de “Utilidad de configuración del sistema” en la pestaña BOOT.INI, me aparecen estas dos entradas:

-multi(0)disk(0)rdisk(0)partition(1)\windows=”windows xp”/fastdetect

-multi(0)disk(0)rdisk(0)partition(1)\windows=”Microsoft windows xp homeedition” /noexecute=optin/fastdetect/safeboot=minimal

4.2- La Windows Zero Configuration sigue sin funcionar, y aunque he descargado una herramienta de la tarjeta inalámbrica que sustituye a la WZC quisiera saber cómo repararla.

Muchas gracias a tod@s

Mensaje por **msc hotline sat** » 13 Mar 2007, 14:12

No sé lo que hizo para eliminar el Bagle, pero mire si puede deshacerlo y utilizar la utilidad que tenemos para ello:

ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

El no poder arrancar en modo seguro era por la modificacion que hace en clave SAFE BOOT del registro y ello lo restauramos con nuestra utilidad, aparte de eliminar las claves de lanzamiento y ficheros relacionados, pero eso que hizo Vd... deshagalo !

saludos

ms, 13-03-2007

nota : El Bagle no deja secuelas. Lo que tiene Vd son secuelas del metodo personal que empleó, no del Bagle !!!

VIRUSES · Mensaje por **VIRUSES** » 13 Mar 2007, 15:02

Muchas gracias. Para eliminar el Bagle utilice ELIBAGLA, ya que utilizo este sitio de referencia y para consultar consejos de otros usuarios.

Posteo el informe que me dio el día que lo utilicé y algunos sucesivos para ver si son de utilidad.

Muchas gracias otra vez

Fri Mar 09 08:32:51 2007

EliBagle v10.26 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\JMGM\DATOS DE PROGRAMA\HIDIRES\HIDR.EXE --> Eliminado Bagle

C:\DOCUMENTS AND SETTINGS\JMGM\DATOS DE PROGRAMA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle (rootkit)

Eliminada Carpeta "%WinDir%\exefld"

Restaurada Clave: "SafeBoot\Minimal y Network"

Fri Mar 09 08:46:26 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Mar 09 09:33:22 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinSys%\LogFiles"

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Mar 09 09:33:37 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\ImTOO\Audio Encoder\Plugins\IN_VORBIS.DLL --> Eliminado, WinAntiVirus Pro 2006

C:\Archivos de programa\ImTOO\CD Ripper\Plugins\IN_VORBIS.DLL --> Eliminado, WinAntiVirus Pro 2006

C:\Archivos de programa\Nero\Nero 7\Nero Vision\NVDV.DLL --> Eliminado, Hotbar

C:\Documents and Settings\JMGM\Mis documentos\BITTORRENT-4.0.1.EXE --> AutoExtraible

Fri Mar 09 09:47:35 2007

EliBagle v10.26 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%AppData%\Hidires"

Tue Mar 13 13:51:41 2007

EliStartPage v13.49 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\JMGM\Mis documentos\BITTORRENT-4.0.1.EXE --> AutoExtraible

Mensaje por **msc hotline sat** » 13 Mar 2007, 16:33

El Elibagla hizo su trabajo con el bagle como el Elistara con el WinAntiviruspro2006 entre otros, por esta parte no hay problema, pero con todo lo indicado, porqué hizo lo indicado de : "por lo que creé una partición para reparar BOOT.INI e iniciar Windows XP", al ELIBAGLA no le hace falta arrancar en modo seguro, sino que detiene el proceso del bagle para eliminarlo (como todas nuestras utilidades respectivamente) y listos...

Entiendo que el problema que puede tener es por lo que hizo a mano, deshagalo al reves.

Pero ni idea de si va a mantener sus datos y aplicaciones, evidentemente no lo he hecho nunca, y no se aconseja hacerlo !!!

Hagase una copia de seguridad antes de hacer mas modificaciones por si acaso.

saludos

ms, 13-03-2007

VIRUSES · Mensaje por **VIRUSES** » 13 Mar 2007, 17:09

Muchas gracias por la respuesta.

Desconocía que no hace falta iniciar el pc en modo seguro para eliminar el Bagle con este programa.

1- La WZC dejó de funcionar antes de crear la particion "windows xp" para iniciar en modo seguro por lo que es improbable que se deba a esta acción.

2- Para evitar tener esta partición me gustaría eliminarla, causaría esto problemas en el arranque del pc?

Muchas gracias.

Mensaje por **msc hotline sat** » 13 Mar 2007, 17:19

Se ha de probar para saberlo, y ya sabe el principio de Murphy...

Y justamente el no tener que arrancar en modo seguro es una de las ventajas del ELIBAGLA, ya que sino con los casos que tenemos a diario con este virus (está de moda) y que son cientos los acumulados desde hace un mes que está de moda esta variante que desactiva el SAFE BOOT, hubiera sido un problemón ! Tiene su picardía el malware, pues tiene un Rootkit que no permite ver claves, procesos y ficheros relacionados cuando está en uso, si no se arranca en modo seguro, pero ello lo impide, asi que con el ELIBAGLA nos las apañamos para detener el proceso en memoria, ver y eliminar claves y ficheros y restaurar el SAFEBOOT... Lo que pasa es que ademas a diario aparecen variantes nuevas y casi a diario hemos de ir renovando el ELIBAGLA !

saludos

ms, 13-03-2007