Nuevo virus de MSN, llegó por un fondo de msn

Dyox · Mensaje por **Dyox** » 15 Mar 2007, 01:42

Hola a todos soy nuevo, y me gustaría contaros mi caso para saber vuestra opinión: resulta que un contacto me pasó un fondo de messenger, Pez.jpg pero yo accedí a aceptarlo xq no ví ninguna frase rara ni nada y después ya cuando le dí me dijo mi contacto que era un virus que no le diera, demasiado tarde..... Creo que es un gusano, pero no estoy seguro, me gustaría saber de vuestro consejo.

Un saludo!

Nuker · Mensaje por **Nuker** » 15 Mar 2007, 03:57

Usted pase Elistara y aparte posteenos su log de HJT para checar procesos y programas en ejecucion, Elistara lo ejecuta en Modo Seguro y al terminar le creara un log en Unidad C, con el nombre de infoSat.txt copias contenido y pegas aqui. HJT lo ejecuta en Modo Normal, abre, le da en "scan and save log file", copia contenido del bloc y lo pega aqui. Gracias.

Elistara:

http://www.zonavirus.com/descargas/elistara.asp

HJT:

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Modo Seguro:

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

Mensaje por **msc hotline sat** » 15 Mar 2007, 07:23

Y de entrada si tienes este PEZ.JPG envianoslo y lo analizaremos e informaremos

recuerda: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 15-03-2007

Dyox · Mensaje por **Dyox** » 15 Mar 2007, 20:41

No tengo ese Pez.jpg, lo busqué y parece que no está, pero he hecho lo que me dijísteis, aquí van los resultados:

el infoSat.txt:

Thu Mar 16 19:05:30 2006

EliStartPage v13.54 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\MEDIAACCESS.EXE.Muestra EliStartPage v13.54

a "virus@satinfo.es". Gracias.

C:\PROGRAM FILES\MEDIA ACCESS\MEDIAACCESS.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\MEDIAACCK.EXE.Muestra EliStartPage v13.54

a "virus@satinfo.es". Gracias.

C:\PROGRAM FILES\MEDIA ACCESS\MEDIAACCK.EXE --> Eliminado

Linea Eliminada del HOSTS --> 127.0.0.1 serial.alcohol-soft.com

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminada Carpeta "\Program Files\Internet Optimizer"

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Mar 16 19:08:14 2006

EliStartPage v13.54 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Borland\CBuilder6\Bin\MTSINST.EXE --> Eliminado, Spy.Delf (BHO)

C:\orant\jdk\bin\MATH_G.DLL --> Eliminado, Malware.ASPI

C:\orant\jdk\bin\SYSRESOURCE_G.DLL --> Eliminado, Puper-Is

C:\WINDOWS\system32\EXPIORER.EXE --> Eliminado, WinAd

y lo del hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 19:45:12, on 16/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\TPSMain.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

C:\Archivos de programa\TOSHIBA\TOSHIBA Controls\TFncKy.exe

C:\WINDOWS\system32\TPSBattM.exe

C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\oracle\product\10.1.0\Db_1\bin\ocssd.exe

C:\Archivos de programa\Alcohol\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\UAService7.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\Rar$EX13.154\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.marca.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\regedit /s C:\pav.reg,C:\WINDOWS\system32\pavdr.exe,C:\WINDOWS\system32\userinit.exe,

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [TPSMain] TPSMain.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: KLBLMain - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe" -run bl -n PersonalPro -v 5.0.0.0 -ttsr 10000000 (file missing)

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: OracleClientCache80 - Unknown owner - C:\orant\BIN\ONRSD80.EXE

O23 - Service: OracleCSService - Unknown owner - C:\oracle\product\10.1.0\Db_1\bin\ocssd.exe

O23 - Service: OracleDBConsoleorcl - Unknown owner - C:\oracle\product\10.1.0\Db_1\bin\nmesrvc.exe (file missing)

O23 - Service: OracleOraDb10g_home1iSQL*Plus - Unknown owner - C:\oracle\product\10.1.0\Db_1\bin\isqlplussvc.exe (file missing)

O23 - Service: OracleOraDb10g_home1SNMPPeerEncapsulator - Unknown owner - C:\oracle\product\10.1.0\Db_1\BIN\ENCSVC.EXE

O23 - Service: OracleOraDb10g_home1SNMPPeerMasterAgent - Unknown owner - C:\oracle\product\10.1.0\Db_1\BIN\AGNTSVC.EXE

O23 - Service: OracleOraDb10g_home1TNSListener - Unknown owner - C:\oracle\product\10.1.0\Db_1\BIN\TNSLSNR.exe (file missing)

O23 - Service: OracleServiceORCL - Unknown owner - c:\oracle\product\10.1.0\db_1\bin\ORACLE.EXE (file missing)

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

Ahora lo que me pasa es que no me conecta el windows live messenger, es extraño, lo desinstalé y lo volví a instalar pero sigue igual...Muchísimas gracias por todo, espero vuestras respuestas!

Mensaje por **lucl** » 15 Mar 2007, 21:08

pues tienes que enviarnos estos archivos que te pide

Por favor, envienos una muestra del fichero

C:\Muestras\MEDIAACCESS.EXE.Muestra EliStartPage v13.54

Por favor, envienos una muestra del fichero

C:\Muestras\MEDIAACCK.EXE.Muestra EliStartPage v13.54

modo de envio

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y ahora te miraremos el log de hijactkhis mientras ve enviandonos eso gracias, saludos

haz fix cheked con el hijackthis a esta entrada de momento, mejor en modo seguro

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

Mensaje por **flacoroo** » 15 Mar 2007, 22:02

desinstalas el msn desde panel de control despues, vas a esta ruta C:archivo de progarmas y buscas la carpeta del msn y la eliminas, si en modo normal no la puedes eliminar hazlo reiniciando tu compu en modo seguro y ahi podras eliminar la carpeta en cuestion....

nos dices como te fue

Mensaje por **msc hotline sat** » 16 Mar 2007, 13:25

Y no se ve ningun antivirus instalado, como maximo esta clave de Panda,

F2 - REG:system.ini: UserInit=C:\WINDOWS\regedit /s C:\pav.reg,C:\WINDOWS\system32\pavdr.exe,C:\WINDOWS\system32\userinit.exe,

Recuerde:

[url=https://foros.zonavirus.com/viewtopic.php?p=52059#52059]~~[b]~~NAVEGA PROTEGIDO[/b][/url]

saludos

ms, 16-03-2007

Dyox · Mensaje por **Dyox** » 17 Mar 2007, 16:18

Ya os mandé los archivos, creo que todo va bien, muchas gracias!!

Mensaje por **lucl** » 17 Mar 2007, 19:30

pues el lunes cuando lo analicen te diran algo, estate atento a tu post, saludos

Mensaje por **msc hotline sat** » 19 Mar 2007, 18:42

Dos ficheros recibidos, uno lleno de paja y el otro de ceros...

Se descarta su analisis.

saludos

ms, 19-03-2007

Dyox · Mensaje por **Dyox** » 20 Mar 2007, 09:44

Que extraño, volveré a mandarlos......

Mensaje por **msc hotline sat** » 20 Mar 2007, 12:58

Recibidos exactamente igual, elimine estos ficheros :lol:

saludos

ms, 20-03-2007