Acentos (pendiente)

Mensaje por **msc hotline sat** » 19 Abr 2007, 14:25

Y sobre el NTOS...

En la version actual del ELISTARA 13.77 , hemos implementado el control de:

C:\WINDOWS\system32\ntos.exe

que será movido a carpeta C:\muestras para que se nos envie y asi analizarlo y controlarlo

puedes descargarlo ya de:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 19-04-2007

mana · Mensaje por **mana** » 19 Abr 2007, 20:59

Ya he pasado el ´´ultimo Elistara y sigo igual.

Os dejo el Info:

Tue Apr 17 16:42:52 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Apr 17 16:43:16 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Tue Apr 17 16:53:55 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Tue Apr 17 16:54:03 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 20:23:40 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 20:25:11 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 20:37:39 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 20:37:52 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 21:10:00 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 22:28:57 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 22:29:04 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Thu Apr 19 19:58:02 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Apr 19 19:58:09 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Mensaje por **lucl** » 19 Abr 2007, 22:47

igual es una tonteria pero porque no desactivas la restauracion del sistema y pasas de ese modo elistara? arrancando en modo seguro para mas seguridad, si te animas y lo pruebas, nos comentas, saludos

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

http://www.zonavirus.com/descargas/elistara.asp

mana · Mensaje por **mana** » 19 Abr 2007, 23:23

lucl ya lo he probado como dices y sigo igual ´´.

El Info:

Tue Apr 17 16:42:52 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Apr 17 16:43:16 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Tue Apr 17 16:53:55 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Tue Apr 17 16:54:03 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 20:23:40 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 20:25:11 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 20:37:39 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 20:37:52 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Wed Apr 18 21:10:00 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 22:28:57 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Apr 18 22:29:04 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Thu Apr 19 19:58:02 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Apr 19 19:58:09 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Thu Apr 19 22:10:13 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Apr 19 22:11:03 2007

EliStartPage v13.77 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Se me ocurre borrar el NTOS.EXE con el Fileassassin o similar... ¿sirve para algo ese fichero?, m´´as que nada porque no quiero tener que formatear.

Nuker · Mensaje por **Nuker** » 19 Abr 2007, 23:48

No lo elimine, ya que como se pudiera arreglar el problema pudiera hacer mas dificil la eliminacion, quedandose usted con sintomas, el fichero les sirve a los ingenieros para encontrar una cura, el tema se le pasara directamente al admin. para no hacerle perder tiempo. Siga sus instrucciones y hasta aqui llegamos nosotros los usuarios, Saludos.

mana · Mensaje por **mana** » 19 Abr 2007, 23:54

Gracias de nuevo Nuker.

koga · Mensaje por **koga** » 20 Abr 2007, 00:25

Siento entrometerme siendo que el tema estaba pasado al admin como dijo Nuker, pero podria probar descargando un programa que se llama unlocker, luego busca el ntos.exe y lo renombra a .vir pero no lo elimine, si le dice que esta siendo utilizado por otro programa vea con el unlocker que programa es y le da a desbloquear a ver si ahi ya puede renombrarlo.

~~[b]~~NOTA:[/b]Puede que al desbloquearlo rapidamente velva a utilizarlo el mismo programa, a mi me ha pasado pero si se hace rapido se puede antes que el programa lo ocupe, tb pruebe en modo seguro.

Saludos.

Mensaje por **msc hotline sat** » 20 Abr 2007, 12:47

Veo que ya se ha probado con el ELISTARA 13.77 Y QUE LA RESPUESTA ES:

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

en consecuencia pasamos a implementarlo en el ELISTARA / ELINOTIF de hoy, para moverlo a la carpeta de C:\muestras antes de entrar en uso, como hacemos en los casos de Rootkit y demas.

Para ello bajar las versiones ELISTARA 13.79 /ELINOTIF 04-20 de hoy y :

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Descargar los dos en una misma carpeta y probar el ELISTARA, tras lo cual reiniciar para terminar la eliminacion y luego postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 20-04-2007

Mensaje por **msc hotline sat** » 20 Abr 2007, 17:11

Nota: Por urgencias de clientes se pospone el desarrollo del ELINOTIF y correspondiente ELISTARA que procure mover dicho NTOS.EXE a la carpeta de muestras, antes de arrancar windows.

Seguiremos con ello el proximo lunes 23 de Abril

Mientras, si se quiere probar de moverlo, o eliminarlo de la carpeta de sistema, hacerlo arrancando con el CD ROM de instalacion, en consola de recuperacion, lo cual es equivalente a lo que vamos a hacer pero manualmente en lugar de automaticamente

Si lo hace, luego envienos muestra del C:\muestras\ntos.exe para analizar

recuerde: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 20-04-2007

mana · Mensaje por **mana** » 20 Abr 2007, 18:05

Ya estoy aqu´´i, (sigo igual como veis).

He probado ahora lo que me pedia MSC, de la siguiente manera:

Desactivando restaurar sistema, routter desconectado, a prueba de errores y ejecutando el ´´ultimo Elistara que pones.

Para empezar me pide que os mande el fichero D:/Autorun.inf, el cual no me aparece en el disco D:/ (solome figuran dos ficheros, uno que se llama Recovery y otro Batch.old), as´´i que no puedo mandarlo por e-mail.

Despues de ese aviso, el Elistara me sigue detectando el Troyano PWS-NTOS y me dice que reinicie, comenzando la exploraci´´on a continuacion.

En la C: todo bien, pero esta vez tambien he probado a explorar la D:/, detectando 2 virus "ZangoSA (BHO)"-os sale en el Infosat que os pego al final.

Vuelvo a reiniciar y todo sigue igual.

Os pego el fichero Infosat, lo que afecta al d´´ia de hoy, porque el resto esta en anteriores mensajes. Saludos.

Fri Apr 20 16:33:46 2007

EliStartPage v13.78 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Por favor, envienos una muestra del fichero

"D:\Autorun.inf" a "virus@satinfo.es". Gracias.

Fri Apr 20 16:35:20 2007

EliStartPage v13.78 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Fri Apr 20 16:46:03 2007

EliStartPage v13.78 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\I386\Apps\APP26919\src\MSWORKS\PFiles\MSWorks\WKDBOLE.DLL --> Eliminado, ZangoSA (BHO)

D:\I386\Apps\APP26919\src\MSWORKS\PFiles\MSWorks\WKSSOLE.DLL --> Eliminado, ZangoSA (BHO)

Fri Apr 20 16:53:03 2007

EliStartPage v13.78 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Por favor, envienos una muestra del fichero

"D:\Autorun.inf" a "virus@satinfo.es". Gracias.

¿Que hago ahora, espero a la versi´´on del lunes, intento hacer lo del unlocker... Gracias de nuevo por vuestra paciencia.

Mensaje por **msc hotline sat** » 20 Abr 2007, 18:13

Haz lo que te digo de arrancar en consola de recuperacion, si quieres adelantar al tiempo...

La cuestion es acceder a dicho fichero sin que esté en uso.

Otra posibilidad seria poner el disco duro como esclavo en otro ordenador, y asi poder acceder al fichero y moverlo o renombrarlo y luego enviarnoslo, pero ya es un faenon...

O sino, espera al lunes que ya estña programada la tarea al respecto.

saludos

ms, 20-04-2007

mana · Mensaje por **mana** » 20 Abr 2007, 20:46

Casi mejor espero al lunes, mas que nada porque no se donde he metido mi CD de instalaci´´on de Windows.

Hasta entonces.

mana · Mensaje por **mana** » 21 Abr 2007, 10:40

Solo una pregunta hasta el lunes. ¿Corro alg´´un riesgo con el virus que tengo? Es decir, es alg´´un tipo de Troyano espia o algo as´´i?

Saludos

Mensaje por **msc hotline sat** » 21 Abr 2007, 13:52

No es nada bueno, y posiblemente sea u cazapasswords o keylogger, asi que si utilizas el ordenador para asuntos del banco, ve con cuidado...

Y ve buscando el CD de instalacion, pues no es seguro que funcione con lo del ELINOTIF, se ha de desarrollar el proceso, adaptar ELISTARA y ELINOTIF al respecto, compilar y dar a probar, pues nosotros no tenemos el bicho... y sin hacer nada peligroso os lo daremos a ver si conseguimos el proposito, pero vamos, que en consola de recuperacion sería sacar el fichero de circulacion y de momento aparcar el problema !

Para arrancar en consola de recuperacion puedes usar cualquier CD de instalacion o copia, igual de XP que de W2k, tu mismo....

saludos

ms, 21-04-2007

mana · Mensaje por **mana** » 21 Abr 2007, 15:13

He encontrado el CD de instalacion del Windows XP. Os agradecer´´ia que me indicaseis los pasos exactos a seguir para acabar de una vez por todas con este bicho.

mana · Mensaje por **mana** » 23 Abr 2007, 12:07

Hola MSC, como te comentaba en el anterior mensaje, ya encontre el CD de Windows XP. EL tema es que no se que pasos debo seguir para hacer lo que me pides de la consola de recuperacion ¿hay que dar alguna tecla en concreto?, ¿arranca solo?, etc.

Igual es una tonteria hacerlo as´´i ahora y es mejor esperar a que saqueis la actualizacion del Elistara. En fin... hago lo que me digais y como me digais.

Saludos.

Mensaje por **msc hotline sat** » 23 Abr 2007, 19:33

Pues te irá bien tener el disco de instalación para cualquier otro momento, aunque ahora ya te ina a decir que puedes probar el nuevo conjunto de ELISTARA 13.81 Y ELINOTIF 04-23

QUE ACABO DE SUBIR A ESTA WEB. ya sabes que has de descargar los dos, ejecutar el ELISTARA desde donde lo hayas copiado en el disco duro y luego reiniciar:
ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL
http://www.zonavirus.com/descargas/elinotif.asp

Descargar los dos en una misma carpeta y probar el ELISTARA, tras lo cual reiniciar para terminar la eliminación y luego postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

Lo de arrancar en consola de recuperación con el CD de instalación es simplemente pulsar R tras arrancar desde el mismo, y seguir en modo DOS...

Pero ya con lo de ahora sera mas cómodo

saludos
ms, 23-04-2007

mana · Mensaje por **mana** » 23 Abr 2007, 20:46

Zárágózá, ya me funcionan los acentos. Sois los mejores...

El proceso ha sido correcto, ni un fallo, ha detectado el bicho, he reiniciado, el solo ha vueto a reiniciar y cuando he arrancado finalmente me funcionaban los acentos.

En el directorio C:\Muestras, tengo el archivo NTOS.EXE Muestra ElNotify, decidme como os lo mando (tal cual o hay que renonbrarlo, o qué).

Entiendo que con esto ya estoy salvado y ya no me observan ¿?.

En fin, por mi parte tema solucionado, gracias a todos y tu MSC que te mejores.

Saludos y gracias.

mana · Mensaje por **mana** » 23 Abr 2007, 21:51

Se me había olvidado, os paso el Infosat de hoy:

Mon Apr 23 19:30:28 2007

EliStartPage v13.81 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Por favor, envienos una muestra del fichero

"D:\Autorun.inf" a "virus@satinfo.es". Gracias.

Mon Apr 23 19:33:10 2007

EliStartPage v13.81 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Por favor, envienos una muestra del fichero

"D:\Autorun.inf" a "virus@satinfo.es". Gracias.

Mon Apr 23 19:33:17 2007

EliStartPage v13.81 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Mon Apr 23 19:37:16 2007

EliStartPage v13.81 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Instalada Utilidad "ELINOTIF.DLL"

EliNotify v1.7.04.23 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado PWS-NTOS

Por favor, envienos una muestra del fichero

"C:\Muestras\NTOS.EXE.Muestra EliNotify"

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\NTOS.EXE -> Eliminado.

Desinstalado EliNotif.dll

Mensaje por **msc hotline sat** » 23 Abr 2007, 21:58

Efectivamente, es lo que sugería hacer a mano, pero hecho comoda y automaticamente con nuestras utilidades.

Ya el NTOS.EXE no se carga y lo demas ahora es cuestion de eliminar los restos y claves relacionadas, que haremos implementando en el ELISTARA su eliminacion tan pronto podamos analizar el dichoso fichero NTOS.EXE.

Para enviarnoslo, sigue lo indicado en:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Pero tranquilo que ya lo tienes en cuarentena...

Y gracias por tus buenos deseos, ya ves, es cosa del tiempo, del tiempo que hace que nací ! :lol:

saludos

ms, 23-04-2007

Acentos (pendiente)

Mmm