Problema con un Bagle

[inthenight81]

Hola a todos, es la primera vez que entro y participo en este foro.



Antes de nada he de felicitar a los administradores, porque tenía un problema e indagando por internet he ido a parar con este fabuloso foro y ya he podido arreglar casi del todo el dichoso problema.



Resulta que tenía en mi PC los rootkits "wintems" y "hldrr", siguiendo los pasos de un hilo con un problema similar (utilizando elibagla y elistara) los he podido eliminar, ahora bien, que hago con la carpeta de las muestras y con el log con las acciones realizadas??? Lo digo para eliminar del todo cualquier posible rastro de los dichosos bagles.



Muchas gracias de antemano. Y un saludo a todos.



PD: soy novatillo en esto de la informática, os pido que me lo expliquéis de manera que lo pueda entender.

[msc hotline sat]

Pues justamente puedes postear el contenido del c:\infosat.txt y veremos el resultado del proceso y si se pedian muestras para analñizar, enviarlas segun indicamos en:



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





saludos



ms, 30-05-2007

[inthenight81]

pues esto es lo q pone en el info sat:





Wed May 30 06:28:44 2007

EliBagle v10.39 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\WINTEMS.EXE.Muestra EliBagle v10.39

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

Por favor, envienos una muestra del fichero

C:\Muestras\HIDR.EXE.Muestra EliBagle v10.39

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\SAMSUNG\DATOS DE PROGRAMA\HIDIRES\HIDR.EXE --> Eliminado Bagle

Por favor, envienos una muestra del fichero

C:\Muestras\M_HOOK.SYS.Muestra EliBagle v10.39

a "virus@satinfo.es". Gracias.

C:\DOCUMENTS AND SETTINGS\SAMSUNG\DATOS DE PROGRAMA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle

Por favor, envienos una muestra del fichero

C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.39

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\HLDRRR.EXE --> Bagle Renombrado a .VIR

Eliminada Carpeta "%WinDir%\exefld"

Restaurada Clave: "SafeBoot\Minimal y Network"



Wed May 30 06:29:13 2007

EliBagle v10.39 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Wed May 30 06:34:08 2007

EliBagle v10.39 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE.VIR --> Eliminado

C:\WINDOWS\SYSTEM32\HLDRRR.EXE.VIR --> Eliminado

Eliminada Carpeta "%AppData%\Hidires"



Wed May 30 06:38:54 2007

EliStartPage v14.09 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Eliminados Ficheros Temporales del IE



Wed May 30 06:40:00 2007

EliStartPage v14.09 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Total Video Converter\OPTIMIZEGIF.DLL --> Eliminado, KeyLogger.FL

[msc hotline sat]

Pues envienos las siguienets muestras para analizar e implementar en la proxima version:



Por favor, envienos una muestra del fichero

C:\Muestras\WINTEMS.EXE.Muestra EliBagle v10.39



Por favor, envienos una muestra del fichero

C:\Muestras\HIDR.EXE.Muestra EliBagle v10.39



Por favor, envienos una muestra del fichero

C:\Muestras\M_HOOK.SYS.Muestra EliBagle v10.39



Por favor, envienos una muestra del fichero

C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.39





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 30-05-2007

[inthenight81]

Solo me salen 3 archivos en la carpeta "muestras"



Ya os los he enviado. Como elimino las muestras de mi PC???

[msc hotline sat]

Ya lo eliminará la utilidad que haremos al respecto como verá en el infosat.txt que creará con ello



Esta tarde a partir de las 20 h GMT descargue la nueva version del ELIBAGLA 10.40 y la prueba, gracias





ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso







saludos



ms, 30-05-2007

[inthenight81]

Ok! Muchas gracias por todo.

[msc hotline sat]

Recibida muestra, se implementa su control y eliminacion en la version 10.40 del ELIBAGLA.



saludos



ms, 30-05-2007