Virus persistentes. Ayuda, please!!! (SOLUCIONADO)

xavjane · Mensaje por **xavjane** » 13 Mar 2006, 13:34

Buenas,

Os pongo en antecedentes, mi maquina usa 2000 pro, y tengo instalado McAfee Antivirus y Zone Alarm Pro.

El jueves pasado me mudé y cambie mi proveedor de ADSL. Menciono esto porque el problema aparece en cuanto me conecto a internet.

Cuando me conecto McAfee detecta malware y se lo carga (Virtumundo, rm32.dll, dr32.exe). Despues de esto, todo parece normal, pero en realidad pasan muchas cosas raras, por ejemplo, Zone Alarm detecta un numero increible de intentos de intrusion en mi maquina. En los ultimos tres dias estos intentos han sido 11366 (una pasada!!!).

Ademas, el trafico que se genera es tambien brutal. He recibido 10 Mb en 10 minutos y he enviado 3 Mb. Esto no es normal.

Cuando cierro el ordenador a veces un programa se queda colgado y lo debo cerrar manualmente....RM32.DLL

He escaneado la maquina varias veces con Panda Online, Sybot, Adaware, de todo vamos. Ahora McAfee m dice que todo esta bien, pero los intentos de intrusion y el tráfico anormal continua.

Ya no se que hacer. Alguna sugerencia?

Gracias por anticipado.

xavier

Mensaje por **msc hotline sat** » 13 Mar 2006, 13:40

Baja estas dos utilidades a una misma carpeta:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

A continuacion apaga la maquina, arranca en modo seguro y lanza el ELISTARA y tras explorar todo el disco duro, termina con Salir y reinicia normalmente

Si persiste algun problema, posteanos el log de salida, que tendás en C:\infosat.txt

xavjane · Mensaje por **xavjane** » 14 Mar 2006, 13:59

Gracias.

Seguí tus instrucciones. El programa detecto un troyano llamado Alexa.

Asimismo, me he bajado el service pack 4 para Windows 2000.

Los intentos de intrusion siguen produciendose, aunque parece que a un ritmo mas lento y el trafico en Internet sigue siendo alto.

Adjunto el log de salida, segun lo comentado:

Mon Mar 13 17:33:18 2006

EliStartPage v11.32 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WRNOTIFIER] -> C:\WINNT\SYSTEM32\WRLOGONNTF.DLL

C:\WINNT\WEB\RELATED.HTM --> Eliminado

C:\WINNT\SYSTEM32\WRLOGONNTF.DLL --> SpySweeper (notify) Renombrado a .VIR

Eliminada Carpeta "%WinSys%\LogFiles"

No detectado Parche MS06-001 de Microsoft instalado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Mar 13 17:37:24 2006

EliStartPage v11.32 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Luis\Desktop\XoftSpy421_160.exe --> AutoExtraible

C:\Program Files\EurobetPoker\uninst.exe --> AutoExtraible

C:\Program Files\Webroot\Spy Sweeper\SSCtxMnu.dll --> Eliminado, SpySweeper (notify)

C:\Program Files\XoftSpy\uninstall.exe --> AutoExtraible

Mon Mar 13 17:59:45 2006

EliStartPage v11.32 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado.

Eliminados Ficheros Temporales del IE

Tue Mar 14 07:42:22 2006

EliStartPage v11.32 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Mar 14 07:44:11 2006

EliStartPage v11.32 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Luis\Desktop\XoftSpy421_160.exe --> AutoExtraible

C:\Program Files\EurobetPoker\uninst.exe --> AutoExtraible

C:\Program Files\XoftSpy\uninstall.exe --> AutoExtraible

C:\WINNT\system32\WRLOGONNTF.DLL.VIR --> Eliminado, SpySweeper (notify)

Hablando con Telefonica me comentan que los intentos de intrusion son normales si ahora uso su modem y antes estaba usando un router....no entiendo el porque. De todas formas, la pregunta seria si vuelvo a usar el router y quito el modem....solucionare el problema?

En fin, gracias anticipadas por la ayuda.

Saludos

xavjane

Mensaje por **msc hotline sat** » 14 Mar 2006, 14:05

No solo ha eliminado el ALEXA sino muchas mas claves y bichos !!!

Y para evitar las intrusiones, instale un cortafuegos

Vea:

https://foros.zonavirus.com/viewtopic.php?t=10771

saludos

ms, 14-3-2006

xavjane · Mensaje por **xavjane** » 14 Mar 2006, 16:01

Ya tengo instalado Zone Alarm Pro...necesito algo mas?

Lo que no deja de alarmarme es que por ejemplo ahora en 3 minutos de conexion y simplemente abriendo esta pagina el trafico de mi conexion sea de 200.000 bytes enviados y un poco mas de 1 Mb recibido...

Saludos y gracias

Xavier

Mensaje por **msc hotline sat** » 14 Mar 2006, 16:33

No sé lo que ha empleado al respecto, pero la relacion es correcta, por unidad de tiempo, claro, pues en una ADSL asimetrica de 1 Mbps de bajada, el upload normalmente es de 200 kbps

Tenía un spysweeper que le incordiaba mucho, pero ahora ya está eliminado. A última hora de esta tarde subiremos la 11.33 del ELISTARA que conviene que pruebes, por controlar nuevo SpyFalcon, no sea que lo tuvieras y si ya no detectas nada, señal de que ya estás limpio.

Informanos del resultado, gracias

saludos

ms, 14-3-2006

Mensaje por **flacoroo** » 15 Mar 2006, 16:33

en windows 2000 es comun que suceda eso cuando no se tiene los parches requeridos bajate estos parches el MS04-011 Ms04-012 y MS06-01 y los instalas....

nos dices como te fue....

Mensaje por **msc hotline sat** » 15 Mar 2006, 16:41

Efectivamente, y lo mas apropiado para ello es lanzar un windowsupdate e instañar los que falten, una vez instalados los Service Pack hasta el SP4

saludos

ms, 15-3-2006

xavjane · Mensaje por **xavjane** » 15 Mar 2006, 18:51

Bueno, pues instale los updates mde Windows indicados, y pase el ELISTARA 11.33.

Parece que todo esta bien, pero adjunto el log por si acaso:

Wed Mar 15 12:27:54 2006

EliStartPage v11.33 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Wed Mar 15 12:29:30 2006

EliStartPage v11.33 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Luis\Desktop\XoftSpy421_160.exe --> AutoExtraible

C:\Program Files\EurobetPoker\uninst.exe --> AutoExtraible

C:\Program Files\XoftSpy\uninstall.exe --> AutoExtraible

Muchisimas gracias por la ayuda.

xavier

Mensaje por **msc hotline sat** » 15 Mar 2006, 19:49

Pues todo correcto, t ta solucionado el problema, procedemos a cerrar el Tema

saludos

ms, 15-3-2006