Virus portugues msn

Prometeo32 · Mensaje por **Prometeo32** » 13 Oct 2006, 20:29

Os cuento mi caso. Me entro el virus este portugues de las fotos.zip este del msn. Pase el antivirus (avast) lo detecto pero no lo borro, asi q lo hice manualmente. Fui a Ejecutar_msconfig y ahi estaba marcado, asi q lo desmarque. Tb lo elimine de Ejecutar_regedit_ht local machine_sofware-microsoft-windows-currentversion-run... era algo asi como netdoll o asi. Pero nada, me sigue sin funcionar internet. VOy a instalar el router y no me lo reconoce. Q hago??? Gracias

PD: tengo win98 SE

Mensaje por **flacoroo** » 13 Oct 2006, 20:43

bajate el programita Elistara desde descargas de la pagina principal y lo ejecutas reiniciando tu compu en modo seguro...

nos dices como te fue

Mensaje por **msc hotline sat** » 14 Oct 2006, 07:38

No debe manipularse el registro sin total conocimiento de causa !!!

Sino, acostumbra a ser peor el remedio que la enfernedad ...

Mire de restaurar el registro y dejarlo como estaba y si no lo sabe, vea si tiene un punto de restauracion reciente y apliquelo

Para acceder facilmente a la correspondiente utilidad de microsoft al respecto, pruebe utilizar el ELRESTRUI.EXE

y como apunta flacoroo, con lanzar el ELISTARA hubiera sido suficiente para eliminar dicho virus, tanto de ficheros como del registro !

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras lanzarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 14-10-2006

Prometeo32 · Mensaje por **Prometeo32** » 14 Oct 2006, 17:20

LE pase el elistara y el otro y me ponia esto:

Sat Oct 14 00:20:57 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\WINDOWS\NDNUNINSTALL6_38.EXE --> Eliminado NewDotNet Uninst

Restaurado WinSock2 (LSPs) -> (NewDotNet)

Entrada Eliminada [HKLM\...\Run] "dmtmy.exe"="C:\WINDOWS\SYSTEM\dmtmy.exe"

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.114.24,85.255.112.235

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sat Oct 14 00:23:10 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\WINDOWS\SYSTEM\ICPLDRVX.EXE --> Eliminado, PWS-Banker

C:\WINDOWS\Escritorio\EWIDO-SETUP.EXE --> AutoExtraible

C:\kav\personal5\spanish\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

Sat Oct 14 00:27:58 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.114.24,85.255.112.235

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sat Oct 14 00:30:25 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\WINDOWS\Escritorio\EWIDO-SETUP.EXE --> AutoExtraible

C:\kav\personal5\spanish\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

Sat Oct 14 00:35:50 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.114.24,85.255.112.235

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sat Oct 14 10:33:35 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.114.24,85.255.112.235

Sat Oct 14 10:34:30 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\WINDOWS\Escritorio\EWIDO-SETUP.EXE --> AutoExtraible

C:\kav\personal5\spanish\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

Sat Oct 14 10:40:12 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.114.24,85.255.112.235

EL archivo msgplusloader.dll no me dejaba eliminarlo xq windows lo estaba ejecutando. Lo desmarque de msconfig y ahora puedo eliminarlo,pero no se si hacerlo. Gracias.

PD: como q mi DNS no es de mi ISP?

Mensaje por **msc hotline sat** » 15 Oct 2006, 00:34

Pues ojo con estos servidores de DNS !!!

85.255.114.24,85.255.112.235

Tienes como servidores de DNS unos de UKRAINA considerados maliciosos:

DNS Server ukraina malicious: 85.255.114.24

UA Ukraine 07 Kharkivs\\\'ka Oblast\\\' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company 85.255.112.235 UA Ukraine 07 Kharkivs\\\'ka Oblast\\\' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Tras informarte con tu ISP de cuales te recomiendan, puedes probar cambiarlos con CONFGDNS.EXE

CONFGDNS.EXE

http://www.zonavirus.com/descargas/confgdns.asp

saludos

ms, 15-10-2006

Prometeo32 · Mensaje por **Prometeo32** » 15 Oct 2006, 18:05

Hola me he bajado el programa ese q me has puesto. Como sé los ISP? Tengo Orange contratado, tengo q llamarlos a ellos? Gracias

Pase el hijackthis y esto es lo q me pone:

Logfile of HijackThis v1.99.1

Scan saved at 15:48:08, on 15/10/06

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SYSTEM\STIMON.EXE

C:\WINDOWS\SYSTEM\LVCOMSX.EXE

C:\ARCHIVOS DE PROGRAMA\LOGITECH\VIDEO\LOGITRAY.EXE

C:\ARCHIVOS DE PROGRAMA\WINAMP\WINAMPA.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE

C:\ARCHIVOS DE PROGRAMA\WINDOWS MEDIA COMPONENTS\ENCODER\WMENCAGT.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\ARCHIVOS DE PROGRAMA\LOGITECH\VIDEO\FXSVR2.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\WINDOWS\ESCRITORIO\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\ARCHIVOS DE PROGRAMA\TECHSMITH\SNAGIT 7\SNAGITBHO.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\ARCHIVOS DE PROGRAMA\TECHSMITH\SNAGIT 7\SNAGITIEADDIN.DLL

O4 - HKLM\..\Run: [ScanRegistry] C:\Windows\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\Windows\taskmon.exe

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE

O4 - HKLM\..\Run: [LVCOMSX] C:\Windows\SYSTEM\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [cswic.exe] cswic.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - Startup: Avisos del Calendario de Microsoft Works.lnk = C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\wkcalrem.exe

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: Encoder Agent.lnk = C:\Archivos de programa\Windows Media Components\Encoder\WMENCAGT.EXE

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://chechu86.spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game01.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://80.34.13.117:2040/activex/AxisPlayer.cab

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712/6c5b0a1ae398e3/player.virtools.com/downloads/player/Install2.5/Installer.exe

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 85.255.114.24,85.255.112.235

Mensaje por **msc hotline sat** » 15 Oct 2006, 18:34

ENVIAR MUESTRA

O4 - HKLM\..\Run: [cswic.exe] cswic.exe

eliminar:

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712/6c5b0a1ae398e3/player.virtools.com/downloads /player/Install2.5/Installer.exe

Y PERSISTEN LOS SERVIDORES DE DNS DE UKRAINA:

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 85.255.114.24,85.255.112.235

(PERO MO ELIMINE ESTA LIUNE O SE QUEDARIA SIN PODER NAVEGAR !!!) => UTILICE la utilidad indicada, tras preguntar a si ISP (Orange) los servidores de DNS que recomiendan

y recuerde que el windows 98 ya esta obsoleto y no actualizan parches !!!

saludos

ms, 15-10-2006

Mensaje por **msc hotline sat** » 15 Oct 2006, 18:36

ENVIAR MUESTRA

O4 - HKLM\..\Run: [cswic.exe] cswic.exe

Todas las muestras que pedimos al respecto, nos las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF <nick que usa en el foro>" y asi podremos informarle si hay alguna incidencia sobre el particular, gracias.

Tras recibirlas, las analizaremos e implementaremos su control y eliminación, si procede, en nuestras utilidades, de lo cual informaremos en el foro, como siempre.

eliminar: (Arranque en modo seguro y lance el HJT, marque la casilla de la izquierda de estas claves y eliminelas con FIX CHECKED)

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712/6c5b0a1ae398e3/player.virtools.com/downloads /player/Install2.5/Installer.exe

Y PERSISTEN LOS SERVIDORES DE DNS DE UKRAINA:

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 85.255.114.24,85.255.112.235

(PERO MO ELIMINE ESTA LIUNE O SE QUEDARIA SIN PODER NAVEGAR !!!) => UTILICE la utilidad indicada, tras preguntar a si ISP (Orange) los servidores de DNS que recomiendan

y recuerde que el windows 98 ya esta obsoleto y no actualizan parches !!!

saludos

ms, 15-10-2006

Prometeo32 · Mensaje por **Prometeo32** » 15 Oct 2006, 18:55

HE decidido q la solucion es instalar XP y me kito de lios, creo q va a ser lo mejor... Gracias.

Mensaje por **msc hotline sat** » 15 Oct 2006, 19:01

Decision acertada, pero envienos antes la muestra por si la instala de nuevo en el XP...

saludos

ms, 15-10-2006

NOTA: Y con el XP no se olvide de instalar los parches al día... y que se actualicen automaticamente

saludos

ms, 15-10-2006

Prometeo32 · Mensaje por **Prometeo32** » 15 Oct 2006, 19:08

Perdona, te mando la muestra del CONFGDNS.EXE?? no entiendo lo de por si se instala en el XP.Gracias

Mensaje por **msc hotline sat** » 15 Oct 2006, 19:12

nO HOMBRE, LA UTILIDAD ES NUESTRA Y LA ENVIE YO AL FORO ! :lol:

lA MUESTRA ES DEL cswic.exe

saludos

ms, 15-10-2006

Mensaje por **msc hotline sat** » 16 Oct 2006, 19:07

Si nos envió la muestra, pruebe las nuevas versiones ya disponibles en esta web:

https://foros.zonavirus.com/viewtopic.php?p=70437#70437

saludos

ms 16-10-2006