w32.myzor.fk@yf!!... ¬¬

[Mr. Nerd!]

Pues... Necesito su ayuda con este archivo w32.myzor.fk@yf...

Bien... Pues estaba en internet descargando musiquita :)... cuando de la nada salieron ventanas emergentes y cosas asi... lo primero que hice fue utilizar el spyware y me aparecian programas espia... habia uno muy raro que era PestTrap y algunos asi :s...

Despues inicie IE y me decia que tenia que descargar un programa y me dijo que tenia un virus llamado w32.myzor.fk@yf... y pues no he podido quitarlo, active el nod32 y otros programas y no tenia respuesta... despues descargue el mozilla firefox por que me han dicho que es mas seguro y me puse a buscar ayuda, y asi es como los encontre =P... vi lo que le pidieron hacer a otro usuario [Reiniciar maquina, usar modo seguro, ejecutar spyware, SpyBot, nod32, Easy Cleaner y HiJackThis] asi que lo hice tmbn... y justo ahora acabo de reiniciar la maquina, no he abierto IE por miedo a que vuelvan a salir todas esas cosas...



y esto es lo que obtuve //



Logfile of HijackThis v1.99.1

Scan saved at 11:16:51 a.m., on 03/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\notepad.exe

C:\Documents and Settings\Alex\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: (no name) - {8bf5b8fc-11cb-409f-8c91-4d4ca04a1b6d} - C:\Archivos de programa\iVideoCodec\isaddon.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Protection Bar - {1a29a79a-b9c8-44a9-bedf-7fadde3cf33f} - C:\Archivos de programa\iVideoCodec\iesplugin.dll

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O8 - Extra context menu item: Convertir a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe



... Espero y puedan ayudarme pq es la laptop que uso en mi escuela y aqui tengo todos mis trabajos...

Mil disculpas por las molestias y pues mis agradecimientos de antemano por tener un foro donde puedan ayudarnos :)...

[koga]

Pruebe con esta utilidad, la descarga y la ejecuta:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Una vez terminado el proceso, reinicia, y nos postea el contenido del archivo C:/Infosat.txt como respuesta a este tema para ver los resultados del proceso.







Saludos.

[msc hotline sat]

Ya nos dará link del Terma donde dice que le dijimos esto... "ejecutar spyware, SpyBot, nod32, Easy Cleaner " para obrar en consecuencia...



Tiene variantes del downloader Puper-Isa que debe eliminarlos el ELISTARA o pedirá que nos envie muestras para implementar su control y eliminacion en la proxima version (que hacemos diariamente)





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras lanzarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 3-11-2006

[Mr. Nerd!]

Ehmmm... lo ejecute y esto es lo que obtuve :)...





Fri Nov 03 15:32:21 2006

EliStartPage v12.64 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\PMSNGR.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\PMSNGR.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\PMMON.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\PMMON.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\ISAMINI.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\ISAMINI.EXE --> Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\ISADDON.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\IESPLUGIN.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\IESPLUGIN.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\ISAMONITOR.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\ISAMONITOR.EXE --> Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\IVIDEOCODEC\ISADDON.DLL --> Acceso Denegado.

Eliminada Class, "{1A29A79A-B9C8-44A9-BEDF-7FADDE3CF33F}" -> C:\Archivos de programa\iVideoCodec\iesplugin.dll

Eliminada Class, "{8BF5B8FC-11CB-409F-8C91-4D4CA04A1B6D}" -> C:\Archivos de programa\iVideoCodec\isaddon.dll

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

[msc hotline sat]

Pues ya ve las muestras que ha de enviarnos:



Por favor, envienos una muestra del fichero

C:\Muestras\PMSNGR.EXE.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\PMMON.EXE.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\ISAMINI.EXE.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\IESPLUGIN.DLL.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\ISAMONITOR.EXE.Muestra EliStartPage v12.64



Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64





y APARTE ACTUALIZAR LOS PARCHES DE MICROSOFT LANZANDO UN WINDOWSUPDATE !!!





Recordar:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 4-11-2006

[Mr. Nerd!]

Awww... El nod32 no me deja adjuntar ninguno de los archivos, me dice que son troyanos... que puedo hacer :P?...

[msc hotline sat]

Para que el envio no sea interceptado por los antivirus, desactivando el antivirus residente o arrancando en modo seguro, empaquetar el fichero infectado en un ZIP o RAR con password "VIRUS" y asi se encriptará de manera que nadie lo detecte



saludos



ms, 5-11-2006

[loen.deneff]

Hola, tengo mas o menos el mismo problema. He enviado el infotast a la direccion de correo electronico de zonavirus@info.es



Lo que no acabo de entender es lo del envio de pruebas.



Solo quereis el nombre o el archivo en si??



Muchas gracias

[msc hotline sat]

A la cuenta indicada solo se deben enviar muestras de posibles virus, esto es , ficheros sospechosos. Los logs del infosat, hijaclthis, etc, deben postearse en el foro, copiando su contenido, pues no son ficheros sospechosos, sino de informacion para el foro, asi que repita lo hecho pero en un post , por ejemplo de respuesta a este Tema, seleccionando, copiando y pegando en él, el contenido de dicho fichero



saludos



ms, 6-11-2006

[loen.deneff]

Mon Nov 06 13:00:34 2006

EliStartPage v12.64 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\RUNSRV32.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\PERFONT.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\PERFONT.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\PMSNGR.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\PMSNGR.EXE --> Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\PMMON.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\PMMON.EXE --> Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\ISAMINI.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\ISAMINI.EXE --> Renombrado a .VIR

Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\ISADDON.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\ISAMONITOR.EXE.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\ISAMONITOR.EXE --> Renombrado a .VIR

C:\WINDOWS\SYSTEM32\JAO.DLL --> Eliminado

C:\WINDOWS\SYSTEM32\OISO.BIN --> Eliminado

C:\WINDOWS\SYSTEM32\QUESTMOD.DLL --> Eliminado

C:\WINDOWS\SYSTEM32\UDPMOD.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\DAO360.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\DAO\DAO360.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\ISADDON.DLL.Muestra EliStartPage v12.64

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\VIDCODECS\ISADDON.DLL --> Acceso Denegado.

C:\Documents and Settings\a\Datos de programa\Microsoft\Internet Explorer\Quick Launch\SPYWARESTRIKE 2.5.LNK --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\svcp.csv --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\Winsub.xml --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Transponder"="C:\WINDOWS\system32\susp.exe"





Pero aun no entiendo que debo hacer con las muestras.



Y después de ejecutar el ELISTARA, cuando conecto internet me sale la pantallita adjunta.

[msc hotline sat]

Pues envienos los ficheros que se le piden, siguiendo las indicaciones de:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



y no vemos noinguna pantalla adjunta. cuentenoslo si quiere explicandolo

saludos



ms, 6-11-2006

[msc hotline sat]

Rercibidas las muestras, los troyanos se controlan y eliminan con el ELISTARA 12.65 ya disponible en esta web.



Los otros dos ficheros no son viricos



saludos



ms, 7-11-2006

[loen.deneff]

Hola, me he descargado el Elistara 62.66. Lo he ejecutado pero ha estado pensando mucho rato (mas de 1 hora) con una pantallita en blanco. Al final he reiniciado sin que hubiese acabado ya que me parecia muy raro.



Al final, ahora no me han salido muestras ni infotast.



Ademas cuando abro internet explorer, la pagina de inicio que se abre dice lo siguiente. about:blank.



Que debo hacer?



Muchas gracias.

[koga]

[b]Para loen.deneff:[/b]

Lo de la pagina en blanco lo soluciona abriendo el internet explorer y va a herramientas, opciones de internet... y al abrirse una ventana en el lugar donde dice pagina de inicio pone la que tenia antes o la que desee, luego le da aplicar y aceptar.

Para el elistara pruebe ejecutarlo en modo seguro y borre los archivos temporales antes de ejecutarlo, puede borralos con esta utilidad:

ELITEMPO

http://www.zonavirus.com/datos/descargas/70/EliTempo.asp



luego ejecute el elistara, reinicia y nos postea el contenido de el Infosat.





Saludos.

[loen.deneff]

Lo de la pagina que se abre, ya lo tengo claro.





Pero para volver a ejecutar el Elistara, comienza pero luego se queda una ventana en blanco sin terminar nunca el proceso.



Cuando ejecute el otro elistara. Una version inferior creo, funciono correctamente.



Pruebo con otro Elistara que no sea el 12.66 ???

o no sera lo mismo.



lo de Ejecutar en modo seguro, no se como se hace. Cuando doy a ejecutar no hay ninguna pestaña que me diga esa opcion.



Muchas gracias





Lo unico que sale de infotast cuando ejecuto el Elistara 12.66 es lo siguiente:



Wed Nov 08 12:47:56 2006

EliStartPage v12.66 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

[novatillo]

Para arrancar en modo seguro



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp





Saludos

[msc hotline sat]

y asi el ELISTARA no avanza en la exploracion del registto por estar corrupto o dañado, lanzalo desde DOS o desde Inicio -> ejecutar con la opcion /SALTAREG :



ELISTARA /SALTAREG



ello saltará este paso Y pasará al siguiente



saludos



ms, 8-11-2006