tengo un virus infostealer y no puedo sacarlo

[raquelaraceli]

hola





mi nombre es raquel y quisisera que me ayuden con un virus qeu tengo en mi pc,



infostealer/sistem32/berzk.dll





y no se que hacer, tengo un antivirus y lo detecto pero no lo elimina, prendo el pc y se activa y salen pantallas chiquitas a cada rato...



por favor alguien me puede ayudar, pero muy claramente porque no soy para nada experta....gracias





chauuuuuuuuu

[msc hotline sat]

Aqui tienes su descripcion:



http://research.sunbelt-software.com/threatdisplay.aspx?name=Trojan.Bersek&threatid=48628



envianos muestra de este fichero y la analizaremos:



infostealer/sistem32/berzk.dll



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



Tras ello implementaremos su control y eliminacion en nuestras utilidades, de lo cual informaremos



saludos



ms, 16-06-2007

[msc hotline sat]

No ha llegado el fichero solicitado, pero el que nos ha enviado SYSTEM00.EXE es detectado de entrada por McAfee como PWS Banker (cazapasswords)



En la version de hoy del ELISTARA 14.23 pasaremos a controlarlo y eliminarlo



A partir de las 20 h GMT estará disponible en esta web para evaluacion, descargalo pruebalo e infromanos del resultado:




[quote]ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso[/quote]



saludos



ms, 19-06-2007



NOTA: La ejecucion del fichero crea un REMOTE.CMD en la carpeta del sistema, pero del otro que pediamos: infostealer/sistem32/berzk.dll ni rastro .... puede tratarse de otro troyano, asi que si lo encuentra, envienoslo igualmente

(Inicio -> buscar ...)

[raquelaraceli]

Gracias

voy a descargar lo que me estan diciendo y acabo de enviar en fichero que me pidieron....discupen pero no sabia como hacerlo pero ahora si. lo envie a zonavirus@satinfo.es

[msc hotline sat]

Bien, pues mañana cuando volvamos al trabajo lo veremos y tras analizarlo, informaremos



saludos



ms, 19-06-2007

[raquelaraceli]

HOLA



COMO ME INDICARON DESCARGUE ELISTARA 14.23 Y BUSQUE TAMBIEN REMOTE.CMD Y LO ENCONTRE.



EN EL INFISAT.TXT SALE LO SIGUIENTE



Tue Jun 19 14:34:23 2007

EliStartPage v14.23 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\REMOTE.CMD --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\WINDOWS.EXE.Muestra EliStartPage v14.23

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WINDOWS.EXE --> Eliminado

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "hotdlll"="C:\WINDOWS\system32\remote.cmd"

Entrada Eliminada [HKLM\...\Run] "windows"="C:\WINDOWS\system32\windows.exe"

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Jun 19 14:45:40 2007

EliStartPage v14.23 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Jun 19 14:49:15 2007

EliStartPage v14.23 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE





LO UNICO QUE NO ENTIENDIENDO, ES QUE TODAVIA VEO EL FICHERO WINDOW/SISTEM32/BERZK.DLL ( YA LO MANDE A ENCRIPTADO COMO ME DIJERON PARA SU ANALISIS)

[msc hotline sat]

Pues ya ve que tiene otro del que le pedimos envie tambien muestra:





"Tue Jun 19 14:34:23 2007

EliStartPage v14.23 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\REMOTE.CMD --> Eliminado

[b]Por favor, envienos una muestra del fichero

C:\Muestras\WINDOWS.EXE.Muestra EliStartPage v14.23 "[/b]





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





y del fichero BERZK.DLL , el envio de la muestra no se lo elimina de su ordenador, salvo que el ELISTARA no moviera a carpeta de cuarentena para dejarlo fuera de circulacion, como en el caso del windows.exe:



C:\WINDOWS\SYSTEM32\WINDOWS.EXE --> Eliminado



se eliminó del la carpeta de sistema, tras copiarlo a la de C:\muestras, para dejarlo fuera de ciruclacion en el proximo reinicio



Cuando recibamos la muestra del fichero BERZK.DLL ya obraremos en consecuencia, y la de windows.exe, aunque esté "aparcado", tambien será eliminada de las claves de carga y ficheros correspondientes tras el analisis de la muestra que nos ha de enviar todavía.



saludos



ms, 20-06-2007



nota:



Para que vea otros ficheros y claves relacionados con este BERZK.DLL:



http://research.sunbelt-software.com/threatdisplay.aspx?name=Trojan.Bersek&threatid=48628

[msc hotline sat]

Hemos recibido el fichero BERZK.DLL y esta DLL está coruupta.



Mira si encuentras este EXE:



berseksvr.exe



compañero de dicha DLL, y si lo tienes nos lo envias para analizar, como ya sabes



saludos



ms, 20-06-2007