Vundo6

[spower]

Hola!



Tengo otro problemilla con otro ordenador; no paran de aparecer ventanas con publicidad de antivirus y demás publicidad.



El EliStar ha conseguido eliminar varios archivos, pero queda uno que se niega :evil:



Os adjunto el InfoSat:



Sat Sep 22 00:21:47 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Class, "{CF46BFB3-2ACC-441B-B82B-36B9562C7FF1}" -> C:\WINDOWS\system32\jysitrha.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Sep 22 00:22:16 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\FCYYX.DLL --> Eliminado, Vundo6(notify)

C:\WINDOWS\system32\IIIFF.DLL --> Eliminado, Vundo6(notify)

C:\WINDOWS\system32\NNLJH.DLL --> Eliminado, Vundo6(notify)

C:\WINDOWS\system32\KHFCC.DLL --> Acceso Denegado, Vundo6(notify)

C:\WINDOWS\system32\JTHCGUOU.DLL.VIR --> Eliminado, Vundo8

C:\Documents and Settings\Evary\Configuración local\Temp\MJDBYKGK.DLL --> Eliminado, JuanSearch(BHO)

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP1\A0000347.DLL --> Eliminado, Vundo8

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP1\A0000354.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP1\A0000355.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP1\A0000356.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP1\A0000365.DLL --> Eliminado, Vundo8

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP4\A0000561.DLL --> Eliminado, Vundo8

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP5\A0000920.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP5\A0000921.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP5\A0000922.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP5\A0000923.EXE --> Eliminado, FotoMoto

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP5\A0000924.DLL --> Eliminado, JuanSearch(BHO)

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP7\A0000979.DLL --> Eliminado, Vundo6(notify)

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP7\A0000980.DLL --> Eliminado, Vundo6(notify)

C:\System Volume Information\_restore{0AF59319-765D-4E4A-9919-B5DCA421ADFE}\RP7\A0000981.DLL --> Eliminado, Vundo6(notify)

C:\WinLogon\FCYYX.DLL --> Eliminado, Vundo6(notify)

C:\WinLogon\NNLJH.DLL --> Eliminado, Vundo6(notify)

C:\Muestras\FCYYX.DLL.MUESTRA ELISTARTPAGE V14.62 --> Eliminado, Vundo6(notify)

C:\Muestras\FCYYX.DLL.MUESTRA ELISTARTPAGE V14.50 --> Eliminado, Vundo6(notify)

C:\Muestras\NNLJH.DLL.MUESTRA ELISTARTPAGE V14.62 --> Eliminado, Vundo6(notify)

C:\Muestras\JTHCGUOU.DLL.MUESTRA ELISTARTPAGE V14.63 --> Eliminado, Vundo8

C:\Muestras\BYBYHMGJ.DLL.MUESTRA ELISTARTPAGE V14.63 --> Eliminado, Vundo8





Muchas gracias.



Un saludo

[Claudia34]

Pues mientras descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:



Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp





Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.



Y no te vendria mal mientras probar los siguientes antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:



https://www.virustotal.com/es/



https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//



Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:



http://www.zonavirus.com/antivirus-on-line/





Saludos.

[Nelson Ayala]

Hola claudia, me podrias explicar, y no te preocupes por el lenguaje porque lo entenderé,por qué el desactivar restaurar el sistema trae mejores resultados?.gracias y saludos.

[lucl]

BIen, pues intenta enviarnos el que se resiste



C:\WINDOWS\system32\KHFCC.DLL --> Acceso Denegado, Vundo6(notify)





modo de envio en el link, nos comentas si pudiste, saludos



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

[msc hotline sat]

Bueno, este que dice lucl no hace falta que nos lo envies, pues al ser detectado como VUNDO 6 en la exploracion por cadenas, quiere decir que ya lo conocemos, y mas bien el problema es que no se ha podido eliminar, pero ahí entra que es un VUNDO 6 cargado desde el winlogon Notify, para lo que deberiamos haber notado que no tiene copiado el ELINOTIF.DLL y pedirlo, pero, o bien no nos ha posteado el final del infosat.txt o bien hay que revisar esta deteccion y falta de aviso de que hace falta DICHA dll.



En cualquier caso, como que ni arrancando en modo seguro se logra evitar que entre esta DLL en proceso debido a que se janza desde el notify, proceda con lo que indicamos a continuación:




[quote]

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp



Descargar los dos en una misma carpeta y probar el ELISTARA, tras lo cual reiniciar para terminar la eliminacion y luego postearnos el contenido de C:\infosat.txt para ver el resultado del proceso


[/quote]



______________



sobre la pregunta que hace Nelson:



En XP y en el obsoleto Milenium , existe la posibilidad de restaurar a un punto anterior en el que no se hubiera aun infectado o modificado cualquier cosa, y asi volver a la normalidad perdida.



Ello siempre y cuando se tenga activada la opción de Restauración de sistema, pero claro, ello implica tener protegida la carpeta de ficheros de programas y claves de registro donde ese guarde este histórico, para no ser borrados accidentalmente y perder la vuelta atrás.



Por ello, si bien es muy recomendable tener activada la restauracion de sistema, para poder accdeer a ella si se requiere, es necesario desactivarla cuando queremos eliminar un virus, para poder acceder a dicha carpeta y eliminarlo tambien si alli lo hubiera, pues de lo contrario podriamos restaurarlo al utilizar dicha restairación posteriormente a la desinfección.



Es por ello que para eliminar un virus, el proceso normal es:



1.- Desactivar la restaiuracion de sistema



2.- Arrancar en modo seguro



3.- Lanzar el antivirus o herramienta con el que se haya detectado





A esto hay las excepciones que confirman la regla, como por ejemplo en el caso del actualmente frecuente Bagle, que no permite arrancar en modo sgeuro, y gracias al ELIBAGLA

, se escanea la unidad deseada y si se detecta dicho virus, se detiene el virus en memoria, se desactiva la restauracion de sistema, se restaura dicha clave, se elimina el RootKit existente, se eliminan las claves creadas para lanzar el virus en cada reinicio y se eliminan los ficheros gusano creados, y luego se vuelve a restairar la restauracion de sistema, todo ello automáticamente, sin necesidad de hacerlo con el antivirus que, por otra parte, se encontrarían con la limitacion de no poder arrancar en modo seguro.



Por esto complementamos a los antivirus con nuestras utilidades, para facilitar la labor de detección y eliminacion de algunos virus atípicos, aunque tambien lo hagamos con algunos típicos antes de que los antivirus los conozcan y ya quedan en nuestras utilidades como el ELISTARA, ELITRIIP, ELIBAGLA y tropecientos mas que ayudan a salir de la crisis con mas facilidad y en menos tiempo.



Espero quede claro, Nelson, pero si quieres ampliacion sobre algo mas, por favor, postealo en Tema aparte, para no alargar este Tema, y lo contestaremos gustosamente, gracias.



saludos



ms, 22-09-2007

[spower]

He pasado el Elistara en modo a prueba de fallos teniendo el Elinotif en la misma carpeta.Sigue sin poder quitar el vundo6 ya he reiniciado y vuelto a pasar el Elistara y nada. Ahí os pego el Infosat.





Sat Sep 22 15:19:55 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Sep 22 15:20:00 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\KHFCC.DLL --> Acceso Denegado, Vundo6(notify)



Sat Sep 22 16:22:46 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Sep 22 16:23:11 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\KHFCC.DLL --> Acceso Denegado, Vundo6(notify)



Sat Sep 22 16:51:29 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Sep 22 16:51:33 2007

EliStartPage v14.69 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\KHFCC.DLL --> Acceso Denegado, Vundo6(notify)



Gracias.

[msc hotline sat]

Entonces estará lanzado desde antes del notify, posiblemente desde el Appinit, por lo cual has de eliminar dicho fichero arrancando en consola de recuperacion o poniendo el disco duro como esclavo de otro ordenador con similar sistema operativo.



Hazlo como quieras, pero una vez eliminado asi, ya no incordiará.



Cuentanos el resultado, gracias



saludos



ms, 22-09-2007