Problema virus MSN

colador · Mensaje por **colador** » 30 Nov 2007, 02:07

Hola , tengo un virus que se manda como Pics14.zip con el mensaje: Wooooow fantastic o fantastic hauahauahu pase el elistara y el elitrip y el panda online y msncleaner , y no detectan nada... espero su ayuda

evangelion_01 · Mensaje por **evangelion_01** » 30 Nov 2007, 06:18

Peganos tus logs de elistara y elitrip, copia y pegalo como respuesta a este tema, se encuentra en C:/infosat.txt

Mensaje por **msc hotline sat** » 30 Nov 2007, 07:25

No conocemos ni controlamos aun esta variante.

Envíanos dicho fichero y tras analizarlo, pasaremos a controlarlo: Pics14.zip y si con un inicio -> Buscar -> no lo encuentras, posteanos el log del HJT:

HJT : (HiJackThis)
¿Como utilizar el Hijackthis ?
Lo primero que debemos hacer es descargarlo en nuestro ordenador y ubicarlo en una carpeta propia C:\HijackThis\
Ejecútarlo y presionar el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.
Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema
· Descargar Hijackthis

Tras analizarlo, informaremos

saludos
ms, 30-11-2007

Mensaje por **msc hotline sat** » 30 Nov 2007, 13:47

Recibida la muestra, es efectivamente nueva variante de virus, aun muy poco controlada, pues los tres mosqueteros*, (McAfee, Kaspersky, Symantec y NOD-32) aun no la huelen:

VirusTotal escribió:File pics14.exe received on 11.30.2007 13:28:56 (CET)

Result: 7/32 (21.88%)
Antivirus Version Last Update Result
AhnLab-V3 2007.11.30.1 2007.11.30 -
AntiVir 7.6.0.34 2007.11.30 -
Authentium 4.93.8 2007.11.30 -
Avast 4.7.1074.0 2007.11.29 -
AVG 7.5.0.503 2007.11.29 -
BitDefender 7.2 2007.11.30 -
CAT-QuickHeal 9.00 2007.11.29 Backdoor.Agent.cvs
ClamAV 0.91.2 2007.11.30 -
DrWeb 4.44.0.09170 2007.11.30 -
eSafe 7.0.15.0 2007.11.29 -
eTrust-Vet 31.3.5338 2007.11.30 -
Ewido 4.0 2007.11.30 -
FileAdvisor 1 2007.11.30 -
Fortinet 3.14.0.0 2007.11.30 -
F-Prot 4.4.2.54 2007.11.29 -
F-Secure 6.70.13030.0 2007.11.30 Backdoor.Win32.Agent.cwc
Ikarus T3.1.1.12 2007.11.30 Backdoor.Win32.Agent.cwc
Kaspersky 7.0.0.125 2007.11.30 Backdoor.Win32.Agent.cwc
McAfee 5174 2007.11.29 -
Microsoft 1.3007 2007.11.30 -
NOD32v2 2695 2007.11.30 -
Norman 5.80.02 2007.11.29 -
Panda 9.0.0.4 2007.11.29 Suspicious file
Prevx1 V2 2007.11.30 Heuristic: Suspicious File With Covert Attributes
Rising 20.20.40.00 2007.11.30 -
Sophos 4.23.0 2007.11.30 -
Sunbelt 2.2.907.0 2007.11.30 -
Symantec 10 2007.11.30 -
TheHacker 6.2.9.145 2007.11.30 -
VBA32 3.12.2.5 2007.11.30 -
VirusBuster 4.3.26:9 2007.11.29 -
Webwasher-Gateway 6.6.2 2007.11.30 Virus.Win32.FileInfector.gen (suspicious)

Como que es un backdoor de IRC,. posiblemente otra variante del SDBOT, pasaremos a controlarla con el ELITRIIP de hoy 4.15 que estará disponible esta tarde:

http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos
ms, 30-11-2007

*NOTA: y en lugar de los Tres Reyes Magos, como hasta ahora decia, creo mejor añadir el indicado, y como que los tres mosqueteros eran cuatro ...

evangelion_01 · Mensaje por **evangelion_01** » 30 Nov 2007, 19:37

kaspersky si la detecto:
[quote]Kaspersky 7.0.0.125 2007.11.30 Backdoor.Win32.Agent.cwc [/quote]
habras querido decir avast

Mensaje por **lucl** » 30 Nov 2007, 20:28

En cualquier caso lo importante es que pase la nueva version de elitriip que ya esta en marcha y nos pegue el log que tendrá en C infosat.txt saludos

Mensaje por **msc hotline sat** » 01 Dic 2007, 08:03

Efectivamente, como decimos en viewtopic.php?f=11&t=22449

Con el ELITRIIP 4.15 detectamos como BackDoor.Agent.CWC a este "PICS14.EXE"

---v4.15---(30 de Noviembre del 2007) (Muestras de Sdbot(msn) "MSIMN.EXE y PARTY_JPG.ZIP", IRCBot.ACD o Checkout "MSNINET.EXE y LIBMSNS.DLL" y BackDoor.Agent.CWC "PICS14.EXE")

Pruebalo y tras ello nos posteas el contenido del c:\infosat.txt, gracias

saludos
ms, 1-12-2007