¿Problema con un virus?

[Fenix]

Hola a todos pido vuestra ayuda para mi caso, a continuacion os lo digo:



Todo comienza esta mañana cuando enciendo el ordenador, me conecto a internet (todo normal), pero cuando me conecto el e-mule algo sucedio porque el internet norton security no paro de enviarme mensajes de que un archivo llamado Rf2lgua.exe queria acceder a internet y tb otro archivo cuyo nombre no recuerdo me los marcaba como peligroso su acceso a internet (lo tipico ya sabeis).



Yo decidi de restaurar el ordenador a un estado anterior para solucionar el asunto, total me restaura el ordenador pero cual es mi sorpresa cuando al volver de la restauracion me salta un mensaje de error diciendome que el archivo framedyn.dll no se encuentra (es del archivo explorer.exe) y esto no queda asi si no que ademas tanto el norton antivirus 2006 como el security internet no aparecen sus iconos en junto al reloj o sea que estan incapacitados o algo asi.



¿Alguien me puede ayudar?



PD:En el administrador de tareas en encontrado un proceso que no recuerdo haberlo visto nunca se llama, UPdate_0711_KB2291329.EXE. Gracias por vuestra atencion.

[msc hotline sat]

Para solucionar lo del problema con framedyn.DLL, mira lo que dice microsoft al respecto:



http://support.microsoft.com/kb/319114/es



Del otro fichero Rf2lgua.exe no hay informacion, asi que envianos dicho fichero y lo analizaremos:



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 30-11-2007







nota: y ten presente que eso es lo mas probable que te pase en conexiones P2P...

[Fenix]

Hola otra vez, gracias por lo del framedyn.dll lo he solucionado como me indicaste y no me ha vuelto a salir.



Respecto al archivo ese te lo enviare ahora mismo, lo recibiras en una direccion nueva ya que la que figura en mi perfil esta anticuada y la deje hace tiempo, por supuesto en un winrar.



¿que me dices del otro proceso tan raro que puse en el PD?

Aprovecho para decirte otros procesos que no me suenan a ver si los conoces:



UAService7.exe

NAVAPSVC.EXE

NISUM.EXE

CCSETMGR.EXE

lsass.exe



A ver que te parecen estas cosas, lo unico preocupante ahora es que sigo con los antivirus desconectados, ah! y le he pasado el Elibagla ese y no me ha encontrado nada.

[msc hotline sat]

Pues para el segundo proceso que indicaba ya se le dijo que enviara la muestra al no haber datos al respecto, y de los demas que indicam si usa SECUROM, WINDOWS, Y NORTON, son procesos de dichas aplicaciones, como verá si entra dichos nombres en el Google.



saludos



ms, 30-11-2007

[Fenix]

Perdona que fallo, te he enviado el primer archivo, y ahora te voy a poner el informe que me han hecho el antivirus on-line panda (lo hize desde el link que teneis en esta pagina):





Adware:Adware/AVSystemCare No desinfectado C:\WINDOWS\system32\adsldpt.dll

Spyware:spyware/petro-line No desinfectado C:\Documents and Settings\Manuel P\Favoritos\sites about\Ab scissor.url

Adware:adware/cydoor No desinfectado Registro de Windows

Adware:adware/powerstrip No desinfectado Registro de Windows

Virus:Trj/Clicker.ADZ Desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\2NMRIHEJ\222[1].gif

Virus:Trj/Clicker.ADZ Desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\2NMRIHEJ\222[2].gif

Virus:Trj/VB.WQ Desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\2NMRIHEJ\223[2].gif

Herramienta potencialmente no deseada:Application/WinAntivirus No desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\2Z2HED8L\WinAntiVirusPro2007FreeInstall_es[1].exe

Hacktool:Exploit/Metafile No desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\SXS1YRCP\c[1].wmf

Hacktool:Exploit/Metafile No desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\SXS1YRCP\c[2].wmf

Herramienta potencialmente no deseada:Application/WinAntiVirus2007 No desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\ULOJENON\WinAntiVirusPro2007FreeInstall_es[1].cab

Virus:Trj/Downloader.NIO Desinfectado C:\Documents and Settings\Manuel P\Configuración local\Archivos temporales de Internet\Content.IE5\WT6N492R\install_es[1].exe

Spyware:Cookie/888 No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@888[2].txt

Spyware:Cookie/888 No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@888[3].txt

Spyware:Cookie/YieldManager No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@ad.yieldmanager[1].txt

Spyware:Cookie/Adrevolver No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@adrevolver[1].txt

Spyware:Cookie/Adrevolver No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@adrevolver[3].txt

Spyware:Cookie/PointRoll No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@ads.pointroll[1].txt

Spyware:Cookie/ads.tripod.lycos.com No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@ads.tripod.lycos[2].txt

Spyware:Cookie/Adserver No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@adserver.easyad[1].txt

Spyware:Cookie/Adserver No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@adserver.terra[1].txt

Spyware:Cookie/adultfriendfinder No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@adultfriendfinder[1].txt

Spyware:Cookie/Advertising No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@advertising[2].txt

Spyware:Cookie/Atlas DMT No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@atdmt[2].txt

Spyware:Cookie/Serving-sys No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@bs.serving-sys[1].txt

Spyware:Cookie/Casalemedia No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@casalemedia[1].txt

Spyware:Cookie/Cassava No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@cassava[1].txt

Spyware:Cookie/Cgi-bin No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@cgi-bin[1].txt

Spyware:Cookie/Cgi-bin No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@cgi-bin[5].txt

Spyware:Cookie/Cgi-bin No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@cgi-bin[7].txt

Spyware:Cookie/Com.com No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@com[1].txt

Spyware:Cookie/Sextracker No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@counter3.sextracker[1].txt

Spyware:Cookie/Doubleclick No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@doubleclick[1].txt

Spyware:Cookie/FastClick No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@fastclick[2].txt

Spyware:Cookie/fe.lea.lycos No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@fe.lea.lycos[1].txt

Spyware:Cookie/Go No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@go[1].txt

Spyware:Cookie/MediaTickets No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@kinghost[1].txt

Spyware:Cookie/Mediaplex No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@mediaplex[1].txt

Spyware:Cookie/Overture No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@overture[1].txt

Spyware:Cookie/AspinallsOnlineCasino No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@pacificpoker[2].txt

Spyware:Cookie/PayCounter No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@paycounter[1].txt

Spyware:Cookie/QuestionMarket No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@questionmarket[2].txt

Spyware:Cookie/RealMedia No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@realmedia[1].txt

Spyware:Cookie/Serving-sys No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@serving-sys[2].txt

Spyware:Cookie/SexList No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@sexlist[1].txt

Spyware:Cookie/Sextracker No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@sextracker[1].txt

Spyware:Cookie/onestat.com No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@stat.onestat[1].txt

Spyware:Cookie/Statcounter No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@statcounter[2].txt

Spyware:Cookie/WebtrendsLive No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@statse.webtrendslive[2].txt

Spyware:Cookie/Tradedoubler No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@tradedoubler[2].txt

Spyware:Cookie/Traffic Marketplace No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@trafficmp[1].txt

Spyware:Cookie/Tribalfusion No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@tribalfusion[1].txt

Spyware:Cookie/Weborama No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@weborama[2].txt

Spyware:Cookie/Xiti No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@xiti[1].txt

Spyware:Cookie/Yadro No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@yadro[1].txt

Spyware:Cookie/Zedo No desinfectado C:\Documents and Settings\Manuel P\Cookies\manuel p@zedo[1].txt

Virus:Trj/ClassLoader.AH Desinfectado C:\Documents and Settings\Manuel P\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\cnte-dhncgts.jar-65a44f89-236c8f1f.zip[BnnnnBaa.class]

Virus:Trj/ClassLoader.AH Desinfectado C:\Documents and Settings\Manuel P\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\cnte-dhncgts.jar-65a44f89-236c8f1f.zip[VaannnaaBaa.class]

Virus:Trj/ClassLoader.AH Desinfectado C:\Documents and Settings\Manuel P\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\cnte-dhncgts.jar-65a44f89-236c8f1f.zip[Bnnnnn.class]

Hacktool:Exploit/ByteVerify No desinfectado C:\Documents and Settings\Manuel P\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\ie0502b.jar-188ab8fb-34e38fd1.zip[NewSecurityClassLoader.class]

Hacktool:Exploit/ByteVerify No desinfectado C:\Documents and Settings\Manuel P\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\ie0502b.jar-188ab8fb-34e38fd1.zip[NewURLClassLoader.class]

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Help desk software.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Insurance home.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Loan for debt consolidation.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Order phentermine.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Payroll advance.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Prescription Drugs Rx Online.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\Unsecured bad credit loans.url

Virus:Generic Trojan Desinfectado C:\Documents and Settings\Manuel P\Favoritos\Sites about\What is hydrocodone.url

Virus:Trj/Cimuz.GP Desinfectado C:\syslhoy.exe

Virus:Bck/Haxdoor.H Desinfectado C:\WINDOWS\KB885836.log:sudic

Virus:Bck/Haxdoor.H Desinfectado C:\WINDOWS\KB893086.log:woygsw

Adware:Adware/QuickWeb No desinfectado C:\WINDOWS\setupact.log:joxlu

Adware:Adware/QuickWeb No desinfectado C:\WINDOWS\winamp(2).ini:alhmdn

Adware:Adware/Startpage.VQ





PD: Espero que no te lies con esto. Gracias.

[lucl]

Primero instalate un antiespias para las cookies, te recomiendo uno que a mi me gusta bastante



http://www.zonavirus.com/descargas/spybot-sd.asp



lo instalas actualizas y lo pasas, ademas de que puedes inmunizar el pc y nos comentas resultados de esto ademas pasa elistara en tu pc y nos pegas el log que te dejara en C infosat.txt saludos





http://www.zonavirus.com/descargas/elistara.asp

[Fenix]

He pasado el elistara y cuando lo inicie antes de iniciar la exploracion creo que se puso a eliminarme los archivos temporales de internet ahsta que al final que puso un mensaje diciendo "Eliminado troyano, Alexa, Winad"



Y acontinuacion os pongo lo de la exploracion:



Wed Apr 04 23:16:34 2007

EliBagle v10.34 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Wed Apr 04 23:16:35 2007

EliBagle v10.34 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Fri Nov 30 11:17:24 2007

EliBagle v10.75 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Fri Nov 30 11:17:34 2007

EliBagle v10.75 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3374

Nº Total de Ficheros: 152413

Nº de Ficheros Analizados: 9855

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Fri Nov 30 22:55:54 2007

EliStartPage v15.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\PROGRAM FILES\MEDIA ACCESS\MEDIAACCK.EXE --> Eliminado

C:\Documents and Settings\Manuel P\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Eliminada Carpeta "%WinSys%\Wsnpoem"

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Nov 30 23:16:32 2007

EliStartPage v15.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\CMDLINEEXT03.DLL --> Eliminado, Spy-CmdLineExt

C:\WINDOWS\system32\SINTF32.DLL --> Eliminado, Spy-CmdLineExt

C:\WINDOWS\system32\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt



Nº Total de Directorios: 3473

Nº Total de Ficheros: 39012

Nº de Ficheros Analizados: 13356

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3





PD: Gracias, luego os contare que tal lo del antiespias.

[lucl]

Y ten en cuenta que te faltan dos parches importantes , que aconsejo actualizes pero blindar un poco mas tu pc, saludos

[msc hotline sat]

Especialmente arranca en modo segur0 y lanza el SPYBOT que te indica lucl, y de nuevo el AV ONLINE, pues veo en el informe que solo ha podido desinfectar unos cuantos, y me temo que ha sido por estar en uso al arrancar en modo normal.



saludos



ms, 1-12-2007

[Fenix]

Utilize el spybot y me ha reparado 6 virus de esos que tenia, tan solo me queda hacerlo en arranque modo seguro, ¿que parches son los que necesitaria? ¿son para el windows xp?





PD: Acabo de leer en una noticia que alerta antivirus descubrio un virus a traves de emule y que ocurre lo mismo que me ha pasado a mi (antivirus desactivados...) ¿sabeis mas informacion respecto a este virus porque yo sigo buscando informacion.

[lucl]

Pues los parches son estos y si, son para windows xp





No detectado [b]Parche MS06-001 [/b]de Microsoft instalado. (WMF)

No detectado [b]Parche MS06-070 [/b]de Microsoft instalado. (SServidor)



y en cuanto a los virus que hacen eso hay varias especies jejej, el mas famoso de los ultimos tiempos es el bagle, pero no el unico, y que en tu caso no parece ser el que te afecto...

saludos

[msc hotline sat]

Y si te preocupa uno especial que te indique "Alerta antivirus", dinos cual, pues la mayoria de los actuales desactivan los servicios antivirus...



saludos



ms, 2-12-2007

[msc hotline sat]

Recibida muestra enviada, se detectan rutinas viricas y se pasa a controlar con el ELISTARA de hoy 15.18



Esta noche lo pruebas y nos posteas el infosat, gracias:




[quote]http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]





saludos



ms, 3-12-2007