IE se ha infectado¡¡¡ayuda¡¡¡

jm_mai · Mensaje por **jm_mai** » 08 Dic 2007, 17:08

Hola buenas a ver si me pueden ayudar por favor....creo que se me ha metido algo en el ordenador ya que despuestes de darle a un archivo ejecutable(no era seguro)el ordenador se ha reiniciado y además ahora me sale cada vez que navego me sale un men se IE:"IE ha detectado un problema y debe cerrarse"que hago que estoy desesperada¡¡¡¡mil gracias¡¡

Mensaje por **lucl** » 08 Dic 2007, 17:30

Prueba elistara y peganos el log que te dejara en C infosat.txt saludos

http://www.zonavirus.com/descargas/elistara.asp

Mensaje por **msc hotline sat** » 08 Dic 2007, 20:56

Por si acaso, añade a la exploracion indicada el ELITRIIP :

[quote]http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

saludos

ms, 8-12-2007

jm_mai · Mensaje por **jm_mai** » 09 Dic 2007, 19:57

Muchas gracias por la ayuda os dejo aqui el infosat del elistara el elistrii no he podido lanzarlo ya que se me bloqueaba cada vez que lo ejecuto...ota cosa es que me ha salido un icono en el reloj de una cruz en fonfo rojo que se llama "security center balloon"bueno a ver que me cuentan gracias de ante mano:

Sun Dec 09 04:27:51 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\WVUVUUS]

Por favor, envienos una muestra del fichero

C:\WinLogon\WVUVUUS.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun Dec 09 04:31:22 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Nº Total de Directorios: 6255

Nº Total de Ficheros: 65111

Nº de Ficheros Analizados: 16915

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

Sun Dec 09 04:43:21 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

Sun Dec 09 04:52:58 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sistema Infectado por el Downloader.ConHook

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)

EliNotify v1.7.11.28 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINDOWS\SYSTEM32\wvuvuus.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\WVUVUUS"

Desinstalado EliNotif.dll

Sun Dec 09 04:59:19 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Eliminados Ficheros Temporales del IE

Sun Dec 09 19:53:40 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mensaje por **lucl** » 09 Dic 2007, 20:17

Bien pues debes enviarnos las muestras que se te solicitan que estaran en la carpeta mujestras en C y en la carpeta winlogon, te dejo link d emodo de envio, saludos

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

jm_mai · Mensaje por **jm_mai** » 09 Dic 2007, 21:03

Gracias, ya lo he enviado todo lo que me han pedido...gracias por la ayuda¡¡

Mensaje por **lucl** » 09 Dic 2007, 21:13

Pues mañana te lo analizaran y te diran algo al respecto, estate atenta al post, saludos

Mensaje por **msc hotline sat** » 09 Dic 2007, 21:21

Pues mañana cuando entremos en SATINFO analizaremos las muestras e informaremos.

Espero que mañana mismo te podamos ofrecer probar la nueva version que los controle

saludos

ms, 9-12-2007

jm_mai · Mensaje por **jm_mai** » 09 Dic 2007, 23:09

Muchas gracias¡¡¡¡¡

Mensaje por **msc hotline sat** » 10 Dic 2007, 13:22

Recibidos los dos .RAR, entran en proceso de analisis los ficheros que contenían.

A primera vista se huele Backdoor CVT y ConHook, pero ya veremos

Paralelamente a la monitorizacion, vamos a subirlos al VirusTotal a ver que nos dicen, y postearemos el resultado

saludos

ms, 10-12-2007

Mensaje por **msc hotline sat** » 10 Dic 2007, 13:26

El primero analizado indican ser un VUNDO, que creemos será de la familia CONHOOK como deciamos:

[quote]File WVUVUUS.DLL.Muestra_EliStartPage_ received on 12.10.2007 10:14:50 (CET)

Antivirus Version Last Update Result

AhnLab-V3 - - -

AntiVir - - -

Authentium - - -

Avast - - -

AVG - - BHO.CSY

BitDefender - - Trojan.Vundo.DRN

CAT-QuickHeal - - AdWare.Virtumonde.bhw (Not a Virus)

ClamAV - - Adware.Virtumonde-461

DrWeb - - Trojan.Virtumod.246

eSafe - - -

eTrust-Vet - - -

Ewido - - -

FileAdvisor - - -

Fortinet - - -

F-Prot - - -

F-Secure - - -

Ikarus - - not-a-virus:AdWare.Win32.Virtumonde.bhw

Kaspersky - - not-a-virus:AdWare.Win32.Virtumonde.bhw

McAfee - - -

Microsoft - - -

NOD32v2 - - Win32/Adware.Virtumonde

Norman - - W32/Virtumonde.IYV

Panda - - -

Prevx1 - - TROJAN.AGENT.GEN

Rising - - -

Sophos - - Mal/Swizzor-B

Sunbelt - - -

Symantec - - Trojan.Vundo

TheHacker - - -

VBA32 - - AdWare.Win32.Virtumonde.bhw

VirusBuster - - Adware.Vundo.V.Gen

Webwasher-Gateway - - Win32.UPXpacked.gen (suspicious)

Additional information

MD5: bf49aaf5d83ee6f578dc999550c32683 [/quote]

Mensaje por **msc hotline sat** » 10 Dic 2007, 13:34

y efectivamente el otro es un Backdoor CVT:

[quote]File WINEAK32.DLL received on 12.10.2007 13:27:12 (CET)

Antivirus Version Last Update Result

AhnLab-V3 2007.12.10.0 2007.12.10 -

AntiVir 7.6.0.40 2007.12.10 TR/Crypt.PEC2X.Gen

Authentium 4.93.8 2007.12.08 -

Avast 4.7.1098.0 2007.12.09 Win32:Dialer-FR

AVG 7.5.0.503 2007.12.09 Dialer.QKV

BitDefender 7.2 2007.12.10 MemScan:Trojan.Mezzia.XC

CAT-QuickHeal 9.00 2007.12.08 Trojan.Dialer.qn

ClamAV 0.91.2 2007.12.10 -

DrWeb 4.44.0.09170 2007.12.10 -

eSafe 7.0.15.0 2007.12.09 Suspicious File

eTrust-Vet 31.3.5366 2007.12.10 -

Ewido 4.0 2007.12.10 -

FileAdvisor 1 2007.12.10 -

Fortinet 3.14.0.0 2007.12.10 W32/BDoor.QN!tr

F-Prot 4.4.2.54 2007.12.08 W32/Dialer.E.gen!Eldorado

F-Secure 6.70.13030.0 2007.12.10 Trojan.Win32.Dialer.qn

Ikarus T3.1.1.12 2007.12.10 Trojan.Win32.Agent.qt

Kaspersky 7.0.0.125 2007.12.10 Trojan.Win32.Dialer.qn

McAfee 5181 2007.12.08 BackDoor-CVT

Microsoft 1.3007 2007.12.10 Trojan:Win32/Adialer.OP

NOD32v2 2712 2007.12.09 -

Norman 5.80.02 2007.12.07 W32/Smalldoor.AWIX

Panda 9.0.0.4 2007.12.09 Suspicious file

Prevx1 V2 2007.12.10 -

Rising 20.21.42.00 2007.12.07 -

Sophos 4.24.0 2007.12.10 Troj/Nebule-Gen

Sunbelt 2.2.907.0 2007.12.07 Trojan.Mezzia.XC

Symantec 10 2007.12.10 -

TheHacker 6.2.9.154 2007.12.10 Trojan/Dialer.qn

VBA32 3.12.2.5 2007.12.10 -

VirusBuster 4.3.26:9 2007.12.09 Dialer.DialXS.Gen!Pac.2

Webwasher-Gateway 6.0.1 2007.12.10 Trojan.Crypt.PEC2X.Gen

Additional information

File size: 22528 bytes

MD5: 8193307d4e7e5bf5c0562827bb5eaeac

SHA1: a899d48433623ac7e6f40aa2b6f6f23b7dfda483

PEiD: PECompact 2.xx (Slim Loader) --> BitSum Technologies

packers: PecBundle

packers: PE_Patch.PECompact, PecBundle, PECompact [/quote]

Con el ELISTARA 15.22 de hoy estará contemplado el control y eliminacion de dichas nuevas variantes.

saludos

ms, 10-12-2007

jm_mai · Mensaje por **jm_mai** » 10 Dic 2007, 14:27

Gracias por todo, entonces tengo que usar el elistara 15.22 no??pero no lo encuentro solo el 15.21...es valido tambien???gracias¡¡

Mensaje por **lucl** » 10 Dic 2007, 14:32

Espera que esta tarde anuncien que ya esta en marcha la nueva version de elistara, suele ser hacia las ocho o asi, una vez veas el post te lo descargas y lo pasas y nos pegas el resultado del log para que veamos la limpieza, saludos

Mensaje por **msc hotline sat** » 10 Dic 2007, 15:54

Efectivamente, la 15.22 es la version que estamos desarrollando hoy, y que una vez le hayamos implementado las cadenas de detección y las claves a restaurar para las muestras llegadas hasta ahora, la compilaremos y tras probarla la subiremos a esta web para evaluar.

Sobre las 19 horas GMT está previsto que ya esté disponible, avisaremos de ello, como siempre, cuando lo subamos.

saludos

ms, 12-10-2007

Mensaje por **msc hotline sat** » 10 Dic 2007, 18:27

Ya hemos subido las utilidades de hoy:

https://foros.zonavirus.com/viewtopic.php?p=122028#122028

Puedes probarlas e indicarnos el resultado, gracias

saludos

ms, 10-12-2007

jm_mai · Mensaje por **jm_mai** » 10 Dic 2007, 18:46

Biennnnnnnn¡¡¡¡¡¡¡¡¡¡¡de momento todo correcto soys los mejores muchisimas gracias por toda la ayuda, en serio gracias os dejo aqui el ultimo log:

Sun Dec 09 04:27:51 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\WVUVUUS]

Por favor, envienos una muestra del fichero

C:\WinLogon\WVUVUUS.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun Dec 09 04:31:22 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Nº Total de Directorios: 6255

Nº Total de Ficheros: 65111

Nº de Ficheros Analizados: 16915

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

Sun Dec 09 04:43:21 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

Sun Dec 09 04:52:58 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WVUVUUS] -> C:\WINDOWS\SYSTEM32\wvuvuus.dll

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\WVUVUUS.DLL.Muestra EliStartPage v15.21

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUVUUS.DLL --> Acceso Denegado.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sistema Infectado por el Downloader.ConHook

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)

EliNotify v1.7.11.28 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINDOWS\SYSTEM32\wvuvuus.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\WVUVUUS"

Desinstalado EliNotif.dll

Sun Dec 09 04:59:19 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

Eliminados Ficheros Temporales del IE

Sun Dec 09 19:53:40 2007

EliStartPage v15.21 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\WINEAK32]

Por favor, envienos una muestra del fichero

C:\WinLogon\WINEAK32.DLL

a "virus@satinfo.es". Gracias.

D:\Documents and Settings\MAI\Configuración local\Datos de programa\Microsoft\WALLPAPER1.BMP --> Eliminado (Fichero Complementario).

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Dec 10 18:28:04 2007

EliStartPage v15.22 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\WINEAK32] -> C:\WINDOWS\SYSTEM32\WINEAK32.DLL

C:\WINDOWS\SYSTEM32\WINEAK32.DLL --> BackDoor.CVT (notify) Renombrado a .VIR

Eliminada Class, "{FED51DF2-9644-4C58-9104-90244EDD6EEC}" -> C:\WINDOWS\system32\wvuvuus.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Dec 10 18:32:08 2007

EliStartPage v15.22 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Dec 10 18:32:13 2007

EliStartPage v15.22 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Muestras\WVUVUUS.DLL.MUESTRA ELISTARTPAGE V15.21 --> Eliminado, DownLoader.ConHook(notify)

C:\WINDOWS\system32\WINEAK32.DLL.VIR --> Eliminado, BackDoor.CVT (notify)

C:\WinLogon\WINEAK32.DLL --> Eliminado, BackDoor.CVT (notify)

C:\WinLogon\WVUVUUS.DLL --> Eliminado, DownLoader.ConHook(notify)

Nº Total de Directorios: 6253

Nº Total de Ficheros: 67803

Nº de Ficheros Analizados: 16912

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4

Mensaje por **msc hotline sat** » 10 Dic 2007, 18:53

Bien, pues el ELISTARA ha hecho su faena.

Tras reiniciar, diganos si persiste alguna anomalía o ya podemos dar el Tema por solucionado, gracias

saludos

ms, 10-12-2007

jm_mai · Mensaje por **jm_mai** » 10 Dic 2007, 23:29

En principio bien,aunque me aparecio el icono que os comente en el reloj pero creo que he podido desinstalarlo asi que mil millones de gracias y por mi parte es todo.gracias¡¡

Mensaje por **msc hotline sat** » 11 Dic 2007, 05:11

De acuerdo, pues damos por solucionado el Tema y procedemos a cerrarlo

Si nos necesitas de nuevo, ya sabes donde estamos

saludos

ms, 11-12-2007