you didn´t say the magic word

kimiko_01 · Mensaje por **kimiko_01** » 15 Ene 2008, 18:39

Hola a todos, soy nuevo aqui, he entrado en la pagina pq tengo un problema con un posible virus.

Cuando arranco el ordenador me sale en fondo verde la frase "ah ah ah you didn´t say the magic word".

El caso es que arrancando desde cd no me detecta ningun virus, pero si formateo e instalo de nuevo el xp, al primer reinicio vuelvo a tener la frasecita de marras y el ordenador parao.

NO se que hacer. Que virus puede ser?

saludo

kimiko_01

Mensaje por **msc hotline sat** » 15 Ene 2008, 18:45

Se te ha ocurrido pensar en el maravilloso Google ???

http://www.google.es/search?hl=es&q=%22ah+ah+ah+you+didn%C2%B4t+say+the+magic+word%22&meta=

saludos

ms, 15-1-2008

kimiko_01 · Mensaje por **kimiko_01** » 15 Ene 2008, 18:51

Hola llevo toda la tarde buceando en el google.Estoy un poco desesperado, la verdad.

Mi problema es que no se que herramienta especifica utilizar para el virus. todos los antivirus que he probado no me detectan nada

saludos

Mensaje por **msc hotline sat** » 15 Ene 2008, 19:03

Prepara en otro ordenador un disquete formateado con sistema de arranque

Copiale nuestra utilidad COPYS.EXE

COPYS.EXE

http://www.zonavirus.com/datos/descargas/101/COPYS.asp

Arranca con él el ordenador infectado y ejecuta COPYS /SEGU

graba en el mismo disquete los ficheros que te cree dicha utilidad (seran copias de los sectores de MBR, BOOT y sectores reservados)

Empaqueta todos estos ficheros en un ZIP o RAR con password VIRUS y nos lo envias a zonavirus@satinfo.es indicando como asunto tu nick en el foro

Cuando lo recibamos lo analizaremos y te daremos la solucion como respuesta a este Tema

saludos

ms, 15-1-2008

kimiko_01 · Mensaje por **kimiko_01** » 17 Ene 2008, 17:30

Hola, solo deciros que acabo de enviaros el email con el archivo comprimido.

un saludo

kimiko_01

Mensaje por **msc hotline sat** » 17 Ene 2008, 19:05

Recibidos los ficheros se observa las particiones con datos de 2 Fujitsu y 1 Seagate, y en uno de los Fujistsu las marcas de un Norton Ghost , pero en ninguno de los sectores la frase de marras, "ah ah ah you didn´t say the magic word".

Diganos si esta frase está escrita en letras tipo ASCII, como de máquina de escribir, o tipo caracter gráfico, mayores y quizas con diseño.

Si son gráficas ya sabremos que no puede ser de sectores físicos, sino procesadas por una aplicacion de windows, en cuyo caso será de los programas que ha instalado, incluso cabe que pueda ser del sistema operativo modificado.

Si esto le ha pasado desde 1 de Enero 2008, podría ser de un troyano con payload de activacion a partir de este año, y que por ello no lo hubieran detectado antes, y podría estar instalado en cualquier programa o aplicacion, incluso en alguno que por falta de renovacion de licencia, el programador dejara prevista la activacion de dicha frase. Sabe si tienen algun programa sin licencia o shareware que haya expirado el plazo de pruebas ???

Contestenos lo indicado y, especialmente, si son caracteres graficos, y así sabremos que se ha de buscar en las aplicaciones, en cualquier caso prueben si arranca en modo segur0 y nos informan.

saludos

ms, 17-1-2008

kimiko_01 · Mensaje por **kimiko_01** » 17 Ene 2008, 22:31

hola,gracias por contestar tan rapido. Efectivamente uno d los dos discos esclavos es donde tengo guardada la imagen del c: con el ghost.esa imagen esta realizada despues de formatear e instalar el s.o. asi q no tiene virus ni tampoco ningun programa instalado.

las letras son ascii, no graficas.

como ya dije ningun antivirus me detecta nada ni el nod ni el nis, la imagen cargada funciona bien hasta q intentas acceder a los discos a traves de mi pc

saludos

Mensaje por **msc hotline sat** » 18 Ene 2008, 07:55

A amigo, esto ultimo es muy significativo...

Puede que un AUTORUN.INF, que se activa en el disco duro si accedes desde MI PC a la unidad donde resida, lance una aplicacion que muestre dicha palabra y espere respuesta correcta...

A lo mejor es ABRETE SESAMO :lol: :lol: :lol:

Bueno, ello deberíamos buscarlo apenas arrancado, sin que llegara a acceder a MIPC ni acceder a ninguna parte

Arranca en modo seguro con SOLO SIMBOLO DE SISTEMA, copia el ELISTARA.exe en C:\ y pruebalo en dicho modo o sino, desde C: escribe

dir c:\autorun.inf /a /s

y nos posteas el resultado. Si encuentras alguno, mira lo que hay dentro con un TYPE mismo

a ver si van por ahí los tiros :wink:

saludos

ms, 18-1-2008