infeciones sin solucion

[pepe tonio]

Saludos ! les cuento llevo 3 dias tratando de sacarme distintos tipos de infecciones que NOD32 detecto; pero no lo elimino. Me recomendaron usar SPYBOT SERCH & DESTROY y AD-AWARE Los use incluso en modo a prueba de fallos y estos me han limpiado, pero siempre permanece algun elemento invasor. ¿estare usando el antispyware correcto ?

Aca les mando reportes :



Se ha detectado infección con Variante modificada de Win32/Agent.NSG (Troyano) en la memoria operativa. No puede ejecutarse acción cuando el archivo está en la memoria operativa. Pulse en el botón [Sin acciones] para continuar con la desinfección de los discos locales. La infección en la memoria operativa ha sido originada en el archivo C:\Documents and Settings\Toño\Configuración local\Archivos temporales de Internet\Content.IE5\GHUBW5QB\3077ahntdksr[1].dll.



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:48:27, on 05/06/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Automatic Update\AutoUpdate.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\system32\VTTimer.exe

C:\Archivos de programa\Java\jre1.5.0_10\bin\jusched.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Java\jre1.5.0_10\bin\jucheck.exe

C:\Archivos de programa\FlashGet\flashget.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\WINDOWS\TEMP\Rar$EX02.657\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\vbpdtvdp.exe,

O1 - Hosts: 200.72.204.156 l2testauthd.lineage2.com

O1 - Hosts: 200.72.204.156 l2authd.lineage2.com

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_10\bin\jusched.exe"

O4 - HKLM\..\Run: [b8412273] rundll32.exe "C:\WINDOWS\system32\ofsomufh.dll",b

O4 - HKLM\..\Run: [BMbb7211ef] Rundll32.exe "C:\WINDOWS\system32\dwmkrbtw.dll",s

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')

O8 - Extra context menu item: &Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: &Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O15 - Trusted Zone: http://*.amadeusproweb.com (HKLM)

O15 - Trusted Zone: http://*.amadeusvista.com (HKLM)

O16 - DPF: {051FE707-9706-11D5-A836-000102A7C938} (Amadeus Automatic Update) - http://amadeusvista.com/AutomaticUpdate/AutoUpdateATL.CAB

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {266BB960-7DA8-11D4-A849-00008321B7D9} (Amadeus Cmd Page Cross Communication) - http://amadeusvista.com/vwp/common/cabs/VistaPWComms.CAB

O16 - DPF: {3D518D7D-422F-4787-AC71-10BB552E897B} (Amadeus_SP2_Patcher Class) - http://amadeusvista.com/vwp/common/cabs/SP2Patch.CAB

O16 - DPF: {665C05C1-517D-11D3-BE4A-00008322ED5D} (MSIInspect.Inspector) - http://amadeusvista.com/vwp/common/cabs/MSIInspect.CAB

O16 - DPF: {AF762FFA-AFE9-453E-89FF-C284D7A03B90} (SF.cls_SF) - http://ics.soporteamadeus.cl/app/sf.cab

O16 - DPF: {EBE01DF7-D451-11D5-A842-000102A97CAB} (AmadeusInit.Init) - http://amadeusvista.com/vwp/common/cabs/AmadeusInit.CAB

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: Amadeus Automatic Update - Amadeus - C:\Archivos de programa\Automatic Update\AutoUpdate.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: GoToAssist - Citrix Online, a division of Citrix Systems, Inc. - C:\Archivos de programa\Citrix\GoToAssist\482\g2aservice.exe

O23 - Service: MsSecurity Updated (MsSecurity1.209.4) - Unknown owner - C:\WINDOWS\444.471.exe (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe



--

End of file - 6042 bytes

[Claudia34]

Pues mientras esperas para ver lo que dicen sobre el log que pegaste, descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.





Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp



Y para complementar (opcional en algunos casos):



https://foros.zonavirus.com/viewtopic.php?f=5&t=18469





Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.



Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y para el tema de los autorun descargate del siguiente enlace el elipen:



http://www.zonavirus.com/descargas/elipen.asp



Saludos.

[lucl]

Cuando hayas pasado el elistara y el elitriip por favor pasate el online que te recomienda Claudia y nos pegas los log de todo, saludos

[Claudia34]

Y para mayor proteccion instalate si quieres el service pack 3.



Saludos.

[pepe tonio]

hola ! este es reporte que me dio al usar los programas :ELITRIP y ISTARA :



Sat Jun 07 01:57:37 2008

EliTriIP v4.77 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Junio del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:



Ademas realize un scan con una vercion pobre del AD -AWARE,este me indica que hay 2 elementos pero no dice de que son ni puede eliminarlos .

Hasta el momento los mismos problemas permanecen. D; ¿ algo falto por hacer ??

[lucl]

Pues algo no va bien porque solo nos has pegado el log de una parte del examen de elitriip. O no has pasado bien las herramientas o algo no va bien, repite analisis y peganos el log completo, saludos

[pepe tonio]

hola el reporte de inforeme es muy grande para copiarlo directo aca .ademas estas erramientas para publicar no me sirven ( como para adjuntar los archivos ) ¿ a que correo te puedo enviar los archivos de reportes ??



GRACIAS DE ANTEMANO !!!!

[Claudia34]

Por correo no se reciben los informes o logs porque justamente lo que se quiere es que todo usuario del foro que en algun momento por ejemplo tenga el mismo problema que tuviste pueda ver los logs ademas de los procedimientos de limpieza para asi proceder en consecuencia a solucionar el problema especifico.

Y tambien aclaro que no eres el unico que tiene que pegar informes largos, hubieron muchos usuarios que igual tuvieron que pegar los logs largos, una forma de hacerlo es pegando determinadas partes del log pero sin dejar alguna sin pegar, irias pegando en diferentes partes de apoco hasta completar es un poco tedioso pero asi son las normas.



Saludos.

[lucl]

Y `puedes copiarlos sin pegar las lineas 127 que intuyo te han salido, saludos

[flacoroo]

mandanos estos archivos a zonavirus@satinfo.es comprimidos y con la contraseña virus



F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\[color=#FF0000]vbpdtvdp.exe[/color]

O4 - HKLM\..\Run: [b8412273] rundll32.exe "C:\WINDOWS\system32\[color=#FF0000]ofsomufh.dll[/color]",b

O4 - HKLM\..\Run: [BMbb7211ef] Rundll32.exe "C:\WINDOWS\system32\[color=#FF0000]dwmkrbtw.dll[/color]",s

O23 - Service: MsSecurity Updated (MsSecurity1.209.4) - Unknown owner - C:\WINDOWS\[color=#FF0000]444.471.exe [/color](file missing)



despues que los hayas mandado con el fix de HijackThis los eliminas....

y despues haz esto:



bajate estos archivos, deshabilitas restaurar sistemas,y reinicias en modo seguro, los ejecutas y despues nos pegas el resultado de C:infosat.txt



[url=http://www.zonavirus.com/descargas/elistara.asp]Descargar Elistara[/url]

[url=http://www.zonavirus.com/descargas/elitriip.asp]Descargar ElitriIP[/url]

[url=http://www.zonavirus.com/descargas/elinotif.asp]Descargar Elinotiff[/url]