SPYWARE

[Xocepe]

Hace unos días me encontre conque salia bastante repetido un baner de "gladiatus" en páginas donde nunca lo esperaba, entonces pensé que podría tratarse de spyware, porque también de la nada las actualizaciones automáticas se desactivaron. Al poco tiempo analice mi computadora con el AVG y salió que tenía unos troyanos. También corri el adaware 2008 y eliminó otros más, pero el problema continuaba. Decidí correr el ELISTARA pero por algun motivo no me dejó, entonces arranque en modo seguro y lo corrí, me detecto el Vundo y el Dwonload,Cook o algo así y me pidio el elinotif para eliminarlos. Descargué el elinotif y eliminé todo lo que se pudo, al punto que parece haber regresado todo a la normalidad. De hecho ya pude volver a activar las actualizaciones automáticas.



Me pidió que enviara muestras de 4 archivos que ya envié pero el problema que tengo radica en lo siguiente. En el msconfig, en la pestaña del startup veo que hay unos 6 commands que antes no tenía y que cada vez que desactivo se vuelven a activar. Los commands que aparecen son los siguientes:



Startup item---------Command------------------Location

hs_err_pid1908------\hs_err_pid1908.log------Common Startup

hs_err_pid2408------\hs_err_pid2408.log------Common Startup

hs_err_pid336--------\hs_err_pid336.log-------Common Startup

NTUSER---------------\NTUSER.DAT-------------Common Startup

ntuser.dat------------\ntuser.dat.LOG----------Common Startup

ntuser.ini-------------\ntuser.ini-----------------Common Startup



Lo extraño es que no se pueden desactivar ya que cada que lo cierro se vuelve a abrir además antes no estaban. Quiero saber si son parte del spyware que apareció o son de otra cosa.



Salu2

Xoce

[msc hotline sat]

Y donde has posteado el c:\infosat que se ha de copiar y pegar cuando pruebas el ELISTARA ???


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

Venga, postealo y veremos el proceso y lo que tienes, pero si es un VUNDO 9 ...(que no lo sé al no ver dicho informe), te recuerdo:



https://foros.zonavirus.com/informacion-sobre-vundo-9-control-y-eliminacion-t23759.html



saludos



ms, 28 de Agosto de 2008

[Xocepe]

Aqui esta lo que dejó el InfoSat. Quiero mencionar que son 2 días diferentes poruqe lo llegue a utilizar antes para remover algo, de cualquier forma lo dejo completo. Aparecen muchos análisis en los que no había bajado el elinotif. Dandole un ojo veo que apareció el Vundo9 booo :'( jaja después de leer el artículo contra el vundo 9 creo que tendré que instalar el linux o algo así, de cualquier forma espero su ayuda.





Sun Aug 10 21:08:09 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\CRSSCR.EXE --> Malware.CRSSCR Renombrado a .VIR

C:\WINDOWS\SYSMORTEM.TXT --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKCU\...\Run] "crsscr"="C:\WINDOWS\system32\crsscr.exe"

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Sun Aug 10 21:11:43 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\CRSSCR.EXE.VIR --> Eliminado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Aug 10 21:11:57 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Program Files\Adobe\Adobe Photoshop CS3\MATLAB\PSTOOLBOX.HTML --> Eliminado, MalWare.Celular

C:\Program Files\Synaptics\SynTP\Media\SYNTPCO2.DLL --> Eliminado, AutoRun.K

C:\SwSetup\Touchpad\SYNTPCO2.DLL --> Eliminado, AutoRun.K

C:\WINDOWS\system32\SYNTPCO2.DLL --> Eliminado, AutoRun.K



Nº Total de Directorios: 13947

Nº Total de Ficheros: 156765

Nº de Ficheros Analizados: 57735

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4



Tue Aug 26 00:21:52 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

Entrada Eliminada [HKLM\...\Run] "BM4c02b9b6"="Rundll32.exe "C:\WINDOWS\system32\hknxqklu.dll",s" (Vundo)

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

C:\WINDOWS\PSKT.INI --> Eliminado (Fichero Complementario).

Eliminada Carpeta "%WinDir%\PeerNet"

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 00:23:01 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 14140

Nº Total de Ficheros: 157993

Nº de Ficheros Analizados: 58199

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINDOWS\SYSTEM32\SSQPGFVN.DLL)

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)



Tue Aug 26 10:09:38 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

[WinLogon\Notify\JKKJAXXQ]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\JKKJAXXQ.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\SSQPGFVN.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\SSQPGFVN.DLL --> Renombrado a .VIR

Eliminada Class, "{79B1759B-2F1D-4E2B-AAA0-DC6AFF954894}" -> C:\WINDOWS\system32\ssqPgFVN.dll

Eliminada Carpeta "%WinDir%\PeerNet"

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 10:15:24 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 10:15:39 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 200

Nº Total de Ficheros: 6112

Nº de Ficheros Analizados: 5151

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)



Tue Aug 26 10:17:15 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 10:18:12 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 14141

Nº Total de Ficheros: 158001

Nº de Ficheros Analizados: 58201

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)



Tue Aug 26 10:50:28 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 10:50:46 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 14142

Nº Total de Ficheros: 158010

Nº de Ficheros Analizados: 58198

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINDOWS\SYSTEM32\WVUKLBRO.DLL)

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)



Tue Aug 26 14:42:34 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\JKKJAXXQ] -> C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll

Entrada Eliminada [HKLM\...\Run] "BM4c02b9b6"="Rundll32.exe "C:\WINDOWS\system32\jyuokyjb.dll",s" (Vundo)

[WinLogon\Notify\JKKJAXXQ]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\JKKJAXXQ.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKKJAXXQ.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\JYUOKYJB.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JYUOKYJB.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\WVUKLBRO.DLL.Muestra EliStartPage v16.84

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WVUKLBRO.DLL --> Renombrado a .VIR

C:\WINDOWS\PSKT.INI --> Eliminado (Fichero Complementario).

Eliminada Class, "{1DED78A3-9BBD-448E-B5AE-FE12F9D8F18F}" -> C:\WINDOWS\system32\wvUkLBrO.dll

Eliminada Carpeta "%WinDir%\PeerNet"

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Tue Aug 26 14:43:28 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 128

Nº Total de Ficheros: 1060

Nº de Ficheros Analizados: 534

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINDOWS\SYSTEM32\WVUKLBRO.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



EliNotify v1.8.07.30 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINDOWS\SYSTEM32\jkkJaxXQ.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\JKKJAXXQ"

Detectado Vundo9

Elininada Class {1DED78A3-9BBD-448E-B5AE-FE12F9D8F18F}

Elininado BHO {1DED78A3-9BBD-448E-B5AE-FE12F9D8F18F}

Desinstalado EliNotif.dll



Tue Aug 26 14:56:35 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WVUKLBRO.DLL.VIR --> Eliminado.

Eliminada Carpeta "%WinDir%\PeerNet"

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Aug 26 14:56:47 2008

EliStartPage v16.84 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 14142

Nº Total de Ficheros: 158016

Nº de Ficheros Analizados: 58200

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Perdón por haber olvidado postear esto.

SALU2

Xoce

[msc hotline sat]

Pues al final, con el ELINOTIF instalado, parece que el ELISTARA ha podido con todo.



Si persiste alguna anomalia puede que haya otras historias... En tal caso lance este AV ONLINE y posteenos el resultado, gracias:



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Y de las opciones a escanear, escoger MIPC, para examinarlo todo. Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, indicando la utilidad a probar para solucionarlo.





(Este análisis con el kaspersky es muy lento, vaya este aviso por delante, tras lanzarlo, cargar la actualización y escoger MIPC, dejarlo trabajar (puede tardar varias horas), y cuando haya acabado, con un copiar y pegar, pegarnos el informe indicado)



saludos



ms, 28 de Agosto de 2008

[Xocepe]

Aqui está el análisis de Kaspersky





-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

viernes, 29 de agosto de 2008 5:35:24

Sistema operativo: Microsoft Windows XP Professional, Service Pack 3 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 29/08/2008

Registros en la base antivirus: 1033844

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: standard

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Mi PC:

C:\



Estadísticas:

Número de objeros analizados: 168991

Virus encontrados: 6

Objetos infectados: 13 / 0

Objetos sospechosos: 0

Duración del análisis: 02:02:27



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgcore.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgrs.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgsched.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgui.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgwd.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgwdsvc.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson\user.dmp Object is locked saltado

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\History\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\Yo\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\History\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Yo\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\Yo\ntuser.dat.LOG Object is locked saltado

C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Monderb.gum saltado

C:\Muestras\JYUOKYJB.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Monder.ira saltado

C:\Muestras\SSQPGFVN.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Agent.aaqh saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\System Volume Information\tracking.log Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP73\A0031266.exe Infectados: Worm.Win32.AutoRun.lnk saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033470.EXE Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033471.EXE Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033474.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033584.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033690.dll Infectados: Trojan.Win32.Agent.aaqh saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033705.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033707.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033708.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033731.DLL Infectados: Trojan.Win32.Monderb.gum saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033732.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033740.dll Infectados: Trojan.Win32.Monderb.gum saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033764.EXE Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\change.log Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SchedLgU.Txt Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado

C:\WINDOWS\system32\config\OSession.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\kkbgtqbu.dll Object is locked saltado

C:\WINDOWS\system32\nnnoPGWq.dll Infectados: Trojan.Win32.Monderb.gum saltado

C:\WINDOWS\system32\pnykniyj.dll Infectados: Trojan.Win32.Monder.glg saltado

C:\WINDOWS\system32\sbfhnwnm.dll Infectados: Trojan.Win32.Monder.glg saltado

C:\WINDOWS\system32\SSQPGFVN.DLL.VIR Infectados: Trojan.Win32.Agent.aaqh saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

C:\WINDOWS\WinGUI32.exe Infectados: Trojan.Win32.Pakes.kec saltado

C:\WinLogon\JKKJAXXQ.DLL Infectados: Trojan.Win32.Monderb.gum saltado



Análisis completado.

[msc hotline sat]

Pues hay muestras que te ha pedido el ELISTARA y que tienes para enviarnos en C:\muestras:



C:\Muestras\JKKJAXXQ.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Monderb.gum

C:\Muestras\JYUOKYJB.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Monder.ira

C:\Muestras\SSQPGFVN.DLL.Muestra EliStartPage v16.84 Infectados: Trojan.Win32.Agent.aaqh



y aparte algunos en el RESTORE:



C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP73\A0031266.exe Infectados: Worm.Win32.AutoRun.lnk



C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033690.dll Infectados: Trojan.Win32.Agent.aaqh



C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033731.DLL Infectados: Trojan.Win32.Monderb.gum



C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033740.dll Infectados: Trojan.Win32.Monderb.gum



pero los que ahora estan molestando son:



C:\WINDOWS\system32\nnnoPGWq.dll Infectados: Trojan.Win32.Monderb.gum

C:\WINDOWS\system32\pnykniyj.dll Infectados: Trojan.Win32.Monder.glg

C:\WINDOWS\system32\sbfhnwnm.dll Infectados: Trojan.Win32.Monder.glg

C:\WINDOWS\WinGUI32.exe Infectados: Trojan.Win32.Pakes.kec

C:\WinLogon\JKKJAXXQ.DLL Infectados: Trojan.Win32.Monderb.gum



Pues renombra la extension de estos 5 ficheros últimos a .VIR, y envianoslos junto con los de la carpeta c:\muestras arriba indicados, para analizar y controlar en proximas versiones de nuestras utilidades, con las que tambien se eliminarán los del RESTORE, ya que son de las mismas variantes que los pedidos.





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 30 de Agosto de 2008

[Xocepe]

Perdón por la tardanza pero ya esto de vuelta con esto.



Durante la semana el AVG corrio un autoscan que eliminó todos los problemas que mencionas arriba, entonces volví a correr el scan online del kaspersky para ver que salía y apareció esto:



KASPERSKY ONLINE SCANNER INFORME

sábado, 06 de septiembre de 2008 18:37:44

Sistema operativo: Microsoft Windows XP Professional, Service Pack 3 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 6/09/2008

Registros en la base antivirus: 1070188

Configuración del análisis

Analizar usando las siguientes bases standard

Analizar archivos verdadero

Analizar bases de correo verdadero

Objetivo a analizar Mi PC

C:\

Estadísticas

Número de objeros analizados 170888

Virus encontrados 1

Objetos infectados 1 / 0

Objetos sospechosos 0

Duración del análisis 02:08:01



Bombre del objeto infectado Nombre del virus Última acción

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgcore.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgrs.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgsched.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgui.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgwd.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\avg8\Log\avgwdsvc.log Object is locked saltado

C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson\user.dmp Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\History\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\Yo\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\History\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\Yo\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Yo\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\Yo\ntuser.dat.LOG Object is locked saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\System Volume Information\tracking.log Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP73\A0031266.exe Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0032316.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP81\A0033449.dll Object is locked saltado

C:\System Volume Information\_restore{A80475B6-CF6D-4B3A-BD21-B16C67DB5304}\RP87\change.log Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SchedLgU.Txt Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado

C:\WINDOWS\system32\config\OSession.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

C:\WINDOWS\WinGUI32.exe Infectados: Trojan.Win32.Pakes.kec saltado





Revisé la carpeta de windows con el AVG y no apareció nada, también intenté vuscar personalmete el archivo WinGUI32.exe pero no lo veo ni siquiera como archivo oculto.

[Claudia34]

Envianos el siguiente archivo: WinGUI32.exe para que lo analicemos, y esta en la siguiente ruta:



C:\WINDOWS\WinGUI32.exe Infectados: Trojan.Win32.Pakes.kec saltado



Obviamente ya sabes como enviarlo al archivo, para encontrarlo mejor ingresa en modo a prueba de fallos.



Saludos.

[msc hotline sat]

Ya habiamos pedido que nos enviara este fichero, junto con otros:


[quote]
pero los que ahora estan molestando son:



C:\WINDOWS\system32\nnnoPGWq.dll Infectados: Trojan.Win32.Monderb.gum

C:\WINDOWS\system32\pnykniyj.dll Infectados: Trojan.Win32.Monder.glg

C:\WINDOWS\system32\sbfhnwnm.dll Infectados: Trojan.Win32.Monder.glg

C:\WINDOWS\WinGUI32.exe Infectados: Trojan.Win32.Pakes.kec

C:\WinLogon\JKKJAXXQ.DLL Infectados: Trojan.Win32.Monderb.gum



Pues renombra la extension de estos 5 ficheros últimos a .VIR, y envianoslos junto con los de la carpeta c:\muestras arriba indicados, para analizar y controlar en proximas versiones de nuestras utilidades, con las que tambien se eliminarán los del RESTORE, ya que son de las mismas variantes que los pedidos.[/quote]

Lo hizo ???



Sino hagalo ahora, claro !!!





saludos



ms, 8-09-2008