No puedo Con estos virus

[virus1509]

Despues de haber echo todo lo que estuvo a mi alcanze, pues les subo este escaneo que realize :



-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

jueves, 28 de agosto de 2008 8:13:21

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 27/08/2008

Registros en la base antivirus: 1025971

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: standard

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Mi PC:

A:\

C:\

D:\

E:\

F:\



Estadísticas:

Número de objeros analizados: 57744

Virus encontrados: 3

Objetos infectados: 6 / 0

Objetos sospechosos: 0

Duración del análisis: 00:45:19



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Archivos de programa\Alwil Software\Avast4\DATA\aswResp.dat Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\Avast4.db Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\log\AshWebSv.ws Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\log\aswMaiSv.log Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\log\nshield.log Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\log\selfdef.log Object is locked saltado

C:\Archivos de programa\Alwil Software\Avast4\DATA\report\Protección residente.txt Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\usuario\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\usuario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\usuario\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\usuario\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\usuario\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\usuario\Escritorio\ELISTARA.AIBH.EXE Infectados: Trojan-Downloader.Win32.IstBar.vv saltado

C:\Documents and Settings\usuario\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\usuario\ntuser.dat.LOG Object is locked saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP2\A0000121.exe Infectados: Trojan.Win32.Autoit.dd saltado

C:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP9\change.log Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SchedLgU.Txt Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\Antivirus.Evt Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\dllcache\user32.dll Infectados: Trojan.Win32.Patched.bb saltado

C:\WINDOWS\system32\drivers\atapi.sys Object is locked saltado

C:\WINDOWS\system32\user32.DLL Infectados: Trojan.Win32.Patched.bb saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\Temp\Perflib_Perfdata_4e0.dat Object is locked saltado

C:\WINDOWS\Temp\_avast4_\Webshlock.txt Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

E:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP1\A0000029.exe Infectados: Trojan.Win32.Autoit.dd saltado

E:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP8\A0006839.exe Infectados: Trojan.Win32.Autoit.dd saltado



Análisis completado.



tambien comentarles que ya pase el elistara y no encuentra nada, tambien pase el eli file tempo y elitrip y pues no detectan nada.



gracias

[Claudia34]

Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.





Saludos.

[msc hotline sat]

Pues ya ve que tiene este virus en el mismo fichero, en diferentes carpetas:



C:\WINDOWS\system32\dllcache\user32.dll Infectados: Trojan.Win32.Patched.bb saltado



C:\WINDOWS\system32\user32.DLL Infectados: Trojan.Win32.Patched.bb saltado







y ademas tiene aparte aparcados en el RESTORE:



C:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP2\A0000121.exe Infectados: Trojan.Win32.Autoit.dd saltado



E:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP1\A0000029.exe Infectados: Trojan.Win32.Autoit.dd saltado

E:\System Volume Information\_restore{A71F1C45-A543-4B47-8034-1925B8E41EA8}\RP8\A0006839.exe Infectados: Trojan.Win32.Autoit.dd saltado





Renombre a .VIR el USER32.DLL de las dos carpetas indicadas, y luego arranque en modo seguro con la restauracion de sistema desactivada y lanza su antivirus para eliminar los tres ficheros infectados que alli tiene



Luego arranque normal y envienos cualquiera de los USER32.VIR oara analizar y controlar en proximas versiones de nuestras utilidades.



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 28 de Agosto de 2008





NOTA: Este troyano backdoor es muy nuevo, ver la siguiente informacion de hace 4 dias:

http://research.sunbelt-software.com/threatdisplay.aspx?name=Trojan.Win32.Patched.bb&threatid=173050

[virus1509]

Muchas Gracias a todos, creo que necesitare de otra maquina mas , pues al intentar entrar en modo seguro no me lo permite y se para reiniciando, y no me deja inicair el sistema operativo.



gracias de todas formas.

[msc hotline sat]

Puede que tengas alterada la clave del SAFEBOOT, como hacen los Bagles, por lo que aunque no lo tengas (y si lo tienes tambien), prueba el ELIBAGLA y a continuacion (acto seguido) intenta arrancar en modo seguro, a ver si ya puedes...




[quote="para descargar el ELIBAGLA, msc"]


http://www.zonavirus.com/descargas/elibagla.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]



saludos



ms, 28 de Agosto de 2008







NOTA: Nuestras utilidades, si encuentran los malwares para las que estan hechas, los controlan y eliminan, ademas de restaurar claves modificadas, pero si no los detectan, igualmente restauran dichas claves, si las encuentran modificadas. ms.