Poblema en mi PC

[Grymorum]

Pido disculpas si no es en este foro donde debo preguntar esta cuestión :



Me ha aparecido en la barra a la derecha VIRUS ALERT

Se me ha instalado, no se como, un antivirus " MS antivirus " q dice q tengo el MEBROOT.K aparte de no se cuantas cosas más. El antivirus este, intenta conectarse continuamente para actualizarse....previo pago.



Me ha desaparecido el acceso a Inicio--Configuracón agregar/Eliminar programas, con lo q no puedo desistalar nada.

El NOD 32 , q tengo instalado no detecta nada raro.



He arrancado en modo seguro, pero tampoco puedo desistalar nada.



Tengo Windows 2000 SP4, si podéis orientarme un poco os lo agradecería



Gracias.

[Claudia34]

Pues descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.





Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp



Y para complementar (opcional en algunos casos):



https://foros.zonavirus.com/viewtopic.php?f=5&t=18469





Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.





Y mientras no te vendria mal probar los siguientes antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:



https://www.virustotal.com/es/



https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//



Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:



http://www.zonavirus.com/antivirus-on-line/



Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y para el tema de los autorun descargate del siguiente enlace el elipen:



http://www.zonavirus.com/descargas/elipen.asp



Saludos.

[Grymorum]

Gracias me pongo a ello

[msc hotline sat]

Sí, se trata del FAKE ALERT de moda, del que cada día hay nuevas variantes que vamos controlando con las nuevas versiones del ELISTARA



Tras probar el ELISTARA, como muy bien le indica Claudia34, y postear el infosat.txt, vea si pide que nos evie muestras (muy habitual en este caso) y en tal caso, hagalo para poder pasar a controlarlas:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 8-09-2008

[Grymorum]

Después de pasar lo q ve habeis dicho, creo q tengo dowloader.conhook,vundo9 y Alexa. Pongo Logs:

También tengo unas muestras .dll, pero no se como enviaroslas.



InfoSat :



Mon Sep 08 18:48:59 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Entrada Eliminada [HKLM\...\Run] "1855dcc8"="rundll32.exe "C:\WINNT\system32\iakocogg.dll",b" (Vundo)

C:\WINNT\WEB\RELATED.HTM --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\IAKOCOGG.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\IAKOCOGG.DLL --> Eliminado

C:\Documents and Settings\Administrador\Escritorio\Error Cleaner.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Administrador\Escritorio\Privacy Protector.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Administrador\Escritorio\Spyware&Malware Protection.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Administrador\Favoritos\Error Cleaner.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Administrador\Favoritos\Privacy Protector.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\Administrador\Favoritos\Spyware&Malware Protection.url --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At1.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At2.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At3.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At4.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At5.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At6.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At7.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At8.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At9.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At10.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At11.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At12.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At13.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At14.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At15.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At16.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At17.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At18.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At19.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At20.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At21.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At22.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At23.job --> Eliminado (Fichero Complementario).

C:\WINNT\Tasks\At24.job --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKCU\...\Run] "Antivirus"="C:\Archivos de programa\MSA\MSA.exe"

Entrada Eliminada [HKLM\...\Run] "Antivirus"="C:\Archivos de programa\MSA\MSA.exe"

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Mon Sep 08 18:52:40 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 1821

Nº Total de Ficheros: 19507

Nº de Ficheros Analizados: 8915

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)



Mon Sep 08 19:04:37 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Sep 08 19:04:56 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 1815

Nº Total de Ficheros: 19496

Nº de Ficheros Analizados: 8630

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Sep 08 19:14:23 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

[WinLogon\Notify\FCCBXOLL]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\FCCBXOLL.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\AWTUSTUV.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\AWTUSTUV.DLL --> Renombrado a .VIR

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Mon Sep 08 19:16:08 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 1818

Nº Total de Ficheros: 19500

Nº de Ficheros Analizados: 8916

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:20:25 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:21:15 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

[WinLogon\Notify\FCCBXOLL]

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\WinLogon\FCCBXOLL.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:21:37 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:21:53 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:22:19 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:22:36 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook

Sistema Infectado por el Vundo9

(C:\WINNT\SYSTEM32\AWTUSTUV.DLL)

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



Mon Sep 08 19:22:56 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\FCCBXOLL] -> C:\WINNT\SYSTEM32\fccbXoll.dll

Por favor, envienos una muestra del fichero

C:\Muestras\FCCBXOLL.DLL.Muestra EliStartPage v16.89

a "virus@satinfo.es". Gracias.

C:\WINNT\SYSTEM32\FCCBXOLL.DLL --> Acceso Denegado.

Eliminada Class, "{AB713E5E-6331-444F-8E7F-E080358CBA97}" -> C:\WINNT\system32\awtustuV.dll

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



EliNotify v1.8.07.30 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINNT\SYSTEM32\fccbXoll.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\FCCBXOLL"

Desinstalado EliNotif.dll



[b]HIJACK MODO WINDOWS[/b]



Logfile of HijackThis v1.99.1

Scan saved at 19:30: VIRUS ALERT!, on 08/09/2008

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\Ati2evxx.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\ATKKBService.exe

C:\WINNT\System32\svchost.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINNT\System32\nvsvc32.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\Ati2evxx.exe

C:\WINNT\Explorer.EXE

C:\WINNT\PowerS.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINNT\system32\UMonit2k.exe

C:\WINNT\system32\internat.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\ARCHIV~1\MICROS~4\rapimgr.exe

C:\Documents and Settings\Administrador\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {8E509EF7-6209-4A5C-A145-22F514F51C4F} - C:\WINNT\system32\fccbXoll.dll (file missing)

O2 - BHO: {d2320ebe-d95f-a1d8-7be4-84713752a4aa} - {aa4a2573-1748-4eb7-8d1a-f59debe0232d} - C:\WINNT\system32\taobki.dll

O2 - BHO: (no name) - {AB713E5E-6331-444F-8E7F-E080358CBA97} - C:\WINNT\system32\awtustuV.dll (file missing)

O2 - BHO: QXK Olive - {E638A808-9E2F-4867-B753-8C03620A3E54} - C:\WINNT\vanwxemgkpv.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: gksraemq - {89F51B26-A3FB-487C-B4E8-334CC35795A1} - C:\DOCUME~1\ADMINI~2\CONFIG~1\Temp\ac8zt2\gksraemq.dll (file missing)

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [PowerS] C:\WINNT\PowerS.exe

O4 - HKLM\..\Run: [RemoteControl] C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\system32\UMonit2k.exe

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O17 - HKLM\System\CCS\Services\Tcpip\..\{D48CED38-3F95-4D37-9DF8-12D8870FE357}: NameServer = 80.58.61.250,80.58.61.254

O20 - Winlogon Notify: ActiveSync - C:\WINNT\SYSTEM32\WcesWlgn.dll

O21 - SSODL: dgksvbpn - {D8E65301-E5BC-4DEC-9F8C-1B636A9B9BF9} - C:\WINNT\dgksvbpn.dll

O21 - SSODL: xrdwbfgn - {0C732441-1CEE-403C-99A8-4919DAF6AD94} - C:\WINNT\xrdwbfgn.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINNT\ATKKBService.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe



[b]HIJACK MODO WIN PRUEBA FALLOS[/b]



Logfile of HijackThis v1.99.1

Scan saved at 19:11: VIRUS ALERT!, on 08/09/2008

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\userinit.exe

C:\WINNT\Explorer.EXE

C:\Documents and Settings\Administrador\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: gksraemq - {89F51B26-A3FB-487C-B4E8-334CC35795A1} - C:\DOCUME~1\ADMINI~2\CONFIG~1\Temp\ac8zt2\gksraemq.dll (file missing)

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [PowerS] C:\WINNT\PowerS.exe

O4 - HKLM\..\Run: [RemoteControl] C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Gene USB Monitor] C:\WINNT\system32\UMonit2k.exe

O4 - HKLM\..\RunOnce: [ReEXEc] G:\Medicina\ELISTARA.AE%D8IB%D8H.EXE

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O17 - HKLM\System\CCS\Services\Tcpip\..\{D48CED38-3F95-4D37-9DF8-12D8870FE357}: NameServer = 80.58.61.250,80.58.61.254

O21 - SSODL: dgksvbpn - {D8E65301-E5BC-4DEC-9F8C-1B636A9B9BF9} - C:\WINNT\dgksvbpn.dll

O21 - SSODL: xrdwbfgn - {0C732441-1CEE-403C-99A8-4919DAF6AD94} - C:\WINNT\xrdwbfgn.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINNT\ATKKBService.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe

[lucl]

Para el envio de muestras mira este link





https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





y para el vundo9 este otro, nos comentas cambios saludos





https://foros.zonavirus.com/informacion-sobre-vundo-9-control-y-eliminacion-t23759.html

[msc hotline sat]

Pues el ultimo informe fue muy positivo:



EliNotify v1.8.07.30 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINNT\SYSTEM32\fccbXoll.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\FCCBXOLL"

Desinstalado EliNotif.dll





aparte vayamos a otras historias que vemos en el log del HJT:





elimina esta pagina de inicio: http://softwarereferral.com/jump.php



(lo cual puedes hacer desde el ELISTARA aceptando eliminar pagina de inicio)





y renombra estos ficheros a .VIR :



C:\WINNT\vanwxemgkpv.dll



C:\WINNT\dgksvbpn.dll



C:\WINNT\xrdwbfgn.dll



y envianoslos para analizar:







[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





saludos



ms, 9-09-2008

[Grymorum]

He conseguido solucionar el problema (creo), he quitado la paginita de inicio (como me habeis dicho), con esto ya he tenido acceso a internet para bajarme el AD-Aware y Spyboot. He renombrado los ficheros que habeis comentado, vuelto a pasar Elistara y Elitri. Le he pasado el Antivirus y el Spyboot, ha eliminado un montón de amenazas. Por último, le he pasado OnLine el Karspersky(como me recomendasteis) y aparentemente no tengo nada. El sistema esta estable, asique cruzo dedos y os doy las gracias por la ayuda.



Tengo instalado el NOD32( actualizado siempre) y aparentemente todo lo que ha entrado, lo ha hecho por la puerta grande, ni se ha enterado. Me recomendáis alguna combinación para estar un pco mejor protegido ??



Gracias nuevamente por vuestra ayuda.

[msc hotline sat]

De todas formas, tala como le deciamos, envienos los ficheros renombrados a VIR; para analizarlos e implementar su deteccion y control en nuestras utilidades:


[quote]
y renombra estos ficheros a .VIR :



C:\WINNT\vanwxemgkpv.dll



C:\WINNT\dgksvbpn.dll



C:\WINNT\xrdwbfgn.dll



y envianoslos para analizar:


[/quote]

saludos



ms, 9-09-2008