problemas con bagle.gen

[Jaima]

Hola, soy nuevo en este foro, hace aproximadamente un mes detecte por un error en el Windows defender y windows update que tenía un virus, el bagle.gen y creo que alguno más, desde entonces estoy a ver si lo soluciono y no hay manera. He estado mirando foros y explicaciones para quitarlo con casos ya resueltos, el problema es que hay muchos antivirus que no funcionan, es como si los parara. Para que funcionen tengo que entrar en modo de fallos, por otro lado tengo Windows vista y la manera que uso para entrar en modo de fallos es parar el ordenador desde la fuente de alimentación, es la única manera que puedo, detecta que se a apagado mal y me da la opción de entrar en modo de fallos. El caso esque le he pasado el superantispyware, el malwarebytes, el ccleaner y alguno más y nada, siempre que reinicio estoy igual. El karpersky no lo puedo instalar porque dice que tengo que quitar el avg 8, y yo no encuentro ese programa para desinstalarlo, el dr web me lo para tampoco puedo usarlo en fin que no se que hacer, os agradecería que me indicarais que puedo hacer para sacar este virus. Muchas gracias de ante mano.

[msc hotline sat]

Este sistema para arrancar en modo seguro no se nos había ocurrido !

El Bagle modifica la clave SAFEBOOT del registro, lo que impide arrancar "normalmente" en modo seguro, lo cual corregimos con el ELIBAGLA, ademas de todo lo demás, claro, pero de variantes de Bagle ya tenemos un libro lleno..., y este foro tambien, con mas de 1500 post
pero pruebe el ELIBAGLA:


Ahora que Vd, con su metodo, no tiene problemas para arrancar en modo seguro ! Con ello y el ELIBAGLA, a lo mejor ya lo soluciona...

Cuéntenos el resultado, gracias

saludos

ms, 23-11-2008


NOTA:

Y POR SI SE TRATARA DE UNA VARIANTE NO CONTROLADA, DE LAS QUE TENEMOS A DIARIO, SI NO SE DETECTA CON EL ELIBAGLA, ENVIENOS MUESTRA DEL FICHERO QUE HAN DETECTADO ESTAR INFECTADO CON DICHO VIRUS, PARA PROCEDER A ANALIZARLO Y CONTROLAR LA NUEVA VARIANTE....


ms.

[Jaima]

Hola de nuevo,lo primero muchas gracias por la información, he hecho lo que me has dicho, he pasado el elibagla, y creo que aparentemente se ha solucionado el problema, he reiniciado unas cuantas veces y por lo visto el windows defender arranca con normalidad, muchisimas gracias . En teoria he enviado el fichero que se crea con el elibala en el envio de muestras ,pero como no se seguro si lo he hecho bien te lo voy a copiar aqui debajo para que le heches un vistazo.



Por donde a podido entrar el virus este, aparte de no tener ningun antivirus, por lo que he leido al recpecto parce ser que entra por el correo electrónico no?¿





Sun Nov 23 19:40:48 2008

EliBagle v11.98 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 20 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\USERS\HECTOR\APPDATA\ROAMING\M\FLEC006.EXE --> Bagle Acceso Denegado.

C:\USERS\HECTOR\APPDATA\ROAMING\M\LIST.OCT --> Eliminado Bagle

Reinicie para Completar la Limpieza.



Sun Nov 23 19:42:31 2008

EliBagle v11.98 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 20 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\USERS\HECTOR\APPDATA\ROAMING\M\FLEC006.EXE --> Bagle Acceso Denegado.

Reinicie para Completar la Limpieza.



Sun Nov 23 19:43:07 2008

EliBagle v11.98 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 20 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 15417

Nº Total de Ficheros: 111090

Nº de Ficheros Analizados: 13840

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sun Nov 23 20:11:02 2008

EliBagle v11.98 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 20 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Eliminado Bagle (rootkit)



Sun Nov 23 20:11:29 2008

EliBagle v11.98 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 20 de Noviembre del 2008)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Users\HECTOR\AppData\Roaming\m\FLEC006.EXE --> Eliminado Bagle

C:\Windows\System32\MDELK.EXE --> Eliminado Bagle

C:\Windows\System32\drivers\WINFILSE.EXE --> Eliminado Bagle.dldr

C:\Windows\System32\drivers\downld\108498.EXE --> Eliminado Bagle

C:\Windows\System32\drivers\downld\53711.EXE --> Eliminado Bagle

C:\Windows\System32\drivers\downld\58281.EXE --> Eliminado Bagle

C:\Windows\System32\drivers\downld\63835.EXE --> Eliminado Bagle

C:\Windows\System32\drivers\downld\84770.EXE --> Eliminado Bagle



Nº Total de Directorios: 15440

Nº Total de Ficheros: 111710

Nº de Ficheros Analizados: 14346

Nº de Ficheros Infectados: 8

Nº de Ficheros Limpiados: 8



Como puedes observar lo he pasado primero en modo normal y luego en modo prueba de fallos ( con mi técnica )

Yo creo que está todo bien no obstante ya me dices algo.

Ya que no tengo antivirus me gustaría que recomendaras uno, si es gratis mucho mejor, aunque si merece la pena pagar uno

pues prefiero eso que no se me llene esto de bichos cada dos por tres,Un saludo y muchisimas gracias otra vez.

[lucl]

Si enviaste algún archivo estate atento mañana que te dirán algo al respecto y sobre los antivirus echa un vistazo a este link para que veas las opiniones de diferentes foreros y escoges la que mas te guste, saludos

[msc hotline sat]

Pues muy bien ! Parece que se han eliminado todos los conocidos, y este que nos envia como muestra lo analizaremos a ver si es una nueva variante no controlada, o alguno que movió a cuarentena algun antivirus, cifrandolo, con lo que ya no es ni operativo ni detectable,pero lo veremos e informaremos.



saludos



ms, 24-11-2008