No funciona antivirus, ni puedo instalar antivirus (SOLVED)

[israeltec]

Que tal muy buenas tardes, espero y me puedan ayudar ya que he andado por toda la web y no he encontrado respuesta que me ayude a solucionar mi problema

Resulta que a mi portatil en la cual estaba instalado el Kaspersky el cual dejo de funcionar por razon desconocida le ha pasado algo muy raro:

Note que el antivirus no se actualizaba y se habia caducado (pero la licencia estaba aun en fecha) el cual desinstale

Trate de instalarle el nod32 3.0.566.0 todo iba bien hasta que se instalo me pidio reiniciar y al encender me marca que se ha recuperado de un grave error y sale una pantalla azul que no puedo leer ya que se apaga el ordenador

Trate de entrar en modo seguro y me sale la misma pagina azul y vuelve a bootear

No se elimino el problema hasta que logre desinstalar NOD32

Eh tratado escanear con panda online, avg y Kaspersky y no logran actualizarse o siquiera ejecutar el activeX

Pase las aplicaciones de Elistara, Elibagla y Elitrip

Todo se hizo en modo normal, ya que como les comento no puedo entrar a modo seguro



Solo me encontraron lo sig (si requieren todo el log me dicen pa enviarlo)



(22-3-2009 01:25:24)

EliTriIP v5.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Marzo del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKU\...\Run] "Tok-Cirrhatus"=""



Pase el hijackthis y enseguida les posteo el log



C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\Ati2evxx.exe

c:\program files\cognex\in-sight\in-sight opc server 3.3.2\opcinsightservice.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Microsoft SQL Server\MSSQL$WINCCFLEXIBLE\Binn\sqlservr.exe

C:\Program Files\Common Files\OPC Foundation\OPCENUM.EXE

C:\Program Files\Quetec\pctwpasv.exe

C:\Siemens\Common\S7IEPG\s7oiehsx.exe

C:\WINDOWS\System32\TUProgSt.exe

C:\WINDOWS\system32\SearchIndexer.exe

C:\Siemens\Common\sws\almsrv\almsrvx.exe

C:\Program Files\Microsoft SQL Server\MSSQL$WINCCFLEXIBLE\Binn\sqlagent.EXE

C:\WINDOWS\system32\XP-B1198FF7.EXE

C:\WINDOWS\GWMDMMSG.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft Student\Microsoft Student con Encarta Premium 2008 DVD\EDICT.EXE

C:\Program Files\Ares\Ares.exe

C:\WINDOWS\System32\svchost.exe

C:\DOCUME~1\Humberto\LOCALS~1\Temp\winapsdlu.exe

C:\DOCUME~1\Humberto\LOCALS~1\Temp\qhde.exe

C:\DOCUME~1\Humberto\LOCALS~1\Temp\winnauj.exe

C:\DOCUME~1\Humberto\LOCALS~1\Temp\eljhn.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\system32\Notepad.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\WINDOWS\system32\SearchProtocolHost.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.mx

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Program Files\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [XP-B1198FF7] C:\WINDOWS\system32\XP-B1198FF7.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [PRISMSVR.EXE] "C:\WINDOWS\system32\PRISMSVR.EXE" /APPLY

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe

O4 - HKLM\..\Run: [GWMDMMSG] GWMDMMSG.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [L08EXLRD_8044777] "C:\Program Files\Microsoft Student\Microsoft Student con Encarta Premium 2008 DVD\EDICT.EXE" -m

O4 - HKCU\..\Run: [ares] "C:\Program Files\Ares\Ares.exe" -h

O4 - HKUS\S-1-5-18\..\Run: [Tok-Cirrhatus-1860] "C:\Documents and Settings\NetworkService\Local Settings\Application Data\br4743on.exe" (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [Tok-Cirrhatus-1860] "C:\Documents and Settings\NetworkService\Local Settings\Application Data\br4743on.exe" (User 'Default user')

O4 - Startup: ¡¡¡¡¡¡.lnk = C:\WINDOWS\system32\XP-B1198FF7.EXE

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Barra de búsqueda de Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Common Files\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab

O23 - Service: Automation License Manager Service (almservice) - SIEMENS AG - C:\Siemens\Common\sws\almsrv\almsrvx.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Cognex In-Sight Port Service (CogISSvc) - Unknown owner - C:\Program Files\Cognex\In-Sight\In-Sight Explorer 3.3.1\Utilities\cogissvc.exe

O23 - Service: Cognex OPC Server (Cognex.InSight.OpcServer) - Cognex Corporation - c:\program files\cognex\in-sight\in-sight opc server 3.3.2\opcinsightservice.exe

O23 - Service: dnWhoDisp - Unknown owner - C:\Program Files\Rockwell Software\RSLINX\dnwhodisp.exe

O23 - Service: Harmony - Rockwell Software Inc. - C:\PROGRA~1\ROCKWE~1\RSCOMMON\RSOBSERV.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: OPCEnum (OpcEnum) - Unknown owner - C:\Program Files\Common Files\OPC Foundation\OPCENUM.EXE

O23 - Service: SoftAP WPA Authenticator Service (PCTWPASV) - PCTEL Inc. - C:\Program Files\Quetec\pctwpasv.exe

O23 - Service: RSLinx - Rockwell Software, Inc. - C:\PROGRA~1\ROCKWE~1\RSLINX\RSLINX.EXE

O23 - Service: SIMATIC IEPG Help Service (s7oiehsx) - SIEMENS AG - C:\Siemens\Common\S7IEPG\s7oiehsx.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe



--

[msc hotline sat]

Probablemente alguna nueva variante de Bagle o de Agent.ABUE o simiilar le está afectando.



Voy a analizar el log, aunque veo que no está completo (falta la cabecera, que nos es muy importante y ni siquiera indica version, ni sistema operativo ni nada...) Otra vez posteelo completo, y aun mejor hagalo con el SPROCES que nos ofrece mas informacion.



Bueno, aconsejando lanzar un windowsupdate por si faltaran parches, lo cual no podemos saber,



Envienos estos ficheros para analizar:





C:\WINDOWS\system32\XP-B1198FF7.EXE



C:\Documents and Settings\NetworkService\Local Settings\Application Data\br4743on.exe





Y mientras añade a cada uno la extensión .VIR para que no sean ejecutados a partir del siguiente reinicio





Tambien vemos sospechosos estos temporales, pero posiblemente ya no están:



C:\DOCUME~1\Humberto\LOCALS~1\Temp\winapsdlu.exe



C:\DOCUME~1\Humberto\LOCALS~1\Temp\qhde.exe



C:\DOCUME~1\Humberto\LOCALS~1\Temp\winnauj.exe



C:\DOCUME~1\Humberto\LOCALS~1\Temp\eljhn.exe





y estas claves deberian ser eliminadas:





O4 - HKLM\..\Run: [XP-B1198FF7] C:\WINDOWS\system32\XP-B1198FF7.EXE



O4 - HKUS\S-1-5-18\..\Run: [Tok-Cirrhatus-1860] "C:\Documents and Settings\NetworkService\Local Settings\Application Data\br4743on.exe" (User 'SYSTEM')



O4 - HKUS\.DEFAULT\..\Run: [Tok-Cirrhatus-1860] "C:\Documents and Settings\NetworkService\Local Settings\Application Data\br4743on.exe" (User 'Default user')



O4 - Startup: ¡¡¡¡¡¡.lnk = C:\WINDOWS\system32\XP-B1198FF7.EXE



O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1











[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253







Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 22-3-2009

[israeltec]

Creo copie el log desde Hjt te agrego el encabezado y las primeras claves



Logfile of HijackThis v1.99.1

Scan saved at 10:52:55 PM, on 3/21/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe



Procedo a hacer lo que me dices y te envio muestras gracias por la ayuda

[msc hotline sat]

Ah, gracias, no sabía que estabas en línea !



Pues fijate que este sospechoso tiene antecedentes :wink: :



http://www.prevx.com/filenames/X426544260638109908-0/BR4743ON.EXE.html



Si quieres, aparte de añadirles la extension .VIR y enviarnoslos, tras reiniciar, subelos al VirusTotal ( https://www.virustotal.com/es/ ) y nos posteas el resultado, y dinos si una vez cambiada la extension y lo demas, has notado mejoría (aunque solo sea un apaño provisional...)



saludos



ms, 22-3-2009





NOTA: y luego vere a dormir, que ya es muy tarde en México, ya que veo que indicas que estás en Ciudad Juarez! :mrgreen:

[israeltec]

El C:\WINDOWS\system32\XP-B1198FF7.EXE no lo he encontrado en esta localizacion solo lo encontre en C:\WINDOWS\prefetch\XP-B1198FF7.EXE (la envio de todos modos pa que sea analizada), y la br4743on.exe en el ultimo scan que hice ya no sale dicha clave y por el horario no te preocupes toy haciendo una tarea de la escuela y manana descanso en el trabajo



P.D. la busqueda la hice con la opcion de mostrar carpetas ocultas y solo me salio la que se encuentra en prefetch y una aplicacion de 1291Kb que como ya es sabido no puedo detenerla ni renombrarla por supuesto

[msc hotline sat]

No, los .pf son prefecth (extractos) y no nos sirven.



Mira de copiar ruta y nombre del fichero en el ELIMOVER, a ver si asi lo encuentras y lo copias a c:\muestras, desde donde te será fácil hacer lo que indicamos.



Y ya marca la casilla inferior izquierda del ELIMOVER para que sea renombrada la extension del fichero original





ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp





saludos



ms, 22-3-2009

[israeltec]

Ya envie las muestras incluso una que ya estaba en el folder lamada recycled.exe, ya procedi a renombrar archivos y eliminar claves y al reiniciar paso el hjt y la famosa clave de XP-B1198FF7.EXE aun aparece en el log, ademas intente subir los archivos a virustotal y nunca se me abre la pagina, y desde la otra pc en cuanto conecto la flash a la otra portatil el NOD32 encuentra un intento de conectarse hacia explorer.exe y los pone en cuarentena

[msc hotline sat]

Pues señal de que se trata de un virus de los que se propagan por pendrive...



Vacuna tus ordenadores y pendrives con el ELIPEN:







vacune todas sus unidades de disco y pendrive con el ELIPEN:



[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



y voy a mirar lo del VirusTotal a ver que pasa...



Pues a mi me va...



Pincha en este link https://www.virustotal.com/es//



si no accedes es posible que no accedas a ninguna que empieza por virus... tipico de algunos malwares



Prueba por ejemplo entrar en viruslist.com e informanos si puedes o no, gracias



saludos



ms, 22-3-2009

[msc hotline sat]

Si no puedes entrar en ninguna de las dos, estará mas claro... :mrgreen: , entonces prueba entrar en hispasec.com , que es la web de virustotal, y si alli puedes (porque no empieza por virus) mira abajo, en la columna del centro y veras que hablan del virustotal, mira si pulsando allí...



saludos



ms, 22-3-2009





NOTA: y aunque mañana no trabajes... deja la escuela para el lunes y vete a descansar !!! :roll: ms.

[israeltec]

deja intento esto ultimo y te hare caso ya que ando en pie desde las 5:00am

Y lo de la flash me referia a que grabe las muestras renombradas en ella y al insertarla el Nod me las detecto al instante y a cuarentena.



en la pagina de hispasec sistemas solo se abre el encabezado y ya van mas de 5 min y aun no termina por abrirse, gracias por la ayuda espero y se pueda crear el control con las muestras que le he enviado, nos vemos luego, saludos

[msc hotline sat]

Pues mañana, cuando volvamos al trabajo en SATINFO, las veremos y procederemos...



saludos



ms, 22-3-2009

[israeltec]

Hola como va el analisis de las muestras?

Sirvieron para hacer el control de las amenazas o procedemos a hacer algo mas?

no quiero formatear la PC al menos hasta asegurar algunas licencias y cambiarlas a otro pc

[msc hotline sat]

No me llegó ninguna informacion al respecto de los que procesan las muestras... igual no llegaron.



Las envió como se indica en : [b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Por si acaso, repita en envio siguiendo lo que indicamos, empaquetar las muestras en un ZIP o RAR con password virus y tras ello enviarlas pulsando en el boton superior derecho de ENVIAR MUESTRAS



saludos



ms, 31-1-2009

[israeltec]

Ya quedo resuelto mi problema use una aplicacion llamada "SafeBootKeyRepair" la cual me ayudo a poder entrar en modo seguro y desde alli el NOD32 se encargo del resto...

De todas formas envio de nuevo las muestras pa que puedan hacer el control ya que habra alguien mas le puedan servir.

Saludos y gracias popr su apoyo...estamos en contacto

[msc hotline sat]

A pues muy bien, analizaremos las muestras e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos en el foro.



Respecto la utilidad mencionada, es un .REG que restaura claves que ya estan incluidas en nuestras utilidades que corrigen la clave del Safeboot, como ELISTARA o ELIBAGLA, (y no solo esta de minimal... [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal])por lo que lo importante es el control del virus que posiblemente encontraremos en las muestras, ya que sino, al reiniciar, se vuelven a modificar maliciosamente dichas claves.



Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 1-4-2009