IE no arranca con antivirus (CERRADO, sigue en uno nuevo al respecto)

[AangeL]

remontemos el tema:



internet explorer ni firefox me sirven con el antivirus instalado, entonces desinstale el spybot y probe con el antivirus solo y tampoco me sirve.



pase el kasperscan online y aqui traigo el scan



--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7 REPORT

Thursday, April 23, 2009

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Thursday, April 23, 2009 18:53:07

Records in database: 2072802

--------------------------------------------------------------------------------



Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes



Scan area - My Computer:

A:\

C:\

D:\

E:\

F:\

G:\



Scan statistics:

Files scanned: 156652

Threat name: 2

Infected objects: 21

Suspicious objects: 0

Duration of the scan: 02:27:32





File name / Threat name / Threats count

C:\Documents and Settings\Angel\Datos de programa\Microsoft\MSN Messenger\30362787\CustomEmoticons\TFRA2.dat Infected: Trojan-Clicker.HTML.IFrame.rp 1

C:\WINDOWS\Temp\1.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\10.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\12.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\13.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\14.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\15.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\16.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\17.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\18.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\19.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\1A.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\1B8.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\1E3.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\22.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\26.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\4D.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\C.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\E.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

C:\WINDOWS\Temp\F.tmp Infected: Trojan-Spy.Win32.Zbot.soa 1

F:\Mis documentos\Mis archivos recibidos\JACK.gif Infected: Trojan-Clicker.HTML.IFrame.rp 1



The selected area was scanned.





pongo a esos archivos la extension VIR sin eliminar? :arrow:

[lucl]

Casi todos los tienes en temp, limpia temporales a ver que pasa. Los otros añadeles extension .VIR y envianoslo para analizarlos como ya sabes saludos

[AangeL]

ya elimine archivos temporales, y cambie los archivos de los 2: JACK.GIF y tfra2.DAT con la extension vir



envie esas 2 muestras

[msc hotline sat]

Pues prueba el ELIFRAME.EXE que es con la utilidad que tenemos para los casos conocidos de Iframe:



DESCARGA DEL IFRAME.EXE

http://www.zonavirus.com/descargas/eliframe.asp



Y el otro ZBOT, si ya has eliminado los temporales, habremos de esperar a ver si se regeneran, y en tal caso conviene que, mejor que eliminarlos, añadir .VIR a su extension, para dejarlos aparcados, y que nos los envies para analizar, ya que los ZBOT se esconden y si no tenemos algun fichero para que nos sirva de referencia, no podemos implementar su control y eliminacion en nuestras utilidades.



Como que dices que ya los has borrado, mira si puedes recuperar alguno de la papelera y enviarnoslo, asi pasaríamos a controlar este maldito que tanto nos ha ocupado.



Venga, animo que esta informacion del AV ONLINE ha sido decisiva, ahora solo hay que controlar lo descubierto



Y cuando postees el infosat correspondiente a lo del ELIFRAME, veremos si hemos detectado y corregido estos y sino analizaremos estas muestras que dices habernos enviado, e informaremos, y si es el caso de que nos envies los otros .TMP, pasaremos a controlar este dichosa nueva variante de ZBOT que, como toda su familia, se las traen... ! (Mira este otro ZBOT nuevo de ayer, que ya controlamos: http://www.zonavirus.com/noticias/2009/falso-mail-de-dhl-que-se-esta-propagando-ahora-y-anexa-un-zbot.asp )



saludos



ms, 24-4-2009

[AangeL]

buenos dias!



pues yo pensaba que en opciones de internet/eliminar archivos temporales, se iban a borrar esos que tienen extension TMP, por eso dije que los elimine! pero nada de eso, acabo de visitar la carpeta y estan todos ahi como si nada.



asi que hice una nueva muestra, adjunte todos los archivos (21) que detecto el kaspersky online, y los acabo de enviar. esperemos que hoy tengamos la solucion jeje. Aun asi he puesto las extensiones VIR a los 21.



ahora estoy pasando el iframe, cuando temrine os posteo el infosat

[msc hotline sat]

No ibas desencaminado, pero de la foirma que dices se borran los temporales de Internet, los que estan en CONTENT.IE5, no los de windows que estan en WINDOWS\TEMP, pero tanto mejor, los analizaremos y te informaremos



saludos



ms, 24-4-2009

[AangeL]

resultado tras reiniciar del eliframe



Fri Apr 24 10:08:30 2009

EliIFrame v1.1 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 18 de Junio del 2005)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\Angel\Datos de programa\Microsoft\MSN Messenger\30362787\CustomEmoticons\TFRA2.dat.vir --> Limpiado, Clicker.HTML.IFrame.RP.



Nº Total de Directorios: 14756

Nº Total de Ficheros: 140937

Nº de Ficheros Analizados: 16372

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1

[msc hotline sat]

Recibidas 2 muestras en cuestion, la JACK.GIF.VIR y la TFRA2.DAT.VIR , vemos que con el ELIFRAME nos detecta y limpia las 2, contrariamente a lo que nos dice tu infosat, que solo ha detectado el segundo ??? Los tienes todos con extension .VIR ??? Así debería detectarlos y limpiarlos... Sino envianoslos todos veremos que pasa.



saludos



ms, 24-4-2009

[AangeL]

tengo los 21 archivos detectados con el scan del principio con la extension VIR al final y solo me ha detectado ese TFrA2



antes envie muestras2.zip con los 21 archivos, espeor que haya llegado bien

[msc hotline sat]

BINGO !



Sube cualquiera de estos temporales que son iguales, por ejemplo el 14.TMP.VIR al VirusTotal, y verás:


[quote="VirusTotal"]File 14.tmp.vir received on 04.24.2009 12:10:30 (CET)



Result: 16/40 (40%)





Antivirus Version Last Update Result



a-squared 4.0.0.101 2009.04.24 Trojan-Spy.Win32.Zbot!IK

AhnLab-V3 5.0.0.2 2009.04.24 -

AntiVir 7.9.0.155 2009.04.23 TR/Crypt.XPACK.Gen

Antiy-AVL 2.0.3.1 2009.04.24 -

Authentium 5.1.2.4 2009.04.23 -

Avast 4.8.1335.0 2009.04.23 Win32:Spyware-gen

AVG 8.5.0.287 2009.04.24 -

BitDefender 7.2 2009.04.24 Trojan.Spy.Wsnpoem.LZ

CAT-QuickHeal 10.00 2009.04.23 -

ClamAV 0.94.1 2009.04.24 -

Comodo 1130 2009.04.23 -

DrWeb 4.44.0.09170 2009.04.24 -

eSafe 7.0.17.0 2009.04.23 -

eTrust-Vet 31.6.6473 2009.04.24 -

F-Prot 4.4.4.56 2009.04.23 -

F-Secure 8.0.14470.0 2009.04.24 Trojan-Spy.Win32.Zbot.soa

Fortinet 3.117.0.0 2009.04.24 -

GData 19 2009.04.24 Trojan.Spy.Wsnpoem.LZ

Ikarus T3.1.1.49.0 2009.04.24 Trojan-Spy.Win32.Zbot

K7AntiVirus 7.10.714 2009.04.23 -

Kaspersky 7.0.0.125 2009.04.24 Trojan-Spy.Win32.Zbot.soa

McAfee 5594 2009.04.23 -

McAfee+Artemis 5594 2009.04.23 Generic!Artemis

McAfee-GW-Edition 6.7.6 2009.04.24 Trojan.Crypt.XPACK.Gen

Microsoft 1.4602 2009.04.24 PWS:Win32/Zbot.gen!R

NOD32 4033 2009.04.24 -

Norman 6.00.06 2009.04.23 -

nProtect 2009.1.8.0 2009.04.24 -

Panda 10.0.0.14 2009.04.23 Trj/CI.A

PCTools 4.4.2.0 2009.04.23 -

Prevx1 3.0 2009.04.24 Medium Risk Malware

Rising 21.26.42.00 2009.04.24 Trojan.Win32.Nodef.fga

Sophos 4.41.0 2009.04.24 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.04.24 -

Symantec 1.4.4.12 2009.04.24 Infostealer.Banker.C

TheHacker 6.3.4.0.313 2009.04.24 -

TrendMicro 8.700.0.1004 2009.04.23 -

VBA32 3.12.10.3 2009.04.24 -

ViRobot 2009.4.24.1708 2009.04.24 -

VirusBuster 4.6.5.0 2009.04.23 -

Additional information

File size: 66560 bytes

MD5...: da6e6c1ea9dd1aae52a435f47d8ea17a

SHA1..: 57ef9e73a761c6cf8f5df48a3de55e56536996ab [/quote]

Pues ahí tenemos al ZBOT de marras... al fin lo pillamos, aunque se esconde de lo lindo, como todos los de su familia !



Vamos a monitorizarlo y procederemos en consecuencia



Seguiremos informando



saludos



ms, 24.4.2009

[AangeL]

entonces no hace falta que suba mas? espero que demos con el problema de una vez xD



chequeen muestras2.zip que ahi subi los temporales pòr si neceistan mas jeje.



un saludo

[msc hotline sat]

Sí, es en el muestras2.zip donde hemos visto todos estos temporales, concretamente el 14.tmp.vir del ensayo. (Los demas son iguales)



Estamos en ello, es un Rootkit de cuidado, por eso pululaba a su aire sin que pudieramos verlo. y ademas escondía procesos, claves y otros ficheros, que es la función de los RootKits, para alegrarnos la existencia !



Estamos monitorizando lo que hace, para deshacerlo, de momento tenemos la madre del cordero, que es un windows64.exe de la carpeta de sistema, el cual no verás de ninguna manera, pero intenta crear un fichero o carpeta con dicho nombre allí, y te dirá que no puedes porque ya está...



Pero ya tiene las horas contadas :lol: :lol: :lol:



seguiremos informando



saludos



ms, 24-4-2009

[msc hotline sat]

Pues la eliminacion de este ha sacado a la luz otro:



C:\WINDOWS\system32\bootwindows.exe



mira si lo ves (una vez ejecutado el nuevo ELISTARA 18.48 + ELINOTIF 4.24 Y REINICIAR) y si no lo ves, prueba de crear una carpeta nueva con el nombre

                       bootwindows.exe

en la carpeta c:\WINDOWS\system32\, y si no puedes es que tienes gato encerrado !



Al menos hoy habremos resuelto uno, el otro si nos lo envias lo controlaremos con la proxima version. Si lo vieras, añade .VIR a su extension y envianoslo para analizar, claro.



Y en media hora ya podrás bajar estas dos nuevas versiones, pues ya estamos compilando...



Y posteanos el nuevo infosat.txt para ver el proceso que han hecho, gracias



saludos



ms, 24-4-2009

[AangeL]

entonces espero a que hagan el nuevo elistara no? porque el archivo ese que mencionas SI ESTA!

me refiero a este: C:\WINDOWS\system32\bootwindows.exe



añado VIR cuando pase el elistara o ya puedo hacerlo?, supongo que tendre que esperar a que lo hagan

[msc hotline sat]

subido !

[julibaga]

Pues yo también estoy intrigado.... jeje

A ver qué nos cuenta después de que pase la nueva versión.

[msc hotline sat]

Al menos este ya está controlado, ved el informe que he editado al respecto: http://www.zonavirus.com/noticias/2009/nuevo-zbot-descubierto-en-este-foro-que-contiene-rootkit-imposibilitando-verlo-detectarlo-y-eliminarlo.asp



Pero ahora falta este otro que puede ser un pariente del mismo: C:\WINDOWS\system32\bootwindows.exe



Si bien se comenta en algun informe que está en la carpeta de %windir%, mientras que nosotros lo vemos en %systemdir%... la verdad es que todavía no lo hemos visto nunca, asi que si no está en la de sistema, mira la de windows, aunque pudiera tratarse de otra historia.





Pero en este otro de hace solo una semana, confirma lo indicado por nosotros, http://www.virusremovalscan.com/information-about-trojan-virus-filebootwindowsexe-bootwindows.htm



Lo que ademas parece confirmarse es que se trata de dos virus diferentes, el que ya hemos pasado a controlar y este otro, lo que pudiera ser es que el primero escondiera el segundo, pero no parece que sean el mismo virus.



Bueno, ahora a encontrarlo, a ver lo que nos dice Aangel que encuentra al respecto.



saludos



ms, 24-4-2009

[AangeL]

beunas tardes!!!!



resulta que ya puedo instalar antivirus y me sivre internet!!! jeje, pero el antivirus no se acutaliza :-S jaja ya vere porque puede ser.



aqui dejo todos los eli* de hoy:



Fri Apr 24 10:08:30 2009

EliIFrame v1.1 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 18 de Junio del 2005)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\Angel\Datos de programa\Microsoft\MSN Messenger\30362787\CustomEmoticons\TFRA2.dat.vir --> Limpiado, Clicker.HTML.IFrame.RP.



Nº Total de Directorios: 14756

Nº Total de Ficheros: 140937

Nº de Ficheros Analizados: 16372

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



(24-4-2009 13:06:31)

EliStartPage v18.48 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINDOWS64.EXE --> Acceso Denegado.

Linea Eliminada del HOSTS --> 127.0.0.1 microsoft

Eliminada Carpeta "%WinSys%\Lowsec"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



(24-4-2009 13:06:56)

EliStartPage v18.48 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 14755

Nº Total de Ficheros: 137329

Nº de Ficheros Analizados: 30141

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Spy.ZBot.SOA

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



EliNotify v1.9.04.23 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado Spy.Zbot.SOA

Restaurado Valor "UserInit"

Desinstalado EliNotif.dll



(24-4-2009 13:36:46)

EliStartPage v18.48 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\WINDOWS64.EXE.Muestra EliStartPage v18.48

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\WINDOWS64.EXE --> Eliminado

Linea Eliminada del HOSTS --> 127.0.0.1 microsoft

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE





PD: he escrito una nueva carpeta con el nombre de "bootwindows.exe" y no me deja porque ya existe! :shock:

[julibaga]

Pues envía esto:
[quote="AangeL"]Por favor, envienos una muestra del fichero

C:\Muestras\WINDOWS64.EXE.Muestra EliStartPage v18.48

a "virus@satinfo.es". Gracias.[/quote]

Y mira si algo de esto te está afectando como te comentaba en el tema antiguo...
[quote]Te mencionaba que desinstalaras TODO de seguridad. Sé que desinstalaste el antivirus, pero no sé si llegaste a desinstalar el SpyBot y los antispyware...

Desinstala el SpyBot, reinicia e instala el antivirus otra vez. Casi seguro que el SpyBot te está dando algún problema junto con el antivirus.[/quote]

[msc hotline sat]

:lol: :lol: , Habemus el bicho !!!



Pues a ver si primero nos envias el que pide el infosat:



Por favor, envienos una muestra del fichero

C:\Muestras\WINDOWS64.EXE.Muestra EliStartPage v18.48





y luego ya te quedará menos, solo este nuevo C:\windows\system32\bootwindows.exe , que cuando puedas enviarnoslo, lo trataremos con "cariño"



Como que hemos restaurado la clave del userinit, espero que si arrancas con el CD de instalacion y pulsas R para entrar en consola de recuperacion, podrás añadir la extension .VIR a dicho fichero, cosa que sin restaurar la clave no habría siedo posible.



Bueno, habría que ver si ahora, en modo normal o en modo seguro, con el ELIMOVER, indicando C:\windows\system32\bootwindows.exe a lo mejor puede copiarlo a c:\muestras, pruebalo y si es asi, desde allí te será muy facil enviarnoslo. ASdemas, marca la casilla inferior izquierda de dicha utilidad y ya te añadirá .VIR al fichero inicial, con lo que quedará aparcado e inoperativo hasta que te ofrezcamos la version que se lo cargue :wink: :





ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



Venga, que estamos en la recta final, aprieta el acelerador !!!



PISTAAAAAAAA !!!



saludos



ms, 24-4-2009

[msc hotline sat]

Julibaga, luego haz las pruebas que quieras, pero ahora estamos en la recta final, deja pasooooooo !



que casi lo tenemos, no vaya a escaparse :lol: :lol: :lol:



saludos



ms, 24-4-2009

[julibaga]

Dejo pasooooo...

Es que posteamos en paralelo.... Mis disculpas.

[msc hotline sat]

Ya, pero es que vamos lanzados en la recta final, y no es cuestion de perder la carrera :mrgreen:



Piensa que nos ha costado muchas vueltas (viene de un Tema con 79 post...) y ahora tenemos la bandera de la meta a la vista...



gracias por dejarnos paso :wink:



saludos



ms, 24-4-2009

[msc hotline sat]

Y dando vueltas a este nuevo ZBOT y a los rootkits que los ocultan, recuerdo que a primero de este mes, con el ELITRIIP 5.68 pasabamos a controlar el Waledac:



ELITRIIP ---v5.68---( 1 de Abril del 2009) (Muestras de Waledac.E "USERINIT.EXE")



por lo que no estaría de mas que descargaras la actual version y lo probaras, a ver si tenemos una sorpresa agradable...:


[quote="para DESCARGAR el ELITRIIP, msc"] http://www.zonavirus.com/descargas/elitriip.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]



saludos



ms, 24-4-2009

[AangeL]

ms hotline sat, no me a hecho falta el elimover para copiar el archivo, de hecho ya he adjuntado los 2 en un zip y los he enviado!



tambien he cambiado el archivo con la extesion VIR a bootwindows.exe, lo que al cambiarlo me dijo que era un archivo de solo lectura, pero lo he podido cambiar.



julibaga, desde ayer no tengo nada instalado en el ordenador, hoy probe con el AVG y me servia internet, pero no se me actualizaba el antivirus me daba fallo de conexion, ahora pasa lo contrario jeje

[AangeL]

pasando elitriip..

[AangeL]

elitriip reiniciado el ordenador





(24-4-2009 17:25:11)

EliTriIP v5.77 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



(24-4-2009 17:25:13)

EliTriIP v5.77 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 14756

Nº Total de Ficheros: 137458

Nº de Ficheros Analizados: 24508

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[AangeL]

es curioso, intente instalar el nod32 y me sigue pasando lo mismo..no arranca las paginas webs, pero si instalo el AVG ahora si me funciona las webs pero no se actualiza por problemas de conexion jeje



espero que mañana miren las muestras y les sirvan de algo!



por cierto, los problemas que habian con el msn y windows media que salia el aviso de error de windows, ha desaparecido, ya funciona correctamente despues de pasar la ultima version de elistara :D

[flacoroo]

haz esto: bajate y ejecuta el[url=http://www.zonavirus.com/descargas/sproces.asp]SPROCES[/url] y posteanos el C:SPROCLOG.TXT que te generará el SPROCES. mienstras esperamos los resultado de tu envio de muestras...

[AangeL]

aqui adjunto el sproclog[attachment=0]SProcLog.txt[/attachment]