Virus nissan.exe AYUDA ESPECIAL! gracias

santiagofb · Mensaje por **santiagofb** » 22 Ago 2009, 04:04

Hola! Este es mi primer Post, disculpen si ya habían hablado de este virus (nissan.exe), pero mi caso es un poco diferente, mi computadora es de la compañía y tiene el administrador bloqueado, el problema es que no tenemos un técnico por el momento.., por eso quisiera que me ayuden con lo siguiente; Ya utilice el Elitrip, Elistar, Elimover, Elipalevo. Pero todos los archivos dañinos tienen acceso denegado. Igualmente utilicé el Antivirus (Mcafee, por ser de la compañía nada mas…), Malwarebytes, trate de borrarlo de la dirección original con run, regedit (C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe), Ccleaner… bueno ya no se me ocurre nada que pueda hacer… y solo tengo acceso a modo a prueba de fallos con networking. Ya quite la opción de restaurar el sistema…. Si me pueden AYUDAR en este caso especial por favor.

Aquí Adjunto los archivos de Hijackthis y de Satinfo

Infosat:

(21-8-2009 17:12:18) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminado Servicio, "SCardSvr"

(21-8-2009 17:14:39) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18522

Nº Total de Ficheros: 163447

Nº de Ficheros Analizados: 35157

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(21-8-2009 17:40:14)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

(21-8-2009 17:42:51) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 17:47:37) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 17:48:08) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18531

Nº Total de Ficheros: 163557

Nº de Ficheros Analizados: 5750

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(21-8-2009 17:59:01) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 18:13:00) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 18:36:32) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 18:37:39) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\Muestras"

Nº Total de Directorios: 0

Nº Total de Ficheros: 2

Nº de Ficheros Analizados: 2

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(21-8-2009 18:37:48) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\Muestras"

Nº Total de Directorios: 0

Nº Total de Ficheros: 2

Nº de Ficheros Analizados: 2

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(21-8-2009 18:45:45 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MKJPWHXO] -> C:\WINDOWS\SYSTEM32\frelyqo.dll

C:\WINDOWS\SYSTEM32\SDRA64.EXE --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\FRELYQO.DLL --> Renombrado a .VIR

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

(21-8-2009 18:48:10 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MKJPWHXO] -> C:\WINDOWS\SYSTEM32\frelyqo.dll

C:\WINDOWS\SYSTEM32\SDRA64.EXE --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\FRELYQO.DLL --> Acceso Denegado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

(21-8-2009 18:49:00 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 16815

Nº Total de Ficheros: 144427

Nº de Ficheros Analizados: 32529

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.

Sistema Infectado por el Downloader.ConHook3

Sistema Infectado por el Spy.ZBot.GWQ

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

(21-8-2009 18:59:42 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MKJPWHXO] -> C:\WINDOWS\SYSTEM32\frelyqo.dll

C:\WINDOWS\SYSTEM32\SDRA64.EXE --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\FRELYQO.DLL --> Acceso Denegado.

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

(21-8-2009 19:08:06)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

Sistema Infectado por el Downloader.ConHook3

Sistema Infectado por el Spy.ZBot.GWQ

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

(21-8-2009 20:55:39 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MKJPWHXO] -> C:\WINDOWS\SYSTEM32\frelyqo.dll

C:\WINDOWS\SYSTEM32\SDRA64.EXE --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\frelyqo.dll.VIR --> Eliminado.

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\FRELYQO.DLL --> Renombrado a .VIR

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

Sistema Infectado por el Downloader.ConHook3

Sistema Infectado por el Spy.ZBot.GWQ

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

(21-8-2009 21:05:50) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 21:22:15) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 22:37:00 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MKJPWHXO] -> C:\WINDOWS\SYSTEM32\frelyqo.dll

C:\WINDOWS\SYSTEM32\SDRA64.EXE --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\frelyqo.dll.VIR --> Eliminado.

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\FRELYQO.DLL --> Renombrado a .VIR

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.

(21-8-2009 22:37:17 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18400

Nº Total de Ficheros: 161552

Nº de Ficheros Analizados: 41458

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sistema Infectado por el Downloader.ConHook3

Sistema Infectado por el Spy.ZBot.GWQ

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

(21-8-2009 22:50:27) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 22:50:44) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(21-8-2009 22:50:58) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18400

Nº Total de Ficheros: 161553

Nº de Ficheros Analizados: 5680

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(21-8-2009 22:58:13) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18400

Nº Total de Ficheros: 161553

Nº de Ficheros Analizados: 5680

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(22-8-2009 00:55:54)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

Hijackthis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 7:36:16 PM, on 8/21/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16850)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\WLTRYSVC.EXE

C:\WINDOWS\System32\bcmwltry.exe

C:\Program Files\Array Networks\Common\8,1,0,307\arr_isrv.exe

C:\Program Files\Array Networks\Array SSL VPN\8,1,0,307\arr_srvs.exe

C:\Program Files\Broadcom\ASFIPMon\AsfIpMon.exe

C:\Program Files\McAfee\Common Framework\FrameworkService.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe

C:\lotus\notes\ntmulti.exe

C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe

C:\10g\bin\isqlplussvc.exe

C:\10g\BIN\TNSLSNR.exe

C:\10g\jdk\bin\java.exe

c:\10g\bin\ORACLE.EXE

c:\10g\bin\ORACLE.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\StacSV.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Wave Systems Corp\Trusted Drive Manager\TdmService.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Dell\QuickSet\quickset.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\Program Files\Wave Systems Corp\Services Manager\Docmgr\bin\WavXDocMgr.exe

C:\Program Files\Wave Systems Corp\SecureUpgrade.exe

C:\WINDOWS\system32\WLTRAY.exe

C:\Program Files\SigmaTel\C-Major Audio\WDM\stsystra.exe

C:\WINDOWS\system32\KADxMain.exe

C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe

C:\Program Files\McAfee\Common Framework\UdaterUI.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Program Files\McAfee\Common Framework\McTray.exe

C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe

C:\WINDOWS\system32\wuauclt.exe

C:\DOCUME~1\acc01\LOCALS~1\Temp\593.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Java\jre1.6.0_05\bin\jucheck.exe

C:\Program Files\Unlocker\UnlockerAssistant.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\acc01\LOCALS~1\Temp\Rar$EX01.938\McAfee.Total Protection. v2009\Setup\Install.exe

C:\DOCUME~1\acc01\LOCALS~1\Temp\McUDITemp\1614\Download_Files\msc\mcinst.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\Program Files\McAfee\MQC\McpAdmin.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.28.164.7:8080

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *knowledgecurve*;*pwcinternal*;*portalpwc*;localhost;*independence*;10*;127.0.0.1;*.pwc-interamerica.com*;<local>

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [Dell QuickSet] C:\Program Files\Dell\QuickSet\quickset.exe

O4 - HKLM\..\Run: [WavXMgr] C:\Program Files\Wave Systems Corp\Services Manager\Docmgr\bin\WavXDocMgr.exe

O4 - HKLM\..\Run: [SecureUpgrade] C:\Program Files\Wave Systems Corp\SecureUpgrade.exe

O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\WINDOWS\system32\WLTRAY.exe

O4 - HKLM\..\Run: [ITSecMng] %ProgramFiles%\TOSHIBA\Bluetooth Toshiba Stack\ItSecMng.exe /START

O4 - HKLM\..\Run: [SigmatelSysTrayApp] %ProgramFiles%\SigmaTel\C-Major Audio\WDM\stsystra.exe

O4 - HKLM\..\Run: [KADxMain] C:\WINDOWS\system32\KADxMain.exe

O4 - HKLM\..\Run: [PDVDDXSrv] "C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe"

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup

O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent

O4 - HKCU\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler

O4 - HKCU\..\Run: [Sametime Connect 7.5] "C:\Program Files\IBM\Sametime Connect\sametime.exe" -noSplash

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [WMC_WMPDBExport] C:\Program Files\Windows Media Player\wmdbexport.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [WMC_WMPDBExport] C:\Program Files\Windows Media Player\wmdbexport.exe (User 'Default user')

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1225399138458

O16 - DPF: {B6648EB8-2460-484F-9255-9654454C4C70} (ArrVPNAX Control) - https://ouvpn.us.oracle.com/prx/000/http/localhost/arr_x.cab

O16 - DPF: {CAFECAFE-0013-0001-0022-ABCDEFABCDEF} (JInitiator 1.3.1.22) -

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cr.pwc

O17 - HKLM\Software\..\Telephony: DomainName = cr.pwc

O17 - HKLM\System\CCS\Services\Tcpip\..\{8A98D4E5-1808-4847-BE05-E18B407A1ACD}: NameServer = 130.35.249.41,138.2.202.15,144.20.190.70

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cr.pwc

O17 - HKLM\System\CS1\Services\Tcpip\..\{8A98D4E5-1808-4847-BE05-E18B407A1ACD}: NameServer = 130.35.249.41,138.2.202.15,144.20.190.70

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cr.pwc

O17 - HKLM\System\CS2\Services\Tcpip\..\{8A98D4E5-1808-4847-BE05-E18B407A1ACD}: NameServer = 130.35.249.41,138.2.202.15,144.20.190.70

O20 - Winlogon Notify: gemsafe - C:\Program Files\Gemplus\GemSafe Libraries\BIN\WLEventNotify.dll

O23 - Service: Array SSL VPN Service 8,1,0,307 (ArraySSL_VPN_Service8.1.0.307) - Array Networks, Inc. - C:\Program Files\Array Networks\Array SSL VPN\8,1,0,307\arr_srvs.exe

O23 - Service: Array Utility Service 8,1,0,307 (Array_Utility_Service8.1.0.307) - Array Networks, Inc. - C:\Program Files\Array Networks\Common\8,1,0,307\arr_isrv.exe

O23 - Service: Broadcom ASF IP and SMBIOS Mailbox Monitor (ASFIPmon) - Broadcom Corporation - C:\Program Files\Broadcom\ASFIPMon\AsfIpMon.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: McAfee Framework Service (McAfeeFramework) - McAfee, Inc. - C:\Program Files\McAfee\Common Framework\FrameworkService.exe

O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe

O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe

O23 - Service: Oracle10giSQL*Plus - Oracle - C:\10g\bin\isqlplussvc.exe

O23 - Service: Oracle10gTNSListener - Unknown owner - C:\10g\BIN\TNSLSNR.exe

O23 - Service: OracleDBConsoleorabd - Oracle Corporation - C:\10g\bin\nmesrvc.exe

O23 - Service: OracleDBConsoleRECOPE - Oracle Corporation - C:\10g\bin\nmesrvc.exe

O23 - Service: OracleServiceORABD - Oracle Corporation - c:\10g\bin\ORACLE.EXE

O23 - Service: OracleServiceRECOPE - Oracle Corporation - c:\10g\bin\ORACLE.EXE

O23 - Service: SecureStorageService - Wave Systems Corp. - C:\Program Files\Wave Systems Corp\Secure Storage Manager\SecureStorageService.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\WINDOWS\system32\StacSV.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe

O23 - Service: NTRU TSS v1.2.1.25 TCS (tcsd_win32.exe) - Unknown owner - C:\Program Files\NTRU Cryptosystems\NTRU TCG Software Stack\bin\tcsd_win32.exe

O23 - Service: TdmService - Wave Systems Corp. - C:\Program Files\Wave Systems Corp\Trusted Drive Manager\TdmService.exe

O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe

O23 - Service: WaveEnrollmentService - Wave Systems Corp. - C:\Program Files\Wave Systems Corp\Authentication Manager\WaveEnrollmentService.exe

O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

--

End of file - 12221 bytes

Mensaje por **msc hotline sat** » 22 Ago 2009, 08:00

Pues lo primero es enviarnos las dos muestras que le pedimos:

~~[b]~~[i]Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

Por favor, envienos una muestra del fichero

C:\Muestras\FRELYQO.DLL.Muestra EliStartPage v19.10[/i][/b]

~~[b]~~¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253

Tras recibirlo/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos

Aparte de ello, fijese que el ELISTARA dice:

~~[b]~~[i]No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)[/i][/b]

pues descargue la utilidad ELINOTIF.DLL y copiela en la misma carpeta que tiene el ELISTARA, y tras ello pruebelo de nuevo:

https://foros.zonavirus.com/viewtopic.php?f=5&t=18469

saludos

ms, 22-8-2009

ref CR/SJ+9.93-84.08

santiagofb · Mensaje por **santiagofb** » 22 Ago 2009, 22:26

Muchas Gracias por su pronta respuesta, ya hice la muestra del Elipavelo, pero no he podido hacerla del elistara, aqui la infosat:

(22-8-2009 18:30:09 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

(22-8-2009 18:30:15 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18506

Nº Total de Ficheros: 160720

Nº de Ficheros Analizados: 40400

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(22-8-2009 18:53:40) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(22-8-2009 18:53:55) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18512

Nº Total de Ficheros: 160902

Nº de Ficheros Analizados: 5698

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

(22-8-2009 19:03:14) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(22-8-2009 19:05:45) (GMT)

EliPalevo v1.7 (c)2009 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave [HKLM\...\Winlogon] "Taskman"="C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE"

Por favor, envienos una muestra del fichero

C:\Muestras\NISSAN.EXE.Muestra EliPalevo v1.7

a "virus@satinfo.es". Gracias.

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.

Reinicie para Completar la Limpieza.

(22-8-2009 19:14:05)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

(22-8-2009 19:21:25 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

(22-8-2009 19:21:33 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

Nº Total de Directorios: 18511

Nº Total de Ficheros: 160748

Nº de Ficheros Analizados: 40400

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Mensaje por **lucl** » 22 Ago 2009, 23:49

Veamos tienes que descargarte elinotif

http://www.zonavirus.com/descargas/elinotif.asp

luego lo pones en una misma carpeta con elistara y ejecutas elistara de nuevo. Tienen que estar juntos por eso lo de la carpeta, en el log que nos has pegado el elistara no dice que ha detectado elinotif. Por favor prueba de nuevo saludos

santiagofb · Mensaje por **santiagofb** » 23 Ago 2009, 00:06

Tienen toda la razon, lo extraño es que si lo tengo puesto en la misma carpeta como me dieron anteriormente que lo hiciera... ya lo baje, lo puse, pero no me aparece en c: muestras, el archivo de elistarA, que puede ser?

Mensaje por **msc hotline sat** » 23 Ago 2009, 09:34

Al tratarse de una nueva variante pueden haber hecho cualquier marranada al respecto, para impedir su detección y eliminación... Fijate que ya el ELISTARA indica que se le ha denegado el acceso a dicho fichero:

~~[b]~~[i]C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE --> Acceso Denegado.[/i][/b]

Por ello miraremos de moverlo con el ELIMOVER pero arrancando en modo seguro para que no esté en marcha el virus:

Descarga el ELIMOVER:

ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp

Luego arrancas en MODO SEGURO y le indicas mover este fichero a C:\muestras :

C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\NISSAN.EXE

Y marca de paso la casilla inferior izquierda de la ventana de dicha utilidad, para que al fichero original le sea añadida la extension .VIR y asi no pueda lanzarse a partir del siguiente reinicio.

Una vez lo tengas en C:\muestras, envianoslo para analizar y controlar.

saludos

ms, 23-8-2009

santiagofb · Mensaje por **santiagofb** » 23 Ago 2009, 13:15

mmmm, no pude en preuba de fallos tampoco con el elimover,,,, esto esta bien raro...

(23-8-2009 11:00:59)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> Copiado a "C:\Muestras"

Fichero: "C:\RECYCLER\S-1-5-21-4829778822-1479581372-921496680-8795\nissan.exe" -> NO pudo ser Renombrado a .VIR

igual envio la muestra, Gracias

Mensaje por **msc hotline sat** » 23 Ago 2009, 19:10

Sí, al no estar en MODO SEGURO, está activo y no permite ser renombrado a extension .VIR

Pero parece que ya lo tienes en C:\muestras, envianoslo e implementaremos su control y eliminacion en las proximas vesiones de nuestras utilidades, de lo cual informaremos:

~~[b]~~¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253

Tras recibirlo/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos

saludos

ms, 23-8-2009

santiagofb · Mensaje por **santiagofb** » 23 Ago 2009, 20:09

Enviado.... lo pongo en MODO SEGURO y no me deja hacerlo .VIR, de todas formas se los envió!

Gracias por su paciencia

Mensaje por **lucl** » 23 Ago 2009, 21:13

Bueno al menos ya lo habremos recibido y a partir de mañana te lo analizaran y te diran algo al respecto. Saludos.

Mensaje por **msc hotline sat** » 24 Ago 2009, 13:55

Pues a la entrada al trabajo, con miles de mails y muestras de este veranillo, hemos dado prioridad a tu muestra que hemos analizado, monitorizado , resultando ser una nueva variante del Palevo (como ya imaginabamos) que hemos pasado a controlar con la nueva version de hoy del ELIPALEVO 1.8 , que subiremos esta tarde a esta web, para pruebas de evaluacion

Tan pronto como la descargues y la pruebes, reportanos el resultado, gracias

saludos

ms, 24-8-2009

NOTA: Y como que es un virus que se propaga por pendrive, vacune ordenador y unidades pendrive con el ELIPEN:

Y vacune el ordenador y todas sus unidades de disco y pendrive con el ELIPEN:

~~[b]~~ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso .

ms.

Virus nissan.exe AYUDA ESPECIAL! gracias

Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias

Re: Virus nissan.exe AYUDA ESPECIAL! gracias