virus Trj/Downloader.BSU (Terminado)

solidus · Mensaje por **solidus** » 19 Abr 2005, 17:43

Buenas, tengo un virus, y no se como quitarmelo de encima, el Panda lo desinfecta, pero parece propagarse por todos sitios.

Este es el informe que da el Panda:

VIRUS;SERVIDOR;19/04/2005-17:34;c:\winnt\atlww32.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:34;c:\winnt\system32\apizk.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:35;c:\winnt\system32\javajg.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:35;c:\winnt\system32\javajg.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:37;c:\winnt\atlww32.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:37;c:\winnt\system32\apizk.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

VIRUS;SERVIDOR;19/04/2005-17:37;c:\winnt\system32\javajg.exe;Trj/Downloader.BSU;Virus detectado por el residente;Desinfectar;

Alguien me podria dar alguna solucion.

pd: el Panda esta actualizado hasta la fecha de hoy.

Mensaje por **maura63** » 19 Abr 2005, 18:01

Informacion al respecto

http://www.conocimientosweb.net/dt/article2606.html

La madre del cordero parece ser

c:/windows ieof.exe

Has probado a lanzar el antivirus arrancando en modo seguro y desactivando la restauracion del sistema.

Saludos

maura63

solidus · Mensaje por **solidus** » 21 Abr 2005, 17:32

Buenas, sigo sin poder eliminar ese virus de mi pc, he hecho lo que me comentabas en el post anterior, el archivo que me dices no lo tengo en mi pc. me han dicho que configure el antivirus en el caso de que encuentre un virus lo borre en vez de desinfectarlo.

espero poder quitarmelo de encima, por que a este paso me veo formateando el hd.

Mensaje por **msc hotline sat** » 21 Abr 2005, 18:59

Los informes de su antivirus eran del antivirus residente, por tanto no había arrancado en modo seguro.

Siga las instrucciones de los tutoriales y arranque en modo seguro y si tiene XP deshabilite la restauracion de sistema y elimine virus y spywares con las utilidades que le indicamos:

https://foros.zonavirus.com/viewtopic.php?t=5370

Recuerde, lo mas importante es, tanto con antivirus y antispywares, cuando se trata de eliminar los gusanos, que no esten en uso, y ello se consigue arrancando en el modo indicado, sino windows no permite eliminarlos.

saludos

ms, 21-04-2005

acc · Mensaje por **acc** » 04 May 2005, 15:01

Hola tengo un "pequeño" problema y me gustaría que me ayudarais. Es mi primera participación y es una pena que sea así.

Para empezar decir que soy un usuario medio, pero que en tema de virus no tengo ni idea.

Ayer le estuve echando un vistazo al foro para ver como solucionar el problema y nada, os cuento que es y que he hecho.

No estoy seguro pero por lo que he leido creo que tengo un spyware, cuando me conecto a internet me

cambia la página del navegador a about:blank, me salen ventanas emergentes (pop-ups) me da problemas para navegar y

además me sale un virus que el Panda me desinfecta cada vez que aparece (trj./Downloader.BSU).

Dando un vistazo por el foro me bajé estos dos programas: spybotsd14b2, aawsepersonal le pegué un repaso al pc

en modo a prueba de fallos y con la opción deshabilitar Restaurar Sistema marcada, tal como comentabais, al igual que

un repaso con el panda actualizado, me elimina todo lo que estos programas detectan y en teoría queda limpio,

el panda no encuentra nada y estos dos programas de arriba tampoco, también le metí este programa spywareblaster

También eliminé todos los cookies y archivos temporales de internet asi como todos los programas que no conocía,

he registrado el disco duro y tal y tal

Llegados a este punto pienso que el pc está en orden, le cambio la pagina de inicio, conecto a internet y nada, volvemos

a las ventanas emergentes, problemas de navegación y el panda salta cada dos pro tres con el trj./Downloader.BSU

desinfectandolo cada vez en un archivo distinto.

Perdonad por la sopa pero es que estoy de los nervios, a ver si me podeis ayudar. Muchísimas Gracias.Un saludo.

Mensaje por **maura63** » 04 May 2005, 15:05

Bajar :

http://www.merijn.org/files/hijackthis.zip

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

Comprueba conectando con windows update que no te falten actualizaciones del sistema e IE.

Saludos

maura63

acc · Mensaje por **acc** » 04 May 2005, 22:32

Buenas maura63 gracias por la contestación, por lo que me has dicho quieres que pegue esto aqui?

Logfile of HijackThis v1.99.1

Scan saved at 22:29:46, on 04/05/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\Pavsrv51.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\AVENGINE.EXE

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE

C:\WINDOWS\ntyz32.exe

C:\WINDOWS\System32\rundll32.exe

C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\pavProxy.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: (no name) - {BB1F6A0B-2603-715E-4A5E-41C927C21F83} - C:\WINDOWS\system32\sysbb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [ntyz32.exe] C:\WINDOWS\ntyz32.exe

O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook

O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1111412968878

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{AE3B9AE0-BDAA-4BBB-BA6A-BE7F65FD4E60}: NameServer = 80.58.61.250 80.58.61.254

O23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\sdkkq32.exe (file missing)

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Titanium\Pavsrv51.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

Si es así ahi lo tienes, pero esto sigue igual, tengo que hacerlo en modo a prueba de fallos? esto de ser novato es muy jodido.Gracias. Un saludo.

acc · Mensaje por **acc** » 04 May 2005, 22:37

Otra cosa la única actualización que me falta es el servi pack 2 que no es poco, pero ahora como está el pc debería actualizarlo? Gracias. Un saludo.

Mensaje por **maura63** » 05 May 2005, 09:42

Pasa este antivirus online y dinos si detecta algo

Antivirus On-line:

· Computer Associates

https://www.virustotal.com/es/

Pasa tambien esta otra utilidad

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

En caso de no detectar nada, en modo seguro y desactivando la restauracion del sistema busca en C esta entrada y eliminas

C:\WINDOWS\ntyz32.exe -

Luego lanza hijackthis, pulsa scan marcas estas entradas y FIX

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xiqms.dll/sp.html#12345 -

R3 - Default URLSearchHook is missing - Nasty

O2 - BHO: (no name) - {BB1F6A0B-2603-715E-4A5E-41C927C21F83} - C:\WINDOWS\system32\sysbb.dll -

O4 - HKLM\..\Run: [ntyz32.exe] C:\WINDOWS\ntyz32.exe -

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab -

O23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unk

owner - C:\WINDOWS\system32\sdkkq32.exe (file missing) -

Despues en modo normal conecta via windows update y actualiza, te faltan un monton de actualizaciones tanto del IE como del XP.

Nos comentas los resultados.

Saludos

maura63

Mensaje por **msc hotline sat** » 05 May 2005, 10:00

Y no te confundas !!! no tienes ni el SP1 ni los demás parches de windows instalados, por lo que no solo te falta el SP2...

Quizás los tenías instalados, y si instalastes el SP2 te los bottó y luego al desinstalar el SP2 te quedaste sin lo uno y sin lo otro

Esto es frecuente, si no es tu caso es que ni siquiera instalaste el SP1 de XP

No te olvides de actualizar con windowsupdate !!!, sino los antivirus no puedes evitar las intrusiones por los agujeros de seguridad de windows.

saludos

ms, 5-05-2005

acc · Mensaje por **acc** » 05 May 2005, 11:04

Hola Muchas gracias por la ayuda

1º he pasado las dos aplicaciones que me mandaste Maura63 resultado:

El antivirus on-line detecta:

CHMHelp.chm HTML.Bloon.D infected C:\WINDOWS\Help\

ntyz32.exe Win32.Winshow.BO infected C:\WINDOWS\

Antes del escaneo EliTriip me dice: Eliminado Gusano, RANDEX;SDBOT

En el escaneo dice: Acceso denegado a la carpeta C:\\System Volume Information (22)

nº de ficheros infectados: 0

Ahora voy a intentar eliminar en modo seguro esos dos archivos infectados (programas).

Y si teneis razón me faltan actualizaciones pero es que windows update solo me pasaba el sp2, pero buscando he encontrado más, ahora las instalaré.

Ya os contaré como va, gracias. Un saludo.

Mensaje por **msc hotline sat** » 05 May 2005, 13:07

El que no tengas acceso a la carpeta del systemvolumeinformation_restore es porque no has desactivadp ña restauracion de sistema. Puedes usar el SRESTORE para ello muy comodamente:

SRESTORE.EXE

http://www.zonavirus.com/descargas/srestore.asp

El WinShow lo podrás eliminar con el ELISTARA.EXE:

http://www.zonavirus.com/descargas/elistara.asp

Y el Bloon es un downloader que arrancando en modo seguro y con la restauracion de sistema deshabilitada podrás eliminar con cualquier antivirus

Sonre la eliminacion del RANDEX y del SDBOT que hizo el ELITRIIP entraron por falta de parches, y ahora ya no estarán al haberlos eliminado, pero vuelve a lanzar el ELITRIIP una vez hastas deshabilitado la restairacion de sistema, y asi podrás escanear con él todo el disco duro.

saludos

ms, 5-05-2005

acc · Mensaje por **acc** » 12 May 2005, 22:17

Bueno muchas gracias por todo pero al final la solución fué formatear y empezar de nuevo, actualizé el xp con el disco pk no me dejaba actualizar ni el sp1 ni el sp2 parece que la copia que tengo no me dejaba actualizar esos y entré en internet sin parches, al final la mejor solución fué formatear, gracias. Un saludo.

Mensaje por **maura63** » 13 May 2005, 09:11

Pues cerramos el tema, muerto el perro se acabo la rabia.

Cuando vuelvas a instalar windows seguidamente y antes de entrar en internet instala antivirus y firewall.

Luego conectas, actualiza el antivirus y seguidamente a windows update.

Saludos

maura63