Ayuda de nuevo con Agent.SC (webcat.dll) [SOLUCIONADO]

[alvarosg]

Hola, de nuevo tengo un problema, el panda me detecta un virus en el archivo c:windows\repair\webcat.dll, he intentado eliminarlo con varios antivirus on-line y al desinfectar me dicen que el archivo esta siendo utilizado por otro programa, la informacion que he podido averiguar es que ese trata de un malware.

Gracias

[maura63]

Desactiva la restauracion del sistema de usar XP ó ME apaga el PC y enciende en modo seguro, tras ello lanza tu antivirus.



Saludos

maura63

[msc hotline sat]

Posiblemente no lo logres si es como el CS.



Si tienes problemas por que te dice que está en uso, a pesar de arrancar en modo seguro, envianos muestra del fichero webcat.dll infectado, a zonavirus@satinfo.es anexado a un mail cuyo texto sea un copiar y pegar de este post, y te contestaremos como respuesta de este tema





Para enviarlo, desactiva el antivirus, sino no podrás.



saludos



ms, 9-05-2005

[indomables]

Tambien tengo el virus Troyano Agent.SC aunque yo lo tengo en la biblioteca imgvga.dll, aunque ya imagino que da igual pq debe anclarse en un archiv al azar.



La cuestión es que despues de eliminarlo con mi Panda Platinium Internet Security sigue apareciendo un mensaje "Proceso de borrado en marcha", me cuenta que a encontrado el virus (otra vez) y que debo reiniciar el ordenador.



Si encontraias solucón hacermela saber por favor.



Un saludo

[maura63]

Bajar :

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp



Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.





Saludos

maura63

[msc hotline sat]

Seguramente volverá a aparecer a pesar de borrar entradas del HJT, por eso pedíamos muestras, que no han enviado



Por esto a "indomables" se repite lo indicado, en este caso sobre el fichero imgvga.dll, que nos envie copia del mismo a zonavirus@satinfo.es para analizarlo y ofrecer solucion al respecto, como hicimos en el caso del CS.



Recuerda poner en el texto del mail un copiar y pegar de este post, para poder contestar como respuesta de este tema



saludos



ms, 11-05-2005

[msc hotline sat]

Recibida muestra imgvga.dll:



Efectivamente, es una variante del VUNDO.B que McAfee identifca como VUNDO



Para esta familia ya indicamos que entraba como modulos del EXPLORER y del WINLOGON, que estan activos incluso arrancando en modo seguro, por lo que no vale solo lo de arrancar en este modo para eliminar el virus.



En este caso debe anotar los ficheros que su antivirus etecta como infectados o gusanos, y que son de nombres aleatorios, y, suponiendo que usas XP, debes arrancar con el CDROM de instalacion e indicar en seguida REPARAR, con lo que accederás a la consola de recuperacion y podrás entrar en modo DOS a tu disco duro y eliminar los ficheros en cuestion (en este caso seguramente la imgvga.dll



A partir de aqui, ya podrás arrancar y con la utilidad ELISTARA.EXE eliminar las claves de registro que este virus habrá dejado en el registro.



http://www.zonavirus.com/descargas/elistara.asp



Tras ello, reinicia normalmente y cuentanos el resultado



saludos



ms, 13-05-2005

[alvarosg]

Hola perdonad mi falta de respuesta, he estado fuera, deje mi pC al informatico de mi empresa y lo desinfecto desde la consola de recuperacion de Windows, entrando en Msdos y borrando el fichero infectado. Veo ke han publicado esta respuesta, pues confirmar que de esa forma desaparece.

Gracias por vuestra ayuda

Salu2

[msc hotline sat]

Efectivamente, es la forma con la que logramos que el VUNDO.B y ahora esta variante que McAfee detecta como VUNDO, no se instalen al arrancar como modulos del EXPLORER y del WINLOGON, con lo cual no había ,manera de eliminarlos, ni arrancando en modo seguro.



Nos tuvo dos días liados, pero al final ya descubrimos como eliminarlo y lo hicimos saber en el correspondiente Tema del foro.





Y tras borrar los ficheros en cuestion desde la consola de recuperacion, arrancar y ejecutar el ELISTARA.EXE para eliminar las claves creadas por este virus en el registro.



Luego con el BUSCAREG entrar el nombre del fichero borrado y eliminar la clave de carga, ya que es nombre aleatorio.



Ello es igual para los nombres AGENT.CS y AGENT.SC, que son alias de los indicados virus.



Y solucionado el Tema, lo cerramos



saludos



ms, 15-05-2005