Mensaje
por msc hotline sat » 20 Jul 2005, 20:58
Gracias palomo, pero no sé si habías visto lo indicado en el segundo tema de este apartado sobre la eliminacion del smitfraud.c, incluyendo las variantes para los adwares propagandisticos del antivirus GOLD y de este de hoy PSGUARD, todo ello implementandolo en cada version del ELISTARA que hemos ido haciendo, como se ha ido indicando al respecto:
ELIMINACION MANUAL DE SMITFRAUD.C:
Instrucciones para eliminar Smitfraud traducidas y reproducidas de BleepingComputer.com con permiso expreso de su autor (Grinler):
Para eliminar esta infección necesitará usar HijackThis para llevar a cabo la eliminación manual:
1. Imprima estas instrucciones ya que será necesario cerrar todas las ventanas durante la reparación..
2. Vaya al Panel de control de Windows y haga clic en Agregar o quitar programas.
3. Cuando aparezca la lista de programas instalados, haga doble clic en Security iGuard si es que existe y desinstalelo. A continuación salga de Agregar o quitar programas y del Panel de control.
4. Cierre todas las ventanas, incluyendo la del navegador en la que está leyendo esto.
5. En HijackThis, marque las siguientes entradas y pulse en el botón fix checked:
O4 - HKCU\..\Run: [WindowsFY] C:\WP.EXE
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O9 - Extra button: Microsoft AntiSpyware helper - {1048ECC0-B4E7-11D9-8A8B-00010271A782} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {1048ECC0-B4E7-11D9-8A8B-00010271A782} - (no file) (HKCU)
6. Salga de HijackThis
7. Reinicie en ordenador en modo seguro
8. Elimine los siguiente archivos y carpetas:
c:\wp.exe
c:\bsw.exe
c:\bsw.bmp
c:\wp.bmp
c:\windows\system32\wldr.dll
C:\Archivos de programa\Security iGuard\ (<-- carpeta)
9. Reinicie en modo normal.
10. Crear el siguiente archivo seleccionando el script entre quotes y copiandolo al bloc de notas, y salvarlo como SMITFRAUD.REG:
bleepingcomputer escribió:
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"NoDispAppearancePage"=-
"Wallpaper"=-
"WallpaperStyle"=-
"NoDispBackgroundPage"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoActiveDesktopChanges"=-
[HKEY_CURRENT_USER\Control Panel\Desktop]
"Wallpaper"=-
"WallpaperStyle"=-
[HKEY_CURRENT_USER\Control Panel\Colors]
"Background"="0 78 152"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"notepad.exe"=-
"notepad2.exe"=-
"winlogon.exe"=-
"paint.exe"=-
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search]
"SearchAssistant"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm"
"CustomizeSearch"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm"
"Default_Search_URL"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main]
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Bar"="Search Bar"="http://search.msn.com/intl/searchpane/en-au/prov2.htm"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]
""="http://home.microsoft.com/access/autosearch.asp?p=%s"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main]
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Bar"="http://search.msn.com/spbasic.htm"
"Use Custom Search URL"= dword:00000000
[-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}]
[-HKEY_CLASSES_ROOT\CLSID\VMHomepage]
[-HKEY_CLASSES_ROOT\CLSID\VMHomepage.1]
[-HKEY_CLASSES_ROOT\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}]
[-HKEY_CLASSES_ROOT\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}]
[-HKEY_CLASSES_ROOT\VMHomepage]
[-HKEY_CLASSES_ROOT\VMHomepage.1]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objecta]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\r]
11. Haga doble clic en el archivo smitfraud.reg. Cuando le pregunte si desea combinar el archivo en el registro de windows pulse Aceptar.
12. Reinicie y ahora podrá cambiar las propiedades del escritorio. Si tiene problemas con la configuración, haga clic en la pestaña Temas y seleccione el tema predeterminado de Windows XP.
Ahora su ordenador debería estar limpio de la infección Smitfraud / Wp.exe / WindowsFY. Sin embargo, es probable que la infección se instalase con otro programa maligno. Si necesita ayuda para eliminarlo ponga un nuevo informe de HijackThis en los foros.
-ELIMINACION AUTOMATICA DEL SMITFRAUD.C CON ELISTARA > 7.4
AÑADIDO EN NUEVAS VERSIONES:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoActiveDesktopChanges"=-
"ForceActiveDesktopOn"=-
[HKEY_CURRENT_USER\Control Panel\Desktop]
"Wallpaper"=-
"WallpaperStyle"=-
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}]
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search]
"SearchAssistant"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm"
"CustomizeSearch"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm"
"Default_Search_URL"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main]
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Bar"="Search Bar"="http://search.msn.com/intl/searchpane/en-au/prov2.htm"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]
""="http://home.microsoft.com/access/autosearch.asp?p=%s"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main]
"Search Page"="http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch"
"Search Bar"="http://search.msn.com/spbasic.htm"
"Use Custom Search URL"= dword:00000000
"Use Search Asst"=-
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}]
[-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}]
[-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}]
[-HKEY_CLASSES_ROOT\CLSID\{357A87ED-3E5D-437d-B334-DEB7EB4982A3}]
[-HKEY_CLASSES_ROOT\CLSID\VMHomepage]
[-HKEY_CLASSES_ROOT\CLSID\VMHomepage.1]
[-HKEY_CLASSES_ROOT\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}]
[-HKEY_CLASSES_ROOT\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}]
[-HKEY_CLASSES_ROOT\VMHomepage]
[-HKEY_CLASSES_ROOT\VMHomepage.1]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objecta]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\r]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Intel system tool"=-
"WindowsFZ"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\AntivirusGold
Con el ELISTARA se facilita automaticamente su desinfeccion, como han podido comprobar nuestros foreros.
Y decirte que otros ficheros que indicas aunque no correspondan a este troyano, tambien los controla el ELISTARA, como podrás ver en la descripcion de cada version, en la pagina de descarga:
ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp
Gracias por tu informacion. Espero que te sirva la nuestra, disponible en este foro aunque no sea preciso usarla gracias a la utilidad indicada.
saludos
ms, 20-07-2005
Última edición por
msc hotline sat el 21 Jul 2005, 15:27, editado 1 vez en total.
msc hotline sat Virus Research Engineer