Bienvenido! - Willkommen! - Welcome!

Bitácora Técnica de Tux&Cía., Santa Cruz de la Sierra, BO
Bitácora Central: Tux&Cía.
Bitácora de Información Avanzada: Tux&Cía.-Información
May the source be with you!
Showing posts with label worms. Show all posts
Showing posts with label worms. Show all posts

Friday, August 24, 2012

Redireccionamiento de sitios web

Fuente 
Eliminar Malware
 


Si algún paso no pudieses realizar, sáltalo
.- Descarga, Instala y/o actualiza estos programas: (pero no los ejecutes aun).
.- Desconectar de internet
Reiniciar e iniciar en "Modo a prueba de fallos" (modo seguro)
.- Malwarebytes' Antimalware (Ver Manual)
  • Actualizalo desde su pestaña Actualizar.
  • En su opción de Análisis Completo.
  • Al terminar presionas Mostrar Resultados.
  • Despues, verificas que todo este seleccionado y pulsas "Eliminar Seleccionados"
  • Cuando te indique aceptas el reinicio del sistema.
  • El reporte esta en la Pestaña Registros
.- Ccleaner (Ver Manual)
  • En su opcion "Limpiador" pulsas Ejecutar el Limpiador.
  • Luego usa su opción "Registro" pulsas Buscar Problemas, Despues Reparar Seleccionados y
Por ultimo Reparar todas las seleccionadas (haciendo copia de seguridad).
.- Reinicia en Modo Normal y comprueba cómo funciona el sistema.
.-Realice un escaneo con Panda Active Scan 2.0 siguiendo su Manual de Panda ActiveScan 2.0 (NO interferirá con tu antivirus)==================
1.- Descarga y ejecuta OTM by OldTimer:
  • Haz doble clic sobre el archivo OTM.exe para ejecutarlo
  • Pega el siguiente codigo bajo el area "Paste Instructions for items to be Moved"
    Código:
    :Files
    c:\users\user\downloads\opensebj-0-11i (1).exe
    c:\users\user\downloads\opensebj-0-11i.exe
    c:\users\user\downloads\dsc93673 (1).zip
    c:\users\user\downloads\dsc93673.zip
    
    :Commands
    [RESETHOSTS]
    [EMPTYFLASH]
    [EMPTYTEMP]
    [REBOOT]
  • Presiona el boton rojo MoveIt!
  • Espera hasta cuando el resultado aparezca en el marco Results.
  • Permite que se Reinicie el equipo, esto es importante.
2.- Descarga TDSSKiller y ejecútalo como indica su Manual.
  • Antes desconecta el ordenador de Internet o apaga el Modem.
3.- Pegas los reportes de OTM y TDSSKiller en la siguiente respuesta.
====================
1.- Descargando y ejecuta iniRem by InfoSpyware, lo descomprimes al escritorio.
  • Doble Clic en el archivo IniRem 3.0.exe
  • Ingresar la pagina de inicio que desee tener y marque las casillas de Internet Explorer y/o Firefox.
  • Presionar en el texto botón del programa “Desbloquear”
  • Haces clic en el botón Restaurar archivo hosts.
b)
1.- Muy importante: en primer lugar desconecte el ordenador de Internet.
2.- En la parte trasera del Modem vera un pequeña ranura al lado del botón de apagado; Dicho botón se utiliza para retesar al mismo introduciendo un objeto puntiagudo. Procede a resetearl
3.- Restablecer los parametros de navegacion/ configuración de DNS de la conexión a Internet:
  • Vaya a Inicio -> Panel de control -> Haga doble clic en redes e internet -> Redes y recursos compartidos-> Cambiar configuración del adaptador
  • Haga clic derecho sobre la conexión por defecto (en Conexión de área local o general, la conexión de red inalámbrica) y seleccione Propiedades.
  • Haga doble clic en Protocolo Internet (TCP / IPv4).
  • En la pestaña General:
  • Seleccione "Obtener una dirección IP automáticamente".
  • Seleccione "Obtener la dirección del servidor DNS automáticamente".
  • Haga clic en Aceptar dos veces para guardar la configuración.
  • Reinicie si tiene que cambiar cualquier configuración
4.- Renovar el caché de DNS:
  • Haga clic en de Inicio -> haga clic en Ejecutar
  • En la ventana de comandos de copia / pega el siguiente texto:
    Código:
    ipconfig /flushdns
  • A continuación, pulsa enter. Salga de la ventana de comandos.
5.- Vuelva a conectar: Una vez que haya seguido todos los pasos anteriores puede volver a conectar su ordenador a Internet. ====================
====================
el pc está limpio de infección
Realiza lo siguiente:

Descargar DDS.pif desde aquí y guardarla en su escritorio de Windows.
  • Si usas Firefox dale clic derecho y selecciona Guardar Como
  • Si falla lo anterior --> descarga DDS.scr
Deshabilite cualquier bloqueador de script y a continuación, haga doble clic en dds.pif para ejecutar la herramienta y espere pacientemente el reporte.
  • Cuando haya terminado, DDS, se abrirá dos (2) los reportes:
  1. DDS.txt
  2. Attach.txt
En la próxima respuesta:
Pega los reportes llamados DDS.txt y Attach.txt
==================
Lop S & D (manual):
  1. Haz doble clic en LopSD.exe
  2. Elige el idioma escribiendo la letra correspondiente y pulsa en Enter
  3. Haz clic en "Aceptar (Ok)" en la ventana informativa
  4. Haz clic en 2 para elegir la opción "2 (Fix + Hosts)" y a continuación pulsa en Enter
  5. Espera hasta el final de la exploración
  6. Se generará un informe, pega el contenido del mismo en tu próxima respuesta.
  7. (La copia del informe se puede encontrar en esta ubicación: %SystemDrive%\lopR.txt, en la mayoría de los casos en C:\lopR.txt).


Ejecutas Ccleaner --> Herramientas --> Inicio y dar a:

a)Desactivar a las siguientes entradas:


Código:
Si HKCU:Run msnmsgr "C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe" /background

Si HKCU:Run ares "C:\Program Files (x86)\Ares\Ares.exe" -h

Si HKLM:Run IAStorIcon C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe

Si HKLM:Run Adobe Reader Speed Launcher "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"

Si HKLM:Run BackupManagerTray "C:\Program Files (x86)\NewTech Infosystems\Acer Backup Manager\BackupManagerTray.exe" -h -k

Si HKLM:Run LManager C:\Program Files (x86)\Launch Manager\LManager.exe

Si HKLM:Run Adobe ARM "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

Si HKLM:Run SynTPEnh %ProgramFiles%\Synaptics\SynTP\SynTPEnh.exe

Si HKLM:Run PLFSetI C:\Windows\PLFSetI.exe

Si HKLM:Run IgfxTray C:\Windows\system32\igfxtray.exe

Si HKLM:Run HotKeysCmds C:\Windows\system32\hkcmd.exe

Si HKLM:Run Persistence C:\Windows\system32\igfxpers.exe
Cita:
Cualquiera de estas entradas puedes reactivarlas yendo a Ccleaner -> Herramientas -> Inicio, seleccionándola y dando a -> Activar
b) No olvides reiniciar para que los cambios surtan efecto

Con Revo Uninstaller y siguiendo su manual; busca si están y desinstala las siguientes aplicaciones:

Cita:
Avira AntiVir Personal - Free Antivirus --> recomendaría sustituirlo por avast!

Bing Bar

eBay Worldwide --> si no haces uso de él

McAfee Internet Security Suite

MyWinLocker
MyWinLocker Suite --> si no haces uso de ambos

Norton Online Backup --> si no haces uso de él
Haz uso de las siguientes herramientas específicas de desinstalación de antivirus:

Cita:
>> Si decides cambiar Avira por avast!:



Avira no dispone de una herramienta específica para desinstalar el programa, pero si tenemos problemas a la hora de querer instalar otro antivirus si que disponemos de Avira AntiVir RegistryCleaner, es una utilidad que una vez hayamos desinstalado este antivirus nos servirá para eliminar todos las claves del registro que Avira haya dejado en el PC.



>> Haz uso de AppRemover para eliminar restos de otros antivirus salvo Malwarebytes' o Avira (si no deseas cambiarlo)



Una buena alternativa gratuita para desinstalar correctamente todo tipo de programas de seguridad tales como antivirus, antispywares, antimalwares y demás se trata de AppRemover
AppRemover. Desinstala prog

Tuesday, September 13, 2011

Stop 0x00000050

Source
When you try to run one of the following diagnostic programs, the program may immediately close:
  • Registry Editor (Regedit.exe)
  • Task Manager (Taskmgr.exe)
  • System Configuration Utility (Msconfig.exe)
  • System Information (Msinfo32.exe)
You may also experience any one of the following symptoms:
  • The computer automatically restarts.
  • After you log on, you receive the following error message:
    Microsoft Windows
    The system has recovered from a serious error.
    A log of this error has been created.
    Please tell Microsoft about this problem.
    When you click the click here link at the bottom of the message box, you see error signature information that may be similar to one of the following data samples:

    Data sample 1

    BCCode : 00000050 BCP1 : ffffff60 BCP2 : 00000000 BCP3 : 804fa26f 
    BCP4 : 00000000 OSVer : 5_1_2600 SP : 0_0 Product : 256_1

    Data sample 2

    BCCode : 0000000A BCP1 : ffffff94 BCP2 : 00000000 BCP3 : 00000000 
    BCP4 : 804e15ef OSVer : 5_1_2600 SP : 0_0 Product : 256_1
  • You receive one of the following Stop error messages:

    Message 1

    A problem has been detected and Windows has been shut down to prevent damage to your computer...
    Technical information:

    *** STOP: 0x00000050 (0xffffff60, 0x00000000, 0x804fa26f, 0x00000000) PAGE_FAULT_IN_NONPAGED_AREA address 0x804fa26f in 0x50_nt!ObReferenceObjectSafe+e

    Message 2

    A problem has been detected and Windows has been shut down to prevent damage to your computer...
    Technical information:

    *** STOP: 0x0000000A (0xffffff94, 0x00000000, 0x00000000, 0x804e15ef) IRQL_NOT_LESS_OR_EQUAL address 0x804fa26f in 0xA_nt!ExpCopyThreadInfo+a
  • When you view the System log in Event Viewer, you may see an entry that is similar to one of the following:

    Entry 1

    Date: date
    Source: System
    Error Time: time
    Category: (102)
    Type: Error
    Event ID: 1003
    User: N/A
    Computer: COMPUTER
    Description: Error code 00000050, parameter1 ffffff60, parameter2 00000000, parameter3 804fa26f, parameter4 00000000.
--------------------------------------------------
This problem may occur if the computer is infected with a variant of the Sdbot virus.

The Sdbot virus creates a hidden process. This process closes programs that system administrators use for diagnostic and configuration purposes. The process may also prevent these programs from running.

The file name of the Sdbot virus varies. Many variants of this virus put a driver that is named Msdirectx.sys or Haxdrv.sys on the computer. This driver is used to hide the virus process. The file names that the virus frequently uses include Msdrv.exe and Sdkcore.exe. These virus variants can restore the virus if you delete the files.
[...]

Monday, September 12, 2011

Win32/Vundo.H

  •  Win32/Rbot!generic (CA)
  • W32/Rbot-Fam (Sophos)
  • Backdoor.Win32.Rbot.aeu (Kaspersky)
  • W32/Sdbot.worm (McAfee)
  • :W32/Gaobot.gen.worm (Panda)
  • W32.IRCBot (Symantec)
  • WORM_RBOT.GEN-1 (Trend Micro)
 geekstogo.com/forum/   trojan-vundoh-bho-and-trojanagent
/forums.majorgeeks.com/showthread.php?t=161380
========================

http://free.antivirus.com/hijackthis/
microsoft.com/security/pc-security/malware-removal.aspx

Saturday, August 7, 2010

Worm.W32.Mabezat

Gusano W32.Mabezat.
AVG Win32/Mabezat Remover 1.2.0.334

forospyware.com\... mabezat:
forospyware.com/t331262.html
1.- Descarga UsbFix By Chiquitine29.
2.- Iniciar en Modo Seguro. (ver como en forospyware)
3.- Ejecutar UsbFix.exe, realiza lo indicado:
- Conecte todos sus dispositivos extraibles, Pendrive\Micro SD, etc.
- Haga doble Click sobre USBFix
- Elija el idioma que desea, si es Castellano pulse C
- Seguido teclee la opción 2 - Eliminar \ Deleting
- El proceso de desinfección se iniciará, el ordenador se reiniciará.
- Cuando Windows inicie, USBFix, arrancará en automático, para complementar el proceso de desinfección y vacunación.
- USBFix, genera un reporte, el cual se encuentra generalmente en C:\USBFix.txt
Nota: UsbFix creará una carpeta oculta llamada "autorun.inf" en cada partición y cada unidad USB que se encuentre conectado al momento de ejecutar este. No elimine esta carpeta ... eso le ayudará a proteger sus dispositivos USB de futuras infecciones.
4.- Realizar un análisis Online de la siguiente manera:
4.1.- Descarga y ejecuta Ccleaner, usando primero su opción de "Limpiador" para borrar cookies y temporales de Internet.
Después usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).
4.2.- Realizas un análisis en linea, aquí tienes varias antivirus online:
Panda ActiveScan Online
ESET (Nod32) Online Scanner
BitDefender QuickScan
Kaspersky Antivirus Online
5.- Utilizar FileASSASSIN si el archivo infectado no se puede eliminar (ver como en forospyware)

Tuesday, July 28, 2009

Gusano se propaga en MSN LM y Skype

Source
Un primo de Argentina me manda por MSN LM y Skype lo sgte.:
MSN live messenger
cabron, te perdiste el concierto de belanova la cagaste por no ir, mira las fotos que tome
http:/ /get451.image-facebook.info:8081/uploads/file0493/disp.php?ref= DVC-Imagen003.JPEG.scr
skype
esta bien esta foto para ir en mi perfil?
http:/ /get451.image-facebook.info:8081/uploads/file0493/disp.php?ref= DVC-Imagen003.JPEG.scr
(Lo mismo que
"I took this picture with my newest cam, does it look ok?")
Invitándome a descargar la fotografía...
Y en realidad la supuesta fotografía tiene una extensión .scr (screensaver application)
Los archivos .scr pueden ejecutar códigos tal como todo archivo ejecutables .exe y es un buen método de los creadores de malware para infectar equipos cuyos usuarios no tienen idea de esos mecanismos ni de la tecnología informática usada para fines oscuros.
Una vez descargada y ejecutada tiene el siguiente comportamiento:
  • Agrega un auto start al registro para cargar parte del programa descargado al inicio del sistema operativo
  • Borra un proceso determinado
El gusano apareció en España el 28 Feb 2009
Puede tener los siguientes nombres:
  • 76068113.DAT
  • 93731019.SCR
  • 90395982.SCR
  • ASHWBSM.EXE
  • ACCESS.EXE
  • AVGMGENT.EXE
  • AVGSCNR.EXE
  • ASHSDLP.EXE
  • ASWUPSRC.EXE