Virtumonde: troyano imborrable. Ayuda!

B

[Borrado] #1 Dic '08

Buenos días.

Anoche estaba buscando algún software que me pasara de MP4 a MP3, me descargué un ejecutable, lo escaneé con el NOD32, y supuestamente no estaba infectado. Así que nada, lo ejecuté y de repente se me empezaron a abrir decenas de ventanas de Internet Explorer (yo uso Firefox).

Después de cagarme en todo lo cagable, pasé SpyBot S&D, RegCleaner, TuneUp Utilities y por último scan con el NOD32.

El SpyBot me detecta el virus, lo borra, pero luego vuelve a estar. Es como si cambiase de nombre y dirección.

spoiler

El NOD32 directamente no me detecta nada. 0 infected files.

Yo ya es que no sé que hacer, y preferiría no tener que formatear...

Me podríais echar una mano?

Saludos y gracias si habéis leído hasta aquí.

yarviT0 #2 Dic '08

esset saco un patch especial para el nod 32 y virtumonde:
http://www.eset.com.pa/threat-center/articles/virtumonde_cronica_muerte_anunciada.pdf
ahí tienes la guía de lo que hacer

Aun así yo lo elimine bajando un par de programas para borrar registro y controlando con el spybot la escritura en registro. A mi me dio bastante la lata.

Suerte con este jodido troyano

ninja edit:

http://www.forospyware.com/t165736.html

ahi te vienen los pasos para eliminarlo, suerte

Soltrac #3 Dic '08 MV Wizard

Virtumonde es un virus muy jodido pq se asocia a Explorer.exe para esconderse, por lo que siempre se ejecuta mientras q tengas el explorer.exe activado. De ahí que aunque tu spybot borre las DLLs, la otra parte del virus residente en memoria escondido en el explorer.exe vuelve a crear otras nuevas, de ahí q encuentres otra vez el virus con el nombre cambiado cada vez q lo borras.

Para quitarlo, lo mejor es tirar de vundofix + hijackthis con el proceso del explorer quitado y no debería de darte más problemas.

B

[Borrado] #4 Dic '08

Os agradezco muchísimo la ayuda. No he entendido del todo lo que me decís, pero me pondré ahora mismo a investigar y a tratar de solucionarlo.

Mil gracias de nuevo

HybR #5 Dic '08

cuando te dicen que lo hagas con el proceso del explorer desactivado quieren decir que vayas al administrador de tareas y en la pestaña d procesos busques 'explorer.exe' y le des a terminar proceso. se te quitara la barra de inicio y tal pero no te preocupes que es asi y de eso se trata.

suerte, q el virtumonde es un puñetero

B

[Borrado] #6 Dic '08

Eso creo que fue lo único que entendí al 100% xD.

Lo que no entiendo es lo del VundoFix y el HiJackThis. El 2º parece ser que es un programa para usuarios avanzados, lo cual no soy... No sé cómo utilizarlos :S

EDIT:

El log del HiJackThis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:17:55, on 05/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Software\NOD32 Antivirus\ekrn.exe
C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Software\TuneUp Utilities 2008\OneClick.exe
C:\WINDOWS\stsystra.exe
C:\Software\NOD32 Antivirus\egui.exe
C:\Software\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Software\DAEMON Tools\daemon.exe
C:\Software\Stardock\ObjectDock\ObjectDock.exe
C:\Archivos de programa\iPod\bin\iPodService.exe
C:\Software\TuneUp Utilities 2008\RegistryCleaner.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\System32\TuneUpDefragService.exe
C:\Software\LastFM\LastFM.exe
C:\Software\Mozilla Firefox\firefox.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Software\iTunes\iTunes.exe
C:\Software\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll
O4 - HKLM..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM..\Run: [egui] "C:\Software\NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\QTTask.exe" -atboottime
O4 - HKLM..\Run: [iTunesHelper] "C:\Software\iTunes\iTunesHelper.exe"
O4 - HKLM..\Run: [086ca3c1] rundll32.exe "C:\WINDOWS\system32\ouycsicv.dll",b
O4 - HKCU..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU..\Run: [DAEMON Tools Lite] "C:\Software\DAEMON Tools\daemon.exe" -autorun
O4 - HKUS\S-1-5-19..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stardock ObjectDock.lnk = C:\Software\Stardock\ObjectDock\ObjectDock.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Acrobat Synchronizer.lnk = C:\Software\Adobe Acrobat 8 Professional\Acrobat\AdobeCollabSync.exe
O8 - Extra context menu item: Append to existing PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Software\Adobe Acrobat 8 Professional\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Software\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Software\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O20 - AppInit_DLLs: mgkxyg.dll mfcnyv.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Software\NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Software\NOD32 Antivirus\ekrn.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 6843 bytes

MaSoBa #7 Dic '08 Penitente

Me parece que yo también tengo ese troyano no estoy seguro, lo que me pasa a mi es que si tengo el explorer.exe abierto me come todo el internet y no puedo hacer nada y cuando lo cierro ya puedo navegar con normalidad. Eso te pasa a ti?

B

[Borrado] #8 Dic '08

No xD.

Yo terminé de solucionarlo anoche. Lo que hice fue seguir los pasos del link que me dió #2. Y, muy importante, me registré en el foro para poder postearles los logs del Hijackthis y el Kaspersky y ellos irme guiando. Es muy recomendable porque son gente que sabe lo que hace.

1º Descárgate el SuperAntiSpyware. Instálalo y actualízalo, pero no lo utilices aún.

Descárgate el ComboFix. No es un programa para instalarse, es sólo un ejecutable. No lo uses aún, sólo tenlo a mano.

2º Descárgate el Malwarebytes' Anti-Malware. Instálalo y actualízalo, pero no lo utilices aún.

Descárgate también el Hijackthis. Instálalo, actualízalo, pero ni se te ocurra utilizarlo sin que alguien que sepa del tema te ayude.

3º Desactiva la opción 'Restaurar sistema'. En este enlace tienes una guía de cómo hacerlo.

4º Reinicia el PC a modo a prueba de fallos (ó modo seguro). Para ello, mientras carga la BIOS dale a F8 y te saldrán las opciones.

5º Ejecuta SuperAntiSpyware y elimina todo lo que encuentra. Obviamente, haz un scan completo del sistema.

6º Reinicia en modo normal.

7º Ejecuta Malwarebytes' Anti-Malware y elimina todo lo que te encuentre.

8º Reinicia en modo normal.

9º Regístrate en el foro que te dije al principio.

10º Crea un nuevo tema en su Foro Oficial de Hijackthis explicando, antes de copiar tu log, tu problema. Luego cópiales el log y espera respuesta. Te dirán lo que hacer con algunas entradas del Hijackthis.

Saludos.

MaSoBa #9 Dic '08 Penitente

Seguiré las instrucciones, muchas gracias

Get #10 Dic '08

coño q bien estoy usando linux .... virus 0 desde hace casi 9 años.

MaSoBa #11 Dic '08 Penitente

Pues bueno al final solo pasé el superantispyware y me borro dos troyanos que tenia a parte de spywares y demas. Muchas gracias

Loa #12 Dic '08 :psyduck:

#10 no viene a cuento

pd: linux en 5 o 10 años sera un hervidero de virus tiene los mismos agujeros que windows, otra cosa es que se aprovechen menos

E

Er_jumper #13 Dic '08

Yo no tenia forma de borrarlo y probe un monton de programas, al final el "spyware terminator" fue el que me lo quito

erdanblo #14 Dic '08 Inocente

#12 ¿Comienzo de un flames?

Como usuario, ¿como ganas acceso root en el sistema Linux? Ahorrate lo del exploit, porque lo arreglaron en horas.

Por cierto, eso lo llevo escuchando... desde que escuche por primera vez la palabra Linux.

Usuarios habituales