Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Descarga The Avenger y lo guardas en el escritorio.

• Copia el texto que se encuentra en el cuadrado más abajo.

Después de reiniciar, se creará un archivo log.txt ubicado en C:\avenger.txt , ese tal reporte lo pegas aquí.

Baje el Avanger
Cuando le doy a ejecutar me sale una ventana que dice lo siguiente:
No se puede ejecutar "C:\Users\MARIELA\AppData\Local\Temp\Rar$EX06.436\ avenger.exe"
Esepero mas indicaciones, muchas gracias

Con el Permiso de Juan01_12

Ahora bien, por favor realice lo siguiente:

1. Desactive temporalmente su Antivirus (Este paso es vital, para el buen funcionamiento)
2. Descargue esta nueva copia FS-FixBagle.zip
3. Descomprima la Carpeta de FS-FixBagle, localice y ejecute el Archivo .Reg, con el Nombre de "Fix.Reg", acepte la modificacion del Registro.
4. Ahora Ejecute FS-FixBagle.exe, siguiente las indicaciones *Nota* Para ejecutar la herramienta FS-FixBagle.zip siga estos pasos:
   
   • Ejecute FS-FixBagle.exe
   • Eliga la opción "1", Primer Etapa (Inicia la Desinfeccion)
     
   • Una vez que el Pc, se reinicie, presione la la opcion "2" Segunda Etapa (Termina la Desinfeccion)
   • FS-FixBagle.exe, genera un reporte, el cual se encuentra generalmente en C:\BagleReport.txt.

Por Favor, es importante que siga el pie de la letra las indicaciones



Salu2!
No olvide volver.

Aqui esta el reporte del Fs-fixBagle
Gracias
espero mas informacion, con respecto al antivirius, aun me sigue apareciendo que no estoy protegido.
Reporte de Fs-FixBagle.
Fecha de creacion: 7:38:41,62, 25-08-2008
Sistema Operativo: Microsoft Windows [Versi¢n 6.0.6001]
Modo de Inicio: Normal

~~~~~~~~~~~~~ Objetos Encontrados


~~~~~ Archivos

C:\Windows\system32\drivers\hldrrr.exe ... Renombrado a hldrrr.FS-FixBagle
C:\Windows\system32\drivers\mdelk.exe ... Renombrado a mdelk.FS-FixBagle
C:\Windows\system32\drivers\srosa.sys ... Renombrado a srosa.FS-FixBagle
C:\Windows\system32\ban_list.txt...Eliminado
C:\Windows\system32\mdelk.exe ... Renombrado a mdelk.FS-FixBagle
C:\Windows\system32\wintems.exe ... Renombrado a wintems.FS-FixBagle
C:\Windows\system32\drivers\downld\?????.exe...Eli minado
C:\Windows\system32\drivers\downld\??????.exe...El iminado
C:\Windows\system32\drivers\downld\???????.exe...E liminado
C:\Windows\system32\drivers\downld\????????.exe... Eliminado
C:\Windows\system32\wintems.exe ... Renombrado a wintems.FS-FixBagle

~~ Papeleria de Reciclaje, Vacia...!
~~ Archivos Temporales, Eliminados...!

~~~~ Carpetas
"C:\Users\MARIELA\AppData\Roaming\m" Fallo al Eliminar
C:\Windows\system32\drivers\downld Eliminado
"C:\Users\MARIELA\AppData\Roaming\m" Fallo al Eliminar


~~~~ Renombrados


~~~~ Registro


[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run]
"Windows Defender"=hex(2):25,00,50,00,72,00,6f,00,67,00,72, 00,61,00,6d,00,46,\
00,69,00,6c,00,65,00,73,00,25,00,5c,00,57,00,69,00 ,6e,00,64,00,6f,00,77,00,\
73,00,20,00,44,00,65,00,66,00,65,00,6e,00,64,00,65 ,00,72,00,5c,00,4d,00,53,\
00,41,00,53,00,43,00,75,00,69,00,2e,00,65,00,78,00 ,65,00,20,00,2d,00,68,00,\
69,00,64,00,65,00,00,00
"Apoint"="C:\\Program Files\\DellTPad\\Apoint.exe"
"OEM02Mon.exe"="C:\\Windows\\OEM02Mon.exe"
"SigmatelSysTrayApp"=hex(2):25,00,50,00,72,00,6f,0 0,67,00,72,00,61,00,6d,00,46,\
00,69,00,6c,00,65,00,73,00,25,00,5c,00,53,00,69,00 ,67,00,6d,00,61,00,54,00,\
65,00,6c,00,5c,00,43,00,2d,00,4d,00,61,00,6a,00,6f ,00,72,00,20,00,41,00,75,\
00,64,00,69,00,6f,00,5c,00,57,00,44,00,4d,00,5c,00 ,73,00,74,00,74,00,72,00,\
61,00,79,00,2e,00,65,00,78,00,65,00,00,00
"IgfxTray"="C:\\Windows\\system32\\igfxtray.ex e"
"HotKeysCmds"="C:\\Windows\\system32\\hkcmd.ex e"
"Persistence"="C:\\Windows\\system32\\igfxpers.exe "
"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.6.0_07\\bin\\jusched.exe\""
"DELL Webcam Manager"="\"C:\\Program Files\\Dell\\Dell Webcam Manager\\DellWMgr.exe\" /s"
"Adobe Reader Speed Launcher"="\"C:\\Program Files\\Adobe\\Reader 8.0\\Reader\\Reader_sl.exe\""
"dscactivate"="\"C:\\Program Files\\Dell Support Center\\gs_agent\\custom\\dsca.exe\""
"PCMService"="\"C:\\Program Files\\Dell\\MediaDirect\\PCMService.exe\""
"mcagent_exe"="C:\\Program Files\\McAfee.com\\Agent\\mcagent.exe /runkey"
"DellSupportCenter"="\"C:\\Program Files\\Dell Support Center\\bin\\sprtcmd.exe\" /P DellSupportCenter"
"NBKeyScan"="\"C:\\Program Files\\Nero\\Nero8\\Nero BackItUp\\NBKeyScan.exe\""
"GrooveMonitor"="\"C:\\Program Files\\Microsoft Office\\Office12\\GrooveMonitor.exe\""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\OptionalComponents]
@=""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\OptionalComponents\IMAIL]
"Installed"="1"
@=""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\OptionalComponents\MAPI]
"NoChange"="1"
"Installed"="1"
@=""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\OptionalComponents\MSFS]
"Installed"="1"
@=""

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\run]
"Sidebar"="C:\\Program Files\\Windows Sidebar\\sidebar.exe /autoRun"
"MsnMsgr"="\"C:\\Program Files\\Windows Live\\Messenger\\MsnMsgr.Exe\" /background"
"DellSupportCenter"="\"C:\\Program Files\\Dell Support Center\\bin\\sprtcmd.exe\" /P DellSupportCenter"
"ehTray.exe"="C:\\Windows\\ehome\\ehTray.exe"
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="\"C:\\Program Files\\Common Files\\Nero\\Lib\\NMIndexStoreSvr.exe\" ASO-616B5711-6DAE-4795-A05F-39A1E5104020"
"WMPNSCFG"="C:\\Program Files\\Windows Media Player\\WMPNSCFG.exe"
"SUPERAntiSpyware"="C:\\Program Files\\SUPERAntiSpyware\\SUPERAntiSpyware.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\runonce]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\runonce\Setup]
"Registering ActiveScan 2.0 Components"="C:\\Windows\\system32\\regsvr32.exe /s \"C:\\Program Files\\Panda Security\\ActiveScan 2.0\\as2guiie.dll\""
"Registering ActiveScan 2.0 Components."="C:\\Windows\\system32\\regsvr32.exe /s \"C:\\Program Files\\Panda Security\\ActiveScan 2.0\\npwrapper.dll\""
"Registering ActiveScan 2.0 Components.."="C:\\Windows\\system32\\regsvr32.exe /s \"C:\\Program Files\\Panda Security\\ActiveScan 2.0\\libcomm.dll\""
"Registering ActiveScan 2.0 Components..."="C:\\Windows\\system32\\regsvr32.ex e /s \"C:\\Program Files\\Panda Security\\ActiveScan 2.0\\as2inst.dll\""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\runonceex]
"flags"=dword:00000008

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\runonceex\000]


~~~~~~~~~~~~~ Fin

Ahhh Otra cosa
despues de hacer todo los pasos que se me indico cuando volvio al escritorio de windows me aparecio los siguientes mensajes
dsca.exe-error de aplicacion
error de aplicacion al inicializarse (0xc000007b) Haga clic en aceptar para cerrar la aplicación. Luego de aceptar...
aparece otra venta con lo siguiente
Microsoft Windows
Dejo de funcionar
El programa dejo de funcionar correctamente por un problema.
Windows cerrara el programa y le notificara si existe solucion
y no aparece nada mas

Eso me falto decia
muchas gracias

Probe pasar el Avenger y me arrojo este reporte:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: file "C:\Program Files\DellTPad\Apoint.exe" not found!
Deletion of file "C:\Program Files\DellTPad\Apoint.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\NVRYUC0U\b64_3[1].jpg"
Deletion of file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\NVRYUC0U\b64_3[1].jpg" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\TIDIGQBA\b64_1[1].jpg"
Deletion of file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\TIDIGQBA\b64_1[1].jpg" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\WFSEN6LV\b64_1[1].jpg"
Deletion of file "C:\Users\MARIELA\AppData\Local\Microsoft\Windows\ T emporary Internet Files\Content.IE5\WFSEN6LV\b64_1[1].jpg" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\Temp\Rar$EX00.020\ A nti-Virus_ESET.NOD32.BR_v.2.70.26_WIN_NT_2K_2K3_XP_VIS TA_32Bit_64Bit_[2007]_by.F!N4LShare.exe"
Deletion of file "C:\Users\MARIELA\AppData\Local\Temp\Rar$EX00.020\ A nti-Virus_ESET.NOD32.BR_v.2.70.26_WIN_NT_2K_2K3_XP_VIS TA_32Bit_64Bit_[2007]_by.F!N4LShare.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\Temp\Rar$EX04.476\ A nti-Virus_ESET.NOD32.BR_v.2.70.26_WIN_NT_2K_2K3_XP_VIS TA_32Bit_64Bit_[2007]_by.F!N4LShare.exe"
Deletion of file "C:\Users\MARIELA\AppData\Local\Temp\Rar$EX04.476\ A nti-Virus_ESET.NOD32.BR_v.2.70.26_WIN_NT_2K_2K3_XP_VIS TA_32Bit_64Bit_[2007]_by.F!N4LShare.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: could not open file "C:\Users\MARIELA\AppData\Local\VirtualStore\Progr a m Files\ESET\infected\OAGCYRCA.NQF"
Deletion of file "C:\Users\MARIELA\AppData\Local\VirtualStore\Progr a m Files\ESET\infected\OAGCYRCA.NQF" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: file "C:\Windows\System32\drivers\hldrrr.exe" not found!
Deletion of file "C:\Windows\System32\drivers\hldrrr.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\wintems.exe" not found!
Deletion of file "C:\Windows\System32\wintems.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

Gracias

Al final parece que FS-FisBagle, si elimino las claves del registro que no permitian, que se ejecutaran los .EXEs.

Puedo hacerle unas preguntas sobre FS-FixBagle?

1. Ejecuto de Forma correcta la herramienta, siguiendo los pasos arriba descritos?
2. Algun mensaje de Error salto, ala hora de Ejecutar la herramienta?
3. El PC. se reinicio de forma automatica?
4. La herramienta, luego de Reiniciarse, esta se ejecuto al inicio de windows?
5. Cuando descargo/ejecuto la herramienta, su antivirus no le alerto de un falso positivo?

Salu2!
Sea tan amable de responder a esas preguntas

Ejecute como se me indico
Acepte que se reiniciara
despues de reiniciarse aparecio de inmediato la ventana del programa para seguir con el paso 2
La verdad es que no recuerdo si me dio un mensaje de error.
y el antivirus no arrojo nada porque sigue imposibilitado de activarse tengo el mcafee que dice que no estoy portegido
Que mas hago?

Cada vez que enciendo el pc me aparece ese mensaje que coloque de
Cadsca.exe-error de aplicacion
error de aplicacion al inicializarse (0xc000007b) Haga clic en aceptar para cerrar la aplicación. Luego de aceptar...
aparece otra venta con lo siguiente
Microsoft Windows
Dejo de funcionar
El programa dejo de funcionar correctamente por un problema.
Windows cerrara el programa y le notificara si existe solucion

OK, perfecto, por va

Por favor, seria tan amable, de subir unas mestras de los siguientes archivos :

• C:\Windows\system32\wintems.exe ... Renombrado a wintems.FS-FixBagle
  C:\Windows\system32\mdelk.exe ... Renombrado a mdelk.FS-FixBagle
  C:\Windows\system32\wintems.exe ... Renombrado a wintems.FS-FixBagle
  C:\Windows\system32\drivers\hldrrr.exe ... Renombrado a hldrrr.FS-FixBagle
  C:\Windows\system32\drivers\mdelk.exe ... Renombrado a mdelk.FS-FixBagle
  C:\Windows\system32\drivers\srosa.sys ... Renombrado a srosa.FS-FixBagle

Busquelos primero con la extensiom de FS-FixBagle y si no los encuentra, busquelos con la Estension exe y sys, respectivamente. (Mire arriba). Comprimalos en un Zip.

Puede subirlo al canal de infospyware en bleepingcomputer.com: Bleeping Computer - Computer Help and Discussion

En la seccion "Link to topic where this file was requested:" coloca el enlace de este tema, luego busca el archivo y lo subes para que lo analicemos

Preferiblemente deja un comentario indicando que el archivo lo has subido tu,que es una muestra del malware Bagle, pones el link del tema y pones que yo "Angel Doze", te lo solucito...

Disculpa, pero nose como buscar los archivos que me indica
Podria explicarme mejor
Gracias