JRD escribió:Hola a tod@s en primer lugar no acuso a nadie ¿oK? bueno resulta que me descarge el archivo utileria y dentro ay filemon, autorun y procesXP bueno la cosa es que 2s de ellos lleban adozado, joineado o como kieran llamarle varios archivos me resulto un tanto sospexozo asin ke los extraje y cual fue mi sorpreza que dos de ellos son stub.exe aki las direcciones de memoria y pruebas

procexp.exe... EDITO: el Stud.exe este tiene un algoritmo aPlib compresion
=====================================================
Stub.exe: 0x0 - 0xabb38 (703288 bytes) <-----------Por lo menos podia averle cambiao el nombre SecureWeb-Gateway 6.7.6 2009.01.10 Win32.Malware.dam (suspicious)
ExtractedFile1.exe: 0xabb38 - 0xaec50 (12568 bytes)
ExtractedFile2.exe: 0xaec50 - 0xb2398 (14152 bytes)
ExtractedFile3.exe: 0xb2398 - 0xb43d0 (8248 bytes)
ExtractedFile4.exe: 0xb43d0 - 0x180c48 (837752 bytes)
ExtractedFile5.exe: 0x180c48 - 0x188cd8 (32912 bytes)
ExtractedFile6.exe: 0x188cd8 - 0x35b828 (1911632 bytes)

Filemon.exe...
=================================================
Stub.exe: 0x0 - 0x3d3f8 (250872 bytes)
ExtractedFile1.exe: 0x3d3f8 - 0x50598 (78240 bytes)suspected of Win32.BrokenEmbeddedSignature
ExtractedFile2.exe: 0x50598 - 0x98508 (294768 bytes)
ExtractedFile3.exe: 0x98508 - 0xacfd8 (84688 bytes)
ExtractedFile4.exe: 0xacfd8 - 0xb6b38 (39776 bytes)

Un gran s@1u2 y no acuso a nadie solo digo que lo revize alguien mas que yoo y diga, yo demomento voy a extraer mas info de esto

Entonces esta infectado o no? Alguien lo ha pasado por novirusthanks?

unnamed032 escribió:n/a quiere decir q el archivo no existe, si de verdad queres saber si estas infectado anda a esta clave:

Código: Seleccionar todo

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\

si encontras alguna clave que contenga el valor StubPath apuntando a una ruta de algun ejecutable, posiblemente estes enfectad@

el bifrost por ejemplo siempre corre el server asi: C:\Windows\Server.exe -s (pasandole ese parametro)

hay otras maneras, TcpView por ejemplo...