Archivo inborrable y conexion extraña y lenta (SOLUCIONADO)

[Inca]

Hay un archivo que no puedo eliminar, a pesar que paso el CCleaner, parece tener 0 KB, pero no puedo borrarlo definitivamente (ni a mano, pues lo hago pero vuelve a aparecer luego)



No puedo subir imagenes del archivo al foro, asi que pongo mas o menos la ruta que es .....temp/SMFilter/SMlock



Y tambien han aparecido enormes archivos de casi 1 GB del Opera, siendo que habia eliminado todo hacia poco con el CCleaner (unas horas antes) y practicamente no habia navegado (no se si tiene que ver pero...).



Despues de hacerlo, la conexion se puso muy lenta.

Y sube mas de lo que baja :cry:





Pego el log de SProces para ver que opinan



(21-5-2010 03:05:34 GMT)

SProces v4.6 (c)2010 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) Instalado.

Internet Explorer: (v8.0.6001.18702) 0

Nombre Equipo: JOSE

Nombre Usuario: Joselito



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\CSRSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\WINDOWS\VMSNAP3.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\PCTSTRAY.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\BDT\BDTUPDATESERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\JAVA\JRE6\BIN\JQS.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\PCTSAUXS.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\PCTSSVC.EXE

C:\WINDOWS\SYSTEM32\TCPSVCS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\TUNEUP UTILITIES 2010\TUNEUPUTILITIESSERVICE32.EXE

C:\WINDOWS\SYSTEM32\WUAUCLT.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\UPDATE.EXE

C:\ARCHIVOS DE PROGRAMA\TUNEUP UTILITIES 2010\TUNEUPUTILITIESAPP32.EXE

C:\WINDOWS\SYSTEM32\ALG.EXE

C:\ARCHIVOS DE PROGRAMA\PC TOOLS INTERNET SECURITY\TFENGINE\TFSERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\FREECOMMANDER\FREECOMMANDER.EXE

D:\SEGURIDAD\SPROCES 4.6 B\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.orbitdownloader.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: Octh Class - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Archivos de programa\Orbitdownloader\orbitcth.dll

O2 - BHO: PC Tools Browser Guard BHO - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - C:\Archivos de programa\PC Tools Internet Security\BDT\PCTBrowserDefender.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Archivos de programa\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl Class - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Archivos de programa\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: PC Tools Browser Guard - {472734EA-242A-422B-ADF8-83D1E48CC825} - C:\Archivos de programa\PC Tools Internet Security\BDT\PCTBrowserDefender.dll

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [VMSnap3] C:\WINDOWS\VMSnap3.EXE

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [ISTray] "C:\Archivos de programa\PC Tools Internet Security\pctsTray.exe"

O8 - Extra context menu item: &Download by Orbit - res://C:\Archivos de programa\Orbitdownloader\orbitmxt.dll/201

O8 - Extra context menu item: &Grab video by Orbit - res://C:\Archivos de programa\Orbitdownloader\orbitmxt.dll/204

O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Archivos de programa\Orbitdownloader\orbitmxt.dll/203

O8 - Extra context menu item: Down&load all by Orbit - res://C:\Archivos de programa\Orbitdownloader\orbitmxt.dll/202

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\PNRPNSP.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\PNRPNSP.DLL

O10 - Unknown file in Winsock LSP: C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\PC TOOLS\LSP\PCTLSP.DLL

O10 - Unknown file in Winsock LSP: C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\PC TOOLS\LSP\PCTLSP.DLL

O10 - Unknown file in Winsock LSP: C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\PC TOOLS\LSP\PCTLSP.DLL

O10 - Unknown file in Winsock LSP: C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\PC TOOLS\LSP\PCTLSP.DLL

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.6.0_20) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} (Java Plug-in 1.6.0_20) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_20) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9975852C-295A-44DF-9502-C726F3631295}: NameServer = 164.166.1.1,208.67.220.220,8.8.8.8

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Archivos de programa\Microsoft Office\Office12\GrooveSystemServices.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL (file missing)

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

O21 - SSODL: UPnPMonitor - {e57ce738-33e8-4c51-8354-bb4de9d215d1} - C:\WINDOWS\system32\upnpui.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------

ShellExecuteHooks: {B5A7F190-DDA6-4420-B3BA-52453494E6CD} - Groove GFS Stub Execution Hook - C:\Archivos de programa\Microsoft Office\Office12\GrooveShellExtensions.dll

WinSys\Drivers\dmboot.sys (de 800256 bytes) ()

WinSys\Drivers\ntfs.sys (de 574976 bytes) ()



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Browser Defender Update Service - Threat Expert Ltd. - C:\Archivos de programa\PC Tools Internet Security\BDT\BDTUpdateService.exe

**O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Unknown owner - C:\Archivos de programa\Java\jre6\bin\jqs.exe" -service -config "C:\Archivos de programa\Java\jre6\lib\deploy\jqs\jqs.con (file missing)

O23 - Service: PCTAppEvent Driver (PCTAppEvent) - PC Tools - C:\WINDOWS\system32\drivers\PCTAppEvent.sys

**O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\PC Tools Internet Security\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\PC Tools Internet Security\pctsSvc.exe

O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Archivos de programa\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: Ambfilt - Creative - C:\WINDOWS\SYSTEM32\drivers\Ambfilt.sys

**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Controlador de bus de Microsoft UAA para High Definition Audio (HDAudBus) - Windows (R) Server 2003 DDK provider - C:\WINDOWS\SYSTEM32\DRIVERS\HDAudBus.sys

O23 - Service: Service for Realtek HD Audio (WDM) (IntcAzAudAddService) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\RtkHDAud.sys

O23 - Service: Monfilt - Creative Technology Ltd. - C:\WINDOWS\SYSTEM32\drivers\Monfilt.sys

O23 - Service: nv - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\nv4_mini.sys

O23 - Service: NVIDIA nForce Networking Controller Driver (NVENETFD) - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\NVENETFD.sys

O23 - Service: NVIDIA Network Bus Enumerator (nvnetbus) - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\nvnetbus.sys

O23 - Service: PCTools Firewall - Packet filter driver (PCTFW-PacketFilter) - PC Tools - C:\WINDOWS\system32\drivers\pctNdis-PacketFilter.sys

O23 - Service: PC Tools Driver (pctNDIS) - PC Tools - C:\WINDOWS\SYSTEM32\DRIVERS\pctNdis.sys

O23 - Service: pctplfw - PC Tools - C:\WINDOWS\system32\drivers\pctplfw.sys

O23 - Service: pctplsg - PC Tools - C:\WINDOWS\system32\drivers\pctplsg.sys

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys

*O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)

O23 - Service: TfNetMon - PC Tools - C:\WINDOWS\system32\drivers\TfNetMon.sys

O23 - Service: ThreatFire - PC Tools - C:\Archivos de programa\PC Tools Internet Security\TFEngine\TFService.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\Archivos de programa\TuneUp Utilities 2010\TuneUpDefragService.exe

O23 - Service: TuneUpUtilitiesDrv - TuneUp Software - C:\Archivos de programa\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys

O23 - Service: vmfilter303 - Vimicro Corporation - C:\WINDOWS\SYSTEM32\drivers\vmfilter303.sys

O23 - Service: A4 TECH PC Camera H (ZSMC303) - Vimicro Corporation - C:\WINDOWS\SYSTEM32\Drivers\usbVM303.sys



Listado de Servicios (Deshabilitados):

--------------------------------------

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys

O23 - Service: Game Jackal Server (GJService) - SlySoft Inc. - C:\Documents and Settings\All Users\Datos de programa\{BBBA8EA7-AB84-4890-9853-D0052421E540}\Server.exe



31 Servicios.

8 de Carga Automatica.

21 de Carga Manual.

2 Deshabilitados.





Gracias y saludos :wink:

[msc hotline sat]

Pues vemos esta clave que puede eliminar :



O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL (file missing)









y este que podría ser malware, envienoslo para analizar



O23 - Service: PCTAppEvent Driver (PCTAppEvent) - PC Tools - C:\WINDOWS\system32\drivers\PCTAppEvent.sys







Y si este último no lo ha instalado voluntariamente, añada .VIR a su extension y, tras reiniciar, nos lo envia para analizar:









[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 21-5-2010

[Inca]

Gracias por tu respuesta. :D



La clave a borrar, deberé hacerlo con el Hijack, no es cierto?? Ya que el SProces no tiene esa opcion...



O utilizo algun otro software??



Y ya te he mandado la muestra.



Nuevamente gracias :wink:

[msc hotline sat]

Sí, pude usar el HJT:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



y en algun caso donde la clave no aparezca en dicho log, puede probarse nuestro BUSCAREG:







[size=150][color=darkblue][b]BuscaReg[/b][/color][/size] (SATINFO)

Busca una cadena dentro del registro de windows, una vez encontradas permite borrarlas con tan solo pinchar encima de cada entrada encontrada, ademas realiza la exportacion de las claves eliminadas por si se necesitan restaurar las claves borradas.



[url=http://www.zonavirus.com/descargas/buscareg.asp][b]Descargar BuscaReg[/b][/url]



saludos



ms, 21-5-2010

[Inca]

No he tenido noticias sobre el archivo que subi para que analizaran.

De todos modos el archivo que comente no podia borrar, ya lo fue.

Era un archivo del PCTools Internet Security que estaba malfuncionando, y traia problemas.

De todos modos, me sigue interesando ver que sucedio con el analisis en cuestin.



Saludos y gracias.

[msc hotline sat]

Posiblemente lo enviaste mas tarde de las 15 horas del viernes, que cierra SATINFO hasta el siguiente lunes.



En tal caso se analizará en cuanto lo recibamos e informaremos, pero si dices que el problema ya se solucionó, probablemente o es un driver de PCTools o es un Rootkit como se indica en http://www.prevx.com/filenames/X731482076310543930-X1/PCTAPPEVENT.SYS.html



saludos



ms, 30-5-2010

[Inca]

El archivo lo habia enviado el 21 de mayo a las 15:30 hs, como te comentaba en el post . :shock:



De todos modos, confirmo que tiene que haber sido el malfuncionamiento del PC Tools Internet Security el que ocasionó el problema.



Saludos

[msc hotline sat]

Pues no se recibió... lo enviaste empaquetado con password virus, como indicamos ???



Si no fue asi, repite el envio si quieres que lo analicemos, pero recuerda:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 31-5-2010

[Inca]

Efectivamente, use la opcion "envio muestras" de la parte superior de la pagina, y lo comprimi con password "virus" :roll:



Lamentablemente, ya desinstale la suite y cambie por otra, asi que no creo poder enviarlo de vuelta (no estoy en esa maquina en este momento, cuando pueda la revisaré y si esta, lo mando de vuelta)



Saludos :wink:



PD: lo encontré y lo acabo de resubir.

[msc hotline sat]

Recibido el fichero de marras, ya en el preanalisis ningun antivirus detecta nada:




[quote]File PCTAppEvent.sys received on 2010.06.02 07:47:42 (UTC)



Result: 0/41 (0%)[/quote]

por lo que, apoyando lo que nos indica, lo damos por bueno y procedemos a cerrar el Tema



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 2-6-2010