EL FAMOSO DOBLE ACENTO. (SOLUCIONADO)

[VICTORVICUÑA]

Amigos.

Gracias, en primer t´´ermino, por recibir mi duda.

He intentado todo para deshacerme de este keyloger, pero a´´un no he podido.

Les env´´io lo que tengo:



Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 0:54:58, on 21/03/2011

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Safe mode



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Administrador\Escritorio\HijackThis.exe

C:\Archivos de programa\Microsoft Office\OFFICE11\WINWORD.EXE



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.elconquistador.cl/player/?stream=fina

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Archivos de programa\AVG\AVG10\avgssie.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [AudioDeck] C:\Archivos de programa\VIAudioi\SBADeck\ADeck.exe 1

O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [NBAgent] "C:\Archivos de programa\Nero\Nero BackItUp & Burn\Nero BackItUp\NBAgent.exe" /WinStart

O4 - HKLM\..\Run: [AVG_TRAY] C:\Archivos de programa\AVG\AVG10\avgtray.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Archivos de programa\Alcohol Soft\Alcohol 120\axcmd.exe" /automount

O4 - HKCU\..\Run: [TaskSwitchXP] C:\Archivos de programa\TaskSwitchXP\TaskSwitchXP.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [windows.bin.exe] C:\windows.bin\windows.bin.exe

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Archivos de programa\PokerStars.NET\PokerStarsUpdate.exe

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} - http://download.divx.com/player/DivXBrowserPlugin.cab

O16 - DPF: {73ECB3AA-4717-450C-A2AB-D00DAD9EE203} (GMNRev Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection2.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Archivos de programa\AVG\AVG10\avgpp.dll

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Cortafuegos de AVG (avgfws) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG10\avgfws.exe

O23 - Service: AVGIDSAgent - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG10\Identity Protection\Agent\Bin\AVGIDSAgent.exe

O23 - Service: WatchDog de AVG (avgwd) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG10\avgwdsvc.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio Google Update (gupdate) (gupdate) - Unknown owner - C:\Archivos de programa\Google\Update\GoogleUpdate.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

O23 - Service: Servicio de uso compartido de red del Reproductor de Windows Media (WMPNetworkSvc) - Unknown owner - C:\Archivos de programa\Windows Media Player\WMPNetwk.exe



--

End of file - 8491 bytes





Gracias nuevamente.

[msc hotline sat]

El log es lo último que pedimos en estos casos:



https://foros.zonavirus.com/viewtopic.php?f=13&t=5148



Puede tratarse de una variante del Spy EYE, como el de ayer:



http://www.zonavirus.com/noticias/2011/peligroso-rootkit-spy-eye-y-aun-no-detectado-por-ningun-av-actual-de-los-de-vt.asp



Pues empieza probando el ELISTARA


[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]



y si en el informe no detecta nada ni pide el envio de ninguna muestra sospechosas para analizar, lanza el SPROCES y posteanos el informe resultante:





SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Tras lanzarlo, pulsar en SALIR y con un copiar y pegar, nos posteas el contenido del C:\sproclog.txt en tu proximo post, como respuesta de este Tema



saludos



ms, 23-3-2010

RCLSAN

[VICTORVICUÑA]

Aquí van los informes (y como ya podrán apreciar, el acento se ha normalizado).



[b][color=#800000]SON MAESTROS; GRACIAS TOTALES.[/color][/b] :D :D :D





Posterior a reiniciar:



(23-3-2011 17:06:29 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKCU\...\Run] "windows.bin.exe"="C:\windows.bin\windows.bin.exe"

Eliminada Carpeta "C:\windows.bin"

Eliminados Ficheros Temporales del IE





Antes de reiniciar:



(23-3-2011 16:54:22 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurado "Userinit"

[Userinit anterior] = "C:\WINDOWS\system32\userinit.exe,"

[Userinit actual] = "C:\WINDOWS\SYSTEM32\Userinit.exe,"

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\Muestras\WINDOWS.BIN.EXE.Muestra EliStartPage v22.86

a "virus@satinfo.es". Gracias.

C:\WINDOWS.BIN\WINDOWS.BIN.EXE --> Eliminado

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado HOSTS no Standar.

Restaurado HOSTS por el Original.



(23-3-2011 17:01:08 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 7883

Nº Total de Ficheros: 73381

Nº de Ficheros Analizados: 15814

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0









¿Debo enviar lo que piden a esa dirección?





Muchas gracias nuevamente.

[msc hotline sat]

Ahora ya lo tienes medio apañado, pero has de enviarnos este fichero para que implementemos su control y eliminacion en las proximas versiones de nuestras utilidades:



Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\Muestras\WINDOWS.BIN.EXE.Muestra EliStartPage v22.86









[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos





saludos



ms, 23-3-2011

[VICTORVICUÑA]

Ya envié el fichero sospechoso y los*.txt los pegué acá mismo.



Espero vuestras instrucciones.

[msc hotline sat]

Supongo que ya no tienes el problema del doble acento, pues el fichero de marras está ya aparcado y fuera de circulación.



Hoy lo recibiremos en SATINFO (entraremos en un par de horas al trabajo) y tras analizarlo, implementaremos su control y eliminacion en la proxima version del ELISTARA



Ya sabes que es un Spy EXE que su autor (un ciudadano ruso) está preocupando a la comunidad internauta. Mira en Noticias lo que recientemente hemos publicado sobre ello, y especialmente en http://www.zonavirus.com/noticias/2011/spy-eye-nueva-botnet-rusa-trata-de-desbancar-a-su-rival-zeus.asp



Tan pronto hayamos analizado y controlado tu nueva variante, te informaremos



saludos



ms, 24-3-2011

[msc hotline sat]

Recibida la muestra, pasamos a controlarla a partir del ELISTARA 22.88 de hoy.



Vea la Noticia que hemos publicado al respecto:



http://www.zonavirus.com/noticias/2011/nueva-variante-de-spy-eye-apenas-controlada-por-los-actuales-av-solo-6-de-43-cazada-por-la-heuristica-del-elistara.asp



saludos



ms, 24-3-2011

[VICTORVICUÑA]

Estaba pasando el ejecutable, pero apareció el protector de pantalla y paró todo.



El InfoSat.txt, hasta ese momento, era:

(23-3-2011 17:06:29 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKCU\...\Run] "windows.bin.exe"="C:\windows.bin\windows.bin.exe"

Eliminada Carpeta "C:\windows.bin"

Eliminados Ficheros Temporales del IE



(24-3-2011 00:48:45 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-3-2011 21:43:49 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-3-2011 21:49:23 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Muestras\WINDOWS.BIN.EXE.MUESTRA ELISTARTPAGE V22.86 --> Eliminado, Spyeye.AY



Nº Total de Directorios: 7928

Nº Total de Ficheros: 73344

Nº de Ficheros Analizados: 15804

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1







Ahora lo voy a pasar nuevamente (en modo a prueba de fallos) y les enviaré el nuevo informe.



Gracias nuevamente.

[VICTORVICUÑA]

Nuevo .txt:



(23-3-2011 17:06:29 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKCU\...\Run] "windows.bin.exe"="C:\windows.bin\windows.bin.exe"

Eliminada Carpeta "C:\windows.bin"

Eliminados Ficheros Temporales del IE



(24-3-2011 00:48:45 (GMT))

EliStartPage v22.86 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 22 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-3-2011 21:43:49 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(24-3-2011 21:49:23 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Muestras\WINDOWS.BIN.EXE.MUESTRA ELISTARTPAGE V22.86 --> Eliminado, Spyeye.AY



Nº Total de Directorios: 7928

Nº Total de Ficheros: 73344

Nº de Ficheros Analizados: 15804

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1



(24-3-2011 22:01:05 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 7928

Nº Total de Ficheros: 73346

Nº de Ficheros Analizados: 15805

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(24-3-2011 22:05:48 (GMT))

EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 7928

Nº Total de Ficheros: 73349

Nº de Ficheros Analizados: 15807

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0







Parece que estaríamos OK ¿No?



Gracias.

[msc hotline sat]

Sí, siempre es mejor lanzar las aplicaciones en MODO SEGURO cuando hay virus por medio, para que no incordien



Incluso otras "hierbas" como los miemos antivirus y salvapantallas, tambien pueden incordiar, y en modo seguro no se cargan.



Pues vemos que el resultado es:



EliStartPage v22.88 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 24 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Muestras\WINDOWS.BIN.EXE.MUESTRA ELISTARTPAGE V22.86 --> Eliminado, Spyeye.AY



Así que ya se ha hecho limpieza total, por lo que parece :)





Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 25-3-2011