Como eliminar Trojan.Slanret. (solucionado)

vvizard · Mensaje por **vvizard** » 10 Feb 2005, 22:53

Hola me gustaria saber como logro eliminar este virus Trojan.Slanret. no se si es por este virus o no pero no me cargan al iniciar el ordenador ni el msn ni otros programas que me deberian cargar exceptuando el emule y al cabo de 30 o por ahi se cierra el programa que este haciendo uso de el es debido a este virus o a otro diferente

muchas gracias

xbo · Mensaje por **xbo** » 10 Feb 2005, 23:06

mira este enlace...

[url]http://securityresponse.symantec.com/avcenter/venc/data/trojan.slanret.html[/url]

....suerte :wink:

vvizard · Mensaje por **vvizard** » 10 Feb 2005, 23:22

gracias por responder tan rapido.

aparte de encontrar el virus anterior ahora me encontro otro.los 2 virus que tengo se llaman:

1ºTrojan Horse ---> msupd5.exe

(en este no he encontrado nada para eliminarlo)

2º Trojan.Slanret ---> ixfvqozu.sys

para eliminarlo me dice que tengo que borrar la clave de registro esta:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Ierk8243

pero si no la tengo q hago como puedo tener este virus y no tener ese registro no lo entiendo!!!! :shock: :shocahi algun programa que lo elimine o otra posibilidad?

xbo · Mensaje por **xbo** » 10 Feb 2005, 23:31

pasate por aca a ver si te sirve de ayuda...

[url]http://foros.zonavirus.com/viewforum.php?f=6[/url]

... suerte :wink:

caito · Mensaje por **caito** » 11 Feb 2005, 01:50

Descarga el programa HijackThis 1.99 y colócalo en una carpeta propia para el HijackThis (por ejemplo una carpeta C:\HijackThis\). Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Salu2

Caito

Mensaje por **msc hotline sat** » 11 Feb 2005, 11:14

Mucho cuidado con la eliminacion del SLANRET.

Mirar bien lo indicado al respecto por SYMANTEC:

http://securityresponse.symantec.com/avcenter/venc/data/trojan.slanret.html

Y sobre la clave en cuestión, que no la encuentras, fijarse que no está documentada de fuentes fiables:

[quote]

Unconfirmed reports indicate that the following registry key is added to the system to load Trojan.Slanret when you start Windows:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Ierk8243

[/quote]

Una vez nos hayas enviado el log que te ha indicado Caito, lo analizaremos y podremos opinar

saludos

ms, 11-02-2005

Mensaje por **maura63** » 11 Feb 2005, 11:21

Mas informacion

http://vil.nai.com/vil/content/v_100010.htm

Saludos

maura63

vvizard · Mensaje por **vvizard** » 11 Feb 2005, 13:25

ESTO ES LO QUE ME SALE:(ES LARGO DE COJONES) :wink:

Logfile of HijackThis v1.99.0

Scan saved at 13:18:07, on 11/02/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Archivos de programa\Archivos comunes\Logitech\QCDriver2\LVCOMS.EXE

C:\WINDOWS\system32\hbatqybm.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe

C:\WINDOWS\system32\msupd5.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wnwixyzvwkueuuiij.com/3xgdw7bi62hJHbyLZg4b8FDS/nCS67h4SO/jCEhojRrZqJkM3eVT0i19SwQnECfx.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.marca.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.marca.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.sj4.marketscore.com:8000

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {3B867FDD-1057-64D0-D2B4-E657FEC7F69E} - C:\WINDOWS\system32\mklautdh.dll

O2 - BHO: (no name) - {9BE51973-4A8B-586D-E68D-FF5ABD5CF41D} - C:\WINDOWS\system32\zvqquvil.dll

O2 - BHO: (no name) - {FB9856D4-A80D-0978-9B64-2CF6CF7EE5B5} - C:\WINDOWS\system32\jfsxfmvv.dll

O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe

O4 - HKLM\..\Run: [msnappau] "C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es\msnappau.exe"

O4 - HKLM\..\Run: [Windows Compliant] eangki.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Sin Espias] "C:\Archivos de programa\SinEspias\No-Spy.exe" /autorun

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\Messenger Plus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [LVCOMS] C:\Archivos de programa\Archivos comunes\Logitech\QCDriver2\LVCOMS.EXE

O4 - HKLM\..\Run: [hbatqybm] C:\WINDOWS\system32\hbatqybm.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\RunServices: [Windows Compliant] eangki.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Windows Compliant] eangki.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Archivos de programa\Messenger Plus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: Pinnacle Scheduler.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Download All by FlashGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Translate into English - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmtrans.html

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=34738&clcid=0x409

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by16fd.bay16.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: LexBce Server - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: wzdjvsalsmvx - Unknown - C:\WINDOWS\system32\msupd5.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: StyleXPService - Unknown - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: SymWMI Service - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

~~[b]~~Gracias a todods por contestarme.[/b]

Mensaje por **maura63** » 11 Feb 2005, 15:15

Vamos a mover el post al apartado de hijackthis.

Saludos

maura63

Mensaje por **maura63** » 11 Feb 2005, 15:29

Antes de nada te recomiendo hacer una copia de seguridad, y ojo.. entre los que te indico y no te voy a decir cual, puede que haya algo con lo que tengamos que andarnos con pies de plomo.

No existe informacion sobre algunos y las referencias de los dos links antivirus parece que hablan de lo mismo y no de lo mismo.

Bajo tu responsabilidad

C:\WINDOWS\system32\hbatqybm.exe

C:\WINDOWS\system32\msupd5.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wnwixyzvwkueuuiij.com/3xgdw7bi62hJHbyLZg4b8FDS/nCS67h4SO/jCEhojRrZqJk M3eVT0i19SwQnECfx.htm

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.sj4.marketscore.com:8000

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {3B867FDD-1057-64D0-D2B4-E657FEC7F69E} - C:\WINDOWS\system32\mklautdh.dll

O2 - BHO: (no name) - {9BE51973-4A8B-586D-E68D-FF5ABD5CF41D} - C:\WINDOWS\system32\zvqquvil.dll

O2 - BHO: (no name) - {FB9856D4-A80D-0978-9B64-2CF6CF7EE5B5} - C:\WINDOWS\system32\jfsxfmvv.dll

O4 - HKLM\..\Run: [msnappau] "C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es\msnappau.exe"

O4 - HKLM\..\Run: [Windows Compliant] eangki.exe

O4 - HKLM\..\Run: [Sin Espias] "C:\Archivos de programa\SinEspias\No-Spy.exe" /autorun

O4 - HKLM\..\Run: [hbatqybm] C:\WINDOWS\system32\hbatqybm.exe

O4 - HKLM\..\RunServices: [Windows Compliant] eangki.exe

O4 - HKCU\..\Run: [Windows Compliant] eangki.exe

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup 1.0.0.8.cab

O23 - Service: wzdjvsalsmvx - Unknown - C:\WINDOWS\system32\msupd5.exe

Saludos

maura63

caito · Mensaje por **caito** » 11 Feb 2005, 16:08

Solo agregaría que te convendría bajar este programa por si luego de arreglar las 010 tienes problemas con internet:

http://cexx.org/LSPFix.exe

(solo en en ese caso, lo ejecutas)

Y esta no la has puesto adrede :(?)

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.sj4.marketscore.com:8000

Salu2

caito

Mensaje por **maura63** » 11 Feb 2005, 16:23

Intentado buscar la entrada completa que comenta Caito y que tambien inclui yo para eliminar, intenta descargar [color=red]MarketScore[/color] si se introduce tal cual en google y se da a buscar, pero teniendo Spybot residente la bloquea.

Informacion

http://www.doxdesk.com/parasite/MarketScore.html

Saludos

maura63

Mensaje por **msc hotline sat** » 11 Feb 2005, 16:35

Para los que no conozcan el LSPFIX:

Ver http://www.cexx.org/lspfix.htm

saludos

ms, 11-02-2005

Mensaje por **msc hotline sat** » 11 Feb 2005, 16:41

Y buscando lo dificil, nos olvidabamos de lo mas facil, en castellano y todo, en vsantivirus:

http://www.vsantivirus.com/slanret.htm

creo que esto lo aclara todo.

saludos

ms, 11-02-2005

vvizard · Mensaje por **vvizard** » 11 Feb 2005, 16:47

Muxisimas gracias ya ta todo solucionado. Da gusto que cuando se te inicie el ordenador tengas todos los programas en funcionamiento y no se te cierran al poco tiempo de ejecutarlos que alivio por dios :D

Mensaje por **msc hotline sat** » 11 Feb 2005, 17:02

Pues lo celebramos, todos los que hemos intervenido.

Y solucionado el Tema, lo cerramos

saludos

ms, 11-02-2005