virussss...

[palomo]

Quisiera me ayuden con un posible virus nuevo que se activa en Windows 2000.



Los síntomas son tres:



1) Los íconos del panel de control se invierten... esto es aparecen a la izquierda de la ventana y no a la derecha como deben estar.



2) No puedes usar copiar y pegar (ctrl c / ctrl v)... la opción pegar aparece inhabilitada (en gris).



3) Cuando se abre la carpeta Archivos de Programa no aparece nada.



He realizado un barrido con Norton Antivirus y F-Secure ambos actualizados y no me detectan nada.



Un detalle curioso es que el equipo no navega en Internet y no se carga ningún correo ni attachment. Inclusive el equipo está formateado y acabado de instalar con Windows 2000 server desde cero.. Por lo que no puede ser error de equipo ni de software.



Utilizando el Reg Cleaner y revisando los procesos que se están ejecutando con el administrador de tareas (ctrl alt del) me reporta activo un archivo llamado Internat.exe.



Por favor si alguien sabe de qué virus se trata y como eliminarlo (sobre todo si existe algún parche de seguridad de Windows hágamelo saber.



Gracias a todos de antemano por su ayuda.

[maura63]

Prueba con esta herramienta



PARA ELIMINACION DE GUSANOS QUE ENTRAN POR AGUJERO RPC/DCOM Y COMPROBACION EXISTENCIA PARCHE MS03-039:



http://www.zonavirus.com/descargas/EliRPCA.exe



Y actualiza en



http://v4.windowsupdate.microsoft.com/es/default.asp



Saludos

maura63

[Joanet]

Hola a todos, pongo aqui mi problema porque al intentar crear un nuevo tema me dice lo siguiente:



If your browser does not support meta redirection please click HERE to be redirected





Aparte de esto, expongo mi problema:



En el navegador se me añadio una barra de busqueda de Isearch, la cual no podia eliminar ni modificar.

Pase el ad-aware y me dijo que habia secuestro de navegador, tambien tengo un programa que me mira cuando se intenta acceder al registro y me pide permiso de hacerlo, TCMonitor, bien, pues una vez reinicie y cuando movia de ventanas en el navegador me aparecia un permiso para ejecutar el brigde.dll , se lo negaba, pero me seguia pidiendo permiso, era como si se creara solo de nuevo.

Fui al registro y elimine todas las entradas relacionadas con bridge.dll e isearch.

Ahora no me aparece la barra de busqueda, pero sigo sin tener control sobre el navegador, no puedeo expandir la barra de dirección, etc etc.

He estado leyendo en el foro y ya he pasado el CWShredder a modo prueba de fallos y me he instalado el spybotsd12 los cuales me han detectado cosas y eliminado.

Pero el navegador sigue secuestradooo!!! :(

Es posible que haya modificado el archivo ejecutable de internet explorer? si fuese asi sabeis cual es dicho archivo y donde se ubica?



Gracias de antemano!!

[maura63]

Para Joanet



Descarga esta herramienta y la ejecutas, con el resultado haces un copiar y pegar y lo pones como respuesta a este mismo tema.



Otra utilidad de investigación de alteraciones del inicio es el HIJACK:



http://www.spywareinfo.com/~merijn/files/hijackthis.zip



Saludos

maura63

[Joanet]

Logfile of HijackThis v1.97.7

Scan saved at 10:56:01, on 23/03/2004

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\regsvc.exe

C:\WINDOWS\system32\MSTask.exe

C:\WINDOWS\system32\stisvc.exe

C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

C:\WINDOWS\System32\WBEM\WinMgmt.exe

C:\WINDOWS\System32\mspmspsv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe

C:\Archivos de programa\The Cleaner\tca.exe

C:\Archivos de programa\The Cleaner\tcm.exe

C:\WINDOWS\system32\internat.exe

C:\Archivos de programa\Nikon\NkView5\NkvMon.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zonealarm.exe

C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Microsoft Office\Office\OUTLOOK.EXE

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRAMAS\WINACE\WinAce.exe

C:\WINDOWS\TEMP\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.sexofactory.com/ie/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://wfix.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.xxxtoolbar.com/ist/scripts/homepages_manager.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R1 - HKLM\Software\Microsoft\Internet Explorer,SearchAssistant = http://www.sexofactory.com/ie/

O1 - Hosts: 217.116.231.7 aimtoday.aol.com

O1 - Hosts: 217.116.231.7 aimtoday.aol.com

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O2 - BHO: (no name) - {13F90341-AD79-4A9F-9B57-0234675670D6} - C:\WINDOWS\IPSYSDRV32.DLL

O2 - BHO: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)

O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [PC-CAM 600 STI App Registration] RunDLL32.exe PD023pin.dll,RunDLL32EP 512

O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"

O4 - HKLM\..\Run: [AVPCC] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /wait

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\Telefonica Kit ADSL USB\CnxDslTb.exe

O4 - HKLM\..\Run: [tcactive] C:\Archivos de programa\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Archivos de programa\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView5\NkvMon.exe

O4 - Global Startup: ZoneAlarm.lnk = C:\Archivos de programa\Zone Labs\ZoneAlarm\zonealarm.exe

O8 - Extra context menu item: Download with GetRight - C:\Archivos de programa\GetRight\GRdownload.htm

O8 - Extra context menu item: Open with GetRight Browser - C:\Archivos de programa\GetRight\GRbrowse.htm

O9 - Extra button: YahooMAX (HKLM)

O9 - Extra button: Erotic (HKLM)

O9 - Extra button: Coches (HKLM)

O9 - Extra button: Yahoo! Messenger (HKLM)

O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)

O16 - DPF: {012F24D4-35B0-11D0-BF2D-0000E8D0D146} (AtlCam Class) - http://80.33.153.250/sns100.ocx

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.bitstream.com/wfplayer/tdserver.cab

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab

O16 - DPF: {1416D7C8-8A28-11CF-9236-444553540000} (Infragistics Data Explorer Control) - https://mylearning-lms2.accenture.com/docentlm/pvxplore8.cab

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {1E5592CB-8F5B-46F8-9EA6-65C01213808A} (InstaladorBetyByte Control) - http://www.cocacola.es/uploads/cab/instaladorbetybyte.cab

O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/184467c80e7867588e06/netzip/RdxIE601_es.cab

O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - https://www.gamespyid.com/alaunch.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.1_01) -

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://ns0.sigames.com:1999/activex/AxisCamControl.ocx

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB} (SysWebTelecom Class) - http://www.sponsoradulto.com/SysWebTelecom2.cab

O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37779.5387731481

O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{7A339E21-9DAD-4281-BAE0-030F53F201C7}: NameServer = 80.58.0.33,80.58.32.97







Esto es el resultado del hijackthis, te referias a que pegara esto? Gracias otra vez.

[maura63]

Descarga este programa



BUSCAREG.EXE: BUSCA UNA CADENA EN EL REGISTRO Y PINCHANDO ENCIMA DE LAS ENCONTRADAS PERMITE BORRARLAS MUY FACILMENTE. ADEMAS CREA FICHERO EXPORTACION DEL REGISTRO POR SI SE NECESITA VOLVER ATRAS:



http://www.zonavirus.com/descargas/buscareg.asp



introduce estos valores, le das a buscar y eliminar





http://www.sexofactory.com/ie/

http://wfix.com/searchbar.html

http://www.xxxtoolbar.com/ist/scripts/homepages_manager.php



http://www.sexofactory.com/ie/



Apaga ordenador y vuelve a encender.



Saludos

maura63

[maura63]

Elimina tambien este otro de la misma manera



http://www.sponsoradulto.com/SysWebTelecom2.cab



Saludos

maura63

[Joanet]

Ok, todo lo que me has indicado lo he eliminado. He apagado y vuelto a encender pero el navegador me sigue igual.

No tengo acceso a la barra de herramientas.



La funcion exacta del hijackthis cual es? pq este programa no borra lo que encuentra? es solo informativo? Gracias.

[msc hotline sat]

Efectivamente el Hijackthis es ipara obtener la informacion de lo que se carga en el inicio. Para eliminar las claves, puedes usar el BUSCAREG.EXE como indica Maura63





Y para tí, M63, me pides en privado que separe este Tema, por haber dos consultas diferentes, pero solo puedo ver ver este Tema por respuestas, pero no separar los diferentes post de un Tema, salvo que los borrara y editara de nuevo, lo cual puedo hacer igual que tú, pero saldría editado por nosotros, no por el usuario real, por lo que, una vez resuelto el o los problemas, creo mejor dejarlo estar así, aunque hubiera sido preferible que no hubieras juntado dos Temas diferentes, pero...



Si tú ves otra manera, o lo haces o me dices como hacerlo si se requieren otros derechos.



saludos



ms, 23-03-2004

[maura63]

Para Joanet





En Msdos, te vas a C:



y escribe "jview" sin las comillas. Pulsas intro.



Debe salirte entre otras cosas:



controlador Java 5.00.3810



Si es inferior a esta numeracion de arriba, deberas actualizar la maquina virtual de java.



Por mas que leo el CWS te lo deberia haber controlado y solucionado, salvo que tuvieses una version inferior a la comentada, la 5.00.3810



Saludos

maura63

[Joanet]

Al ejecutar lo que me indicas me aparece lo siguiente:



C:\>jview

Cargador de línea de comandos de Microsoft (R) para Java Versión 5.00.3810

Copyright (C) Microsoft Corp 1996-2000. Todos los derechos reservados.



Uso: JView [opciones] <classname> [argumentos]



Opciones:

/? muestra texto de uso

/cp <ruta de clase> establece la ruta de clase

/cp:p <ruta> antepone la ruta a la ruta de clase

/cp:a <ruta> agrega ruta a la ruta de clase

/n <nombre del espacio> nombre del espacio en el que ejecutar

/p pausa antes de finalizar si ocurre un error

/v comprueba todas las clases

/d:<nombre>=<valor> define las propiedades del sistema

/a ejecuta AppletViewer



Nombre de clase:

Archivo .CLASS a ejecutar.



Argumentos:

Argumentos de la línea de comandos para pasar al archivo de clase



C:\>



Si ejecuto:

C:\>jview /v



Error: Falta archivo de clase



C:\>





Gracias de nuevo.

[maura63]

Esta bien, simplemente queria comprobar que el controlador Java que tienes es igual o superior a 5.00.3810.



Pues si es inferior el CWS podria fallar.



Seguimos mirando cosas.



Saludos

maura63

[msc hotline sat]

No entro en la razón de ver la version de la máquina virtual de java, pero si es la 3810 ya es suficiente para controlar el exploit Byte Verify, que lo que se logra con el parche MS=3-011 que instala dicha version de la máquina virtual de java.



De todas formas, solo indicar que álgunas veces al instalar dicho parche de microdoft, se producen anomalias de comportamiento de algunas aplicaciones, que se solucionan con un parche mejorado al respecto, que se puede bajar de:





__________________________________________



Mejora del parche MS03-011 (maquina virtual de java 5.00.3810) SOLO PARA SISTEMAS OPERATIVOS QUE NO SEAN WINDOWS 2000:



Para permitir disponer del parche para el exploit Byte Verify en sistemas que presenten problemas cuando se aplica el parche inicial de Microsoft MS03-011:pero REPETIMOS, no debe aplicarse en Windows 2000



http://www.softwarepatch.com/windows/javavm.html



__________________________________________





lo cual hemos tenido que aplicar recientemente en varias ocasiones, para solucionar incidencias al respecto.



saludos



ms, 24-03-2004

[Joanet]

Ayer pase de nuevo spybot, ad-aware nuevamente actualizados y me detecto 'cosas extrañas' que elimine directamente.

El navegador sigue estando secuestrado... :(

He notado como al arrancar Windows me va algo mas lento y lo mismo sucede al trabajar, hoy entrare en modo seguro y ejecutare todo de nuevo de esa misma manera.

Si al final el navegador siguiera sin solucionarse, seria viable la acción de desinstalarlo, volverlo a instalar y ejecutar el ultimo parche que haya en la web de microsoft? Gracias



Mañana os cuento que tal me ha ido.



Saludos y perdón por las molestias.

[msc hotline sat]

No olvide además actualizar su antivirus y lanzar un scaneo, pues tenemos una avalancha de virus nuevos, que llegan por e-mail, con fichero anexado O SIN FICHERO ANEXADO: Al respecto vea la alerta que hoy ofrezco sobre el nuevo SNAPPER.



saludos



ms, 25-03-2004