"your computer is infected" (SOLUCIONADO)

[toranho]

Pues nada, eso es lo que me sale en un bocata desde un círculo rojo con una aspa blanca justo al lado del reloj. El spy bot no me va, ni tampoco el hijacthis. El adware si pero no m soluciono el problema; el elistara me ha dejado esto:

--------------------------------------------------
Lista de Acciones (por Acción Directa):

Código: Seleccionar todo

C:\WINNT\WEB\RELATED.HTM --> Eliminado 
C:\WINNT\SYSTEM32\AUDIOHQ.EXE --> Eliminado BanLoad.FVT
C:\WINNT\SYSTEM32\CRU629.DAT --> Eliminado 
C:\WINNT\SYSTEM32\UPDATER.DLL --> Eliminado PWS-Banker
Entrada Eliminada [HKLM\...\Run] "AudioHQ"=""C:\WINNT\system32\audiohq.exe""
Entrada Eliminada [HKCU\...\Run] "Dialer"="C:\WINNT\System32\rundll32.exe C:\WINNT\System32\MSA32CHK.dll,Reg FondosGratis"
Eliminada Class, "{FCADDC14-BD46-408A-9842-CDBE1C6D37EB}" -> C:\WINNT\system32\updater.dll
No detectado Parche MS06-070 de Microsoft instalado. (SServidor)
ALERTA. WindowsUpdate Incompleto.
Restaurado fichero de Configuración del IE, (IERESET.INF)
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Fri Jun 20 09:36:59 2008
EliStartPage v16.54  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 19 de Junio del 2008)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Spybot - Search & Destroy\BLINDMAN.EXE --> Eliminado, Clicker.Small.TO
C:\Archivos de programa\Spybot - Search & Destroy\BORLNDMM.DLL --> Eliminado, Clicker.Small.TO
C:\Archivos de programa\Spybot - Search & Destroy\DELPHIMM.DLL --> Eliminado, Clicker.Small.TO

Nº Total de Directorios:   8144
Nº Total de Ficheros:      83403
Nº de Ficheros Analizados: 19063
Nº de Ficheros Infectados: 3
Nº de Ficheros Limpiados:  3
Sistema Infectado por Troyano de AppInit
Puede Requerir Arrancar en Consola de Reparación para Eliminalo.
No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

	  Fri Jun 20 10:07:01 2008
EliStartPage v16.54  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 19 de Junio del 2008)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINNT\SYSTEM32\CRU629.DAT --> Eliminado 
No detectado Parche MS06-070 de Microsoft instalado. (SServidor)
ALERTA. WindowsUpdate Incompleto.
Restaurado fichero de Configuración del IE, (IERESET.INF)
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Fri Jun 20 10:07:35 2008
EliStartPage v16.54  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 19 de Junio del 2008)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

	  Wed Jun 25 09:29:48 2008
EliStartPage v16.56  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 23 de Junio del 2008)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINNT\SYSTEM32\CRU629.DAT --> Eliminado 
Restaurado fichero de Configuración del IE, (IERESET.INF)
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

	  Wed Jun 25 09:31:20 2008
EliStartPage v16.56  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 23 de Junio del 2008)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Spybot - Search & Destroy\BORLNDMM.DLL --> Eliminado, Clicker.Small.TO
C:\Archivos de programa\Spybot - Search & Destroy\DELPHIMM.DLL --> Eliminado, Clicker.Small.TO

	  Wed Jun 25 09:55:22 2008
EliTriIP v4.86  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 23 de Junio del 2008)
---------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINNT\S32.TXT --> Eliminado
C:\WINNT\WS386.INI --> Eliminado
Por favor, envienos una muestra del fichero
C:\Muestras\WKSVCSC.EXE.Muestra EliTriIP v4.86
 a "virus@satinfo.es".  Gracias.
C:\WINNT\WKSVCSC.EXE --> Eliminado
Entrada Eliminada [HKLM\...\Run] "Windows UDP Control Services"="wksvcsc.exe"

	  Wed Jun 25 09:55:44 2008
EliTriIP v4.86  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 23 de Junio del 2008)
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   8340
Nº Total de Ficheros:      84155
Nº de Ficheros Analizados: 10151
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

Ahí se lo dejó a ver qué se puede hacer

[lucl]

Tienes que enviarnos esto para analizarlo

Por favor, envienos una muestra del fichero
C:\Muestras\WKSVCSC.EXE.Muestra EliTriIP v4.86

viewtopic.php?f=2&t=45334

ademas peganos log de sprocces para que busquemos mas a fondo, saludos
http://www.zonavirus.com/descargas/sproces.asp

[msc hotline sat]

CONFIRMADO QUE ES MALWARE:

https://www.bleepingcomputer.com/startu ... 23141.html

En cuanto rfecibamos la muestra solicitada, lo analizaremos e implementaremos su control y eliminacion en nuestras utilidades, de lo cual informaremos

saludos
ms, 25-06-2008

[msc hotline sat]

La muestra recibida es un SDBOT ya controlado por el ELITRIIP actual, compruebelo.

ELITRIIP:
http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

y no deben enviarse logs ni informes a SATINFO, sino postearlos en el foro. SOlo enviar muestras sospechosas para analizar, como ya se indica en:

viewtopic.php?f=1&t=17488

Pero buscando el FAKE ALERT que indica tener,

Wed Jul 02 08:46:43 2008
SProces v3.1 (c)2008 S.G.H. / Satinfo S.L.
-------------------------------------------
Sistema Operativo: Microsoft Windows 2000 (v5.0.2195) Service Pack 4
Internet Explorer: (v6.0.2800.1106) ;SP1;Q823353;Q903235;

Procesos Activos:

Código: Seleccionar todo

C:\WINNT\SYSTEM32\SMSS.EXE
C:\WINNT\SYSTEM32\WINLOGON.EXE
C:\WINNT\SYSTEM32\SERVICES.EXE
C:\WINNT\SYSTEM32\LSASS.EXE
C:\WINNT\SYSTEM32\SVCHOST.EXE
C:\WINNT\SYSTEM32\SPOOLSV.EXE
C:\ARCHIVOS DE PROGRAMA\GRISOFT\AVG ANTI-SPYWARE 7.5\GUARD.EXE
C:\ARCHIV~1\AVG\AVG8\AVGWDSVC.EXE
C:\WINNT\SYSTEM32\SVCHOST.EXE
C:\WINNT\TWAIN_32\FJSCAN32\FJTWMKSV.EXE
C:\WINNT\SYSTEM32\HIDSERV.EXE
C:\WINNT\SYSTEM32\REGSVC.EXE
C:\WINNT\SYSTEM32\MSTASK.EXE
C:\WINNT\SYSTEM32\STISVC.EXE
C:\WINNT\SYSTEM32\WBEM\WINMGMT.EXE
C:\WINNT\SYSTEM32\MSPMSPSV.EXE
C:\WINNT\SYSTEM32\SVCHOST.EXE
C:\ARCHIVOS DE PROGRAMA\CANON\DIAS\CNXDIAS.EXE
C:\ARCHIVOS DE PROGRAMA\CANON\VDC\AUVDC.EXE
C:\WINNT\EXPLORER.EXE
C:\WINNT\SYSTEM32\HKCMD.EXE
C:\WINNT\SYSTEM32\HPNRA.EXE
C:\WINNT\SYSTEM32\SPOOL\DRIVERS\W32X86\3\FPPDIS1.EXE
C:\WINNT\TWAIN_32\FJSCAN32\SOP\FTLNSOP.EXE
C:\WINNT\TWAIN_32\FJSCAN32\FJTWMKUP.EXE
C:\ARCHIVOS DE PROGRAMA\PFU\ERROR RECOVERY GUIDE\FTERGUID.EXE
C:\OFFICE2000\OFFICE\3082\OLFSNT40.EXE
C:\PNOTARIA\IN4.EXE
C:\OFFICE2000\OFFICE\WINWORD.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\ARCHIVOS DE PROGRAMA\OUTLOOK EXPRESS\MSIMN.EXE
N:\ÚTILES\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
R3 - URLSearchHook: Hook de búsqueda de direcciones URL de Microsoft - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\system32\shdocvw.dll
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,
O1 - Hosts: 127.0.0.1       localhost
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Smapp] C:\Archivos de programa\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINNT\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINNT\System32\hpnra.exe
O4 - HKLM\..\Run: [Despachador de pdfFactory v1] C:\WINNT\System32\spool\DRIVERS\W32X86\3\fppdis1.exe
O4 - HKLM\..\Run: [CertificateRegistration] SafeSignCertReg.exe
O4 - HKLM\..\Run: [FtLnSOP_setup] C:\WINNT\Twain_32\Fjscan32\SOP\FtLnSOP.exe
O4 - HKLM\..\Run: [FJTWAIN Setup] C:\WINNT\Twain_32\fjscan32\FjtwMkup.exe /Station
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - Global Startup: Error Recovery Guide.lnk
O4 - Global Startup: Microsoft Office.lnk
O4 - Global Startup: Puerto Symantec Fax Starter Edition.lnk
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: FondosGratis - {03FBB191-FB50-4154-91D7-587D5E3C0000} - C:\Documents and Settings\PUESTO4\Datos de programa\MATRIX\FondosGratis\LanzarDll.exe (HKCU)
O16 - DPF: DirectAnimation Java Classes - file://C:\WINNT\Java\classes\dajava.cab
O16 - DPF: Microsoft XML Parser for Java - file://C:\WINNT\Java\classes\xmldso.cab
O16 - DPF: {0000000A-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/d/4/4/d446e8a9-3a86-4b59-bb19-f5bd11b40367/wmavax.CAB
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/installer.v4/vet_install_popup.pl?2&4&04.00.03.15&unknown&unknown&http://invierno.formigal.com/zoom/formigal_zoom.asp
O16 - DPF: {03FBB191-FB50-4154-91D7-587D5E3C3C9A} - http://acceso.masminutos.com/software.cab
O16 - DPF: {15651C7C-E812-44A2-A9AC-B467A2233E7D} - http://www.123mania.com/GIDCAI32.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {31564D57-0000-0010-8000-00AA00389B71} - http://codecs.microsoft.com/codecs/i386/wmvax.cab
O16 - DPF: {32564D57-0000-0010-8000-00AA00389B71} - http://codecs.microsoft.com/codecs/i386/wmv8ax.cab
O16 - DPF: {33564D57-9980-0010-8000-00AA00389B71} - http://download.microsoft.com/download/D/0/D/D0DD87DA-994F-4334-8B55-AF2E4D98ED0C/wmv9dmo.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {582788CA-7014-4904-A4EE-6FB6108AFE8E} - http://www.123mania.com/asrcware.cab
O16 - DPF: {88C51E90-8E9C-4C96-8A45-574D88B63FAF} - http://rgwuio.com/laaplicacion.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.4.1_04) - http://java.sun.com/products/plugin/1.4/jinstall-14_04-windows-i586.cab
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} - http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab
O16 - DPF: {9C5B2F29-1F46-4639-A6B4-828942301D3E} - http://www.123mania.com/SIPSPI32.cab
O16 - DPF: {CAFEEFAC-0014-0001-0004-ABCDEFFEDCBA} (Java Plug-in 1.4.1_04) - http://java.sun.com/products/plugin/1.4/jinstall-14_04-windows-i586.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D879A0F1-2B3B-4409-8879-FAD6E49E1EA9} - http://www.123mania.com/softhtml.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A55E4EF8-AFF6-42C9-AEDE-30876F522BBA}: NameServer = 10.10.0.11,10.10.0.12
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Archivos de programa\AVG\AVG8\avgpp.dll (file missing)
O20 - AppInit_DLLs: C:\WINNT\system32\cru629.dat
O20 - Winlogon Notify: IGFXCUI - IGFXSRVC.DLL
O20 - Winlogon Notify: WZCNOTIF - WZCDLG.DLL
O21 - SSODL: Network.ConnectionTray - {7007ACCF-3202-11D1-AAD2-00805FC1270E} - C:\WINNT\system32\NETSHELL.dll
O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - stobject.dll
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\system32\webcheck.dll
O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll
O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll

Información Adicional:
----------------------
ShellExecuteHooks: {57B86673-276A-48B2-BAE7-C6DBB3020EB8} - AVG Anti-Spyware 7.5 - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\shellexecutehook.dll

Listado de Servicios (Carga Automatica):
----------------------------------------
**O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\ARCHIV~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: AVG8 Network Redirector (AvgTdiX) - AVG Technologies CZ, s.r.o. - C:\WINNT\System32\Drivers\avgtdix.sys
O23 - Service: BppPort - CANON INC. - C:\WINNT\System32\drivers\BPP.SYS
O23 - Service: Canon Driver Information Assist Service - CANON INC. - C:\Archivos de programa\Canon\DIAS\CnxDIAS.exe
O23 - Service: Canon NetSpot Suite Service - CANON INC. - C:\Archivos de programa\Canon\VDC\AuVdc.exe
O23 - Service: FJTWMKSV - PFU LIMITED - C:\WINNT\twain_32\fjscan32\FJTWMKSV.exe
**O23 - Service: Llamada a procedimiento remoto(RPC) (RpcSs) - Unknown owner - C:\WINNT\system32\svchost -k rpcss (file missing)
O23 - Service: SecDrv - Macrovision Europe Ltd - C:\WINNT\System32\drivers\SECDRV.SYS

Listado de Servicios (Carga Manual):
------------------------------------
O23 - Service: CardMan 3x21 (cxbu0wdm) - OMNIKEY - C:\WINNT\SYSTEM32\DRIVERS\cxbu0wdm.sys
**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Intel(R) PRO Adapter Driver (E100B) - Intel Corporation - C:\WINNT\SYSTEM32\DRIVERS\e100bnt5.sys
O23 - Service: ialm - Intel Corporation - C:\WINNT\SYSTEM32\DRIVERS\ialmnt5.sys
O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINNT\SYSTEM32\DRIVERS\ptilink.sys
O23 - Service: SCRx31 USB Smart Card Reader - SCM Microsystems Inc. - C:\WINNT\SYSTEM32\DRIVERS\scrccid.sys
O23 - Service: smwdm - Analog Devices, Inc. - C:\WINNT\SYSTEM32\drivers\smwdm.sys
O23 - Service: Intel(R) Graphics Chipset (KCH) Driver ({D31A0762-0CEB-444e-ACFF-B049A1F6FE91}) - Intel Corporation - C:\WINNT\SYSTEM32\drivers\ialmkchw.sys

Listado de Servicios (Deshabilitados):
--------------------------------------
**O23 - Service: dmboot - VERITAS Software Corp. - C:\WINNT\SYSTEM32\drivers\dmboot.sys

18 Servicios.
9 de Carga Automatica.
8 de Carga Manual.
1 Deshabilitados.

hemos examinado el log, y hace falta que nos envie estas muestras para analizar:
C:\ARCHIVOS DE PROGRAMA\PFU\ERROR RECOVERY GUIDE\FTERGUID.EXE
C:\Documents and Settings\PUESTO4\Datos de programa\MATRIX\FondosGratis\LanzarDll.exe
C:\WINNT\system32\cru629.dat
C:\WINNT\system32\WZCDLG.DLL

y eliminar estas claves:
O16 - DPF: {03FBB191-FB50-4154-91D7-587D5E3C3C9A} - http://acceso.masminutos.com/software.cab
O16 - DPF: {15651C7C-E812-44A2-A9AC-B467A2233E7D} - http://www.123mania.com/GIDCAI32.cab
O16 - DPF: {88C51E90-8E9C-4C96-8A45-574D88B63FAF} - http://rgwuio.com/laaplicacion.cab
O16 - DPF: {9C5B2F29-1F46-4639-A6B4-828942301D3E} - http://www.123mania.com/SIPSPI32.cab
O16 - DPF: {D879A0F1-2B3B-4409-8879-FAD6E49E1EA9} - http://www.123mania.com/softhtml.cab

para todo ello, recuerde:

¿Como enviar las muestras a zonavirus? - Para ello recordar:
viewtopic.php?f=5&t=14253

saludos

ms, 2 de Julio de 2008

[msc hotline sat]

Pues de los tres ficheros enviados , solo el LANZARDLL.EXE contiene rutinas sospechosas, pero mas bien de carga de DLL, lo cual en si no es problema virico

Puede renombrar su extension a .VIR y ver si asi mejora algo o bien deja de poder lanzar alguna aplicacion ???

Los demas no , pero no nos ha enviado el cuarto que le pediamos:

C:\WINNT\system32\cru629.dat

Hazlo, lo analizaremos e informaremos, y mientras nos comentas el resultado tras renombrar a .VIR el LANZARDLL.EXE y reiniciar.

saludos
ms, 3 de Julio de 2008

nota: Se supone que eliminaste las DLL que te indicamos, dinos si tras ello persiste alguna anomalía , gracias. ms.

[TuaLeT]

Hola



Tengo el mismo problema, pero en mi caso ya he bajado todas vuestras utilidades a dia de hoy, y la dichosa crucecita no se va. Ninguno de vuestros programa me pide que envie ninguna muestra de nada, ni me detecta nada de nada. El hijack this sigue sin arrancar, y el superantispyware tampoco. El autoruns tampoco me arranca.



Saludos

[msc hotline sat]

Sí, cada día son mas de 100 las nuevas variantes de malwares que van apareciendo...

Para ello disponemos del SPROCES, con el cual se genera el C:\SPROCLOG.TXT que nos sirve para ver mas allá de lo conocido. Lo pruebas, y nos posteas dicho informe en tu proximo post, de respuesta a este Tema:

SPROCES (herramienta de investigación)
http://www.zonavirus.com/descargas/sproces.asp

Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT con un copiar y pegar

Tras analizarlo, veremos algun sospechoco y pediremos enviarnos muestra para analizar
saludos

ms, 30-07-2008

[TuaLeT]

Aqui teneis el log. Esta generado en modo seguro. Si necesitas que te lo genere en modo normal, dimelo.

Wed Jul 30 13:29:27 2008
SProces v3.1 (c)2008 S.G.H. / Satinfo S.L.
-------------------------------------------
Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3
Internet Explorer: (v7.0.5730.11) 0

Procesos Activos:

Código: Seleccionar todo

C:\WINDOWS\SYSTEM32\SMSS.EXE
C:\WINDOWS\SYSTEM32\WINLOGON.EXE
C:\WINDOWS\SYSTEM32\SERVICES.EXE
C:\WINDOWS\SYSTEM32\LSASS.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM32\CTFMON.EXE
G:\ANTI-SPY\ZONAVIRUS\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,
O1 - Hosts: 127.0.0.1       localhost
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [buritos] buritos.exe
O4 - Startup: desktop.ini
O4 - Global Startup: desktop.ini
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {1C3DE665-D259-4C72-9D7D-C51FCB4CCFB9} (Panasonic Network Camera) - http://alcudia:04041950@paraiso1.viewnetcam.com:101//SysCamInst.cab
O16 - DPF: {2E28242B-A689-11D4-80F2-0040266CBB8D} (KX-HCM10 Control) - http://alcudia:04041950@paraiso7.viewnetcam.com:107//kxhcm10.ocx
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {32C11E38-E587-4BE9-9ABB-D69158C21CE5} (Moonlight MPEG-4 Video Decoder) - http://88.2.138.243:8080/activex/decoder/mpeg4_dec.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1173703742460
O16 - DPF: {70EDCF63-CA7E-4812-8528-DA1EA2FD53B6} (VitaminCtrl Class) - https://visionet.telefonica.net/vge/VitaminCtrl.cab
O16 - DPF: {87BE3784-6977-4E84-AA08-55A96B9CEAC5} (Bl_camera Control) - http://bajocontrol1000.viewnetcam.com:100/bl_camera.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.5.0_10) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab
O16 - DPF: {B9940246-4344-4D1B-BD82-DBAF7E657FF9} (AudioClient Control) - http://yatesalemanes5.viewnetcam.com:101/SysCamInst.cab
O16 - DPF: {CAFEEFAC-0015-0000-0004-ABCDEFFEDCBA} (Java Plug-in 1.5.0_04) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_04-windows-i586.cab
O16 - DPF: {CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA} (Java Plug-in 1.5.0_10) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586.cab
O16 - DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} (Java Plug-in 1.6.0_01) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_01) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} (AxisMediaControlEmb Class) - http://88.2.138.243:8080/activex/AMC.cab
O16 - DPF: {E6ACF817-0A85-4EBE-9F0A-096C6488CFEA} (NTR ActiveX 1.1.8) - http://www.inquiero.com/inquiero/mod/setup/ntractivex118_24.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\ARCHIV~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL
O20 - Winlogon Notify: IGFXCUI - IGFXDEV.DLL
O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL
O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll
O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll
O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll
O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll

Información Adicional:
----------------------
ShellExecuteHooks: {B5A7F190-DDA6-4420-B3BA-52453494E6CD} - Groove GFS Stub Execution Hook - C:\ARCHIV~1\MICROS~2\Office12\GRA8E1~1.DLL

Listado de Servicios (Carga Automatica):
----------------------------------------
**O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)
O23 - Service: NetOp Helper ver. 7.50 (2002343) (NetOp Host for NT Service) - Danware Data A/S - C:\Archivos de programa\Danware Data\NetOp Remote Control\HOST\NHOSTSVC.EXE
**O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)
O23 - Service: Epson Printer Status Agent (StatusAgent) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgentNT.exe

Listado de Servicios (Carga Manual):
------------------------------------
O23 - Service: 3c1F - Unknown owner - C:\WINDOWS\system32\3c1F.sys (file missing)
O23 - Service: 4677 - Unknown owner - C:\WINDOWS\system32\4677.sys (file missing)
O23 - Service: 62aA - Unknown owner - C:\WINDOWS\system32\62aA.sys (file missing)
O23 - Service: 9a6B - Unknown owner - C:\WINDOWS\system32\9a6B.sys (file missing)
O23 - Service: 9fd6 - Unknown owner - C:\WINDOWS\system32\9fd6.sys (file missing)
O23 - Service: a7113 - Unknown owner - C:\WINDOWS\system32\a7113.sys (file missing)
O23 - Service: PPdus ASPI Shell (Afc) - Arcsoft, Inc. - C:\WINDOWS\SYSTEM32\drivers\Afc.sys
O23 - Service: Service for Realtek AC97 Audio (WDM) (ALCXWDM) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\ALCXWDM.SYS
O23 - Service: b3712 - Unknown owner - C:\WINDOWS\system32\b3712.sys (file missing)
O23 - Service: d2a5 - Unknown owner - C:\WINDOWS\system32\d2a5.sys (file missing)
O23 - Service: dd911 - Unknown owner - C:\WINDOWS\system32\dd911.sys (file missing)
**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: e69E - Unknown owner - C:\WINDOWS\system32\e69E.sys (file missing)
O23 - Service: f2eD - Unknown owner - C:\WINDOWS\system32\f2eD.sys (file missing)
O23 - Service: fb39 - Unknown owner - C:\WINDOWS\system32\fb39.sys (file missing)
O23 - Service: ialm - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\ialmnt5.sys
O23 - Service: McAfee Inc. MfeAVFK (MfeAVFK) - McAfee, Inc. - C:\WINDOWS\SYSTEM32\drivers\MfeAVFK.sys
O23 - Service: McAfee Inc. MfeBOPK (MfeBOPK) - McAfee, Inc. - C:\WINDOWS\SYSTEM32\drivers\MfeBOPK.sys
O23 - Service: McAfee Inc. MfeRKDK (MfeRKDK) - McAfee, Inc. - C:\WINDOWS\SYSTEM32\drivers\MfeRKDK.sys
O23 - Service: NetOp Driver 3 ver. 7.50 (2002343) (NHOSTNT3) - Danware Data A/S - C:\WINDOWS\System32\Drivers\NHOSTNT3.SYS
O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys
O23 - Service: Dispositivo BlackBerry (RimUsb) - Research In Motion Limited - C:\WINDOWS\SYSTEM32\Drivers\RimUsb.sys
O23 - Service: RIM Virtual Serial Port v2 (RimVSerPort) - Research in Motion Ltd - C:\WINDOWS\SYSTEM32\DRIVERS\RimSerial.sys
O23 - Service: Realtek 10/100/1000 NIC Family all in one NDIS XP Driver (RTL8023xp) - Realtek Semiconductor Corporation                            - C:\WINDOWS\SYSTEM32\DRIVERS\Rtenicxp.sys
O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys
*O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)

Listado de Servicios (Deshabilitados):
--------------------------------------
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Archivos de programa\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys
O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:\APPS\HIDSERVICE\HIDSERVICE.exe
O23 - Service: Stuffit Archive Name Service - Smith Micro Software, Inc. - C:\Archivos de programa\Smith Micro\StuffIt11\ArcNameService.exe

 36 Servicios.
  4 de Carga Automatica.
 26 de Carga Manual.
  6 Deshabilitados.

Un saludo

[msc hotline sat]

Bueno, a simple vista vemos :
O4 - HKLM\..\Run: [buritos] buritos.exe

que es típico Fake Alert, y de los que el ELISTARA ya controla , pero pueden haber creado mas variantes, si este no es controlado...

Dices que te has descargado y probado la ultima version, si es la 16.81, envianos lmuestra de dicho BURITOS.EXE , sino, descarga dicha version y pruebala:

ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

Y si persiste, envianos ademas esta DLL, que probablemente sea la crucecita de marras:

C:\ARCHIV~1\MICROS~2\Office12\GRA8E1~1.DLL


saludos
ms, 30-07-2008

¿Como enviar las muestras a zonavirus? - Para ello recordar:
viewtopic.php?f=5&t=14253

[TuaLeT]

Te acabo de enviar las muestras de los ficheros.



Y aqui tienes el log



Wed Jul 30 09:48:53 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\BLPHCRVKJ0EPB5.SCR --> Eliminado Blackster.B(scr)

C:\WINDOWS\SYSTEM32\PHCRVKJ0EPB5.BMP --> Eliminado

Eliminada Carpeta "%WinDir%\PeerNet"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Wed Jul 30 09:49:50 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\AvRack\CLASSIC.DLL --> Eliminado, FraudTool.Agent.D

C:\Archivos de programa\CA\CA Internet Security Suite\EISS.DLL --> Eliminado, CrackLock

C:\Disco antiguo\Documents and Settings\PEDRO\Menú Inicio\Programas\Inicio\POWERREG SCHEDULERV2.EXE --> Eliminado, PowerReg

C:\Disco antiguo\Documents and Settings\sebas\Menú Inicio\Programas\Inicio\POWERREG SCHEDULERV2.EXE --> Eliminado, PowerReg

C:\PNP\AUDIO\Ap\CLASSIC.DLL --> Eliminado, FraudTool.Agent.D

C:\RECYCLER\S-1-5-21-1177238915-1284227242-839522115-1115\Dc82\RHCVVKJ0EPB5.EXE --> Eliminado, FraudTool.XPAntivirus08

C:\RECYCLER\S-1-5-21-1177238915-1284227242-839522115-500\DC1.EXE --> Eliminado, Blackster.B

C:\RECYCLER\S-1-5-21-923997043-2150756891-300272047-1006\Dc1\sebas\Menú Inicio\Programas\Inicio\POWERREG SCHEDULERV2.EXE --> Eliminado, PowerReg

C:\RECYCLER\S-1-5-21-923997043-2150756891-300272047-1006\Dc5\sebas\Menú Inicio\Programas\Inicio\POWERREG SCHEDULERV2.EXE --> Eliminado, PowerReg



Nº Total de Directorios: 12202

Nº Total de Ficheros: 154215

Nº de Ficheros Analizados: 32929

Nº de Ficheros Infectados: 9

Nº de Ficheros Limpiados: 9



Wed Jul 30 10:51:49 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE



Wed Jul 30 10:51:55 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 12234

Nº Total de Ficheros: 159900

Nº de Ficheros Analizados: 36708

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Wed Jul 30 11:28:30 2008

EliTriIP v5.02 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):



Wed Jul 30 11:28:32 2008

EliTriIP v5.02 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 10038

Nº Total de Ficheros: 128091

Nº de Ficheros Analizados: 24440

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



Wed Jul 30 11:36:24 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinDir%\PeerNet"



Wed Jul 30 11:36:32 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 6438

Nº Total de Ficheros: 93575

Nº de Ficheros Analizados: 17283

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



Wed Jul 30 11:56:42 2008

EliTriIP v5.02 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):



Wed Jul 30 11:56:44 2008

EliTriIP v5.02 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 12239

Nº Total de Ficheros: 159987

Nº de Ficheros Analizados: 36026

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Wed Jul 30 12:27:17 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinDir%\PeerNet"

Eliminados Ficheros Temporales del IE



Wed Jul 30 12:27:22 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 12234

Nº Total de Ficheros: 159882

Nº de Ficheros Analizados: 36717

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Wed Jul 30 13:55:36 2008

EliStartPage v16.80 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 28 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE



Wed Jul 30 13:59:16 2008

EliStartPage v16.81 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinDir%\PeerNet"

Eliminados Ficheros Temporales del IE



Wed Jul 30 13:59:20 2008

EliStartPage v16.81 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Julio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\BURITOS.EXE --> Eliminado, FakeAlert(braviax)

C:\WINDOWS\system32\BURITOS.EXE --> Eliminado, FakeAlert(braviax)



Nº Total de Directorios: 11088

Nº Total de Ficheros: 145427

Nº de Ficheros Analizados: 36068

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2





Saludos

[msc hotline sat]

Recibida y ya en el preanalisis vemos que se controla con el actual ELISTARA 16.82 que ya está disponible:

ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

La otra DLL no es lo que esperabamos, no sabiamos que era tan grande (mas de 2 MB), sino ya no la habriamos pedido por no ser coherente.

Pues tras probar dicha utilidda, nos comentas el resultado, gracias

saludos
ms, 30-07-2008

[TuaLeT]

¡SOLUCIONADO!

La version 13.82 me lo ha eliminado todo

Gracias por la celeridad en las respuestas

Saludos.

PD: con vosotros aqui, los ad/spy-wareros tienen las horas contadas.

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo

Si nos necesita de nuevo, ya sabe donde estamos

saludos
ms, 30-07-2008


y gracias por tus palabras