tengo un problema (SOLUCIONADO)

zafirab · Mensaje por **zafirab** » 25 May 2007, 16:42

bueno o varios, no sé. La cuestión es que no puede arrancar en modo normal el pc, sólo en modo seguro, la conexión a internet ha desaparecido (hasta los iconos), pasé el hijack y el log es este:Logfile of HijackThis v1.99.1

Scan saved at 21:25:04, on 23/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Messenger\msmsgs.exe

F:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mbuscas.com/buscador.php?id=1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\ARCHIV~1\FlashGet\jccatch.dll

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"

O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe

O4 - HKLM\..\Run: [EPSON Stylus CX3200] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P19 "EPSON Stylus CX3200" /O6 "USB001" /M "Stylus CX3200"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TomTomHOME.exe] "C:\Archivos de programa\TomTom HOME\TomTomHOME.exe" -s

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\RunOnce: [SpybotDeletingA3801] command /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

O4 - HKLM\..\RunOnce: [SpybotDeletingC7308] cmd /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Archivos de programa\Spybot - Search & Destroy\SpybotSD.exe" /autocheck

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [VoipBuster] "c:\archivos de programa\voipbuster.com\voipbuster\voipbuster.exe" -nosplash -minimized

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Rundll32] c:\windows\system32\RUNDDLL32.exe

O4 - HKCU\..\RunOnce: [SpybotDeletingB691] command /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

O4 - HKCU\..\RunOnce: [SpybotDeletingD1885] cmd /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

O4 - Startup: Registration Ghost Recon Advanced Warfighter.LNK = C:\Archivos de programa\Ubisoft\Demo\Ghost Recon Advanced Warfighter Demo\Support\Register\RegistrationReminder.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: Descargar TODO con FlashGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Descargar usando FlashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O9 - Extra button: Coches - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\dial-pillamusica43\entrar.html (file missing)

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\Belkin\Software Bluetooth\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\Belkin\Software Bluetooth\btsendto_ie.htm

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {13EC55CF-D993-475B-9ACA-F4A384957956} (Controller Class) - https://www.windowsonecare.com/install/cli/1.1.1067.14/WinSSWebAgent.CAB

O16 - DPF: {1F83CD9E-505E-4F87-BECE-0832A763E36F} (Image Uploader 3.0 Control) - http://www.mypixmania.com/es/es/importer/MypixUploader.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1172595624250

O16 - DPF: {7BA7BCE2-D359-4407-82D9-CDF9A74C487A} (DownLoadStub Class) - http://www.hpphoto.com/downloads/DownloadPhotos.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\Belkin\Software Bluetooth\bin\btwdins.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: SecuROM User Access Service (UserAccess) - Unknown owner - C:\WINDOWS\system32\UAService.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

el elistara no lo he podido pasar porque no lo tenía actualizado.

Mensaje por **lucl** » 25 May 2007, 21:38

descargate el elistara actualizado de este link y pasalo, ademas complementa con elitriip y luego peganos el log que te dejara en C infosat.txt saludos

http://www.zonavirus.com/descargas/elistara.asp

http://www.zonavirus.com/descargas/elitriip.asp

zafirab · Mensaje por **zafirab** » 25 May 2007, 21:53

ok, ya los he descargado, cuando llegue a casa los pasaré ya que esto lo hago desde el trabajo y postearé el log no antes del lunes a la noche.

gracias.

Mensaje por **lucl** » 25 May 2007, 21:56

ok, ponlos en el escritorio mejor y desde alli los ejecutas y ya veremos el lunes que ha pasado, saludos

Mensaje por **msc hotline sat** » 26 May 2007, 11:41

Sí, parece que tienes un DESKTOPER en este RUNDDLL32 (con dos D), y que puede ser el que controla desde hace tiempo el ELISTARA:

ELISTARA

---v12.60-(27 de Octubre del 2006) (Muestras de (3)Vundo(notify), (3)Desktoper "RUNDDLL32.EXE, IEXPLORER.EXE y EXPLORERR.EXE" y fichero "RQQSND.EXE")

Si no fuera controlado por tratarse de una nueva variante, envianos muestra del fichero indicado:

c:\windows\system32\RUNDDLL32.exe

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 26-05-2007

zafirab · Mensaje por **zafirab** » 28 May 2007, 16:12

hola buenas, en efecto al pasar el elistara eliminó un desktoper, el PSW-JA, este es el log:

Sat May 26 09:02:19 2007

EliStartPage v14.07 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\RUNDDLL32.EXE --> Eliminado StartPage-IN

C:\WINDOWS\SYSTEM32\EXPLORERR.EXE --> Eliminado Desktoper

Por favor, envienos una muestra del fichero

C:\Muestras\IBM00001.DLL.Muestra EliStartPage v14.07

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WEB FOLDERS\IBM00001.DLL --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\IBM00002.DLL.Muestra EliStartPage v14.07

a "virus@satinfo.es". Gracias.

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WEB FOLDERS\IBM00002.DLL --> Eliminado

C:\Documents and Settings\All Users\Menú Inicio\Online Security Guide.url --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"

Entrada Eliminada [HKCU\...\Run] "Rundll32"="c:\windows\system32\RUNDDLL32.exe"

Página de Inicio de IE, "http://www.mbuscas.com/buscador.php?id=1" --> Eliminada

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sat May 26 09:04:40 2007

EliStartPage v14.07 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Más tarde pasé elitrip, pero no pude encontrar el log, aun así pude apuntar esto: ¿desea bloquear intento de intrusión por el TCP445? Dije que sí y al terminar la exploración apareció esto:

Autorun.inf-> Backdoor.CMQ (inf)

UAService.exe->Malware (uaservice)

después volví a pasar elitrip y el log fue este:

Sat May 26 10:09:20 2007

EliTriIP v3.60 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

Sat May 26 10:09:27 2007

EliTriIP v3.60 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

zafirab · Mensaje por **zafirab** » 28 May 2007, 16:16

bueno, os he mandado ya la muestra,( resulta que arrancando en modo seguro con funciones de red tengo conexión) ya que aún eliminado el troyano no puedeo arrancar en modo normal.

saludos

Mensaje por **msc hotline sat** » 28 May 2007, 16:25

Envianos muestras para analizar de:

Por favor, envienos una muestra del fichero

C:\Muestras\IBM00001.DLL.Muestra EliStartPage v14.07

Por favor, envienos una muestra del fichero

C:\Muestras\IBM00002.DLL.Muestra EliStartPage v14.07

y elimina estas claves, que parece que el Spybot no ha podido:

O4 - HKCU\..\RunOnce: [SpybotDeletingB691] command /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

O4 - HKCU\..\RunOnce: [SpybotDeletingD1885] cmd /c del "C:\WINDOWS\system32\IEXPLORER.exe_tobedeleted_old"

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y el log de todas nuestras utilidades se acumula en c:\infosat.txt

saludos

ms, 28-05-2007

zafirab · Mensaje por **zafirab** » 28 May 2007, 16:33

gracias, muestras mandads y entradas eliminadas.

Mensaje por **msc hotline sat** » 28 May 2007, 16:59

Pues aparte del analisis que haremos en breve de las muestras enviadas, como que ya estan aparcadas en el disco duro, una vez eliminadas las claves, reinicie y comentenos si persiste alguna anomalia, gracias

saludos

ms, 28-05-2007

nota: ver si ahora sigue sin arrancar en modo normal ...

zafirab · Mensaje por **zafirab** » 28 May 2007, 17:07

sigue sin arrancar, así que esperaré ansioso vuestro análisis.

saludos y gracias

Mensaje por **msc hotline sat** » 28 May 2007, 18:19

Se le piden los ficheros :

[quote]
Por favor, envienos una muestra del fichero

C:\Muestras\IBM00001.DLL.Muestra EliStartPage v14.07

Por favor, envienos una muestra del fichero

C:\Muestras\IBM00002.DLL.Muestra EliStartPage v14.07
[/quote]

no lo que nos envia que es el RUNDLL32.EXE de Microsoft.

saludos

ms, 28-05-2007

zafirab · Mensaje por **zafirab** » 28 May 2007, 19:35

esos los mandé después, no han llegado?

Mensaje por **msc hotline sat** » 28 May 2007, 19:39

Ahora ya está cerrado, pero cuando te lo he dicho no habia nada mas tuyo.

Mañana seguiremos

saludos

ms, 28-05-2007

zafirab · Mensaje por **zafirab** » 28 May 2007, 19:51

ok,gracias

Mensaje por **msc hotline sat** » 29 May 2007, 14:53

Recibidas las muestras, se controlan como variantes del PWS y se pasa a implementar su control y eliminacion en la version de hoy del ELISTARA 14.09, que estará disponible para pruebas de evaluacion del foro de zonavirus, a partir de las 20 h GMT:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 29-05-2007

zafirab · Mensaje por **zafirab** » 29 May 2007, 23:19

aqui está el contenido del proceso:

Tue May 29 21:30:00 2007

EliStartPage v14.09 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE

Tue May 29 21:30:22 2007

EliStartPage v14.09 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Muestras\IBM00001.DLL.MUESTRA ELISTARTPAGE V14.07 --> Eliminado, PWS-JA

C:\Muestras\IBM00002.DLL.MUESTRA ELISTARTPAGE V14.07 --> Eliminado, PWS-JA

De momento sigo sin poder arrancar en modo normal. un saludo

zafirab · Mensaje por **zafirab** » 31 May 2007, 21:14

he pasado el antivirus on line, el cual ha eliminado al menos 24 entradas, sólo dos con alto riesgo. Ahora me deja apagar el equipo (antes había que desenchufar para poder apagarlo) pero sigue sin arrancar en modo normal. No sé que más se puede hacer.

Mensaje por **msc hotline sat** » 01 Jun 2007, 07:27

Alguna aplicacion que cargas en el inicio se lo debe impedir

Mira de reducir la carga de aplicaciones al minimo, o desinstalalas todas y las vas instalando una a una, y probando tras ello que vaya arrancando en modo normal ...

y nos cuentas el resultado, gracias

saludos

ms, 1-06-2007

zafirab · Mensaje por **zafirab** » 01 Jun 2007, 13:35

cuando el ordenador arranca aparece un par de veces "Boot from cd" que antes no salía, leyendo un mensaje de otro forero he visto que hay algun programa para reparar windows o algo así...podría ser esta la causa?

Mensaje por **msc hotline sat** » 01 Jun 2007, 13:55

Creo que simplemente puedes cambiar la prioridad de arranque desde el SETUP del BIOS , quizas cambiando a Disco duro la prioridad ya no saldria dicho mensaje

O sacando el CD de la lectora, si es que lo hay...

saludos

ms, 1-06-2007

zafirab · Mensaje por **zafirab** » 01 Jun 2007, 20:55

bien ya está cambiado, ponía Floppy como 1st boot device, ya no sale lo de boot from cd. Ahora arranca algo mejor, sale la ventana del antivirus(nod32) y otra ventana de "utilidad de configuración de sistema" y a los pocos segundos se vuelve a apagar.

Voy a ir eliminando alguna aplicación a ver si se arregla algo...

un saludo

Mensaje por **msc hotline sat** » 03 Jun 2007, 12:19

Mira si arrancando en modo seguro no te lo hace, asi sabras que es de una aplicacion y no del sistema operativo ...

saludos

ms, 3-06-2007

zafirab · Mensaje por **zafirab** » 03 Jun 2007, 20:12

bueno pues al final he hecho una recuperación del sistema y parece que ya va bien, ahora tendré que configurar todo otra vez pero bueno...

muchas gracias por todo.

Mensaje por **msc hotline sat** » 03 Jun 2007, 20:36

[url=http://forum.telecharger.01net.com]

[img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo.

Si nos necesita de nuevo, ya sabe donde estamos

saludos

ms, 3 de Junio de 2007