Necesito ayuda.

desert12 · Mensaje por **desert12** » 08 Jun 2007, 23:22

Os pego el log del hijackyhis, para ver si me podeis ayudar con la lentura de mi PC, pues no se si se me ha colado algun bicho, gracias.

Logfile of HijackThis v1.99.1

Scan saved at 22:15:15, on 08/06/2007

Platform: Unknown Windows (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16386)

Running processes:

C:\Program Files (x86)\DAEMON Tools\daemon.exe

C:\Program Files (x86)\SUPERAntiSpyware\SUPERANTISPYWARE.EXE

C:\Program Files (x86)\TechniSat DVB\bin\Server4PC.exe

C:\Program Files (x86)\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe

C:\Program Files (x86)\TechniSat DVB\bin\Server4PC.exe

C:\Program Files (x86)\eMule\emule.exe

C:\Program Files (x86)\Internet Explorer\ieuser.exe

E:\CURRO-JIMENEZ\Linpiar registro\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

F2 - REG:system.ini: UserInit=userinit.exe

O1 - Hosts: ::1 localhost

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office12\GRA8E1~1.DLL

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files (x86)\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files (x86)\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [Lector de documentos Doc de Windows] msnmgr.exe

O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files (x86)\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files (x86)\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - Startup: Herramienta de búsqueda de soportes de Picture Motion Browser.lnk = C:\Program Files (x86)\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe

O4 - Startup: Recorte de pantalla e Inicio rápido de OneNote 2007.lnk = C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files (x86)\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Program Files (x86)\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Server4PC.lnk = C:\Program Files (x86)\TechniSat DVB\bin\Server4PC.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000

O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL

O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll

O11 - Options group: [INTERNATIONAL] International*

O13 - Gopher Prefix:

O16 - DPF: {B1E2B96C-12FE-45E2-BEF1-44A219113CDD} (SABScanProcesses Class) - http://www.superadblocker.com/activex/sabspx.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F37282A8-C3E8-494B-8F98-1304D4E777AD}: NameServer = 194.224.52.36,194.224.52.37

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~2\MICROS~1\Office12\GR99D3~1.DLL

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~2\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files (x86)\Common Files\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~2\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~2\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Program Files (x86)\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)

O23 - Service: DCS Loader (DCSLoader) - Oki Data Corporation - C:\Windows\system32\spool\DRIVERS\x64\3\OPHALDCS.EXE

O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)

O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)

O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)

O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files (x86)\Eset\nod32krn.exe

O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)

O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)

O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)

O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)

O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)

O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)

O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)

O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)

O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)

Espero vuestra ayuda, gracias de nuevo.

Claudia34 · Mensaje por **Claudia34** » 09 Jun 2007, 02:06

Pues mientras esperas para ver lo que dicen sobre el log que pegaste, descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y portearnos el contenido de C:\infosat.txt para ver el resultado del proceso.

Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt

http://www.zonavirus.com/descargas/elitriip.asp

Opcional:

Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.

Saludos.

Mensaje por **msc hotline sat** » 09 Jun 2007, 09:28

Usas VISTA quizas ??? si es asi no pruebes las utuilidades indicadas en el post anterior, no estan hechas para dicho sistema.

En tal caso envianos este fichero : msnmgr.exe

Mira si lo encuentras con un Inicio - Buscar, porque no se especifica donde está, supongo que en la carpeta de sistema, pero ...

Lo que parece muy raro es el valor que indica esta clave al respecto:

O4 - HKLM\..\Run: [Lector de documentos Doc de Windows] msnmgr.exe

Lector de DOC un MSNMGR.EXE ???

Envianoslo y lo analizaremos:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 9-06-2007

desert12 · Mensaje por **desert12** » 09 Jun 2007, 11:13

Si tengo puesto el vista, siento decir que borre ese archivo pues despues de instalar un programa es el que empezo a relentizarme el sistema ocupando la cpu alrededor de un 50%, no se si hice bien pues lei en alguna pagina que era un virus, espero vuestro consejo, gracias y salu2.

Mensaje por **msc hotline sat** » 09 Jun 2007, 12:42

Sin muestra no podemos analizarlo ni ver las claves que pudiera haber modificado, para poder restaurarlas...

Otra vez mejor renombralo a extension .VIR y dejará de incordiar pero podrás enviarlo a analizar

Quizas si sabes de donde lo sacaste, lo puedes recuperar y enviarnoslo, sino, si hace poco quizas podrías retroceder a un punto de restauracion anterior a su instalacion, pero recuerda que perderás todas las aplicaciones instaladas desde entonces...

tu mismo.

saludos

ms, 9-06-2007

desert12 · Mensaje por **desert12** » 09 Jun 2007, 15:05

Les he mandado el exe comprimido, el cualñ me instaló el msnmgr.exe, espero sus noticias, gracias y salu2.

Mensaje por **msc hotline sat** » 09 Jun 2007, 21:05

Pues el lunes, cuando entremos a trabajar en SATINFO, extraeremos el EXE y lo monitorizaremos a verzque claves modifica e implementaremos su restauracion en nuestras utilidades, de lo cual informaremos

Mientras, elimina esta clave, aunque sin el fichero solo sea un resto inocuo...

O4 - HKLM\..\Run: [Lector de documentos Doc de Windows] msnmgr.exe

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 9-06-2007

Mensaje por **msc hotline sat** » 11 Jun 2007, 11:52

Pues pasamos a implementar la eliminacion de claves y ficheros relacionados con el ELISTARA 14.17 de hoy que estará disponible para evaluacion a partir de las 20 h GMT.

Como sea que si usa VISTA, no podrá usar dicha utilidad, trate de desinstalar dicha aplicacion desde Agregar o Quitar programas

saludos

ms, 11-06-2007

Nota: en Agregar o Quitar programas vera un Florikey que es la aplicacion a desinstalar. La instalacion genera un dseinstslador.

Tambien ha generado el msnmgr y la clave de "lector documentos DOC de Windows" , que pasamos a controlar con la misma utilidad. Vd ya lo habia eliminado y se le habia indicado ademas eliminar dicha clave.

ms.

Mensaje por **msc hotline sat** » 11 Jun 2007, 12:29

Subido a VirusTotal este Hupigon, ofrece el siguiente resultado:

[quote]STATUS: FINISHEDComplete scanning result of "msnmgr.exe", received in VirusTotal at 06.11.2007, 11:25:56 (CET).

Antivirus Version Update Result

AhnLab-V3 2007.6.11.1 06.11.2007 no virus found

AntiVir 7.4.0.32 06.11.2007 HEUR/Crypted

Authentium 4.93.8 05.23.2007 no virus found

Avast 4.7.997.0 06.09.2007 no virus found

AVG 7.5.0.467 06.10.2007 no virus found

BitDefender 7.2 06.11.2007 DeepScan:Generic.Malware.G!IFLbg.00753267

CAT-QuickHeal 9.00 06.09.2007 no virus found

ClamAV devel-20070416 06.11.2007 no virus found

DrWeb 4.33 06.11.2007 no virus found

eSafe 7.0.15.0 06.10.2007 no virus found

eTrust-Vet 30.7.3710 06.11.2007 no virus found

Ewido 4.0 06.10.2007 no virus found

FileAdvisor 1 06.11.2007 no virus found

Fortinet 2.85.0.0 06.11.2007 suspicious

F-Prot 4.3.2.48 06.08.2007 no virus found

F-Secure 6.70.13030.0 06.11.2007 no virus found

Ikarus T3.1.1.8 06.11.2007 Backdoor.VB.EV

Kaspersky 4.0.2.24 06.11.2007 no virus found

McAfee 5049 06.08.2007 no virus found

Microsoft 1.2503 06.11.2007 no virus found

NOD32v2 2321 06.10.2007 no virus found

Norman 5.80.02 06.08.2007 no virus found

Panda 9.0.0.4 06.11.2007 Bck/Hupigon.KIZ

Prevx1 V2 06.11.2007 Malware.Trojan.Backdoor.Gen

Sophos 4.18.0 06.01.2007 no virus found

Sunbelt 2.2.907.0 06.09.2007 VIPRE.Suspicious

Symantec 10 06.11.2007 no virus found

TheHacker 6.1.6.131 06.08.2007 no virus found

VBA32 3.12.0 06.10.2007 no virus found

VirusBuster 4.3.23:9 06.10.2007 no virus found

Webwasher-Gateway 6.0.1 06.11.2007 Heuristic.Crypted

Aditional Information

File size: 1167892 bytes

MD5: d63147fbbd989a97e7f2c70f9663987c

SHA1: 80f3f7b6b0060a7c617862c00e002ea61f7df8a1

packers: Themida

Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PXC=695a100454347

Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.
[/quote]

Por lo que lo pasaremos a controlar como variante de florikey con el ELISTARA

saludos

ms, 11-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 10:26

como tengo el vista en un disco y el xp en otro le he pasado el elistara y el elitri a traves del xp y esto es el resultado de sus analisis:

Tue Jun 12 08:22:46 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Jun 12 08:23:51 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek

Tue Jun 12 08:26:15 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Windows\SysWOW64\AJNCFI.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\AUJNAN.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\AURCLF.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\DHREHA.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\DTFGVX.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\ENHAGY.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\EUOYPG.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\FSHORR.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\FTNCEY.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\GWXHSS.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\HVGBFH.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\HXTXJA.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\IHTRXW.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\JBDKDI.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\LRBDFZ.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\LSKDHA.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\MGHTKH.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\OEVATW.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\QQYNFT.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\RDLKLY.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\SysWOW64\SNEFCM.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\TENOBJ.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\TODVYR.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\TPBZEO.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\WQUPVU.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\XPMIGQ.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\XPVBXG.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\ZEUMZP.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\SysWOW64\ZFBIPW.EXE --> Eliminado, FloriKey(bdoor)

D:\Windows\winsxs\wow64_microsoft-windows-registry-editor_31bf3856ad364e35_6.0.6000.16386_none_586b393ecbabc8f4\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\x86_microsoft.windows.i..utomation.proxystub_6595b64144ccf1df_1.0.6000.16386_none_b80a29519535473c\SXSOAPS.DLL --> Acceso Denegado, Puper-Is

Tue Jun 12 08:34:29 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Jun 12 08:35:05 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Tue Jun 12 08:38:00 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Windows\SysWOW64\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\wow64_microsoft-windows-registry-editor_31bf3856ad364e35_6.0.6000.16386_none_586b393ecbabc8f4\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\x86_microsoft.windows.i..utomation.proxystub_6595b64144ccf1df_1.0.6000.16386_none_b80a29519535473c\SXSOAPS.DLL --> Acceso Denegado, Puper-Is

Tue Jun 12 08:45:58 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

como veran el puper-is no me lo ha podido eliminar a pesar de haber reiniciado cuatro veces en el xp, espero vuestro consejo, gracias y salu2.

desert12 · Mensaje por **desert12** » 12 Jun 2007, 10:30

perdon, me ha faltado esta parte, zorry.

Tue Jun 12 08:46:28 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Windows\SysWOW64\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\wow64_microsoft-windows-registry-editor_31bf3856ad364e35_6.0.6000.16386_none_586b393ecbabc8f4\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\x86_microsoft.windows.i..utomation.proxystub_6595b64144ccf1df_1.0.6000.16386_none_b80a29519535473c\SXSOAPS.DLL --> Acceso Denegado, Puper-Is

Tue Jun 12 09:03:12 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Tue Jun 12 09:12:41 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Tue Jun 12 09:12:51 2007

EliStartPage v14.17 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Windows\SysWOW64\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\wow64_microsoft-windows-registry-editor_31bf3856ad364e35_6.0.6000.16386_none_586b393ecbabc8f4\REGEDT32.EXE --> Acceso Denegado, Puper-Is

D:\Windows\winsxs\x86_microsoft.windows.i..utomation.proxystub_6595b64144ccf1df_1.0.6000.16386_none_b80a29519535473c\SXSOAPS.DLL --> Acceso Denegado, Puper-Is

Tue Jun 12 09:23:07 2007

EliTriIP v3.63 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Tue Jun 12 09:23:18 2007

EliTriIP v3.63 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Pedro\autorun.inf --> Eliminado, BackDoor.CMQ (inf)

Tue Jun 12 09:24:34 2007

EliTriIP v3.63 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Mensaje por **msc hotline sat** » 12 Jun 2007, 11:46

Si bien con ello hemos eliminado el Hupigon o Florikey, aparece un Puper-Is que nos dice acceso denegado, y que por tanto no podemos eliminar.

Vea de acceder arrancando de otro modo, el fichero

D:\Windows\SysWOW64\REGEDT32.EXE

que dice estar infectado por dicho troyano y no podemos acceder a él, a ver de qué se trata, y si lo detectamos normalmente sin VISTA...

para ello:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 14:08

Les he enviado los archivos infectados para que los vean, quedo a la espera de sus noticias, gracias y salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 14:52

Sí, lo raro es que diga acceso denegado, pero puede ser por la combinacion que indica del VISTA con el XP...

saludos

ms, 14-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 15:30

Entonces, que obciones tenemos, quitarlos a mano quizas, gracias y salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 15:39

Si se comprueba que son malwares , si, ya se lo diremos cuando los hayamos analizado.

Por cierto, si quiere saberlo antes de que les toque el turno, subalos a eaminar al VirusTotal , que está al final de la pagina de AV ONLINE y lo sabrá.

saludos

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 16:03

Ok, espero su respuesta, gracias.

Mensaje por **msc hotline sat** » 12 Jun 2007, 16:25

Pues preguntando a los de I+D no tienen esta carpeta en cartera, ni en cola ni procesando...

Quizas no ha llegado, pero por si acaso, envielo de nuevo, pero recuerde:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 16:55

Se los volvi a mandar, salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 17:06

Atpicamente he dado aviso a los tecnicos de la web, que cuando lleguen estas muestras me avisen, pero siguen sin entrar... Ya las ha encriptado en un ZIP con password VIRUS, como decimos ??? porque sino igual las intercepta cualquier servidor de internet ...

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 17:33

Se las comprimi en RAR con el pass VIRUS y se las envie por correo con el titulo virus puper-is, salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 17:59

Pues se estab recibendo sin parar mails con muestras de todas partes, pero el tuyo no llega...

Seguro que lo has enviado a zonavirus@satinfo.es y has puesto como referencia tu nick, esto es desert12 ???

Se reciben cientos de mails y no podemos estar buscando uno que no llega... mira de enviarlo desde otro medio, si con este cliente de correo por algun motivo no llega, o ya sube tú las muestras a VirusTotal y mira las que son viricas, que supongo serán las que indicabamos Puper.Is ... y las eliminas

saludos

ms, 12.06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 18:22

Les hice caso y esta es la respuesta:

Este es el resultado completo de analizar el archivo "varios.rar" que VirusTotal ha recibido el día 12.06.2007 a las 17:19:48 (CET).

Antivirus Version Actualización Resultado

AhnLab-V3 2007.6.12.2 12.06.2007 no ha encontrado virus

AntiVir 7.4.0.32 12.06.2007 no ha encontrado virus

Authentium 4.93.8 12.06.2007 Not scanned (encrypted)

Avast 4.7.997.0 12.06.2007 no ha encontrado virus

AVG 7.5.0.467 12.06.2007 no ha encontrado virus

BitDefender 7.2 12.06.2007 no ha encontrado virus

CAT-QuickHeal 9.00 12.06.2007 no ha encontrado virus

ClamAV devel-20070416 12.06.2007 no ha encontrado virus

DrWeb 4.33 12.06.2007 no ha encontrado virus

eSafe 7.0.15.0 12.06.2007 no ha encontrado virus

eTrust-Vet 30.7.3713 12.06.2007 no ha encontrado virus

Ewido 4.0 12.06.2007 no ha encontrado virus

FileAdvisor 1 12.06.2007 no ha encontrado virus

Fortinet 2.85.0.0 12.06.2007 no ha encontrado virus

F-Prot 4.3.2.48 12.06.2007 no ha encontrado virus

F-Secure 6.70.13030.0 12.06.2007 no ha encontrado virus

Ikarus T3.1.1.8 12.06.2007 no ha encontrado virus

Kaspersky 4.0.2.24 12.06.2007 no ha encontrado virus

McAfee 5050 11.06.2007 no ha encontrado virus

Microsoft 1.2503 12.06.2007 password protected

NOD32v2 2325 12.06.2007 the file is probably password protected.

Norman 5.80.02 12.06.2007 no ha encontrado virus

Panda 9.0.0.4 12.06.2007 no ha encontrado virus

Prevx1 V2 12.06.2007 no ha encontrado virus

Sophos 4.18.0 12.06.2007 no ha encontrado virus

Sunbelt 2.2.907.0 09.06.2007 no ha encontrado virus

Symantec 10 12.06.2007 no ha encontrado virus

TheHacker 6.1.6.132 11.06.2007 no ha encontrado virus

VBA32 3.12.0.1 11.06.2007 no ha encontrado virus

VirusBuster 4.3.23:9 12.06.2007 no ha encontrado virus

Webwasher-Gateway 6.0.1 12.06.2007 no ha encontrado virus

Información adicional

Tamaño archivo: 12221 bytes

MD5: 4375af7fd4a767b022bbb762c57f7930

SHA1:

Mensaje por **msc hotline sat** » 12 Jun 2007, 18:43

No me digas que has subido el empaquetado con password VIRUS ??? !!!

Me temo que sí, que haa hecho esto, y claro que nadie ha encontrado nada... está encriptado

Con RAR sin password o el fichero a pelo, subelo y veremos si lo detectan, y en tal caso eliminalos

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 19:38

Mandados a pelo cada uno de los tres archivos sospechosos esto es lo que han detectado:

AhnLab-V3 2007.6.12.2 12.06.2007 no ha encontrado virus

AntiVir 7.4.0.32 12.06.2007 no ha encontrado virus

Authentium 4.93.8 12.06.2007 no ha encontrado virus

Avast 4.7.997.0 12.06.2007 no ha encontrado virus

AVG 7.5.0.467 12.06.2007 no ha encontrado virus

BitDefender 7.2 12.06.2007 no ha encontrado virus

CAT-QuickHeal 9.00 12.06.2007 no ha encontrado virus

ClamAV devel-20070416 12.06.2007 no ha encontrado virus

DrWeb 4.33 12.06.2007 no ha encontrado virus

eSafe 7.0.15.0 12.06.2007 no ha encontrado virus

eTrust-Vet 30.7.3713 12.06.2007 no ha encontrado virus

Ewido 4.0 12.06.2007 no ha encontrado virus

FileAdvisor 1 12.06.2007 No threat detected

Fortinet 2.85.0.0 12.06.2007 no ha encontrado virus

F-Prot 4.3.2.48 12.06.2007 no ha encontrado virus

F-Secure 6.70.13030.0 12.06.2007 no ha encontrado virus

Ikarus T3.1.1.8 12.06.2007 no ha encontrado virus

Kaspersky 4.0.2.24 12.06.2007 no ha encontrado virus

McAfee 5051 12.06.2007 no ha encontrado virus

Microsoft 1.2503 12.06.2007 no ha encontrado virus

NOD32v2 2325 12.06.2007 no ha encontrado virus

Norman 5.80.02 12.06.2007 no ha encontrado virus

Panda 9.0.0.4 12.06.2007 no ha encontrado virus

Prevx1 V2 12.06.2007 no ha encontrado virus

Sophos 4.18.0 12.06.2007 no ha encontrado virus

Sunbelt 2.2.907.0 09.06.2007 no ha encontrado virus

Symantec 10 12.06.2007 no ha encontrado virus

TheHacker 6.1.6.132 11.06.2007 no ha encontrado virus

VBA32 3.12.0.1 11.06.2007 no ha encontrado virus

VirusBuster 4.3.23:9 12.06.2007 no ha encontrado virus

Webwasher-Gateway 6.0.1 12.06.2007 no ha encontrado virus

Información adicional

Tamaño archivo: 9216 bytes

MD5: cebcd27ca9eeb84a5a55b182a6177378

SHA1: a6cf51c6ca55f4edb903033ed5656204c0abc845

Bit9 info: http://fileadvisor.bit9.com/services/extinfo.aspx?md5=cebcd27ca9eeb84a5a55b182a6177378

AhnLab-V3 2007.6.12.2 12.06.2007 no ha encontrado virus

AntiVir 7.4.0.32 12.06.2007 no ha encontrado virus

Authentium 4.93.8 12.06.2007 no ha encontrado virus

Avast 4.7.997.0 12.06.2007 no ha encontrado virus

AVG 7.5.0.467 12.06.2007 no ha encontrado virus

BitDefender 7.2 12.06.2007 no ha encontrado virus

CAT-QuickHeal 9.00 12.06.2007 no ha encontrado virus

ClamAV devel-20070416 12.06.2007 no ha encontrado virus

DrWeb 4.33 12.06.2007 no ha encontrado virus

eSafe 7.0.15.0 12.06.2007 no ha encontrado virus

eTrust-Vet 30.7.3713 12.06.2007 no ha encontrado virus

Ewido 4.0 12.06.2007 no ha encontrado virus

FileAdvisor 1 12.06.2007 No threat detected

Fortinet 2.85.0.0 12.06.2007 no ha encontrado virus

F-Prot 4.3.2.48 12.06.2007 no ha encontrado virus

F-Secure 6.70.13030.0 12.06.2007 no ha encontrado virus

Ikarus T3.1.1.8 12.06.2007 no ha encontrado virus

Kaspersky 4.0.2.24 12.06.2007 no ha encontrado virus

McAfee 5051 12.06.2007 no ha encontrado virus

Microsoft 1.2503 12.06.2007 no ha encontrado virus

NOD32v2 2325 12.06.2007 no ha encontrado virus

Norman 5.80.02 12.06.2007 no ha encontrado virus

Panda 9.0.0.4 12.06.2007 no ha encontrado virus

Prevx1 V2 12.06.2007 no ha encontrado virus

Sophos 4.18.0 12.06.2007 no ha encontrado virus

Sunbelt 2.2.907.0 09.06.2007 no ha encontrado virus

Symantec 10 12.06.2007 no ha encontrado virus

TheHacker 6.1.6.132 11.06.2007 no ha encontrado virus

VBA32 3.12.0.1 11.06.2007 no ha encontrado virus

VirusBuster 4.3.23:9 12.06.2007 no ha encontrado virus

Webwasher-Gateway 6.0.1 12.06.2007 no ha encontrado virus

Información adicional

Tamaño archivo: 9216 bytes

MD5: cebcd27ca9eeb84a5a55b182a6177378

SHA1: a6cf51c6ca55f4edb903033ed5656204c0abc845

Bit9 info: http://fileadvisor.bit9.com/services/e

Este es el resultado completo de analizar el archivo "sxsoaps.dll" que VirusTotal ha recibido el día 12.06.2007 a las 18:37:02 (CET).

Antivirus Version Actualización Resultado

AhnLab-V3 2007.6.12.2 12.06.2007 no ha encontrado virus

AntiVir 7.4.0.32 12.06.2007 no ha encontrado virus

Authentium 4.93.8 12.06.2007 no ha encontrado virus

Avast 4.7.997.0 12.06.2007 no ha encontrado virus

AVG 7.5.0.467 12.06.2007 no ha encontrado virus

BitDefender 7.2 12.06.2007 no ha encontrado virus

CAT-QuickHeal 9.00 12.06.2007 no ha encontrado virus

ClamAV devel-20070416 12.06.2007 no ha encontrado virus

DrWeb 4.33 12.06.2007 no ha encontrado virus

eSafe 7.0.15.0 12.06.2007 no ha encontrado virus

eTrust-Vet 30.7.3713 12.06.2007 no ha encontrado virus

Ewido 4.0 12.06.2007 no ha encontrado virus

FileAdvisor 1 12.06.2007 No threat detected

Fortinet 2.85.0.0 12.06.2007 no ha encontrado virus

F-Prot 4.3.2.48 12.06.2007 no ha encontrado virus

F-Secure 6.70.13030.0 12.06.2007 no ha encontrado virus

Ikarus T3.1.1.8 12.06.2007 no ha encontrado virus

Kaspersky 4.0.2.24 12.06.2007 no ha encontrado virus

McAfee 5051 12.06.2007 no ha encontrado virus

Microsoft 1.2503 12.06.2007 no ha encontrado virus

NOD32v2 2325 12.06.2007 no ha encontrado virus

Norman 5.80.02 12.06.2007 no ha encontrado virus

Panda 9.0.0.4 12.06.2007 no ha encontrado virus

Prevx1 V2 12.06.2007 no ha encontrado virus

Sophos 4.18.0 12.06.2007 no ha encontrado virus

Sunbelt 2.2.907.0 09.06.2007 no ha encontrado virus

Symantec 10 12.06.2007 no ha encontrado virus

TheHacker 6.1.6.132 11.06.2007 no ha encontrado virus

VBA32 3.12.0.1 11.06.2007 no ha encontrado virus

VirusBuster 4.3.23:9 12.06.2007 no ha encontrado virus

Webwasher-Gateway 6.0.1 12.06.2007 no ha encontrado virus

Información adicional

Tamaño archivo: 9728 bytes

MD5: f25ffb9d935980256139b2e69db7c26d

SHA1: 3e908be569acff19aa7b4bf3ddd65fa9b65fe0ff

Bit9 info: http://fileadvisor.

Espero sus consejos, gracias y salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 19:46

Pues no los conocen ... y el ELISTARA detecta sospechosos de Puper- Is ???

No es lógico y necesitamos analizar las muestras para decidir al respecto.

A ver si desde otra cuenta de correo puedes mandarnoslas, pues no es normal que nadie detecte nada, cuando el ELISTARA pide muestras es por algo

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 20:38

Ya os los he mandado, salu2.

Mensaje por **msc hotline sat** » 12 Jun 2007, 20:47

Pues mañana lo veremos, que ahora SATINFO ya está cerrado

saludos

ms, 12-06-2007

desert12 · Mensaje por **desert12** » 12 Jun 2007, 21:22

Mensaje por **msc hotline sat** » 13 Jun 2007, 11:31

Pues revisando hasta ahora, no han llegado.

Como que sería el cuento de nunca acabar, vamos a hacer excepcionalmente lo que NO SE DEBE HACER NORMALMENTE:

Renombra este fichero que tienes con extension .RAR, a extension .TXT y lo AGREGAS COMO ADJUNTO A TU POST , pulsas en examinar, buscar el archivo en cuestion, das doble click y cuando lo veas aparecer en Nombre del Archivo, pulsas en Enviar.

Luego, una vez descargado, ya lo borraremos para que nadie se pueda infectar bajándolo.

saludos

ms, 13-06-2007