Necesito ayuda.

monchuki · Mensaje por **monchuki** » 13 Jun 2007, 19:27

Hola:

Soy nuevo y buscando información sobre msnmgr he llegado aquí. El otro día quise instalar un programita desde un Upload y me dio un error en la instalación. No di más importancia, pero el Ad-Watch de Ad-aware me aviso de cambios en el registro, concretamente de la creación de la entrada msnmgr en Run y RunOnce. A pesar de bloquearlo, salía constantemente el aviso de reintento.

La cuestión es que acepté, investigué y se habían creados archivos vinculados a msnmgr (en Prefetch) con la misma fecha y hora que la ejecución del programa. Esto me resultó sospechoso y empecé a mirar en internet, donde al parecer está vinculado a un virus, pero no consigo encontrar la forma de quitarlo.

He parado el proceso y quitado las entradas del registro y vuelve a salir. No encuentro el ejecutable para borrarlo y mi antivirus NOD32 no encuentra nada.

Estoy haciendo un activescan de Panda vía web y ha encontrado un virus pero no ha terminado y no sé qué es.

¿Alguien me puede ayudar?. ¿Cómo lo elimino?. ¿Qué efecto tiene este virus, si es que lo es?.

Gracias y saludos.

monchuki · Mensaje por **monchuki** » 13 Jun 2007, 19:29

Hola:

Soy nuevo y buscando información sobre msnmgr he llegado aquí. El otro día quise instalar un programita desde un Upload y me dio un error en la instalación. No di más importancia, pero el Ad-Watch de Ad-aware me aviso de cambios en el registro, concretamente de la creación de la entrada msnmgr en Run y RunOnce. A pesar de bloquearlo, salía constantemente el aviso de reintento.

La cuestión es que acepté, investigué y se habían creados archivos vinculados a msnmgr (en Prefetch) con la misma fecha y hora que la ejecución del programa. Esto me resultó sospechoso y empecé a mirar en internet, donde al parecer está vinculado a un virus, pero no consigo encontrar la forma de quitarlo.

He parado el proceso y quitado las entradas del registro y vuelve a salir. No encuentro el ejecutable para borrarlo y mi antivirus NOD32 no encuentra nada.

Estoy haciendo un activescan de Panda vía web y ha encontrado un virus pero no ha terminado y no sé qué es.

¿Alguien me puede ayudar?. ¿Cómo lo elimino?. ¿Qué efecto tiene este virus, si es que lo es?.

Gracias y saludos.

Mensaje por **msc hotline sat** » 13 Jun 2007, 19:33

Pues sin saber el virus que es, tampoco nosotros podemos decirselo
[quote] haciendo un activescan de Panda vía web y ha encontrado un virus pero no ha terminado y no sé qué es.[/quote]

Mejor lance estos dos AV ONLINE y nos cuenta el resultado:

[url=https://www.eset.es/analisis-online/]~~[b]~~[color=Darknesred]Antivirus ONLINE aconsejado[/color][/b][/url]

y una manera facil y rapida de saber si se tiene virus en memoria es lanzar este escaneo ONLINE que tarda menos de 1 minuto:

testeo ONLINE de virus en memoria

[url=https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus/]~~[b]~~[color=Darknesred]testeo ONLINE de virus en memoria[/color][/b][/url]

saludos

ms, 13-06-2007

Nota y mejor siempre abrir un Tema nuevo, pues su caso puede no tener nada que ver con el del autor del Tema...

desert12 · Mensaje por **desert12** » 13 Jun 2007, 22:48

Perdon por la tardanza, les acabo de enviar el rar en forma de .txt, saludos

Mensaje por **msc hotline sat** » 14 Jun 2007, 07:27

??? que cosa mas rara... nadie lo ha tenido que hacer así hasta ahora, y llevamos 15 años recibiendo muestras...

Bueno, veremos qué es lo que llega, y si lo ha tenido que hacer asi por que su cliente de correo no de dejaba enviar RAR, pues bueno ...

saludos

ms, 14-06-2007

desert12 · Mensaje por **desert12** » 14 Jun 2007, 17:30

Estoy atento a sus noticias, salu2 y gracias.

Mensaje por **msc hotline sat** » 14 Jun 2007, 17:59

No nos ha llegado nada con su referencia hasta el momento...

ms.

desert12 · Mensaje por **desert12** » 26 Jun 2007, 20:26

Despues de intentar mandaros las muestras de los archivos y sin poder conseguirlo formatee la maquina y todo iba bien hasta que hoy me ha saltado la alarma del windows defender y me parece que me ha vuelto a pasar lo mismo y lo mas gracioso es que no se de que es, lo unico que me paso de extraño fue al instalar el daemon tools que me dio un aviso el superantiespyware y el windos defender que yo achaque al sptd en fin no os mareo mas y os mando el log del hijackthis y os solicito de nuevo vuestra ayuda, ahora tengo puesto el xp.

Logfile of HijackThis v1.99.1

Scan saved at 19:16:41, on 26/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PSIService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Windows Defender\MSASCui.exe

C:\WINDOWS\system32\MSMSGR.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\DAEMON Tools\daemon.exe

C:\Archivos de programa\TechniSat DVB\bin\Server4PC.exe

C:\Archivos de programa\TechniSat DVB\bin\Server4PC.exe

C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Archivos de programa\eMule\emule.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

F:\CURRO-JIMENEZ\Linpiar registro\hijackthis_199\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Windows Defender] "C:\Archivos de programa\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [THGuard] "C:\Archivos de programa\TrojanHunter 4.7\THGuard.exe"

O4 - HKLM\..\Run: [Lector de documentos Doc de Windows] MSMSGR.EXE

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\RunOnce: [Lector de documentos Doc de Windows] MSMSGR.EXE

O4 - Global Startup: Server4PC.lnk = C:\Archivos de programa\TechniSat DVB\bin\Server4PC.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1182688369102

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1182751802000

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{032A537D-F1DF-437E-981A-64D88BD00FC8}: NameServer = 194.224.52.36,194.224.52.37

O17 - HKLM\System\CS1\Services\Tcpip\..\{032A537D-F1DF-437E-981A-64D88BD00FC8}: NameServer = 194.224.52.36,194.224.52.37

O17 - HKLM\System\CS2\Services\Tcpip\..\{032A537D-F1DF-437E-981A-64D88BD00FC8}: NameServer = 194.224.52.36,194.224.52.37

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

desert12 · Mensaje por **desert12** » 26 Jun 2007, 20:28

perdon, se me olvido, gracias de antemano.

Mensaje por **msc hotline sat** » 26 Jun 2007, 20:44

Pues no sé lo que es, pero nada bueno:

O4 - HKLM\..\Run: [Lector de documentos Doc de Windows] MSMSGR.EXE

fijate que esto lo carga de: C:\WINDOWS\system32\MSMSGR.EXE

Qu no es la carepta del Messenger...

Hay Gaobots que utilizan este nombre para su gusano:

http://www.vsantivirus.com/gaobot-bb.htm

Pero no sé a ciencia cierta si es esto o lo que es, y consecuentemente lo que piuede haber modificado, por ello, aunque podriamos eliminarlo facilmente del registro y de procesos activos, mejor envianos muestra del fichero y lo analizaremos para obrar en consecuencia:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 26-06-2007

Mensaje por **msc hotline sat** » 28 Jun 2007, 17:33

Pues se trata de una variante de gaobot, spybot, sdbot, IRCBOT o llamale como quieras.

Como que Ya se controla como Spybot, adoptamos este mismo nombre y lo detectamos asi.

Con la version 3.71 del ELITRIIP de hoy lo pasamos a controlar y eliminar

Estara disponible a partir de las 20 h GMT para pruebas de evaluacion en esta web:

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 28-06-2007