El ordenador se relentiza

[Plani]

Buenos dias



Cuando dejo el ordenador un rato sin utilizar, se me relentiza muchisimo. En el administrador de tareas he visto una aplicaicon que me ocupa alrededor de 300.000Kb, se llama "[b]SPBBCSvc.exe[/b]", no puedo cerrarla ni repararla. Si lo busco por el ordenador no me deja eliminarlo de la carpeta donde esta. :?



Alguien me puede ayudar? :?:



Gracias

[msc hotline sat]

Originalmente este fichero es de Symantec:



http://www.liutilities.com/products/wintaskspro/processlibrary/spbbcsvc/



pero puede haber sido modificado o sobreescrito por algun malware.



Envienos copia para analizar, siguiendo indicaciones:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



Al mismo tiempo, posteenos log del HJT, por si es algo de su entorno:





[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



Tras analizarlo, informaremos







saludos



ms, 21-06-2007

[Plani]

Dejo la copia del HJT y me vas a perdonar, pero me pides una copia de... no se de que exactamente, soy un poco pollo en esto, lo siento.



Si hay algun error o tengo que poner el HJT en otro sitio, pido disculpas y lo cambiare en cuanto se me diga.



Gracias





Logfile of HijackThis v1.99.1

Scan saved at 23:47:23, on 20/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\TODDSrv.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Archivos de programa\Apoint2K\Apoint.exe

C:\Archivos de programa\TOSHIBA\Touch and Launch\PadExe.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\TOSHIBA\E-KEY\CeEKey.exe

C:\Archivos de programa\TOSHIBA\TouchPad\TPTray.exe

C:\WINDOWS\system32\ZoomingHook.exe

C:\Archivos de programa\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

C:\WINDOWS\system32\TCtrlIOHook.exe

C:\Archivos de programa\TOSHIBA\TOSHIBA Controls\TFncKy.exe

C:\Archivos de programa\TOSHIBA\TOSHIBA Direct Disc Writer\ddwmon.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\TPSBattM.exe

C:\Archivos de programa\TOSHIBA\Tvs\TvsTray.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Apoint2K\Apntex.exe

C:\Archivos de programa\Intel\Wireless\bin\ZCfgSvc.exe

C:\Archivos de programa\Intel\Wireless\Bin\ifrmewrk.exe

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Archivos de programa\Logitech\Video\LogiTray.exe

C:\DOCUME~1\Plani\CONFIG~1\Temp\ctrlAT15.exe

C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mm_tray.exe

C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mmtask.exe

C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtWeatherOnTray.exe

C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtOEAddOn.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\TOSHIBA\TOSCDSPD\toscdspd.exe

C:\Archivos de programa\Hbtools\HBTV\HBTV.exe

C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

C:\Archivos de programa\IVT Corporation\BlueSoleil\BlueSoleil.exe

C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe

C:\ARCHIV~1\Intel\Wireless\Bin\Dot1XCfg.exe

C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

C:\Archivos de programa\Archivos comunes\Logitech\KHAL\KHALMNPR.EXE

C:\Archivos de programa\Logitech\Video\FxSvr2.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Console\NSCSRVCE.EXE

C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtSrv.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Java\jre1.5.0_06\bin\jucheck.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Documents and Settings\Plani\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spanish.ircfast.com/index.php?rvs=hompag

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://resultsmaster.com/SmartOffers/Services/resultsmaster/ResultsMasterHomeLeftPane.htm

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Share Accelerator Toolbar - {f5c93451-2609-4723-a053-5c19516be1a8} - C:\Archivos de programa\Share_Accelerator\tbShar.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: TVEngine Helper /fleok=1D8A83A5C2E6107C91A475760EA83FA5EF80752B94E2DD795474472139C7 - {4B18DD50-C996-44fc-AC52-0FECFF82ED58} - c:\archivos de programa\hbtools\hbtv\hbtvhelper.dll

O2 - BHO: HbTools - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Norton Internet Security 2006 - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton Internet Security 2006 - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Share Accelerator Toolbar - {f5c93451-2609-4723-a053-5c19516be1a8} - C:\Archivos de programa\Share_Accelerator\tbShar.dll

O3 - Toolbar: H&otbar - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [Apoint] C:\Archivos de programa\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [PadTouch] C:\Archivos de programa\TOSHIBA\Touch and Launch\PadExe.exe

O4 - HKLM\..\Run: [CeEKEY] C:\Archivos de programa\TOSHIBA\E-KEY\CeEKey.exe

O4 - HKLM\..\Run: [HWSetup] C:\Archivos de programa\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP

O4 - HKLM\..\Run: [SVPWUTIL] C:\Archivos de programa\Toshiba\Windows Utilities\SVPWUTIL.exe SVPwUTIL

O4 - HKLM\..\Run: [TPNF] C:\Archivos de programa\TOSHIBA\TouchPad\TPTray.exe

O4 - HKLM\..\Run: [TPSMain] TPSMain.exe

O4 - HKLM\..\Run: [Zooming] ZoomingHook.exe

O4 - HKLM\..\Run: [SmoothView] C:\Archivos de programa\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

O4 - HKLM\..\Run: [TCtryIOHook] TCtrlIOHook.exe

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe

O4 - HKLM\..\Run: [DDWMon] C:\Archivos de programa\TOSHIBA\TOSHIBA Direct Disc Writer\\ddwmon.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Archivos de programa\Norton Internet Security\UrlLstCk.exe

O4 - HKLM\..\Run: [Tvs] C:\Archivos de programa\TOSHIBA\Tvs\TvsTray.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Archivos de programa\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [IntelWireless] "C:\Archivos de programa\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient

O4 - HKLM\..\Run: [CtrlMod15] C:\DOCUME~1\Plani\CONFIG~1\Temp\ctrlAT15.exe -m 64 -p"D:"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [MMTray] "C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mm_tray.exe"

O4 - HKLM\..\Run: [mmtask] "C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mmtask.exe"

O4 - HKLM\..\Run: [WeatherOnTray] C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtWeatherOnTray.exe

O4 - HKLM\..\Run: [HbTools] C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtOEAddOn.exe

O4 - HKLM\..\Run: [xtxbjeqc] C:\WINDOWS\system32\qcrvnrrk.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [TOSCDSPD] C:\Archivos de programa\TOSHIBA\TOSCDSPD\toscdspd.exe

O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Archivos de programa\Logitech\Video\ManifestEngine.exe" boot

O4 - Startup: Iniciador rápido de Microsoft Office OneNote 2003.lnk = C:\Archivos de programa\Microsoft Office\OFFICE11\ONENOTEM.EXE

O4 - Global Startup: BlueSoleil.lnk = C:\Archivos de programa\IVT Corporation\BlueSoleil\BlueSoleil.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

O4 - Global Startup: Logitech SetPoint.lnk = C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1182375512109

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Archivos de programa\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ccPwdSvc.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\comHost.exe

O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~2.EXE

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Console\NSCSRVCE.EXE

O23 - Service: Programador de LiveUpdate automático - Symantec Corporation - C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\WINDOWS\system32\TODDSrv.exe

[msc hotline sat]

El fichero que podiamos antes era el que indicabas, SPBBCSvc.exe, aunque por el nombre puede ser el de symantec, pero vete a saber si dices que te dá problemas ... envianoslo y lo analizaremos





Pero visto el log del HJT, ademas evianos estos ficheros para analizar :





C:\DOCUME~1\Plani\CONFIG~1\Temp\ctrlAT15.exe



C:\WINDOWS\system32\qcrvnrrk.exe



C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtWeatherOnTray.exe



C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtOEAddOn.exe



C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtSrv.exe







Y elimina estas claves:



O2 - BHO: TVEngine Helper /fleok=1D8A83A5C2E6107C91A475760EA83FA5EF80752B94E2DD795474472139C7 - {4B18DD50-C996-44fc-AC52-0FECFF82ED58} - c:\archivos de programa\hbtools\hbtv\hbtvhelper.dll



O2 - BHO: HbTools - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll



O3 - Toolbar: H&otbar - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll



O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE



O4 - HKLM\..\Run: [CtrlMod15] C:\DOCUME~1\Plani\CONFIG~1\Temp\ctrlAT15.exe -m 64 -p"D:"



O4 - HKLM\..\Run: [WeatherOnTray] C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtWeatherOnTray.exe



O4 - HKLM\..\Run: [HbTools] C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtOEAddOn.exe





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 21-06-2007

[Plani]

Lo he mandado por email, escribo para asegurarme de que ha llegado y que lo he hehco bien.



gracias

[msc hotline sat]

Efectivamente, se han recibido dichos ficheros y entrado en investigación y desarrollo . Hoy se monitorizaran y tras ello implementaremos su control y eliminacion en nuestras utilidades, de lo cual informarmos



saludos



ms, 21-06-2007

[msc hotline sat]

Con el actual ELISTARA ya se detectan y eliminan 3 de los Hotbars enviados:


[quote]ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso[/quote]





y esta noche a partir de las 20 h estará disponible en esta webm para pruebas de evaluasion, la 14.25 que controlará el resto



saludos



ms, 21-06-2007

[Plani]

Me vas a perdonar, pero que tengo que hacer yo ahora? :?:

[Plani]

Vale, ya esta pasado y este es el resultado:





Thu Jun 21 15:32:02 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\LCHDUZQVMC.EXE.Muestra EliStartPage v14.24

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\LCHDUZQVMC.EXE --> Eliminado

C:\WINDOWS\SYSTEM32\NVS2.INF --> Eliminado

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

C:\ARCHIVOS DE PROGRAMA\HBTOOLS\BIN\4.8.4.0\HBTHOSTIE.DLL --> Eliminado Hotbar (BHO)

C:\ARCHIVOS DE PROGRAMA\HBTOOLS\BIN\4.8.4.0\HBTINSTIE.DLL --> Eliminado Hotbar

Entrada Eliminada [HKLM\...\Run] "HWSETUP"="C:\Archivos de programa\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP"

Entrada Eliminada [HKLM\...\Run] "SVPWUTIL"="C:\Archivos de programa\Toshiba\Windows Utilities\SVPWUTIL.exe SVPwUTIL"

Entrada Eliminada [HKLM\...\Run] "LCHDUZQVMC"="c:\windows\system32\lchduzqvmc.exe lchduzqvmc"

Eliminada Class, "{7E66936C-FEA0-4984-AD26-7B6661AC5B2E}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

Eliminada Class, "{8C875948-9C60-4381-9248-0DF180542D53}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtInstIE.dll

Eliminada Class, "{ED8525EA-2BFC-4440-BD8A-20EFB9D5E541}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminada Carpeta "%Application Data%\HbTools"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

open=toolkit.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.



Thu Jun 21 15:35:16 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek

C:\Documents and Settings\Plani\Escritorio\backups\BACKUP-20070621-114710-913.DLL --> Eliminado, Hotbar (BHO)

C:\Documents and Settings\Plani\Escritorio\backups\BACKUP-20070621-114749-793.DLL --> Eliminado, Hotbar (BHO)

C:\Documents and Settings\Plani\Escritorio\Plani\HBTOEADDON.EXE --> Eliminado, Hotbar

C:\Documents and Settings\Plani\Escritorio\Plani\HBTWEATHERONTRAY.EXE --> Eliminado, Hotbar

C:\Documents and Settings\Plani\Escritorio\Plani\QCRVNRRK.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013153.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013154.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013155.DLL --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013161.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013167.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013169.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013170.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013171.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013172.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013173.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013174.EXE --> Eliminado, Hotbar

C:\TOOLSCD\Sound Driver\WDM\ALCMTR.EXE --> Eliminado, SpyRealtek



Thu Jun 21 17:51:15 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Exploración Detenida por el Usuario.



Thu Jun 21 18:08:03 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Archivos de Programa%\HbTools"

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

open=toolkit.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

[msc hotline sat]

Pues aparte de la faena ya hecha, has de enviarnos esta muestra para analizar:



"Por favor, envienos una muestra del fichero

C:\Muestras\LCHDUZQVMC.EXE.Muestra EliStartPage v14.24 "





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 21-06-2007

[Plani]

[b]msc hotline sat[/b], la muestra esta enviada y parece que con lo que me habeis dicho se a arreglado, a desaparecido la aplicacion que "chupaba" tanto.



Mil gracias por la ayuda

[msc hotline sat]

Sí, al pedir muestra sospechosa, borramos el fichero de la carpeta original y lo movemos a C:\muestras, para que no pueda ponerse en uso al volver a arrancar:


[quote]Thu Jun 21 15:32:02 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\LCHDUZQVMC.EXE.Muestra EliStartPage v14.24

a "virus@satinfo.es". Gracias.

[b]C:\WINDOWS\SYSTEM32\LCHDUZQVMC.EXE --> Eliminado <-------[/b]
[/quote]

Ahora se examinará la muestra y se implementará en nuestras utilidades, de lo cual se infomará.



Cuando esté disponible la nueva version, pruebela y verá como le eliminamos incluso la muestra, ademas de las claves de resgitro y otros ficheros relacionados con el bicho.



saludos



ms, 22-06-2007

[msc hotline sat]

Analizada la muestra vemos que es una variante del NAVIPROMO, que pasamos a implementar control y eliminacion en la version 14.26 del ELISTARA de hoy, que estará disponible a partir de las 20 h GMT en esta web, para pruebas de evaluacion en este foro.


[quote]ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso[/quote]





saludos



ms, 22-06-2007

[msc hotline sat]

A TITULO DE INFORMACION, SUBIDA LA MUESTRA DE ESTE NAVIPROMO A VIRUSTOTAL, SOLO SYMANTEC LO DETECTA Y PANDA LO CONSIDERA SOSPECHOSO



O sea que la muestra sospechosa cazada por el ELISTARA es una primicia que casi nadie controla actualmente, como puede verse en:


[quote="VirusTotal"]


STATUS: FINISHEDComplete scanning result of "LCHDUZQVMC.GXE", received in VirusTotal at 06.22.2007, 10:50:58 (CET).



Antivirus Version Update Result

AhnLab-V3 2007.6.21.1 06.22.2007 no virus found

AntiVir 7.4.0.34 06.21.2007 no virus found

Authentium 4.93.8 06.22.2007 no virus found

Avast 4.7.997.0 06.21.2007 no virus found

AVG 7.5.0.476 06.22.2007 no virus found

BitDefender 7.2 06.22.2007 no virus found

CAT-QuickHeal 9.00 06.21.2007 no virus found

ClamAV devel-20070416 06.22.2007 no virus found

DrWeb 4.33 06.22.2007 no virus found

eSafe 7.0.15.0 06.21.2007 no virus found

eTrust-Vet 30.8.3735 06.22.2007 no virus found

Ewido 4.0 06.21.2007 no virus found

FileAdvisor 1 06.22.2007 no virus found

Fortinet 2.91.0.0 06.22.2007 no virus found

F-Prot 4.3.2.48 06.21.2007 no virus found

F-Secure 6.70.13030.0 06.22.2007 no virus found

Ikarus T3.1.1.8 06.22.2007 no virus found

Kaspersky 4.0.2.24 06.22.2007 no virus found

McAfee 5058 06.21.2007 no virus found

Microsoft 1.2701 06.22.2007 no virus found

NOD32v2 2343 06.21.2007 no virus found

Norman 5.80.02 06.21.2007 no virus found

Panda 9.0.0.4 06.22.2007 Suspicious file

Sophos 4.18.0 06.21.2007 no virus found

Sunbelt 2.2.907.0 06.21.2007 no virus found

Symantec 10 06.22.2007 Trojan.Skintrim

TheHacker 6.1.6.136 06.20.2007 no virus found

VBA32 3.12.0.2 06.21.2007 no virus found

VirusBuster 4.3.23:9 06.21.2007 no virus found

Webwasher-Gateway 6.0.1 06.21.2007 Virus.Win32.FileInfector.gen (suspicious)





Aditional Information

File size: 456192 bytes

MD5: 61e6e1ddafb1a49427c3cebc0a8fb1df

SHA1: b86d3c5c4d4f1e5be854adc34ae62f5bf58743e9
[/quote]

Una vez mas en vanguardia... :wink:



saludos



ms, 22-06-2007



nota : http://www.symantec.com/security_response/writeup.jsp?docid=2006-121317-1003-99&tabid=1

[Plani]

Me vas a perdonar pero como soy un pollo no entiendo bien que quieres decir :roll:



Una preguntillla, a parte de lko hecho, tengo qu ehacer algo mas?



Saludos y gracias

[msc hotline sat]

si, descargar el actual ELISTARA y probarlo:


[quote]ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso[/quote]





con ello se eliminaran los restos de este último malware que hemos controlado gracias a la muestra enviada, y que casi ningun antivirus detecta !



saludos



ms, 23-06-2007

[Plani]

Ok, ya e pasado la nueva version y me ha borrado varios archivos mas, aqui dejo copia del infosat.



Muchas gracias de nuevo, no se si tengo que hacer algo mas.



Saludos :wink:





Thu Jun 21 15:32:02 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\LCHDUZQVMC.EXE.Muestra EliStartPage v14.24

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\LCHDUZQVMC.EXE --> Eliminado

C:\WINDOWS\SYSTEM32\NVS2.INF --> Eliminado

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

C:\ARCHIVOS DE PROGRAMA\HBTOOLS\BIN\4.8.4.0\HBTHOSTIE.DLL --> Eliminado Hotbar (BHO)

C:\ARCHIVOS DE PROGRAMA\HBTOOLS\BIN\4.8.4.0\HBTINSTIE.DLL --> Eliminado Hotbar

Entrada Eliminada [HKLM\...\Run] "HWSETUP"="C:\Archivos de programa\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP"

Entrada Eliminada [HKLM\...\Run] "SVPWUTIL"="C:\Archivos de programa\Toshiba\Windows Utilities\SVPWUTIL.exe SVPwUTIL"

Entrada Eliminada [HKLM\...\Run] "LCHDUZQVMC"="c:\windows\system32\lchduzqvmc.exe lchduzqvmc"

Eliminada Class, "{7E66936C-FEA0-4984-AD26-7B6661AC5B2E}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

Eliminada Class, "{8C875948-9C60-4381-9248-0DF180542D53}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtInstIE.dll

Eliminada Class, "{ED8525EA-2BFC-4440-BD8A-20EFB9D5E541}" -> C:\Archivos de programa\HbTools\Bin\4.8.4.0\HbtHostIE.dll

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminada Carpeta "%Application Data%\HbTools"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

open=toolkit.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.



Thu Jun 21 15:35:16 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek

C:\Documents and Settings\Plani\Escritorio\backups\BACKUP-20070621-114710-913.DLL --> Eliminado, Hotbar (BHO)

C:\Documents and Settings\Plani\Escritorio\backups\BACKUP-20070621-114749-793.DLL --> Eliminado, Hotbar (BHO)

C:\Documents and Settings\Plani\Escritorio\Plani\HBTOEADDON.EXE --> Eliminado, Hotbar

C:\Documents and Settings\Plani\Escritorio\Plani\HBTWEATHERONTRAY.EXE --> Eliminado, Hotbar

C:\Documents and Settings\Plani\Escritorio\Plani\QCRVNRRK.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013153.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013154.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013155.DLL --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013161.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013167.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013169.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013170.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013171.DLL --> Eliminado, Hotbar (BHO)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013172.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013173.EXE --> Eliminado, Hotbar

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013174.EXE --> Eliminado, Hotbar

C:\TOOLSCD\Sound Driver\WDM\ALCMTR.EXE --> Eliminado, SpyRealtek



Thu Jun 21 17:51:15 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Exploración Detenida por el Usuario.



Thu Jun 21 18:08:03 2007

EliStartPage v14.24 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Archivos de Programa%\HbTools"

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (D)

open=toolkit.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.



Sat Jun 23 12:55:15 2007

EliStartPage v14.26 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Jun 23 12:56:18 2007

EliStartPage v14.26 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\HBTSRV.EXE --> Eliminado, Hotbar

C:\Muestras\LCHDUZQVMC.EXE.MUESTRA ELISTARTPAGE V14.24 --> Eliminado, NaviPromo(dropper)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP179\A0013151.EXE --> Eliminado, NaviPromo(dropper)

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP180\A0013176.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{7134E910-3D14-47B5-8CC2-C9E4D67645E3}\RP182\A0013247.EXE --> Eliminado, Hotbar

[Plani]

Por mi parte se puede dar por solucionado mi problema, todo esta arreglado a no ser que veais algo raro vosotros.



Muchas gracias por la ayuda

[msc hotline sat]

Efectivamente, vemos que con la 14.26 se eliminaron los restos relativos al LCHDUZQVMC.EXE que nos envió de muestra, y asi queda solucionado el Tema, por lo que procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 26-06-2007