problema con SMITFRAUD-C

melli22 · Mensaje por **melli22** » 07 Jul 2007, 02:04

Que tal? el asunto es que el spybot s&d detecta el smitfraud.c y parece eliminarlo. pero al reiniciar la maquina vuelve a detectarlo.

No se que tengo que hacer?

gracias por alguna ayuda

el log del hijackthis es el siguiente:

Logfile of HijackThis v1.99.1

Scan saved at 19:51:41, on 06/07/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\WINDOWS\System32\PV92Tray.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\WINDOWS\redegit.exe

C:\WINDOWS\bootchk.exe

C:\WINDOWS\windat32.exe

C:\WINDOWS\scvhost.exe

C:\WINDOWS\memory.exe

C:\WINDOWS\debug.exe

C:\WINDOWS\sched.exe

C:\WINDOWS\taskmrg.exe

C:\WINDOWS\System\comsys.exe

C:\WINDOWS\System\sysvc32.exe

C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe

C:\WINDOWS\redegit.exe

C:\WINDOWS\bootchk.exe

C:\WINDOWS\windat32.exe

C:\WINDOWS\scvhost.exe

C:\WINDOWS\memory.exe

C:\WINDOWS\debug.exe

C:\WINDOWS\sched.exe

C:\WINDOWS\taskmrg.exe

C:\WINDOWS\System\comsys.exe

C:\WINDOWS\System\sysvc32.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: Shell=explorer.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {349FDAC9-1216-4D52-BBF8-80A8346330C8} - C:\WINDOWS\System32\mllji.dll (file missing)

O2 - BHO: Need2Find Bar BHO - {4D1C4E81-A32A-416b-BCDB-33B3EF3617D3} - C:\Archivos de programa\Need2Find\bar\2.bin\ND2FNBAR.DLL

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: RXResultTracker Class - {59879FA4-4790-461c-A1CC-4EC4DE4CA483} - C:\Archivos de programa\RXToolBar\sfcont.dll (file missing)

O2 - BHO: (no name) - {5B706B43-0E89-4022-9F6F-2F49D5B2B3F6} - (no file)

O2 - BHO: (no name) - {711980C2-8C7F-4C55-A742-25659CD1C442} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: (no name) - {CD3447D4-CA39-4377-8084-30E86331D74C} - (no file)

O2 - BHO: (no name) - {E12BFF69-38A7-406e-A8EF-2738107A7831} - C:\WINDOWS\System32\trhfrpks.dll (file missing)

O2 - BHO: (no name) - {E3A56CD8-1B3B-4C48-8919-8A8C64F4DB2A} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: (no name) - {25D8BACF-3DE2-4B48-AE22-D659B8D835B0} - (no file)

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe

O4 - HKLM\..\Run: [PV92TRAY] PV92Tray.exe

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Repair Registry Pro] C:\Archivos de programa\Repair Registry Pro\RepairRegistryPro.exe -s

O4 - HKLM\..\Run: [system32] C:\WINDOWS\redegit.exe

O4 - HKLM\..\Run: [uninst32] C:\WINDOWS\bootchk.exe

O4 - HKLM\..\Run: [bootchk] C:\WINDOWS\windat32.exe

O4 - HKLM\..\Run: [clsid] C:\WINDOWS\scvhost.exe

O4 - HKLM\..\Run: [user32] C:\WINDOWS\memory.exe

O4 - HKLM\..\Run: [reg32] C:\WINDOWS\debug.exe

O4 - HKLM\..\Run: [cmd] C:\WINDOWS\sched.exe

O4 - HKLM\..\Run: [sched] C:\WINDOWS\taskmrg.exe

O4 - HKLM\..\Run: [winlogon] C:\WINDOWS\System\comsys.exe

O4 - HKLM\..\Run: [lsass] C:\WINDOWS\System\sysvc32.exe

O4 - HKLM\..\Run: [MS DLL IN] C:\WINDOWS\System32\msdlli.exe

O4 - HKLM\..\Run: [j6221132] rundll32 C:\WINDOWS\System32\j6221132.dll sook

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [ApachInc] rundll32.exe "C:\WINDOWS\System32\xhglksuq.dll",realset

O4 - HKLM\..\RunServices: [stonedrv] c:\windows\system32\stonedrv.exe

O4 - HKLM\..\RunServices: [uninst32] C:\WINDOWS\System\windat32.exe

O4 - HKLM\..\RunServices: [bootchk] C:\WINDOWS\System\scvhost.exe

O4 - HKLM\..\RunServices: [clsid] C:\WINDOWS\System\memory.exe

O4 - HKLM\..\RunServices: [user32] C:\WINDOWS\System\debug.exe

O4 - HKLM\..\RunServices: [reg32] C:\WINDOWS\System\sched.exe

O4 - HKLM\..\RunServices: [cmd] C:\WINDOWS\System\taskmrg.exe

O4 - HKLM\..\RunServices: [sched] C:\WINDOWS\System\winlogin.exe

O4 - HKLM\..\RunServices: [winlogon] C:\WINDOWS\System32\sysvc32.exe

O4 - HKLM\..\RunServices: [lsass] C:\WINDOWS\System32\redegit.exe

O4 - HKCU\..\Run: [system32] C:\WINDOWS\redegit.exe

O4 - HKCU\..\Run: [uninst32] C:\WINDOWS\bootchk.exe

O4 - HKCU\..\Run: [bootchk] C:\WINDOWS\windat32.exe

O4 - HKCU\..\Run: [clsid] C:\WINDOWS\scvhost.exe

O4 - HKCU\..\Run: [user32] C:\WINDOWS\memory.exe

O4 - HKCU\..\Run: [reg32] C:\WINDOWS\debug.exe

O4 - HKCU\..\Run: [cmd] C:\WINDOWS\sched.exe

O4 - HKCU\..\Run: [sched] C:\WINDOWS\taskmrg.exe

O4 - HKCU\..\Run: [winlogon] C:\WINDOWS\System\comsys.exe

O4 - HKCU\..\Run: [lsass] C:\WINDOWS\System\sysvc32.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\RunServices: [system32] C:\WINDOWS\System\uninst32.exe

O4 - HKCU\..\RunServices: [uninst32] C:\WINDOWS\System\windat32.exe

O4 - HKCU\..\RunServices: [bootchk] C:\WINDOWS\System\scvhost.exe

O4 - HKCU\..\RunServices: [clsid] C:\WINDOWS\System\memory.exe

O4 - HKCU\..\RunServices: [user32] C:\WINDOWS\System\debug.exe

O4 - HKCU\..\RunServices: [reg32] C:\WINDOWS\System\sched.exe

O4 - HKCU\..\RunServices: [cmd] C:\WINDOWS\System\taskmrg.exe

O4 - HKCU\..\RunServices: [sched] C:\WINDOWS\System\winlogin.exe

O4 - HKCU\..\RunServices: [winlogon] C:\WINDOWS\System32\sysvc32.exe

O4 - HKCU\..\RunServices: [lsass] C:\WINDOWS\System32\redegit.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Software Kodak EasyShare.lnk = C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe

O8 - Extra context menu item: &Search - http://kv.bar.need2find.com/KV/menusearch.html?p=KV

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O10 - Broken Internet access because of LSP provider 'rsvp32_2.dll' missing

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} -

O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - C:\Archivos de programa\RXToolBar\sfcont.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: mllji - C:\WINDOWS\

O20 - Winlogon Notify: rpcc - C:\WINDOWS\

O20 - Winlogon Notify: rqronkl - C:\WINDOWS\

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe

O23 - Service: MS DLL IN - Unknown owner - C:\WINDOWS\System32\msdlli.exe

O23 - Service: Network helper Service (MSDisk) - Unknown owner - C:\WINDOWS\System32\irdvxc.exe" /service (file missing)

O23 - Service: msdll - Unknown owner - C:\WINDOWS\system\msdll.exe (file missing)

O23 - Service: msn msgr 32-bit client process (msnmsgr32) - Unknown owner - C:\WINDOWS\system\msnmsgr32.exe (file missing)

O23 - Service: scvhost.exe - Unknown owner - C:\WINDOWS\system\scvhost.exe

Claudia34 · Mensaje por **Claudia34** » 07 Jul 2007, 04:26

Pues por lo que se ve te falta el service pack 2 mas todas las actualizaciones hasta la fecha de hoy para el S.O. de windows xp, por lo tanto tu sistema es muy vulnerable ante cualquier tipo de ataque, realiza un windows update completo.

Y mientras esperas para ver lo que dicen sobre el log que pegaste, descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y portearnos el contenido de C:\infosat.txt para ver el resultado del proceso.

Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt

http://www.zonavirus.com/descargas/elitriip.asp

Y compleméntalo porteándonos el Log del HJT:

HJT: (HiJackThis)

¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.

Opcional:

Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, por las dudas y cuéntanos los resultados.

Saludos.

Mensaje por **msc hotline sat** » 07 Jul 2007, 10:12

Pues si que tiene bichos !

Es raro que el AVG no los detecte, aunque la falta de parches permita que entren a pesar del antivirus que haya...

Con lo indicado por Claudia34 se supone que, actualizando parches con windowsupdate y luego probando el ELISTARA y el ELITRIIP ya se libere de muchos, y cuando ya haya hecho todo lo indicado, posteenos nuevo log del HJT para ver si le queda algo, pues tiene varios y puede que alguno sea una variante no controlada, ya lo veremos.

saludos

ms, 7-07-2007