G038_jpg.zip virus (SOLUCIONADO)

victormusa · Mensaje por **victormusa** » 27 Ago 2007, 22:13

bueno tengo el mimso problema q la poblacion de este foro la diferencia es q a mi me entro tan de boludo por que justo me mandaron el virus con las supuestas jpg mi primo de españa que acaba de tener 1 hijo (soy de argentina) por ende me entro de nada a mi tambien se me crean los archivos en el disco C con nmombres raros como en el caso de

viewtopic.php?f=5&t=20695

pero en c/windows no me aparece el cd speed hay les paso el log del hijack ante topdo muchas gracias y espero 1 pronta respuesta

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 04:24:23 p.m., on 27/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\DAEMON Tools\daemon.exe
C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\Pure Networks\Network Magic\nmapp.exe
C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\sstray.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9AL.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Free Download Manager\fdm.exe
C:\Archivos de programa\Silicon Image\SiISATARaid\SATARaid.exe
C:\Archivos de programa\Pure Networks\Network Magic\nmsrvc.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
C:\ARCHIV~1\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe
C:\Archivos de programa\HLSW\hlsw.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\sXe Injected\sXe Injected.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [nmapp] "C:\Archivos de programa\Pure Networks\Network Magic\nmapp.exe" -autorun -nosplash
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Ink Monitor] C:\Archivos de programa\EPSON\Ink Monitor\InkMonitor.exe
O4 - HKLM\..\Run: [EPSON Stylus CX4500 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9AL.EXE /P26 "EPSON Stylus CX4500 Series" /O6 "USB001" /M "Stylus CX4500"
O4 - HKLM\..\Run: [ATICCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [CDSpeed.exe] C:\WINDOWS\CDSpeed.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Free Download Manager] C:\Archivos de programa\Free Download Manager\fdm.exe -autorun
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: SATARaid.lnk = ?
O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download Using &BitSpirit - C:\Archivos de programa\BitSpirit\bsurl.htm
O8 - Extra context menu item: Download web site with Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlpage.htm
O8 - Extra context menu item: Download with Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dllink.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {69EF49E5-FE46-4B92-B5FA-2193AB7A6B8A} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v5.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
O23 - Service: Pure Networks Net2Go Service (nmraapache) - Pure Networks, Inc. - C:\Archivos de programa\Pure Networks\Network Magic\WebServer\bin\nmraapache.exe
O23 - Service: Pure Networks Network Magic Service (nmservice) - Pure Networks, Inc. - C:\Archivos de programa\Pure Networks\Network Magic\nmsrvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Archivos de programa\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 8359 bytes

Mensaje por **msc hotline sat** » 28 Ago 2007, 05:37

Efectivamente tiene Vd instalado el CDSPeed.exe malicioso:

O4 - HKLM\..\Run: [CDSpeed.exe] C:\WINDOWS\CDSpeed.exe

Renombre la extension de dicho fichero a .VIR, elimine la clave indicada y tras reiniciar habrá aparcado el marrano.
Envienos dicho fichero para analizar, pues aun no tenemos muestra del mismo, para controlarlo con nuestras utilidades

Para ello recordar: viewtopic.php?f=2&t=45334

saludos
ms, 28-08-2007

Mensaje por **msc hotline sat** » 28 Ago 2007, 10:39

No hemos recibido todavía el fichero CDSPEED.EXE necesario para desarrollar la utilidad de eliminacion del G0038_jpg.zip

Por favor, enviennosla urgentemente segun indicamos:

Para ello recordar: viewtopic.php?f=2&t=45334

saludos
ms, 28-08-2007

Nota: Si no lo enontraran, pueden encontrarlo con Inicio -> Buscar -> Todos los ficheros y carpetas -> CDSPEED.EXE o en su defecto el G0038_jpg.zip

victormusa · Mensaje por **victormusa** » 28 Ago 2007, 17:50

eh aqui el problema asic omo ayer hoy tampoco encuentro el fichero y teng activada la opcion de archivos ocultos simplemente no lo encuentro en la carpeta indicada te pido mil disculpas y desde ya si lo tuviera te lo devolveria para el analisis igual tengo el archivo original que crea el virus si te sirve te lo doy avisame

Mensaje por **msc hotline sat** » 28 Ago 2007, 18:04

Pues sí, nos sirve igual el ZIP original, ya lo instalaremos y veremos la doficultad que entraña, pues nadie nos ha enviado aun el CDSpeed.exe ???

Envienos pues el G0038_JPG.ZIP, como ya deciamos en la coletilla del anterior post:

Nota: Si no lo enontraran, pueden encontrarlo con Inicio -> Buscar -> Todos los ficheros y carpetas -> CDSPEED.EXE

o en su defecto el G0038_jpg.zip

gracias

saludos
ms, 28-08-2007

Nota: De todas formas es muy facil de bloquear eliminando esta clave:

O4 - HKLM\..\Run: [CDSpeed.exe] C:\WINDOWS\CDSpeed.exe

para lo cual solo ha de seguir las instrucciones de

Para ello recordar: viewtopic.php?f=2&t=45334

ms.

victormusa · Mensaje por **victormusa** » 28 Ago 2007, 18:12

enviado...

Mensaje por **msc hotline sat** » 28 Ago 2007, 18:30

Nos huele a que una vez eliminada la clave y puesto fuera de circulacion el virus tras reiniciar el ordenador, quizas podrá ver el fichero de marras, CDSpeed.exe y esto se debería a que se trata de un RootKit que se esconde cuando está en uso, y asi no no encuentra, Comprubelo y nos lo dice, gracias

saludos

ms, 28-08-2007

victormusa · Mensaje por **victormusa** » 28 Ago 2007, 22:06

puedo conectarme a msn sin propblemas ya debido a que mi anti virus al parecer desinfecto pero los archivos q se crearon en c: (mejor dicho EL archivo) no se si tocarlo o no ustedes digan...

Mensaje por **msc hotline sat** » 28 Ago 2007, 22:11

Mañana esperamos recibir el dichoso fichero CDSpeed.EXE o el G038_jpg.zip, y desarrollaremos la version 14.53 que lo controlará y eliminará

Por si no nos lo enviaran, mire de enviarnos Vd alguno de estos dos ficheros..., si los tiene

Para ello recordar: viewtopic.php?f=2&t=45334

saludos
ms, 28-08-2007

victormusa · Mensaje por **victormusa** » 29 Ago 2007, 04:15

yo ya se los mande:S

Mensaje por **msc hotline sat** » 29 Ago 2007, 07:48

Pues en cuanto entremos a trabajar lo encontraremos y procederemos con ello

Previsiblemente hoy lo controlaremos con la nueva version 14.53 del ELISTARA

saludos y gracias por el envio

ms, 29-08-2007

Mensaje por **msc hotline sat** » 29 Ago 2007, 10:12

Pues se ha recibido la muestra del CDSPEED.EXE y ha resultado ser una variante de SDBOT, que en lugar de añadirlo al ELISTARA vamos a añadirlo al ELITRIIP, como todos los SDBOT.

Estamos en ello, y esta mañana informaremos cuando subamos la utilidad a esta web

saludos

ms, 29-08-2007

Mensaje por **msc hotline sat** » 29 Ago 2007, 11:01

Ya está dispopnible en esta web, para evaluacion, la version 3.80 del ELITRIIP QUE CONTROLA, DETECTA Y ELIMINA la nueva variante de virus SDBOOT, backdoor de IRC, y que se propaga a traves del Messenger en el fichero G038_jpg.ZIP, generando CDSPEED.EXE y http://www.G038_jpg-msn.com en el directorio de windows.

Para eliminarlo, descargar la utilidad y probarla:
ELITRIIP:
http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos
ms, 29-08-2007

victormusa · Mensaje por **victormusa** » 10 Sep 2007, 22:13

problema de 1 amigo ahora

img0024.rar hay mando el archivo

Mensaje por **lucl** » 10 Sep 2007, 22:24

suponemos entonces que el tuyo se soluciono no? cuando analicen la muestra te diran algo, saludos

victormusa · Mensaje por **victormusa** » 11 Sep 2007, 03:37

paso a explicar el anterior el go q tenia si se soluciono pero fue cuestion del antivirus pasa q es un virus q paso por toda mi flia (32 primos maternos imaginense lo q es) y en lo de mi tio es tan grave q paso a mutar de nombre y seguir enviandose y al pasar el elitrip ni lo encontro y despues en lo de otro primo mio me paso q el elitrip lo borro entonces ya no se q hacer pero MI problema esta solucionado... ahora tengo el problema este q acabo de presentar q lo tiene 1 amigo y ya lo mande me parece q en el asunto no puse mi nick

Mensaje por **admin** » 11 Sep 2007, 07:38

victormusa, si tu amigo/primo/familia/compañero de piso etc etc, con el http://www.zonavirus.com/descargas/elitriip.asp o con el http://www.zonavirus.com/descargas/elistara.asp no elimina ese virus todo ello ejecutado en modo seguro, habra que esperar a mañana que vuelva de vaciones msc... para ver si es una variante nueva he implementarla en el EliStarA.asp

Mensaje por **msc hotline sat** » 12 Sep 2007, 13:37

Gracias ADMIN; ya estamos de vuelta y hemos recibido el fichero, en un ZIP que descarga un .org como si fuera una direccion web, pero que realmente es un EXE que contiene una variante de SDBOT que añadimos al ELITRIIP, y aunque como .org no es ejecutable, pasamos a controlar esta extension para poder detectar los que fueran .ORG como él, y que fueran renombrados o aplicados a ejecutarse como .EXE..., pues con el ELITRIIP3.87 de hoy, controlaremos y eliminaremos esta nueva historia...

A partir de las 19 h GMT descarga el ELITRIIP y lo prueba:

ELITRIIP:
http://www.zonavirus.com/descargas/elitriip.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos
ms, 12-09-2007

PRiSPeR · Mensaje por **PRiSPeR** » 12 Sep 2007, 19:35

A ver, os cuento.

Esta tarde me ha pasado algo parecido a lo del compañero. Me han enviado por msn algo de unas fotos para ponerlas en el space y lo que han enviado es un virus. Lo he borrado corriendo, he pasado el antivirus y no me ha salido nada extraño. Edito para poner que lo tengo instalado en C: el zip, se llama "IMG-0012". Qué hago?

Os dejo aquí el log por si estuviese escondido y si podeis ayudarme.

Gracias por vuestro trabajo.
___________________________________

Logfile of HijackThis v1.99.1
Scan saved at 19:31:19, on 12/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system\lsass.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Mini20\Mini20.exe
C:\WINDOWS\system\lsass.exe
C:\WINDOWS\system32\sistray.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\pc\Configuración local\Archivos temporales de Internet\Content.IE5\VZ9ZRHGS\ELITRIIP.220092007[1].EXE
C:\DOCUME~1\pc\CONFIG~1\Temp\Rar$EX00.875\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiSPower] "Rundll32.exe" SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSRaid] "C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Archivos de programa\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Windows Lsass Services] C:\WINDOWS\system\lsass.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Mini20] "C:\Mini20\Mini20.exe"
O4 - HKCU\..\Run: [EPSON Stylus D92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZE.EXE /FU "C:\WINDOWS\TEMP\E_S85.tmp" /EF "HKCU"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {164B406B-0FD6-4E7F-BA7E-64D227D4CA37} (dnlplayer Class) - http://www.digitalwebbooks.com/reader/dbplugin.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://bombonrubi.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E490D2D6-8F8A-4E0F-B470-586ABA6DB72A}: NameServer = 212.145.159.141,212.145.4.98
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: EPSON V3 Service4(01) (EPSON_PM_RPCV4_01) - SEIKO EPSON CORPORATION - C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

Mensaje por **msc hotline sat** » 12 Sep 2007, 19:56

Aparte de descargar el ELITRIIP Y ELISTARA nuevos de esta tarde, ya disponibles en esta web para evaluaicon en el foro de xonavirus, vemos este fichero malware:

C:\WINDOWS\system\lsass.exe

fijate que no está en c:\windows\system32\ , sino solo en system !!!

Pues tras probar dichas nuevas versiones y postearnos el infosat.txt correspondiente, comprueba que este fichero haya sido controlado, y sino, envianoslo para analizar

Aparte elimina tambien esta clave:

Código: Seleccionar todo

O16 - DPF: {164B406B-0FD6-4E7F-BA7E-64D227D4CA37} (dnlplayer Class) - http://www.digitalwebbooks.com/reader/dbplugin.cab

-> Para ello recordar: viewtopic.php?f=2&t=45334

saludos

ms, 12-09-2007

PRiSPeR · Mensaje por **PRiSPeR** » 13 Sep 2007, 09:59

msc hotline sat escribió:vemos este fichero malware:

C:\WINDOWS\system\lsass.exe

fijate que no está en c:\windows\system32\ , sino solo en system !!!

saludos

ms, 12-09-2007

He entrado en C:\WINDOWS\system32\ y hay un fichero que pone lsasrv.dll

Eso es algo malo?

A parte, os dejo el log del ELISTARA y el ELITRIIP

Thu Sep 13 09:41:23 2007
EliStartPage v14.62 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Thu Sep 13 09:41:31 2007
EliStartPage v14.62 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Database Replication\WZCNFLCT.EXE --> Eliminado, AutoRun.IZ
C:\WINDOWS\Downloaded Program Files\DBPLUGIN.INF --> Eliminado, DbPlugin(inf)

Thu Sep 13 09:46:21 2007
EliTriIP v3.87 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):

Thu Sep 13 09:46:24 2007
EliTriIP v3.87 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

______________

Decir también que he enviado una muestra del archivo que tengo en windows llamado "IMG-0012", me gustaría que me confirmaran si les ha llegado para volver a enviarlo de nuevo o ya poder solucionar el problema.

Muchas gracias.

Un saludo, PRiSPeR

Mensaje por **msc hotline sat** » 13 Sep 2007, 10:20

Dices : "He entrado en C:\WINDOWS\system32\ y hay un fichero que pone lsasrv.dll " Pues no, no tienes porqué ser malo, ya que normalmente existe esta DLL en la carpeta de sistema.

Lo que sí que es malo es el C:\windows\system\lsass.exe y veo que no lo han detectado las utilidades... Renombra su extension a .VIR y tras reiniciar el orednador, envianos dicho fichero (ojo no te equivoques y lo hagas con el de la carpeta de sistema, c:\windows\system32 !!!

Mucho cuidado, pues no sé qué fuiste a buscar en la carpeta de sistema ya que encontraste la DLL que mencionabas... De esta carpeta no toques nada.

Y me indican que se ha recibido mail tuyo para analizar, el cual está ya encolado. Informaremos cuando se haya analizado.

saludos

ms, 13-09-2007

PRiSPeR · Mensaje por **PRiSPeR** » 13 Sep 2007, 10:35

msc hotline sat escribió:Lo que sí que es malo es el C:\windows\system\lsass.exe y veo que no lo han detectado las utilidades... Renombra su extension a .VIR y tras reiniciar el orednador, envianos dicho fichero (ojo no te equivoques y lo hagas con el de la carpeta de sistema, c:\windows\system32 !!!

saludos
ms, 13-09-2007

No tengo ningún .exe en la carpeta system que mencionas. Lo único que tengo es el zip que he enviado en la carpeta de windows.

Respecto a lo de system32 no he tocado nada, solamente he entrado a mirar si había algo extraño y la he vuelto a dejar como estaba

Saludos, PRiS

Mensaje por **msc hotline sat** » 13 Sep 2007, 10:53

Bien, pues siete lineas antes del final del bloque de procesos en uso del log de HJT aparece:

C:\WINDOWS\system\lsass.exe

y cuatro lineas mas arriba, otra vez, asi que no quieres caldo, ...

Por tanto este fichero lo has de tener, o lo tenias entonces ...

Y vemos que lo carga en:

O4 - HKLM\..\Run: [Windows Lsass Services] C:\WINDOWS\system\lsass.exe

Pero repito, mucho cuidado con el que hay en system32 ...

Si vuelves a lanzar el HJT y en el log ya no está, es que lo has eliminado por otro medio no indicado, aparte de lo que te hemos dicho

Cuentanos el resultado, gracias

saludos

ms, 13-09-2007

PRiSPeR · Mensaje por **PRiSPeR** » 13 Sep 2007, 11:17

El resultado después de lanzar el hjt es que lo sigo teniendo

Logfile of HijackThis v1.99.1
Scan saved at 11:02:50, on 13/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system\lsass.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system\lsass.exe
C:\Mini20\Mini20.exe
C:\WINDOWS\system32\sistray.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\rundll32.exe
C:\FOXINMO\inmobil6.exe
C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Archivos de programa\WinRAR\WinRAR.exe
C:\DOCUME~1\pc\CONFIG~1\Temp\Rar$EX00.047\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiSPower] "Rundll32.exe" SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSRaid] "C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Archivos de programa\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Windows Lsass Services] C:\WINDOWS\system\lsass.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Mini20] "C:\Mini20\Mini20.exe"
O4 - HKCU\..\Run: [EPSON Stylus D92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZE.EXE /FU "C:\WINDOWS\TEMP\E_S85.tmp" /EF "HKCU"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://bombonrubi.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E490D2D6-8F8A-4E0F-B470-586ABA6DB72A}: NameServer = 212.145.159.141,212.145.4.98
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: EPSON V3 Service4(01) (EPSON_PM_RPCV4_01) - SEIKO EPSON CORPORATION - C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

Pero entro en la carpeta C:|WINDOWS\system y no encuentro ningún .exe

Rectifico mi respuesta, he lanzado el buscador de windows y tengo el lsass.exe en system32. Tengo que cambiar el .exe por el .VIR que me comentaste anteriormente?

Perdona por marear tanto

Saludos, PRiS.

Mensaje por **msc hotline sat** » 13 Sep 2007, 11:18

Analizado el fichero IMG_0012.com resulta ser una variante de SDBOT, que pasamos a controlar con la version de hoy del ELITRIIP 3.88

ELITRIIP:
http://www.zonavirus.com/descargas/elitriip.asp

A partir de las 19 h GMT de hoy estará disponible en esta web para pruebas de evaluacion en el foro de zonavirus
as probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

Vemos que es la razon de la carga del LSASS.EXE en la carpeta C:\windows\system\, con lo que con dicha version del ELITRIIP tiene que solucionar todo este berenjenal !

SALUDOS
MS, 13-09-2007

Mensaje por **msc hotline sat** » 13 Sep 2007, 11:44

En resumen, sobre esta nueva moda de SDBOT por messenger:

G0038_JPG.ZIP ..... SDBOT ....... ELITRIIP > 3.87
IMG_0024.ZIP ...... SDBOT ....... ELITRIIP > 3.87
IMG_0012.ZIP ...... SDBOT ...... ELITRIIP > 3.88
IMG67.JPG ..... SUPUESTO SDBOT LO VEREMOS CON 3.89 *

OTROS VIRUS DE MESSENGER EN GENERAL .... ELISTARA
ELITRIIP:
http://www.zonavirus.com/descargas/elitriip.asp
ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

Tras probarlos, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos
ms, 13-09-2007/AÑADIDO EN 14-09-2007 *

PRiSPeR · Mensaje por **PRiSPeR** » 13 Sep 2007, 19:53

Ya me he descargado el ELITRIIP, lo he pasado y la conclusión ha sido que lo ha eliminado, en dos veces. Aquí os dejo el log.

Thu Sep 13 19:05:42 2007
EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM\LSASS.EXE --> Renombrado a .VIR
Entrada Eliminada [HKLM\...\Run] "Windows Lsass Services"="C:\WINDOWS\system\lsass.exe"

Thu Sep 13 19:06:04 2007
EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\WINDOWS\IMG-0012.zip --> Eliminado, SdBot(msn)

Thu Sep 13 19:14:14 2007
EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM\LSASS.EXE --> Eliminado

Thu Sep 13 19:14:18 2007
EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\WINDOWS\IMG-0012.zip --> Eliminado, SdBot(msn)
_________________________________________________

Os dejo el log del hjt también por si hubiese quedado algún resto de algo y haya que eliminarlo.

Logfile of HijackThis v1.99.1
Scan saved at 19:50:19, on 13/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Mini20\Mini20.exe
C:\WINDOWS\system32\sistray.exe
C:\WINDOWS\system32\WgaTray.exe
C:\FOXINMO\inmobil6.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\DOCUME~1\pc\CONFIG~1\Temp\Rar$EX00.188\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiSPower] "Rundll32.exe" SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSRaid] "C:\Archivos de programa\Silicon Integrated Systems\SiSRaidPackage\SRaid.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Archivos de programa\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Mini20] "C:\Mini20\Mini20.exe"
O4 - HKCU\..\Run: [EPSON Stylus D92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZE.EXE /FU "C:\WINDOWS\TEMP\E_S85.tmp" /EF "HKCU"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://bombonrubi.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E490D2D6-8F8A-4E0F-B470-586ABA6DB72A}: NameServer = 212.145.159.141,212.145.4.98
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: EPSON V3 Service4(01) (EPSON_PM_RPCV4_01) - SEIKO EPSON CORPORATION - C:\Documents and Settings\All Users\Datos de programa\EPSON\EPW!3 SSRP\E_S30RP1.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

_______________________________________

Gracias de nuevo por vuestra atención y perdonar las molestias que podamos ocasionar.

Un saludo, PRiS.

Mensaje por **msc hotline sat** » 14 Sep 2007, 15:53

tODO OK, SI BIEN ESTE FICHERO NO LO CONOCEMOS:

C:\FOXINMO\inmobil6.exe

Pero visto que ya lo tenias el año pasado en

viewtopic.php?f=13&t=15346

entendemos que se trata de una aplicacion particular que no viene al caso.

Y dando por solucionado el Tema, procedemos a cerrarlo

saludos

ms, 14-09-2007