Alerta seguridad imposible de detener... (SOLUCIONADO)

[Nahara]

Hola a todos:

Hace unos días me viene molestando una alerta de seguridad del Zone Alarm, al cual deniego el permiso siempre, incluyendo el recordar esa configuración -sin resultado alguno, por cierto- que se presenta como:

TODO:<File description> y que varía cada vez el nombre de la aplicación. Ahora, por ejemplo, se trata de 70exhmunml10.exe.

He pasado el Ad-ware, el Spy&Boot, el CCleaner, el antivirus....y la cosa sigue.

¿Alguién podría echarme una mano con el log de Hijack, por favor?



Logfile of HijackThis v1.99.1

Scan saved at 10:58:33, on 24/10/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16544)



Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\ZONELABS\vsmon.exe

C:\WINNT\Explorer.EXE

C:\WINNT\system32\spoolsv.exe

C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Archivos de programa\Diskeeper Corporation\Diskeeper\DkService.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe

C:\WINNT\System32\tcpsvcs.exe

C:\WINNT\System32\snmp.exe

C:\Archivos de programa\UPHClean\uphclean.exe

C:\WINNT\System32\mqsvc.exe

C:\WINNT\System32\mqtgsvc.exe

C:\Archivos de programa\Google\Google Talk\googletalk.exe

C:\WINNT\system32\devldr32.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINNT\system32\ctfmon.exe

C:\Archivos de programa\TP-LINK\TL-WN321G Wireless Utility\Installer\WINXP\TWCU.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\SpywareGuard\sgmain.exe

C:\WINNT\system32\svchost.exe

C:\Archivos de programa\SpywareGuard\sgbhp.exe

C:\Archivos de programa\inKline Global\PC Booster\pcbooster.exe

C:\Documents and Settings\Administrador\Escritorio\UTILIDADES\norton utilities\Support\NDD32.EXE

C:\Documents and Settings\Administrador\Escritorio\UTILIDADES\norton utilities\Support\PrcView.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Documents and Settings\Administrador\Datos de programa\Simply Super Software\Trojan Remover\uvn24A3.exe

C:\Documents and Settings\Administrador\Datos de programa\Simply Super Software\Trojan Remover\uvn24A3.exe

C:\ARCHIV~1\MOZILL~1\FIREFOX.EXE

C:\Documents and Settings\Administrador\Escritorio\ESCRITORIO-2\HIJACKTHIS\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/ig

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Solid Converter PDF - {259F616C-A300-44F5-B04A-ED001A26C85C} - C:\Archivos de programa\SolidDocuments\SolidConverterPDF\SCPDF\ExploreExtPDF.dll

O2 - BHO: CInterceptor Object - {38D3FE60-3D53-4F37-BB0E-C7A97A26A156} - C:\Archivos de programa\Pando Networks\Pando\PandoIEPlugin.dll

O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Archivos de programa\SpywareGuard\dlprotect.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: Star Downloader Toolbar Helper - {E16AB45F-35A8-4f4d-922F-8D00D760F85B} - C:\Archivos de programa\Star Downloader Toolbar\v2.0.0.5\Star_Downloader_Toolbar.dll

O2 - BHO: (no name) - {FFFFFEF0-5B30-21D4-945D-000000000000} - C:\ARCHIV~1\STARDO~1\SDIEInt.dll

O3 - Toolbar: &Power IE - {437434D2-065E-499D-A337-59657DF3342F} - C:\ARCHIV~1\POWERI~1\CTBand.dll

O3 - Toolbar: Star Downloader Toolbar - {8CEB3591-5DDC-47ec-AF97-66699BC85FE0} - C:\Archivos de programa\Star Downloader Toolbar\v2.0.0.5\Star_Downloader_Toolbar.dll

O3 - Toolbar: Solid Converter PDF - {259F616C-A300-44F5-B04A-ED001A26C85C} - C:\Archivos de programa\SolidDocuments\SolidConverterPDF\SCPDF\ExploreExtPDF.dll

O4 - HKLM\..\Run: [googletalk] C:\Archivos de programa\Google\Google Talk\googletalk.exe /autostart

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [TrojanScanner] C:\Archivos de programa\Trojan Remover\Trjscan.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINNT\system32\ctfmon.exe

O4 - Startup: SpywareGuard.lnk = C:\Archivos de programa\SpywareGuard\sgmain.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: TL-WN321G Wireless Utility.lnk = C:\Archivos de programa\TP-LINK\TL-WN321G Wireless Utility\Installer\WINXP\TWCU.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: Download with Star Downloader - C:\ARCHIV~1\STARDO~1\sdie.htm

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1182111403134

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,2,0,5079/mcfscan.cab

O20 - Winlogon Notify: WgaLogon - C:\WINNT\SYSTEM32\WgaLogon.dll

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Archivos de programa\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: PDAgent - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDEngine.exe

O23 - Service: PDExchange - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDExchange.exe

O23 - Service: SFWYNKIVHMG - Creative Technology Ltd. - (no file)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZONELABS\vsmon.exe



Gracias de antemano y un saludo.

[msc hotline sat]

De entrada envianos este fichero para analizar:



70exhmunml10.exe



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



y paso a analiar el log... y te informo



saludos



ms, 24-10-2007

[msc hotline sat]

En el log hay tambien este fichero atípico:



C:\Documents and Settings\Administrador\Datos de programa\Simply Super Software\Trojan Remover\uvn24A3.exe



Envianoslo tambien y lo analizaremos ...



y elimina esta clave:



O23 - Service: SFWYNKIVHMG - Creative Technology Ltd. - (no file)





recuerda:



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 24-10-2007

[msc hotline sat]

Y buscando mas informacion sobre este supuesto trojan remover:



...Simply Super Software\Trojan Remover\uvn24A3.exe



al acceder a su web, salta el SiteAdvisor de McAfee como web peligrosa, dando los siguientes datos:



http://www.siteadvisor.com/sites/simplysup.com?suite=false&premium=false&client_ver=2.5.0.6172&client_type=IEPlugin



De entrada, sugiero renombrar a .VIR los dos ficheros que vemos relacionados con ello:



el indicado: C:\Documents and Settings\Administrador\Datos de programa\Simply Super Software\Trojan Remover\uvn24A3.exe



y este otro: C:\Archivos de programa\Trojan Remover\Trjscan.exe



Tras renombrar los dos a extension .VIR, reinicie y vea si persisten las anomalias...



saludos



ms, 24-10-2007

[Nahara]

Gracias por tu pronta respuesta.

He borrado la línea del Hijack que me has indicado y, a pesar de lo que diga en la web de la que me hablas, parece que el Trojan Remover ha solucionado el problema. No he vuelto a ver la alerta de seguridad.

Gracias, de nuevo, y un saludo.

[msc hotline sat]

Si los tienes, envianos los ficheros solicitados, que los analizaremos, gracias



y sobre lo que solucionó el problema, si esto ya lo tenías instalado y persistía el problema, en qué te basas para decir que ha sido lo que lo ha arreglado ???



saludos



ms, 24-10-2007

[Nahara]

No, no lo tenía instalado; lo bajé tras ver el problema.

En cuanto a los archivos que me pides no sé cómo enviártelos porque yo no los tengo; ya te comenté que eran sólo una alerta de seguridad del Zone Alarm, que cambiaban de nombre, o "subgrupo", cada vez que el cortafuegos me advertía de que TODO<File.... pedía permiso. Busqué en el Google "TODO...." pero no logré encontrar nada.

Gracias de nuevo por tu interés.

Un saludo.

[msc hotline sat]

Los dos ultimos ficheros aparecen en el log del HJT, como residentes, asi que estan en el disco duro...



Y por el hecho de estar residentes e intalados cuando pasaste el HJT, si hubieran sido ellos los que hubieran solucionado el problema, ya no lo habrias posteado...



Pero en fin, como que consideras solucionado el problema, si los encuentras, los envias y los analizaremos, pero ya damos por solucionado el Tema y procedemos a cerrarlo.





saludos



ms, 25-10-2007