Virus Iexplore.exe (SOLUCIONADO)

onsterion · Mensaje por **onsterion** » 06 Nov 2007, 22:35

Wenas, tengo un pequeño problema, tengo un cyber y hace unos dias las maquinas empesaron a presentar sintomas como:

-Se minimizaban los juegos

-Se cerraba las casillas de hotmail

Me puse a revisar todos los procesos y encontre este proceso IEXPLORE.EXE q no concordaba, al cerrar el mismo el problema se solucionaba, al reiniciar la PC el mismo vuelve a aprecer y los antivirus ni antispywares lo detectan,lo más extraño es q aparece un día, al otro día ni aparece, al otro si y son 30 Máquinas con ese virus.

Todas las Máquinas tienen Deep Freeze por lo tanto no entiendo como se infectan las PCs con dicho virus.

Por favor si alguien sabe de algo me vendria de 10.

Mensaje por **lucl** » 07 Nov 2007, 08:12

pasa elistara y elitriip en una de las maquinas y peganos el log que te dejara en C infosat.txt y veremos si te encuentran algo, ademas ejecuta hijackthis en la misma maquina y nos pegas el log, saludos

http://www.zonavirus.com/descargas/elistara.asp

http://www.zonavirus.com/descargas/elitriip.asp

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, informaremos

saludos

onsterion · Mensaje por **onsterion** » 07 Nov 2007, 20:18

Bien, hice loq me dijiste. Reinicie una PC desde 0 y ejecute el hijack sin tener nada abierto. Ese es el log, y aparece ese Iexplore.exe, el mismo q inestabilisa el sistema sin q haya ninguna ventana de internet abierta.

-------------------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 16:13:41, on 07/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\cp40.exe

C:\Archivos de programa\HyperTechnologies\Deep Freeze\_$Df\FrzState.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\HHVcdV5Sys\VC5SecS.exe

C:\WINDOWS\explorer.exe

C:\Archivos de programa\OpenVPN\bin\openvpn-gui.exe

C:\Archivos de programa\HHVcdV5Sys\VC5Play.exe

C:\Archivos de programa\DAEMON Tools\daemon.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\Archivos de programa\anti porn\EagleSvr.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\UltraVNC\winvnc.exe

C:\Archivos de programa\Virtual CD v5\System\VC5Tray.exe

C:\WINDOWS\system32\taskmgr.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\cp40.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [openvpn-gui] C:\Archivos de programa\OpenVPN\bin\openvpn-gui.exe

O4 - HKLM\..\Run: [VC5Player] C:\Archivos de programa\HHVcdV5Sys\VC5Play.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [ATICCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [eagleeye] C:\Archivos de programa\anti porn\EagleSvr.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: UltraVNC Server.lnk = C:\Archivos de programa\UltraVNC\winvnc.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104473805702

O17 - HKLM\System\CCS\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{264E296D-18C1-466D-BAC3-35DAE37C898B}: NameServer = 192.168.0.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CS3\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: DfLogon - C:\WINDOWS\SYSTEM32\LogonDll.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: DFServEx - Hyper Technologies Inc. - C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Archivos de programa\OpenVPN\bin\openvpnserv.exe

O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Archivos de programa\HHVcdV5Sys\VC5SecS.exe

---------------------------------------

Encima aparece y desaparece ese iexplorer cuando kiere me tiene loco :S y te cierra el correo te minimiza las aplicaciones etc.

Mensaje por **lucl** » 07 Nov 2007, 20:23

nos falta ver los log de elistara y elitriip que tienes en C infosat.txt ponlo por favor mientras te miramos el hijackthis, saludos

onsterion · Mensaje por **onsterion** » 07 Nov 2007, 21:45

Mil disculpas señores estaba atendiendo, pase todo en otra maquina aca estan los logs de

~~[b]~~

Hijack[/b]

Logfile of HijackThis v1.99.1

Scan saved at 17:40:24, on 07/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\cp40.exe

C:\Archivos de programa\HyperTechnologies\Deep Freeze\_$Df\FrzState.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\HHVcdV5Sys\VC5SecS.exe

C:\WINDOWS\explorer.exe

C:\Archivos de programa\OpenVPN\bin\openvpn-gui.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\HHVcdV5Sys\VC5Play.exe

C:\Archivos de programa\DAEMON Tools\daemon.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\Antiporn\EagleSvr.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\UltraVNC\winvnc.exe

C:\Archivos de programa\Virtual CD v5\System\VC5Tray.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Documents and Settings\LoQ\Escritorio\ELITRIIP.10112007.EXE

C:\Documents and Settings\LoQ\Escritorio\HijackThis (para crear logs de información sobre aplicaciones malisiosas).exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\cp40.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [openvpn-gui] C:\Archivos de programa\OpenVPN\bin\openvpn-gui.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [VC5Player] C:\Archivos de programa\HHVcdV5Sys\VC5Play.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [eagleeye] C:\Archivos de programa\Antiporn\EagleSvr.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: UltraVNC Server.lnk = C:\Archivos de programa\UltraVNC\winvnc.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: Download All by FlashGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\JetCar.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\JetCar.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{264E296D-18C1-466D-BAC3-35DAE37C898B}: NameServer = 192.168.0.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O17 - HKLM\System\CS3\Services\Tcpip\..\{10CDD057-48C6-4DBA-AD57-AFF5E5E80A18}: NameServer = 192.168.0.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: DfLogon - C:\WINDOWS\SYSTEM32\LogonDll.dll

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: DFServEx - Hyper Technologies Inc. - C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Archivos de programa\OpenVPN\bin\openvpnserv.exe

O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Archivos de programa\HHVcdV5Sys\VC5SecS.exe

~~[b]~~Y de elistara y elistrip:[/b]

Wed Nov 07 17:39:19 2007

EliTriIP v4.06 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\SVKP.SYS --> Eliminado

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Wed Nov 07 17:39:37 2007

EliTriIP v4.06 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Nº Total de Directorios: 1194

Nº Total de Ficheros: 16432

Nº de Ficheros Analizados: 5940

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.

Wed Nov 07 17:41:35 2007

EliStartPage v14.98 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Detectado AUTORUN.INF en la Unidad (E)

open=Autorun.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Detectado AUTORUN.INF en la Unidad (F)

open=autorun.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Note q al pasar el elistara el virus troyano o loq sea (iexplorer) desaparece.

Mensaje por **flacoroo** » 07 Nov 2007, 22:43

primero actualiza tu windows que te hace falta unos parches, y mandanos los archivos que te piden a zonavirus@satinfo.es los comprimes y le pones la contraseña virus.....

en todas tus maquinas ejecutas los programitas elistara, elitriip y elinotif(es complemento del eslistara)y baja las ultimas actualizaciones y los ejecutas en modo segurop, no olvidando que debes eliminar tus archivos temporales del DD,archivos temporales de internet. cookis, etc...

nos dices como te fue

onsterion · Mensaje por **onsterion** » 07 Nov 2007, 23:12

Muchisimas gracias por la atención, voy a probar y cualkier cosa les aviso.

Mensaje por **msc hotline sat** » 08 Nov 2007, 10:35

Antes de cerrar el Tema, visto que el ELISTARA eliminó el fichero SVKP.SYS motivo que podría haber sido la causa del problema, paso a informar de lo que es, a titulo de informacion:

http://www.castlecops.com/o23list-852.html

Con ello damos por solucionado el Tema y procedemos a cerrarlo

Si nos necesita de nuevo, ya sabe donde estamos

saludos

ms, 8-11-2007