Después de eliminar Bagle sigo sin entrar a modo seguro

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 15:15

Luego de que me se me desactivara el antivirus, busque en internet la causa y di con que era el virus Bagle en alguna de sus versiones.

Pase el elibagla y me funciono, pude instalar el antivirus, pero sigo sin poder entrar en modo seguro.

Aparte luego de 2 días corrí el elibagla de nuevo y apareció otra versión.

Les pego el infosat.txt

Fri Jan 04 11:26:56 2008

EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.81

a "virus@satinfo.es". Gracias.

G:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Eliminado Bagle

Fri Jan 04 11:27:05 2008

EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

Nº Total de Directorios: 1092

Nº Total de Ficheros: 7912

Nº de Ficheros Analizados: 1445

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.

El antivirus NOD32 está instalado, y todo me anda pero quiero entrar a modo seguro para poder correr las herramientas como corresponde.

Desde ya gracias

Mensaje por **msc hotline sat** » 04 Ene 2008, 15:34

Pues ya ves que el ELIBAGLA ha detectado una nueva variante del bagle:

[quote]EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.81 [/quote]

Asi que envianos la muestra que se te pide y lo controlaremos

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 4-1-2008

NOTA: Es por esto que volvías a tener modificado el registro y de nuevo no podías arrancar en modo seguro.

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 15:40

Ya mande la muestra.

Si bien el elibagle elimino el virus, sigo sin poder entrar en modo seguro, y si no lo logro hacer me parece que nunca voy a poder limpiar el sistema por completo.

Desde ya gracias

Mensaje por **msc hotline sat** » 04 Ene 2008, 15:47

Pues posteanos el log del HJT, no sea que tengas un dropper del Bagle que te vaya generando variantes del mismo, y a medida que las eliminas, te crea de nuevas...

Y de paso, tras reiniciar, vuelve a pasar el ELIBAGLA, y si te vuelve a detectar otra vez el BAGLE, seguro que será esto, pues eliminamos el gusano cada vez que lo movemos a C:\muestras, y si lo vuelves a detectar y eliminar, seguro que es otro.

Ahora renombra el fichero que tienes en C:\muestras a BAGLE1.EXE, y cada vez que te genere una muestra de otra variante en la misma carpeta, las vas renombrando a BAGLE2.EXE, BAGLE 3.EXE y asi no se sobreescribirán y podrás enviarnos unos cuantos, si es el caso.

Para ello, reinicia cada vez que lances el ELIBAGLA y renombres dichos ficheros.

ERs una hipotesis, pero dado que pareces una fabrica de Bagles, es probable que sea por ello .

A ver lo que vemos en el log para pedirte lo que nos parezca ser la "madre" del cordeo, o mejor dicho , de tus Bagles :wink:

saludos

ms, 4-1-2008

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 15:52

Aquí va el log de HJT

Logfile of HijackThis v1.99.1

Scan saved at 12:49:17 p.m., on 04/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

G:\WINDOWS\System32\smss.exe

G:\WINDOWS\system32\winlogon.exe

G:\WINDOWS\system32\services.exe

G:\WINDOWS\system32\lsass.exe

G:\WINDOWS\system32\svchost.exe

G:\WINDOWS\System32\svchost.exe

G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

G:\WINDOWS\Explorer.EXE

G:\WINDOWS\system32\spoolsv.exe

G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

G:\WINDOWS\SOUNDMAN.EXE

G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe

G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

G:\Archivos de programa\D-Tools\daemon.exe

G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe

G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe

G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

G:\Archivos de programa\PowerISO\PWRISOVM.EXE

G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe

G:\Archivos de programa\Skype\Phone\Skype.exe

G:\Archivos de programa\MSN Messenger\msnmsgr.exe

G:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

G:\WINDOWS\system32\bgsvcgen.exe

G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

G:\Archivos de programa\HP\Digital Imaging\bin\hpqSTE08.exe

G:\Archivos de programa\lotus\notes\ntmulti.exe

G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

G:\Archivos de programa\HP\Digital Imaging\Product Assistant\bin\hprblog.exe

G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

G:\WINDOWS\system32\svchost.exe

G:\WINDOWS\system32\UAService7.exe

G:\Archivos de programa\Canon\CAL\CALMAIN.exe

G:\Archivos de programa\Skype\Plugin Manager\skypePM.exe

G:\Archivos de programa\MSN Messenger\usnsvc.exe

G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe

G:\Archivos de programa\Internet Explorer\iexplore.exe

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Descarga Ares\ELITRIIP.14012008.EXE

G:\Archivos de programa\WinAce\WinAce.exe

G:\DOCUME~1\MIGUEL~1\CONFIG~1\Temp\~AceTemp\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - G:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [HP Software Update] G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "G:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [TVTray] G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] G:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acronis True Image Monitor] "G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [AAWTray] G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

O4 - HKLM\..\Run: [PWRISOVM.EXE] G:\Archivos de programa\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [egui] "G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKCU\..\Run: [Skype] "G:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [msnmsgr] "G:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Acelerador de inicio de AutoCAD.lnk = G:\Archivos de programa\Archivos comunes\Autodesk Shared\acstart16.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = G:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = G:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Windows Live Search - res://G:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/229?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/230?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Convertir a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: Flash Decompiler SWF Capture tool - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O9 - Extra 'Tools' menuitem: Flash Decompiler SWF Capture tool menu - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase4009.cab

O16 - DPF: {6218F7B5-0D3A-48BA-AE4C-49DCFA63D400} (CSEQueryObject Object) - http://www.myheritage.com/Genoogle/Components/ActiveX/SearchEngineQuery.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.myheritage.com/FP/ImageUploader/ImageUploader3.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game10.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - G:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: MCPClient - G:\WINDOWS\

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: Adobe LM Service - Adobe Systems - G:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - G:\Archivos de programa\Ares\chatServer.exe

O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - G:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: AVG7 Clean Driver (AvgClean) - Unknown owner - G:\Documents and Settings\Miguel y Andrea\Mis documentos\avgclean.sys (file missing)

O23 - Service: AVG E-mail Scanner (AVGEMS) - Unknown owner - G:\Documents and Settings\Miguel y Andrea\Mis documentos\avgemc.exe (file missing)

O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - G:\WINDOWS\system32\bgsvcgen.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - G:\Archivos de programa\Canon\CAL\CALMAIN.exe

O23 - Service: Eset HTTP Server (EhttpSrv) - Unknown owner - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - G:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - G:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - G:\Archivos de programa\lotus\notes\ntmulti.exe

O23 - Service: SuperTV Pro Remote Control Service (RemoteControlService) - Unknown owner - G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

O23 - Service: ScsiAccess - Unknown owner - G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - G:\WINDOWS\system32\UAService7.exe

Mensaje por **msc hotline sat** » 04 Ene 2008, 16:07

Solo se ve esta clave anormal:

O20 - Winlogon Notify: MCPClient - G:\WINDOWS\

eliminala:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

pero no creo que sea por esto la regeneracion...

No será que entras en alguna web o aceptas la ejecucion de algo raro ???

Bueno, como el HJT ya no da mas de sí, prueba el SPROCES, que llega mas hondo, y posteanos su log:

SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp

Y tras SALIR, posteanos el contenido del C:\SPROCLOG.TXT :

saludos

ms, 4-1-2008

NOTA:

y si ni con ello vemos nada, ya pensaremos en un RootKit que nos oculte informacion, y procederemos a utilizar el:

ROOTKITDETECTIVE (ACCESO AL LINK DE DESCARGA)

http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zip

Si quieres, puedes postearnos el log que genera tambien...

ms.

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 16:46

Se me ocurrió correr mientras esperaba la respuesta el ElitriIP y encontre esto.

Sobre todo me sorprendió el UAService7.exe , creo que proviene de esas versiones de Windows XP U7 (unnatended ?), que alguna vez baje pero nunca termine de instalar.

De cualquier manera todavía no probé reiniciar en modo seguro, lo pruebo y contesto.

Gracias

Fri Jan 04 12:44:35 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

G:\Archivos de programa\HP\Digital Imaging\{3819891A-030B-4a4e-98ED-B28A649E48AB}\autorun.inf --> Eliminado, BackDoor.CMQ(inf)

G:\Archivos de programa\HP\Temp\{3819891A-030B-4a4e-98ED-B28A649E48AB}\autorun.inf --> Eliminado, BackDoor.CMQ(inf)

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Backup DVD\Backup\AutoCAD 2002\vve\autorun.inf --> Eliminado, BackDoor.CMQ(inf)

Nº Total de Directorios: 9947

Nº Total de Ficheros: 101320

Nº de Ficheros Analizados: 25084

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 3

Fri Jan 04 13:05:06 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Fri Jan 04 13:05:09 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Nº Total de Directorios: 31

Nº Total de Ficheros: 681

Nº de Ficheros Analizados: 1

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Fri Jan 04 13:05:32 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

G:\WINDOWS\system32\UAService7.exe.vir --> Eliminado, Malware(uaservice)

Nº Total de Directorios: 9946

Nº Total de Ficheros: 101330

Nº de Ficheros Analizados: 25093

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1

Fri Jan 04 13:38:35 2008

EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

[quote="msc hotline sat"]Solo se ve esta clave anormal:

O20 - Winlogon Notify: MCPClient - G:\WINDOWS\

eliminala:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

pero no creo que sea por esto la regeneracion...

No será que entras en alguna web o aceptas la ejecucion de algo raro ???

Bueno, como el HJT ya no da mas de sí, prueba el SPROCES, que llega mas hondo, y posteanos su log:

SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp

Y tras SALIR, posteanos el contenido del C:\SPROCLOG.TXT :

saludos

ms, 4-1-2008

NOTA:

y si ni con ello vemos nada, ya pensaremos en un RootKit que nos oculte informacion, y procederemos a utilizar el:

ROOTKITDETECTIVE (ACCESO AL LINK DE DESCARGA)

http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zip

Si quieres, puedes postearnos el log que genera tambien...

ms.[/quote]

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 16:49

Aquí va la salida de SProces

Fri Jan 04 13:45:50 2008

SProces v2.8b (c)2007 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 2

Internet Explorer: (v6.0.2900.2180) ;SP2;

Procesos Activos:

G:\WINDOWS\SYSTEM32\SMSS.EXE

G:\WINDOWS\SYSTEM32\WINLOGON.EXE

G:\WINDOWS\SYSTEM32\SERVICES.EXE

G:\WINDOWS\SYSTEM32\LSASS.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWSERVICE.EXE

G:\WINDOWS\EXPLORER.EXE

G:\WINDOWS\SYSTEM32\SPOOLSV.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDUL2.EXE

G:\WINDOWS\SYSTEM32\BGSVCGEN.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EKRN.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LIGHTSCRIBE\LSSRVC.EXE

G:\ARCHIVOS DE PROGRAMA\LOTUS\NOTES\NTMULTI.EXE

G:\ARCHIVOS DE PROGRAMA\ENLTV\ENLTV\REMOTESERVICE\RS.EXE

G:\ARCHIVOS DE PROGRAMA\PHOTODEX\PROSHOWGOLD\SCSIACCESS.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\CANON\CAL\CALMAIN.EXE

G:\ARCHIVOS DE PROGRAMA\HP\HP SOFTWARE UPDATE\HPWUSCHD2.EXE

G:\WINDOWS\SOUNDMAN.EXE

G:\ARCHIVOS DE PROGRAMA\ASUSTEK\ASUSDVD\PDVDSERV.EXE

G:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 7.0\DISTILLR\ACROTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\D-TOOLS\DAEMON.EXE

G:\ARCHIV~1\ENLTV\ENLTV\TVTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGE\TRUEIMAGEMONITOR.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDHLP.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\POWERISO\PWRISOVM.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EGUI.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PHONE\SKYPE.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQTRA08.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQSTE08.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\PRODUCT ASSISTANT\BIN\HPRBLOG.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PLUGIN MANAGER\SKYPEPM.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\USNSVC.EXE

G:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WINDOWS LIVE\WLLOGINPROXY.EXE

G:\ARCHIVOS DE PROGRAMA\WINDOWS LIVE TOOLBAR\MSN_SL.EXE

Mensaje por **msc hotline sat** » 04 Ene 2008, 16:51

Te has dejado lo mas importante, las claves !!!, que es lo que viene detras de esto

Revisalo y postealo todo, gracias

saludos

ms, 4-1-2008

ANEXO:

Y lo que dices del UASERVICE7, ya no estaba activo, pues estaba renombrado a extension .VIR:

[quote]EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

G:\WINDOWS\system32\UAService7.exe.vir --> Eliminado, Malware(uaservice) [/quote]

Así que bien está eliminar basura, pero ýa no hacía nada...

ms.

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 20:15

Sigo sin poder entrar al modo seguro.

Pero desde el modo normal HJT elimino la clave, al reiniciar esta no aparece, pero sigo sin entrar a modo seguro.

Corrí el Elibagla y otros y ya no encuentran nada.

Creo que no hay más virus pero sigo preocupado por lo del modo seguro. ¿Será que el virus jodio algún dll que se carga en modo seguro?, porque ni en solo simbolo del sistema arranca.

Saludos

Mensaje por **msc hotline sat** » 04 Ene 2008, 20:27

No sé de qué clave hablas, yo me refiero a la que impide arrancar en modo seguro, debido a que la modifican los Bagles.

Pero insisto que nos falta que postees lo que sigue a esta primera parte del SPROCLOG.TXT que has posteado, que lo que has puesto no es suficiente !!!

Te lo decia en mi anterior post ...

Cuando postees la totalidad del contenido del SPROCLOG.TXT, pasaremos a examinarlo e informaremos de dicho examen.

saludos

ms, 4-1-2008

mmcanaves · Mensaje por **mmcanaves** » 04 Ene 2008, 20:41

Pense que te referias a la clave que escribiste un par de post atrás

[quote]Solo se ve esta clave anormal:

O20 - Winlogon Notify: MCPClient - G:\WINDOWS\ [/quote]

Te posteo ahora lo que me tira SProces

Fri Jan 04 17:38:57 2008

SProces v2.8b (c)2007 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 2

Internet Explorer: (v6.0.2900.2180) ;SP2;

Procesos Activos:

G:\WINDOWS\SYSTEM32\SMSS.EXE

G:\WINDOWS\SYSTEM32\WINLOGON.EXE

G:\WINDOWS\SYSTEM32\SERVICES.EXE

G:\WINDOWS\SYSTEM32\LSASS.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWSERVICE.EXE

G:\WINDOWS\EXPLORER.EXE

G:\WINDOWS\SYSTEM32\SPOOLSV.EXE

G:\ARCHIVOS DE PROGRAMA\HP\HP SOFTWARE UPDATE\HPWUSCHD2.EXE

G:\WINDOWS\SOUNDMAN.EXE

G:\ARCHIVOS DE PROGRAMA\ASUSTEK\ASUSDVD\PDVDSERV.EXE

G:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 7.0\DISTILLR\ACROTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\D-TOOLS\DAEMON.EXE

G:\ARCHIV~1\ENLTV\ENLTV\TVTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGE\TRUEIMAGEMONITOR.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDHLP.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\POWERISO\PWRISOVM.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EGUI.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PHONE\SKYPE.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQTRA08.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDUL2.EXE

G:\WINDOWS\SYSTEM32\BGSVCGEN.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EKRN.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LIGHTSCRIBE\LSSRVC.EXE

G:\ARCHIVOS DE PROGRAMA\LOTUS\NOTES\NTMULTI.EXE

G:\ARCHIVOS DE PROGRAMA\ENLTV\ENLTV\REMOTESERVICE\RS.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQSTE08.EXE

G:\ARCHIVOS DE PROGRAMA\PHOTODEX\PROSHOWGOLD\SCSIACCESS.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\PRODUCT ASSISTANT\BIN\HPRBLOG.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\CANON\CAL\CALMAIN.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PLUGIN MANAGER\SKYPEPM.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\USNSVC.EXE

G:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WINDOWS LIVE\WLLOGINPROXY.EXE

G:\WINDOWS\SYSTEM32\WUAUCLT.EXE

G:\DOCUMENTS AND SETTINGS\MIGUEL Y ANDREA\MIS DOCUMENTOS\DESCARGA ARES\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.ar/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Hook de búsqueda de direcciones URL de Microsoft - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\system32\shdocvw.dll

F2 - REG:system.ini: UserInit=G:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - (no file)

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - (no file)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O4 - HKCU\..\Run: [Skype] "G:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [msnmsgr] "G:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [FoneSyncSystemTray] "G:\Archivos de programa\FoneSync 4.0\FoneSyncSystemTray.Exe"

O4 - HKLM\..\Run: [HP Software Update] G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: []

O4 - HKLM\..\Run: [DAEMON Tools-1033] "G:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [TVTray] G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] G:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acronis True Image Monitor] "G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [AAWTray] G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

O4 - HKLM\..\Run: [PWRISOVM.EXE] G:\Archivos de programa\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [egui] "G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKLM\..\RunOnce: [IE 3.0 RegSvr schannel.dll] G:\WINDOWS\system32\regsvr32.exe /s G:\WINDOWS\system32\schannel.dll

O4 - Startup: desktop.ini

O4 - Startup: Lotus Organizer EasyClip.lnk

O4 - Startup: Lotus Organizer Registration.lnk

O4 - Global Startup: Acelerador de inicio de AutoCAD.lnk

O4 - Global Startup: desktop.ini

O4 - Global Startup: HP Digital Imaging Monitor.lnk

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk

O4 - Global Startup: Microsoft Office.lnk

O8 - Extra context menu item: &Windows Live Search - res://G:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/229?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/230?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Convertir a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: Flash Decompiler SWF Capture tool - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase4009.cab

O16 - DPF: {6218F7B5-0D3A-48BA-AE4C-49DCFA63D400} (CSEQueryObject Object) - http://www.myheritage.com/Genoogle/Components/ActiveX/SearchEngineQuery.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.myheritage.com/FP/ImageUploader/ImageUploader3.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game10.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - G:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: ATIEXTEVENT - ATI2EVXX.DLL

O21 - SSODL: 0aMCPClient - {F5DF91F9-15E9-416B-A7C3-7519B11ECBFC} - G:\Archivos de programa\Common Files\Stardock\MCPCore.dll

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\System32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - G:\WINDOWS\system32\stobject.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll

Información Adicional:

----------------------

Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe

O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - G:\WINDOWS\system32\bgsvcgen.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - G:\Archivos de programa\Canon\CAL\CALMAIN.exe

O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - G:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: EAMON (eamon) - Eset - G:\WINDOWS\SYSTEM32\DRIVERS\eamon.sys

O23 - Service: Eset Service (ekrn) - ESET - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - G:\Archivos de programa\lotus\notes\ntmulti.exe

O23 - Service: SuperTV Pro Remote Control Service (RemoteControlService) - Unknown owner - G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - G:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: ScsiAccess - Unknown owner - G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

Esto es todo.

Gracias

Mensaje por **msc hotline sat** » 04 Ene 2008, 20:51

Bueno, esto ya es otra cosa.

Pues dinos si este fichero indica ser de Microsoft (Boton derecho -> Propiedades):

G:\WINDOWS\system32\schannel.dll

y sino o en caso de duda, subelo al Virus Total y nos comentas el resultado:

https://www.virustotal.com/es/

y si ello no reporta información positiva, elimina estas claves:

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - (no file)

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y nos comentas el resultado, gracias

saludos

ms, 4-1-2008

mmcanaves · Mensaje por **mmcanaves** » 05 Ene 2008, 00:09

El archivo schannel.dll parece ser de Microsoft, según el copyright.

Igual lo mande a virustotal y me salió esto, que creo que signifina que no es un virus.

Análisis del archivo schannel.dll recibido el 14.11.2007 21:30:26 (CET)

Estado actual: análisis terminado

Resultado: 1/32 (3.12%)

Compactar Imprimir resultados

Motor antivirus Versión Última actualización Resultado

AhnLab-V3 - - -

AntiVir - - -

Authentium - - -

Avast - - -

AVG - - -

BitDefender - - -

CAT-QuickHeal - - -

ClamAV - - -

DrWeb - - -

eSafe - - -

eTrust-Vet - - -

Ewido - - -

FileAdvisor - - -

Fortinet - - -

F-Prot - - -

F-Secure - - -

Ikarus - - -

Kaspersky - - -

McAfee - - -

Microsoft - - -

NOD32v2 - - -

Norman - - -

Panda - - -

Prevx1 - - -

Rising - - -

Sophos - - -

Sunbelt - - -

Symantec - - -

TheHacker - - -

VBA32 - - -

VirusBuster - - -

Webwasher-Gateway - - BlockReason.0

Información adicional

MD5: e7c0301bf4dfe0f7ec5e1b196424f0ac

Luego corrí SProces, y me dió esto.

Fri Jan 04 21:00:19 2008

SProces v2.8b (c)2007 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 2

Internet Explorer: (v6.0.2900.2180) ;SP2;

Procesos Activos:

G:\WINDOWS\SYSTEM32\SMSS.EXE

G:\WINDOWS\SYSTEM32\WINLOGON.EXE

G:\WINDOWS\SYSTEM32\SERVICES.EXE

G:\WINDOWS\SYSTEM32\LSASS.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWSERVICE.EXE

G:\WINDOWS\EXPLORER.EXE

G:\WINDOWS\SYSTEM32\SPOOLSV.EXE

G:\ARCHIVOS DE PROGRAMA\HP\HP SOFTWARE UPDATE\HPWUSCHD2.EXE

G:\WINDOWS\SOUNDMAN.EXE

G:\ARCHIVOS DE PROGRAMA\ASUSTEK\ASUSDVD\PDVDSERV.EXE

G:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 7.0\DISTILLR\ACROTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\D-TOOLS\DAEMON.EXE

G:\ARCHIV~1\ENLTV\ENLTV\TVTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGE\TRUEIMAGEMONITOR.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDHLP.EXE

G:\ARCHIVOS DE PROGRAMA\LAVASOFT\AD-AWARE 2007\AAWTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\POWERISO\PWRISOVM.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EGUI.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PHONE\SKYPE.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE

G:\ARCHIVOS DE PROGRAMA\FONESYNC 4.0\FONESYNCSYSTEMTRAY.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQTRA08.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDUL2.EXE

G:\WINDOWS\SYSTEM32\BGSVCGEN.EXE

G:\ARCHIVOS DE PROGRAMA\ESET\ESET NOD32 ANTIVIRUS\EKRN.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LIGHTSCRIBE\LSSRVC.EXE

G:\ARCHIVOS DE PROGRAMA\LOTUS\ORG6\ORGANIZE\EASYCLIP.EXE

G:\ARCHIVOS DE PROGRAMA\LOTUS\ORG6\ORGREG\REMIND32.EXE

G:\ARCHIVOS DE PROGRAMA\LOTUS\NOTES\NTMULTI.EXE

G:\ARCHIVOS DE PROGRAMA\ENLTV\ENLTV\REMOTESERVICE\RS.EXE

G:\ARCHIVOS DE PROGRAMA\PHOTODEX\PROSHOWGOLD\SCSIACCESS.EXE

G:\WINDOWS\SYSTEM32\SVCHOST.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\BIN\HPQSTE08.EXE

G:\ARCHIVOS DE PROGRAMA\HP\DIGITAL IMAGING\PRODUCT ASSISTANT\BIN\HPRBLOG.EXE

G:\ARCHIVOS DE PROGRAMA\CANON\CAL\CALMAIN.EXE

G:\ARCHIVOS DE PROGRAMA\SKYPE\PLUGIN MANAGER\SKYPEPM.EXE

G:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\USNSVC.EXE

G:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

G:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\WINDOWS LIVE\WLLOGINPROXY.EXE

G:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

G:\ARCHIVOS DE PROGRAMA\WINACE\WINACE.EXE

G:\DOCUMENTS AND SETTINGS\MIGUEL Y ANDREA\MIS DOCUMENTOS\DESCARGA ARES\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.ar/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Hook de búsqueda de direcciones URL de Microsoft - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\system32\shdocvw.dll

F2 - REG:system.ini: UserInit=G:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - (no file)

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - (no file)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O4 - HKCU\..\Run: [Skype] "G:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [msnmsgr] "G:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [FoneSyncSystemTray] "G:\Archivos de programa\FoneSync 4.0\FoneSyncSystemTray.Exe"

O4 - HKLM\..\Run: [HP Software Update] G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: []

O4 - HKLM\..\Run: [DAEMON Tools-1033] "G:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [TVTray] G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] G:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acronis True Image Monitor] "G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [AAWTray] G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

O4 - HKLM\..\Run: [PWRISOVM.EXE] G:\Archivos de programa\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [egui] "G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - Startup: desktop.ini

O4 - Startup: Lotus Organizer EasyClip.lnk

O4 - Startup: Lotus Organizer Registration.lnk

O4 - Global Startup: Acelerador de inicio de AutoCAD.lnk

O4 - Global Startup: desktop.ini

O4 - Global Startup: HP Digital Imaging Monitor.lnk

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk

O4 - Global Startup: Microsoft Office.lnk

O8 - Extra context menu item: &Windows Live Search - res://G:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/229?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/230?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Convertir a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: Flash Decompiler SWF Capture tool - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase4009.cab

O16 - DPF: {6218F7B5-0D3A-48BA-AE4C-49DCFA63D400} (CSEQueryObject Object) - http://www.myheritage.com/Genoogle/Components/ActiveX/SearchEngineQuery.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.myheritage.com/FP/ImageUploader/ImageUploader3.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game10.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - G:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: ATIEXTEVENT - ATI2EVXX.DLL

O21 - SSODL: 0aMCPClient - {F5DF91F9-15E9-416B-A7C3-7519B11ECBFC} - G:\Archivos de programa\Common Files\Stardock\MCPCore.dll

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\System32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - G:\WINDOWS\system32\stobject.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll

Información Adicional:

----------------------

Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe

O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - G:\WINDOWS\system32\bgsvcgen.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - G:\Archivos de programa\Canon\CAL\CALMAIN.exe

O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - G:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: EAMON (eamon) - Eset - G:\WINDOWS\SYSTEM32\DRIVERS\eamon.sys

O23 - Service: Eset Service (ekrn) - ESET - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - G:\Archivos de programa\lotus\notes\ntmulti.exe

O23 - Service: SuperTV Pro Remote Control Service (RemoteControlService) - Unknown owner - G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - G:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: ScsiAccess - Unknown owner - G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

Iba a eliminar las claves con HJT, pero cuando las veo no son n o name, y me detuve. Esto es lo que dice HJT

Logfile of HijackThis v1.99.1

Scan saved at 09:05:21 p.m., on 04/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

G:\WINDOWS\System32\smss.exe

G:\WINDOWS\system32\winlogon.exe

G:\WINDOWS\system32\services.exe

G:\WINDOWS\system32\lsass.exe

G:\WINDOWS\system32\svchost.exe

G:\WINDOWS\System32\svchost.exe

G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

G:\WINDOWS\Explorer.EXE

G:\WINDOWS\system32\spoolsv.exe

G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

G:\WINDOWS\SOUNDMAN.EXE

G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe

G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

G:\Archivos de programa\D-Tools\daemon.exe

G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe

G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe

G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

G:\Archivos de programa\PowerISO\PWRISOVM.EXE

G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe

G:\Archivos de programa\Skype\Phone\Skype.exe

G:\Archivos de programa\MSN Messenger\msnmsgr.exe

G:\Archivos de programa\FoneSync 4.0\FoneSyncSystemTray.Exe

G:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

G:\WINDOWS\system32\bgsvcgen.exe

G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

G:\Archivos de programa\lotus\org6\organize\easyclip.exe

G:\Archivos de programa\lotus\org6\orgreg\remind32.exe

G:\Archivos de programa\lotus\notes\ntmulti.exe

G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

G:\WINDOWS\system32\svchost.exe

G:\Archivos de programa\HP\Digital Imaging\bin\hpqSTE08.exe

G:\Archivos de programa\HP\Digital Imaging\Product Assistant\bin\hprblog.exe

G:\Archivos de programa\Canon\CAL\CALMAIN.exe

G:\Archivos de programa\Skype\Plugin Manager\skypePM.exe

G:\Archivos de programa\MSN Messenger\usnsvc.exe

G:\Archivos de programa\Internet Explorer\iexplore.exe

G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe

G:\Archivos de programa\Internet Explorer\iexplore.exe

G:\Archivos de programa\WinAce\WinAce.exe

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Descarga Ares\SProces.exe

G:\WINDOWS\system32\Notepad.exe

G:\Archivos de programa\WinAce\WinAce.exe

G:\DOCUME~1\MIGUEL~1\CONFIG~1\Temp\~AceTemp\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.latam.msn.com/0SEESXL/SAOS01?FORM=TOOLBR

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - G:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - G:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - G:\Archivos de programa\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [HP Software Update] G:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "G:\Archivos de programa\ASUSTeK\ASUSDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "G:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [TVTray] G:\ARCHIV~1\ENLTV\ENLTV\TVTray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] G:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acronis True Image Monitor] "G:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [AAWTray] G:\Archivos de programa\Lavasoft\Ad-Aware 2007\AAWTray.exe

O4 - HKLM\..\Run: [PWRISOVM.EXE] G:\Archivos de programa\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [egui] "G:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKCU\..\Run: [Skype] "G:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [msnmsgr] "G:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [FoneSyncSystemTray] "G:\Archivos de programa\FoneSync 4.0\FoneSyncSystemTray.Exe"

O4 - Startup: Lotus Organizer EasyClip.lnk = G:\Archivos de programa\lotus\org6\organize\easyclip.exe

O4 - Startup: Lotus Organizer Registration.lnk = G:\Archivos de programa\lotus\org6\orgreg\remind32.exe

O4 - Global Startup: Acelerador de inicio de AutoCAD.lnk = G:\Archivos de programa\Archivos comunes\Autodesk Shared\acstart16.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = G:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = G:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Windows Live Search - res://G:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/229?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://G:\Archivos de programa\Windows Live Toolbar\Components\es-xl\msntabres.dll.mui/230?2f9a4b4149fb40cbbc5c0fbad796574a

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Convertir a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://G:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - G:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: Flash Decompiler SWF Capture tool - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O9 - Extra 'Tools' menuitem: Flash Decompiler SWF Capture tool menu - {86B4FC19-8FA4-4FD3-B243-9AEDB42FA2D5} - G:\ARCHIV~1\ELTIMA~1\FLASHD~1\iebt.dll (HKCU)

O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase4009.cab

O16 - DPF: {6218F7B5-0D3A-48BA-AE4C-49DCFA63D400} (CSEQueryObject Object) - http://www.myheritage.com/Genoogle/Components/ActiveX/SearchEngineQuery.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.myheritage.com/FP/ImageUploader/ImageUploader3.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game10.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - G:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - G:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - G:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - G:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: Adobe LM Service - Adobe Systems - G:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - G:\Archivos de programa\Ares\chatServer.exe

O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - G:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: AVG7 Clean Driver (AvgClean) - Unknown owner - G:\Documents and Settings\Miguel y Andrea\Mis documentos\avgclean.sys (file missing)

O23 - Service: AVG E-mail Scanner (AVGEMS) - Unknown owner - G:\Documents and Settings\Miguel y Andrea\Mis documentos\avgemc.exe (file missing)

O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - G:\WINDOWS\system32\bgsvcgen.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - G:\Archivos de programa\Canon\CAL\CALMAIN.exe

O23 - Service: Eset HTTP Server (EhttpSrv) - Unknown owner - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - G:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - G:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - G:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - G:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - G:\Archivos de programa\lotus\notes\ntmulti.exe

O23 - Service: SuperTV Pro Remote Control Service (RemoteControlService) - Unknown owner - G:\Archivos de programa\ENLTV\ENLTV\RemoteService\RS.exe

O23 - Service: ScsiAccess - Unknown owner - G:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - G:\WINDOWS\system32\UAService7.exe (file missing)

Y como verás apareció UAService7.exe aunque indica que el archivo se borro.

El SProces se queda entre los procesos, esto está bien?.

Gracias.

[quote="msc hotline sat"]Bueno, esto ya es otra cosa.

Pues dinos si este fichero indica ser de Microsoft (Boton derecho -> Propiedades):

G:\WINDOWS\system32\schannel.dll

y sino o en caso de duda, subelo al Virus Total y nos comentas el resultado:

https://www.virustotal.com/es/

y si ello no reporta información positiva, elimina estas claves:

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - (no file)

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y nos comentas el resultado, gracias

saludos

ms, 4-1-2008[/quote]

Mensaje por **msc hotline sat** » 05 Ene 2008, 09:33

Sí, si se ha lanzado el SPROCES, es normal que el SPROCES.EXE aparezca en uso hasta el proximo reinicio.

Y visto que persiste el problema, pienso que puedes tener otra cosa...

además del ELIBAGLA y del ELITRIIP, prueba tambien el ELISTARA, y mira si puedes arrancar luego en modo seguro y ademas posteanos el nuevo infosat.txt

http://www.zonavirus.com/descargas/elistara.asp

A ver si nos da alguna otra pista, y sino ya pensaremos en alguna historia de RootKits, para lo que utilizaremos :

ROOTKITDETECTIVE (ACCESO AL LINK DE DESCARGA)

http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zip

pero primero haz lo primero, todas con versiones nuevas descargadas hoy, eso siempre !!!

saludos

ms, 5-1-2008

mmcanaves · Mensaje por **mmcanaves** » 05 Ene 2008, 16:26

Acá mando lo que me dio el Elibagle, Elistara y ElitriIP.

La entrada en negrita, creo que es algo que yo hice cuando toqué el MSConfig.

Aparentemente el Bagle no está más.

Ahora voy a reiniciar a ver si me toma el modo seguro.

Saludos

Sat Jan 05 09:03:40 2008

EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Sat Jan 05 09:03:43 2008

EliBagle v10.81 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

Nº Total de Directorios: 9975

Nº Total de Ficheros: 102694

Nº de Ficheros Analizados: 11253

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Sat Jan 05 09:13:12 2008

EliStartPage v15.37 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada ~~[b]~~[HKLM\...\Run] "Msconfig"="G:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"[/b]

Sat Jan 05 09:13:36 2008

EliStartPage v15.37 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

G:\Archivos de programa\Photodex\ProShowGold\DSHOW.EXE --> Eliminado, NavHelper(BHO)

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Backup DVD\Backup\IBM Lotus Organizer 6\Lotus Organizer 6 Multilanguague\Lotus\org6\organize\IEHELPER.DLL --> Eliminado, BlackStone(BHO)

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Backup DVD\Backup\IBM Lotus Organizer 6\Lotus Organizer 6 Multilanguague(1)\Lotus\org6\organize\IEHELPER.DLL --> Eliminado, BlackStone(BHO)

Nº Total de Directorios: 10021

Nº Total de Ficheros: 103510

Nº de Ficheros Analizados: 28903

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3

Sat Jan 05 09:27:38 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Sat Jan 05 09:27:45 2008

EliTriIP v4.26 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

Nº Total de Directorios: 9932

Nº Total de Ficheros: 102098

Nº de Ficheros Analizados: 25289

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[quote="msc hotline sat"]Sí, si se ha lanzado el SPROCES, es normal que el SPROCES.EXE aparezca en uso hasta el proximo reinicio.

Y visto que persiste el problema, pienso que puedes tener otra cosa...

además del ELIBAGLA y del ELITRIIP, prueba tambien el ELISTARA, y mira si puedes arrancar luego en modo seguro y ademas posteanos el nuevo infosat.txt

<a title='EliStarA' href='http://www.zonavirus.com/descargas/elistara.asp'><b>Descargar EliStarA</b></a>

A ver si nos da alguna otra pista, y sino ya pensaremos en alguna historia de RootKits, para lo que utilizaremos :

ROOTKITDETECTIVE (ACCESO AL LINK DE DESCARGA)

http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zip

pero primero haz lo primero, todas con versiones nuevas descargadas hoy, eso siempre !!!

saludos

ms, 5-1-2008[/quote]

Mensaje por **msc hotline sat** » 05 Ene 2008, 16:35

pUES HABERLO, LO HABÍA:

[quote]EliStartPage v15.37 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad G:\

G:\Archivos de programa\Photodex\ProShowGold\DSHOW.EXE --> Eliminado, NavHelper(BHO)

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Backup DVD\Backup\IBM Lotus Organizer 6\Lotus Organizer 6 Multilanguague\Lotus\org6\organize\IEHELPER.DLL --> Eliminado, BlackStone(BHO)

G:\Documents and Settings\Miguel y Andrea\Mis documentos\Backup DVD\Backup\IBM Lotus Organizer 6\Lotus Organizer 6 Multilanguague(1)\Lotus\org6\organize\IEHELPER.DLL --> Eliminado, BlackStone(BHO)[/quote]

A ver si ha sido suficiente ...

saludos

ms, 5-12-2008

Mensaje por **msc hotline sat** » 07 Ene 2008, 18:39

Recibida ka muestra que nos ha enviado, la hemos pasado a controlar con el ELIBAGLA DE hoy, 10.82 que acabamos de subir a esta web para pruebas de evaluacion en este foro.

Descarguela, pruebela y nos informa, gracias

saludos

ms, 7-1-2008

Después de eliminar Bagle sigo sin entrar a modo seguro

Después de eliminar Bagle sigo sin entrar a modo seguro

Modo seguro

Nido de Bagle

ElitriIP

SProces

Claves

SProces

Sproces

Herramientas