EQUIPO LENTO X VIRUS

osk_r83 · Mensaje por **osk_r83** » 08 Ene 2008, 16:27

Me aparece una pagina de internet en el administrador de tareas, eh intentando eliminarlo pero no eh podido :( ojala puedan ayudarme les dejo el informe..

Logfile of HijackThis v1.99.1

Scan saved at 10:23:18, on 08/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\dllcache\wintcps.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Winamp\winamp.exe

D:\oscar\ANTIIIIIII\ELITRIIP.17012008.EXE

D:\oscar\ANTIIIIIII\HijackThis2.exe

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvc.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {E4412F2E-8DAA-4434-AA28-6EFFDEADD84C} - C:\WINDOWS\system32\dbnmpntwe.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Yahoo! Services - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvc.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{CC8608E7-4AE1-49C2-92EA-3BFFDCDBF756}: NameServer = 200.48.225.130,200.48.225.146

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Microsoft Windows TCP Protocol - Unknown owner - C:\WINDOWS\system32\dllcache\wintcps.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Mensaje por **msc hotline sat** » 08 Ene 2008, 16:51

Enviarnos estos ficheros sospechosos para analizar:

C:\WINDOWS\system32\dllcache\wintcps.exe

C:\WINDOWS\system32\dbnmpntwe.dll

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Tras analizarlos informaremos

saludos

ms, 8-1-2008

NOTA: ver http://www.sophos.com/security/analyses/w32sdbotdiy.html

osk_r83 · Mensaje por **osk_r83** » 08 Ene 2008, 17:40

Muchas gracias ya te envie la muestra al mail, pero solo encontre 1 :S

Mensaje por **msc hotline sat** » 08 Ene 2008, 19:54

Mañana lo analizaremos, pero para ganar tiempo, subelo al VirusTotal:

https://www.virustotal.com/es/

y nos posteas el resultado, gracias

saludos

ms, 8.1.2008

osk_r83 · Mensaje por **osk_r83** » 08 Ene 2008, 21:58

<table border="1"><tr><td colspan="4">Análisis del archivo dbnmpntwe.dll recibido el 07.01.2008 17:53:47 (CET)</td></tr><tr><td>Motor antivirus</td><td>Versión</td><td>Última actualización</td><td>Resultado</td</tr><tr><td>AhnLab-V3</td><td>-</td><td>-</td><td style="color: red;">Win-Trojan/Bho.84992.G</td</tr><tr><td>AntiVir</td><td>-</td><td>-</td><td style="color: red;">TR/BHO.agz.36</td</tr><tr><td>Authentium</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Avast</td><td>-</td><td>-</td><td style="color: red;">Win32:BHO-KD</td</tr><tr><td>AVG</td><td>-</td><td>-</td><td style="color: red;">Generic9.AKAV</td</tr><tr><td>BitDefender</td><td>-</td><td>-</td><td style="color: red;">Trojan.Spy.Bzub.NGP</td</tr><tr><td>CAT-QuickHeal</td><td>-</td><td>-</td><td style="color: red;">Trojan.BHO.agz</td</tr><tr><td>ClamAV</td><td>-</td><td>-</td><td style="color: red;">Trojan.BHO-1219</td</tr><tr><td>DrWeb</td><td>-</td><td>-</td><td style="color: red;">Trojan.DownLoader.38058</td</tr><tr><td>eSafe</td><td>-</td><td>-</td><td style="color: red;">Win32.BHO.agz</td</tr><tr><td>eTrust-Vet</td><td>-</td><td>-</td><td style="color: red;">Win32/Kvol!generic</td</tr><tr><td>Ewido</td><td>-</td><td>-</td><td style="color: red;">Trojan.BHO.agz</td</tr><tr><td>FileAdvisor</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Fortinet</td><td>-</td><td>-</td><td style="color: red;">W32/BHO.AGZ!tr</td</tr><tr><td>F-Prot</td><td>-</td><td>-</td><td>-</td</tr><tr><td>F-Secure</td><td>-</td><td>-</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>Ikarus</td><td>-</td><td>-</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>Kaspersky</td><td>-</td><td>-</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>McAfee</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Microsoft</td><td>-</td><td>-</td><td style="color: red;">Trojan:Win32/Boaxxe.C</td</tr><tr><td>NOD32v2</td><td>-</td><td>-</td><td style="color: red;">Win32/BHO.AGZ</td</tr><tr><td>Norman</td><td>-</td><td>-</td><td style="color: red;">BZub.ARU</td</tr><tr><td>Panda</td><td>-</td><td>-</td><td style="color: red;">Trj/Downloader.RKS</td</tr><tr><td>Prevx1</td><td>-</td><td>-</td><td style="color: red;">Generic.Malware</td</tr><tr><td>Rising</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Sophos</td><td>-</td><td>-</td><td style="color: red;">Mal/Generic-A</td</tr><tr><td>Sunbelt</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Symantec</td><td>-</td><td>-</td><td>-</td</tr><tr><td>TheHacker</td><td>-</td><td>-</td><td style="color: red;">Trojan/BHO.agz</td</tr><tr><td>VBA32</td><td>-</td><td>-</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>VirusBuster</td><td>-</td><td>-</td><td>-</td</tr><tr><td>Webwasher-Gateway</td><td>-</td><td>-</td><td style="color: red;">Trojan.BHO.agz.36</td</tr><tr><td colspan="4"> </td></tr><tr><td colspan="4">Información adicional</td></tr><tr><td colspan="4">MD5: f0ac00763b5dd64188e19f79c9ae85e2</td></tr></table>

osk_r83 · Mensaje por **osk_r83** » 08 Ene 2008, 22:08

disculpa me confundi al copiar el informe.. ahora viene el bueno:

Análisis del archivo dbnmpntwe.dll recibido el 08.01.2008 21:56:56 (CET)Motor antivirus Versión Última actualización Resultado

AhnLab-V3 2008.1.9.10 2008.01.08 Win-Trojan/Bho.84992.G

AntiVir 7.6.0.46 2008.01.08 TR/BHO.agz.36

Authentium 4.93.8 2008.01.07 -

Avast 4.7.1098.0 2008.01.08 Win32:BHO-KD

AVG 7.5.0.516 2008.01.08 Generic9.AKAV

BitDefender 7.2 2008.01.08 Trojan.Spy.Bzub.NGP

CAT-QuickHeal 9.00 2008.01.07 Trojan.BHO.agz

ClamAV 0.91.2 2008.01.08 Trojan.BHO-1219

DrWeb 4.44.0.09170 2008.01.08 Trojan.DownLoader.38058

eSafe 7.0.15.0 2008.01.08 Win32.BHO.agz

eTrust-Vet 31.3.5441 2008.01.08 Win32/Kvol!generic

Ewido 4.0 2008.01.08 Trojan.BHO.agz

FileAdvisor 1 2008.01.08 -

Fortinet 3.14.0.0 2008.01.08 W32/BHO.AGZ!tr

F-Prot 4.4.2.54 2008.01.07 -

F-Secure 6.70.13030.0 2008.01.08 Trojan.Win32.BHO.agz

Ikarus T3.1.1.20 2008.01.08 Trojan.Win32.BHO.agz

Kaspersky 7.0.0.125 2008.01.08 Trojan.Win32.BHO.agz

McAfee 5202 2008.01.08 -

Microsoft 1.3109 2008.01.08 Trojan:Win32/Boaxxe.C

NOD32v2 2775 2008.01.08 Win32/BHO.AGZ

Norman 5.80.02 2008.01.08 BZub.ARU

Panda 9.0.0.4 2008.01.08 Trj/Downloader.RKS

Prevx1 V2 2008.01.08 Generic.Malware

Rising 20.26.12.00 2008.01.08 -

Sophos 4.24.0 2008.01.08 Troj/BHO-EL

Sunbelt 2.2.907.0 2008.01.08 -

Symantec 10 2008.01.08 -

TheHacker 6.2.9.184 2008.01.08 Trojan/BHO.agz

VBA32 3.12.2.5 2008.01.07 Trojan.Win32.BHO.agz

VirusBuster 4.3.26:9 2008.01.08 -

Webwasher-Gateway 6.6.2 2008.01.08 Trojan.BHO.agz.36

Información adicional

Tamano archivo: 84992 bytes

MD5: f0ac00763b5dd64188e19f79c9ae85e2

SHA1: 5f487bb132f4eae3e497922a2dc635bda3dd2e35

PEiD: -

packers: UPX

packers: UPX

packers: UPX

packers: PE_Patch.UPX, UPX

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=4BF7A2BA00E85BB04C0801E236B7E500F05919B6

<table border="1"><tr><td colspan="4">Análisis del archivo dbnmpntwe.dll recibido el 08.01.2008 21:56:56 (CET)</td></tr><tr><td>Motor antivirus</td><td>Versión</td><td>Última actualización</td><td>Resultado</td</tr><tr><td>AhnLab-V3</td><td>2008.1.9.10</td><td>2008.01.08</td><td style="color: red;">Win-Trojan/Bho.84992.G</td</tr><tr><td>AntiVir</td><td>7.6.0.46</td><td>2008.01.08</td><td style="color: red;">TR/BHO.agz.36</td</tr><tr><td>Authentium</td><td>4.93.8</td><td>2008.01.07</td><td>-</td</tr><tr><td>Avast</td><td>4.7.1098.0</td><td>2008.01.08</td><td style="color: red;">Win32:BHO-KD</td</tr><tr><td>AVG</td><td>7.5.0.516</td><td>2008.01.08</td><td style="color: red;">Generic9.AKAV</td</tr><tr><td>BitDefender</td><td>7.2</td><td>2008.01.08</td><td style="color: red;">Trojan.Spy.Bzub.NGP</td</tr><tr><td>CAT-QuickHeal</td><td>9.00</td><td>2008.01.07</td><td style="color: red;">Trojan.BHO.agz</td</tr><tr><td>ClamAV</td><td>0.91.2</td><td>2008.01.08</td><td style="color: red;">Trojan.BHO-1219</td</tr><tr><td>DrWeb</td><td>4.44.0.09170</td><td>2008.01.08</td><td style="color: red;">Trojan.DownLoader.38058</td</tr><tr><td>eSafe</td><td>7.0.15.0</td><td>2008.01.08</td><td style="color: red;">Win32.BHO.agz</td</tr><tr><td>eTrust-Vet</td><td>31.3.5441</td><td>2008.01.08</td><td style="color: red;">Win32/Kvol!generic</td</tr><tr><td>Ewido</td><td>4.0</td><td>2008.01.08</td><td style="color: red;">Trojan.BHO.agz</td</tr><tr><td>FileAdvisor</td><td>1</td><td>2008.01.08</td><td>-</td</tr><tr><td>Fortinet</td><td>3.14.0.0</td><td>2008.01.08</td><td style="color: red;">W32/BHO.AGZ!tr</td</tr><tr><td>F-Prot</td><td>4.4.2.54</td><td>2008.01.07</td><td>-</td</tr><tr><td>F-Secure</td><td>6.70.13030.0</td><td>2008.01.08</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>Ikarus</td><td>T3.1.1.20</td><td>2008.01.08</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>Kaspersky</td><td>7.0.0.125</td><td>2008.01.08</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>McAfee</td><td>5202</td><td>2008.01.08</td><td>-</td</tr><tr><td>Microsoft</td><td>1.3109</td><td>2008.01.08</td><td style="color: red;">Trojan:Win32/Boaxxe.C</td</tr><tr><td>NOD32v2</td><td>2775</td><td>2008.01.08</td><td style="color: red;">Win32/BHO.AGZ</td</tr><tr><td>Norman</td><td>5.80.02</td><td>2008.01.08</td><td style="color: red;">BZub.ARU</td</tr><tr><td>Panda</td><td>9.0.0.4</td><td>2008.01.08</td><td style="color: red;">Trj/Downloader.RKS</td</tr><tr><td>Prevx1</td><td>V2</td><td>2008.01.08</td><td style="color: red;">Generic.Malware</td</tr><tr><td>Rising</td><td>20.26.12.00</td><td>2008.01.08</td><td>-</td</tr><tr><td>Sophos</td><td>4.24.0</td><td>2008.01.08</td><td style="color: red;">Troj/BHO-EL</td</tr><tr><td>Sunbelt</td><td>2.2.907.0</td><td>2008.01.08</td><td>-</td</tr><tr><td>Symantec</td><td>10</td><td>2008.01.08</td><td>-</td</tr><tr><td>TheHacker</td><td>6.2.9.184</td><td>2008.01.08</td><td style="color: red;">Trojan/BHO.agz</td</tr><tr><td>VBA32</td><td>3.12.2.5</td><td>2008.01.07</td><td style="color: red;">Trojan.Win32.BHO.agz</td</tr><tr><td>VirusBuster</td><td>4.3.26:9</td><td>2008.01.08</td><td>-</td</tr><tr><td>Webwasher-Gateway</td><td>6.6.2</td><td>2008.01.08</td><td style="color: red;">Trojan.BHO.agz.36</td</tr><tr><td colspan="4"> </td></tr><tr><td colspan="4">Información adicional</td></tr><tr><td colspan="4">Tamano archivo: 84992 bytes</td></tr><tr><td colspan="4">MD5: f0ac00763b5dd64188e19f79c9ae85e2</td></tr><tr><td colspan="4">SHA1: 5f487bb132f4eae3e497922a2dc635bda3dd2e35</td></tr><tr><td colspan="4">PEiD: -</td></tr><tr><td colspan="4">packers: UPX</td></tr><tr><td colspan="4">packers: UPX</td></tr><tr><td colspan="4">packers: UPX</td></tr><tr><td colspan="4">packers: PE_Patch.UPX, UPX</td></tr><tr><td colspan="4">Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=4BF7A2BA00E85BB04C0801E236B7E500F05919B6</td></tr></table>

Motor antivirus;Versión;Última actualización;Resultado

AhnLab-V3;2008.1.9.10;2008.01.08;Win-Trojan/Bho.84992.G

AntiVir;7.6.0.46;2008.01.08;TR/BHO.agz.36

Authentium;4.93.8;2008.01.07;-

Avast;4.7.1098.0;2008.01.08;Win32:BHO-KD

AVG;7.5.0.516;2008.01.08;Generic9.AKAV

BitDefender;7.2;2008.01.08;Trojan.Spy.Bzub.NGP

CAT-QuickHeal;9.00;2008.01.07;Trojan.BHO.agz

ClamAV;0.91.2;2008.01.08;Trojan.BHO-1219

DrWeb;4.44.0.09170;2008.01.08;Trojan.DownLoader.38058

eSafe;7.0.15.0;2008.01.08;Win32.BHO.agz

eTrust-Vet;31.3.5441;2008.01.08;Win32/Kvol!generic

Ewido;4.0;2008.01.08;Trojan.BHO.agz

FileAdvisor;1;2008.01.08;-

Fortinet;3.14.0.0;2008.01.08;W32/BHO.AGZ!tr

F-Prot;4.4.2.54;2008.01.07;-

F-Secure;6.70.13030.0;2008.01.08;Trojan.Win32.BHO.agz

Ikarus;T3.1.1.20;2008.01.08;Trojan.Win32.BHO.agz

Kaspersky;7.0.0.125;2008.01.08;Trojan.Win32.BHO.agz

McAfee;5202;2008.01.08;-

Microsoft;1.3109;2008.01.08;Trojan:Win32/Boaxxe.C

NOD32v2;2775;2008.01.08;Win32/BHO.AGZ

Norman;5.80.02;2008.01.08;BZub.ARU

Panda;9.0.0.4;2008.01.08;Trj/Downloader.RKS

Prevx1;V2;2008.01.08;Generic.Malware

Rising;20.26.12.00;2008.01.08;-

Sophos;4.24.0;2008.01.08;Troj/BHO-EL

Sunbelt;2.2.907.0;2008.01.08;-

Symantec;10;2008.01.08;-

TheHacker;6.2.9.184;2008.01.08;Trojan/BHO.agz

VBA32;3.12.2.5;2008.01.07;Trojan.Win32.BHO.agz

VirusBuster;4.3.26:9;2008.01.08;-

Webwasher-Gateway;6.6.2;2008.01.08;Trojan.BHO.agz.36

Información adicional

Tamano archivo: 84992 bytes

MD5: f0ac00763b5dd64188e19f79c9ae85e2

SHA1: 5f487bb132f4eae3e497922a2dc635bda3dd2e35

PEiD: -

packers: UPX

packers: UPX

packers: UPX

packers: PE_Patch.UPX, UPX

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=4BF7A2BA00E85BB04C0801E236B7E500F05919B6

tmb pase el antivirus online y esto es lo que me dio de reporte:

Activescan

Incidencia Estado Elemento Spyware:Cookie/Apmebf No desinfectado C:\Documents and Settings\oscar\Cookies\oscar@apmebf[2].txt

Spyware:Cookie/Atlas DMT No desinfectado C:\Documents and Settings\oscar\Cookies\oscar@atdmt[1].txt

Spyware:Cookie/FastClick No desinfectado C:\Documents and Settings\oscar\Cookies\oscar@fastclick[2].txt

Spyware:Cookie/GoClick No desinfectado C:\Documents and Settings\oscar\Cookies\oscar@goclick[2].txt

Virus:Trj/Downloader.RKS Desinfectado C:\Documents and Settings\oscar\Escritorio\MUESTRAS\dbnmpntwe.dll

Virus:Trj/Downloader.RKS Desinfectado C:\WINDOWS\system32\dbnmpntwe.dll

Herramienta potencialmente no deseada:Application/ServUBased.DE No desinfectado D:\LITO\servidor web\ACA\serv-u_6[1].2_full_www.programasfull.com.rar[ServUSetup.exe]

Herramienta potencialmente no deseada:Application/ServUBased.DE No desinfectado D:\LITO\servidor web\ACA\serv-u_6[1].2_full_www.programasfull.com\ServUSetup.exe

Virus:Trj/Downloader.RKS Desinfectado D:\OSCAR\ANTIIIIIII\BACKUPS\backup-20080106-182842-996.dll

Herramienta potencialmente no deseada:Application/MotherboardMonitor.A No desinfectado G:\Musica\musica\sysreset253.exe

Virus:Trj/Wow.RM Desinfectado G:\System Volume Information\_restore{E6E73AB1-A62C-46FA-995A-25F55B850F64}\RP65\A0043084.EXE

Virus:Trj/Wow.RM Desinfectado G:\XP.EXE

Mensaje por **msc hotline sat** » 09 Ene 2008, 07:45

Pues efectivamente el dbnmpntwe.dll era malware, un Trojan.Win32.BHO.agz , y si no lo controlamos con el actual ELISTARA, (ya controlamos algunos de esta familia), lo haremos a partir de la proxima version, gracias a tu muestra.

Parece que con el ONLINE lo has eliminado, si bien no estará de mas probar el ELISTARA 15.40 que haremos hoy y aceptar cuando pregunte si quieres eliminar temporales de internet, para sacar las cookies y demas, aparte de restaurar claves y restos que este virus hubiera podido dejar.

Cuando lo hayamos analizado, informaremos

saludos

ms, 9-1-2008

Mensaje por **msc hotline sat** » 09 Ene 2008, 11:27

Pues terminado de analizar el fichero, se implementa el control y eliminacion del mismo en la verison de hoy del ELISTARA 15.40 que estará disponible en esta web a partir de las 19 h de hoy, para pruebas de evaluacion en este foro.

Descargala, pruebala esta noche y nos cuentas en resultado:

[quote]http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

saludos

ms, 9-1-2008