Virus por msn y norton loco

alexxx · Mensaje por **alexxx** » 25 Ene 2008, 23:24

Hola

Bien pues escribo porque hoy he cometido la gran estupidez de abrir una de estas paginas que mandan por msn que no es otra cosa que un virus.

Desde luego siento las molestias por esto ya que nunca los abro lo que pasa que esta vez una amiga me habia di~~[b]~~[i]ch[/i][/b]o inocentemente que uno le habia pasado dicha dirección en la que venía su dirección de correo y no le dejaba abrirlo. Fue por eso que yo me fie, porque no era algo robótico.

Bueno el tema es que lo primero que paso fue que el msn fallaba mandándole el virus a mis contactos como suele pasar, lo siguiente que sucedió fueron alertas de troyanos del norton antivirus. A partir de ahí el ordenador se ha vuelto loco me empezaron a aparecer pantallas del norton que ponen

symantec

analizando mensaje 1 de 1 (también 1 de 2, 1 de 3...)

(una barrita vacia)

0% completo

Si quereis subo una foto de como se colapsa la pantalla. Además también estuvo un largo rato sin conexión a internet hasta que, tras pasarle el spybot - search&destroy, el propio norton y un programa que tenía de esta web de un problema que tuve hace tiempo, el ELISTARA, se recuperó.

Pues bien, después de hacer todo esto ahora sufro como "rachas" que se dan solo cuando estoy conectado a internet de apariciones de hasta 30 pantallas como las ya mencionadas y otras a las cuales tengo que cerrar yo. Tambien son de symantec y ponen cosas como:

Proxy de correo electónico de Symantec

No se pudo enviar su mensaje de correo electrónico, el servidor de correo rechazo el mensaje:

571 Message Refused

Haga clic aquí para ir a la base de conocimientos de soporte técnico de symantec...

1003,11

Otro dice:

No se pudo enviar su mensaje para simonwilkinson@direct-solution.com con el asunto otousu.

se interrumpió la conexión con tu servidor de correo. Abra el cliente de correo electrónico y vuelva a enviar el mensaje desde la carpeta Mensajes enviados.

Haga clic aquí para ir a la base de conocimientos de soporte técnico de symantec...

1003,9

Es como si mandara información a un correo pero esto es inaguantable. Parece que en vez de cerrar ventanas ando matando marcianitos... Pues bien nose que hacer ya con esto, me ha superado.

Si quereis os doy la dirección del virus que debe estar en una de las conversaciones guardadas. Espero haberme explicado bien

Muchas gracias, un saludo.

Mensaje por **msc hotline sat** » 26 Ene 2008, 08:45

Pues igual era por lo que dices del MSN o por cualquier otra historia, que no solo pulula este por ahí fuera :wink: !

Y lo que ahora dices parece ser de envio masivo por mail, detenido por el Norton por supuesto spameo con algo desconocido si no detecta y elimina al causante

Para saber lo que tuiviste del MSN, posteanos el contenido de c:\infosat.txt y veremos lo que el ELISTARA hizo en su momento, y aparte envianos el log del HJT, creado siguiendo estas indicaciones:

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y ubicarlo en una carpeta propia C:\HijackThis\

Ejecútarlo y presionar el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, informaremos

y lo de la pagina que fue la causante de su infección, aunque seguramemnte ya está cerrada o han eliminado la descarga del virus, enviemela en un privado (excepcionalmente) para no crear riesgos en el foro.

saludos

ms, 26-1-2008

otousu

alexxx · Mensaje por **alexxx** » 26 Ene 2008, 12:11

Hola, después de seguir los pasos aquí mando:

El log del Hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 11:46:39, on 26/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Acer\eManager\anbmServ.exe

C:\Archivos de programa\WIDCOMM\Bluetooth Software\bin\btwdins.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

C:\Archivos de programa\Arcade\PCMService.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\acer\epm\epm-dm.exe

C:\Archivos de programa\Launch Manager\QtZgAcer.EXE

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Norton AntiVirus\CfgWiz.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Archivos de programa\Archivos comunes\Teleca Shared\CapabilityManager.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\WIDCOMM\Bluetooth Software\BTTray.exe

C:\ARCHIV~1\Webshots\webshots.scr

C:\Archivos de programa\Archivos comunes\Teleca Shared\Generic.exe

C:\Archivos de programa\Norton AntiVirus\NAVW32.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\DOCUME~1\ALEJAN~1\CONFIG~1\Temp\Directorio temporal 1 para hijackthis.zip\HijackThis.exe

C:\Archivos de programa\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [PCMService] "C:\Archivos de programa\Arcade\PCMService.exe"

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe

O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot

O4 - HKLM\..\Run: [LManager] C:\Archivos de programa\Launch Manager\QtZgAcer.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Archivos de programa\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [NAV CfgWiz] "C:\Archivos de programa\Norton AntiVirus\CfgWiz.exe" /GUID {0D7956A2-5A08-4ec2-A72C-DF8495A66016} /MODE CfgWiz /CMDLINE "REBOOT"

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: BTTray.lnk = ?

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110w.bay110.mail.live.com/mail/resources/MsnPUpld.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - D:\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\WIDCOMM\Bluetooth Software\bin\btwdins.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: EvtEng - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~2.EXE

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Programador de LiveUpdate automático - Symantec Corporation - C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: RegSrvc - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

Y este es el resultado del infosat.txt del Elistara:

Tue Dec 26 13:22:28 2006

EliTriIP v2.93 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Alejandro\Mis documentos\Mis archivos recibidos\Install_MSN_Messenger7.5.EXE --> Eliminado, Bifrose (dropper)

Tue Dec 26 13:42:48 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\CTHKPCV.DLL.Muestra EliStartPage v12.96

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\CTHKPCV.DLL --> Renombrado a .VIR

C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\ISADDON.DLL --> Puper-Isa Acceso Denegado.

Eliminada Class, "{1A1DDC19-5893-43AB-A73F-F41A0F34D115}" -> C:\Archivos de programa\Video ActiveX Object\isaddon.dll

Eliminada Class, "{B59F3BA4-98DA-4B5F-8A2D-7B56FB11140B}" -> C:\WINDOWS\system32\cthkpcv.dll

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminada Carpeta "%WinSys%\Service"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Dec 26 13:44:49 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\WINDOWS\system32\ANSMTP.DLL --> Eliminado, DropSpam

C:\Archivos de programa\Nero\Nero 7\Nero Vision\NVDV.DLL --> Eliminado, Hotbar

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP422\A0044597.EXE --> AutoExtraible

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP483\A0047298.DLL --> Eliminado, Puper-Isa

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP483\A0047672.DLL --> Eliminado, Puper-Isa

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP483\A0047682.DLL --> Eliminado, DropSpam

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP483\A0047684.DLL --> Eliminado, Hotbar

Tue Dec 26 12:50:32 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\seguridad\AXCRYPT-SETUP.EXE --> AutoExtraible

D:\seguridad\AxCrypt\AXCRYPTU.EXE --> AutoExtraible

D:\seguridad\AxCrypt\1.6.3\NOTIFY.EXE --> AutoExtraible

Tue Dec 26 12:52:29 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\ISADDON.DLL --> Eliminado Puper-Isa

Eliminada Class, "{1A1DDC19-5893-43AB-A73F-F41A0F34D115}" -> C:\Archivos de programa\Video ActiveX Object\isaddon.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Dec 26 14:10:46 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Tue Dec 26 14:15:34 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP422\A0044597.EXE --> AutoExtraible

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP483\A0047694.DLL --> Eliminado, Puper-Isa

Tue Dec 26 14:35:29 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Dec 26 14:40:46 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP422\A0044597.EXE --> AutoExtraible

Tue Dec 26 15:26:16 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Dec 26 15:37:18 2006

EliStartPage v12.96 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP422\A0044597.EXE --> AutoExtraible

Fri Jan 25 16:00:14 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\Documents and Settings\All Users\Menú Inicio\Online Security Guide.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\All Users\Menú Inicio\Security Troubleshooting.url --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\AUTORUN.INI --> Eliminado (Fichero Complementario).

Eliminado Servicio, "runtime"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Jan 25 16:01:19 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\CMDLINEEXT03.DLL --> Acceso Denegado, Spy-CmdLineExt

C:\WINDOWS\system32\SINTF32.DLL --> Eliminado, Spy-CmdLineExt

C:\WINDOWS\system32\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt

Nº Total de Directorios: 4005

Nº Total de Ficheros: 48421

Nº de Ficheros Analizados: 13381

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 2

Exploración Detenida por el Usuario.

Fri Jan 25 16:39:47 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Jan 25 16:59:56 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Jan 25 17:00:00 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\CMDLINEEXT03.DLL.VIR --> Eliminado, Spy-CmdLineExt

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP892\A0068942.DLL --> Eliminado, Spy-CmdLineExt

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP892\A0068943.DLL --> Eliminado, Spy-CmdLineExt

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP892\A0068944.DLL --> Eliminado, Spy-CmdLineExt

Nº Total de Directorios: 5726

Nº Total de Ficheros: 67456

Nº de Ficheros Analizados: 16623

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4

Fri Jan 25 22:45:28 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Jan 25 22:45:40 2008

EliStartPage v15.51 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

También añado que ayer desinstalé y volví a instalar el antivirus manteniéndose el mismo problema tras diez o quince minutos estables.

Y de mayor importancia me parecen dos archivos .exe llamados blhhjtpx y urdeuvmj que acabo de ver en el disco c/ y que fueron creados ayer a la misma hora que abrí dicha pagina del virus. ¿Son ellos el problema?

Ahora te paso la página por un privado.

Gracias, un saludo.

Mensaje por **lucl** » 26 Ene 2008, 12:20

Envianos los ficheros a analizar y el archivo que tendras en la carpeta muestras en C que ha dejado elistara, sigue las indicaciones del link, saludos

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

alexxx · Mensaje por **alexxx** » 26 Ene 2008, 13:08

~~[b]~~lucl[/b], ¿qué ficheros os paso a parte de los del elistara?

¿Los dos, el propio infosat.txt y el log del Hijackthis que ya puse arriba como respuesta?

Sería útil adjuntar los archivos .exe que ya mencioné o algo mas?

Gracias, saludos

Mensaje por **msc hotline sat** » 26 Ene 2008, 19:33

Envianos esta muestra que te pide el ELISTARA:

Por favor, envienos una muestra del fichero

C:\Muestras\CTHKPCV.DLL.Muestra EliStartPage v12.96

y los otros dos que indicas se crearon al ingresar el virus:

"dos archivos ~~[b]~~[i].exe llamados blhhjtpx y urdeuvmj[/i][/b] que acabo de ver en el disco c/ "

tal como indica el link posteado por lucl.

saludos

ms, 26-1-2008

alexxx · Mensaje por **alexxx** » 26 Ene 2008, 21:51

Ya he enviado las muestras de los archivos pero como ya puse en el correo no encuentro la carpeta que decis de muestras...nose es bastante raro habiendo pasado el elistara. ¿Sabeis porque puede ser el que no deje esa carpeta?

Saludos

Mensaje por **lucl** » 26 Ene 2008, 22:14

Olvida lo de la carpeta muestras pues en el infosat pone fecha 26 de diciembre, supongo que en su dia lo eliminaste o lo que fuera. Mientras tanto los archivos que nos enviaste y que continuan en tu pc , renombralos a .VIR para que si son viricos no se ejecuten de nuevo cuando enciendas el ordenador. y en cuanto a los enviados el lunes los analizaran y te diran algo, saludos

alexxx · Mensaje por **alexxx** » 26 Ene 2008, 22:27

Si, es probable que la eliminara y no se haya vuelto a crear porque la última vez que lo había usado fue hace unos 7 meses o así.

Bueno muchas gracias espero vuestra respuesta aver que se puede hacer :) si hubiera alguna cosa más que descubriera ya la postearía.

Un saludo

Mensaje por **msc hotline sat** » 27 Ene 2008, 07:35

Mañana se analizaran todas las muestras recibidas el fin de semana en SATINFO, pero si ya has renombrado a extension .VIR los dos ficheros, como te indicó lucl, tras reiniciar ya no se ponen en marcha, comentanos si tras ello persiste alguna anomalía, para obrar en consecuencia

saludos

ms, 27-1-2008

alexxx · Mensaje por **alexxx** » 27 Ene 2008, 14:54

Ya renombré ayer los archivos, sin embargo, el problema sigue siendo el mismo. Ahora no tengo el norton instalado ya que al conectarme a internet sigue sucediendo lo que comenté.

Para más detalles he adjuntado una foto de lo que ocurre nose si se hace así porque nunca lo he hecho pero bueno se intenta :oops: :lol:

Actualmente es el unico problema que he detectado desde que el spybot y el elistara eliminaron unos cuantos a parte de los 5 troyanos que detectó el antivirus antes de colapsarse

Gracias, un saludo

Mensaje por **lucl** » 27 Ene 2008, 17:03

Bueno espera a que te lo analicen mañana y te digan algo , ten un poco de paciencia :wink: saludos

Mensaje por **msc hotline sat** » 27 Ene 2008, 19:19

Aparte cabe indicar dos cosas, que Otousu es un nombre japones, sin ques e conozca ninguna relacion con virus:

http://www.authsecu.com/dictionnaire/japonais-divers.php

y que si dices que ya no tienes instalado el norton... ~~[b]~~[i]"Ahora no tengo el norton instalado"[/i][/b], como es que te salen pantallas de aviso de dicho producto ???

Lanza de nuevo el HJT y posteanos el log actual y lo revisaremos, a ver si podemos eliminar algo mientras analizamos la muestra, y es mas, ademas subela al VirusTotal y posteanos el resultado, asi podremos obrar en consecuencia sobre el registro de sistema

https://www.virustotal.com/es/

saludos

ms, 27-1-2008

alexxx · Mensaje por **alexxx** » 28 Ene 2008, 00:09

:oops: lo siento, no me expliqué bien. No lo tengo instalado pero a lo que me refería es que cuando lo tenía instalado (y ya lo he instalado y desinstalado un par de veces) sucedía eso. Lo desinstalo para poder usar el ordenador con internet xD

En cualquier caso posteo el log del HJT

Logfile of HijackThis v1.99.1

Scan saved at 23:39:57, on 27/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

C:\Archivos de programa\Arcade\PCMService.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\acer\epm\epm-dm.exe

C:\Archivos de programa\Launch Manager\QtZgAcer.EXE

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\WIDCOMM\Bluetooth Software\BTTray.exe

C:\ARCHIV~1\Webshots\webshots.scr

C:\Acer\eManager\anbmServ.exe

C:\Archivos de programa\WIDCOMM\Bluetooth Software\bin\btwdins.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Teleca Shared\Generic.exe

C:\Archivos de programa\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

D:\seguridad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [PCMService] "C:\Archivos de programa\Arcade\PCMService.exe"

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe

O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot

O4 - HKLM\..\Run: [LManager] C:\Archivos de programa\Launch Manager\QtZgAcer.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Archivos de programa\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: BTTray.lnk = ?

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110w.bay110.mail.live.com/mail/resources/MsnPUpld.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - D:\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\WIDCOMM\Bluetooth Software\bin\btwdins.exe

O23 - Service: EvtEng - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: RegSrvc - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

Además de VirusTotal:

Análisis del archivo hijackthis.log recibido el 27.01.2008 23:50:22 (CET)

Estado actual: Cargando ... en cola en espera en proceso análisis terminado NO ENCONTRADO DETENIDO

Resultado: 0/32 (0%)

Gracias un saludo

Mensaje por **msc hotline sat** » 28 Ene 2008, 08:02

El log está limpio, y no era el log del HJT lo que tenia que subir al virustotal, sino los ficheros sospechosos...

Pero ya da igual, en un par de horas los analizaremos en SATINFO e informaremos

saludos

ms, 28-1-2008

alexxx · Mensaje por **alexxx** » 28 Ene 2008, 21:40

Ok pues ya cuando sepais algo me avisais.

Muchas gracias un saludo.

Mensaje por **msc hotline sat** » 29 Ene 2008, 07:11

Pues me parece que ayer me pasó por alto el indicarlo, y no sé si se aplicó en el ELISTARA o en el ELITRIIP de ayer, prueba los dos:

~~[b]~~ ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp

~~[b]~~ ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 29-1-2008

alexxx · Mensaje por **alexxx** » 29 Ene 2008, 15:56

Ok aqui dejo el infosat de ambos, decir que tras pasarlos he instalado el antivirus y el problema persiste aunque no de forma tan masiva por ahora

Tue Jan 29 10:51:58 2008

EliStartPage v15.53 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (E)

open=autorun.EXE

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Tue Jan 29 10:56:13 2008

EliStartPage v15.53 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (E)

open=autorun.EXE

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Tue Jan 29 10:57:22 2008

EliTriIP v4.32 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Tue Jan 29 11:11:03 2008

EliTriIP v4.32 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Tue Jan 29 11:11:04 2008

EliStartPage v15.53 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\autorun\Drivers\BTW\Autorun.inf --> Eliminado, BackDoor.CMQ(inf)

C:\WINDOWS\system32\autorun\Drivers\Producer\Autorun.inf --> Eliminado, BackDoor.CMQ(inf)

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP898\A0070467.inf --> Eliminado, BackDoor.CMQ(inf)

C:\System Volume Information\_restore{DAE90D38-621E-4ED8-AE45-C0DE434530B7}\RP898\A0070468.inf --> Eliminado, BackDoor.CMQ(inf)

Nº Total de Directorios: 5761

Nº Total de Ficheros: 68659

Nº de Ficheros Analizados: 15247

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4

Nº Total de Directorios: 5761

Nº Total de Ficheros: 68655

Nº de Ficheros Analizados: 16810

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Un saludo y gracias

Mensaje por **msc hotline sat** » 29 Ene 2008, 16:05

Parece que tienes algo para enviarnos :

Detectado AUTORUN.INF en la Unidad (E)

open=~~[b]~~[i]autorun.EXE

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF [/i][/b]

Tras analizarlo informaremos

saludos

ms, 29-1-2008

NOTA:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Mensaje por **msc hotline sat** » 29 Ene 2008, 16:13

Y no hay registrada la entrada de estas muestras:

[quote]Publicado: Sab Ene 26, 2008 7:33 pm Título del mensaje:

--------------------------------------------------------------------------------

Envianos esta muestra que te pide el ELISTARA:

Por favor, envienos una muestra del fichero

C:\Muestras\CTHKPCV.DLL.Muestra EliStartPage v12.96

y los otros dos que indicas se crearon al ingresar el virus:

"dos archivos .exe llamados blhhjtpx y urdeuvmj que acabo de ver en el disco c/ "

tal como indica el link posteado por lucl.

saludos

ms, 26-1-2008[/quote]

Repite el envio y sobre todo pon tu nick del foro como referencia, :

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 29-1-2008

alexxx · Mensaje por **alexxx** » 29 Ene 2008, 17:09

Comento, el AUTORUN.INF y el autorun.EXE pertenecen a la unidad E que es la del CD extraible, en ella se encuentra el CD con el norton antivirus que es el programa al que corresponden ambos archivos sospechosos.

En cuanto a la carpeta de muestras, como ya dije en un post anterior no la tengo, no me suena haberla tenido pero es posible que la borrara pues hacía más mucho que no usaba el elistara. Además, tras pasarlo, no se ha creado ninguna carpeta de este tipo habiéndo usado tambien el buscador.

Gracias, un saludo.

Mensaje por **msc hotline sat** » 29 Ene 2008, 19:20

Entonces lo que dices de :

[quote]Publicado: Lun Ene 28, 2008 9:40 pm Título del mensaje:

--------------------------------------------------------------------------------

Ok pues ya cuando sepais algo me avisais. [/quote]

si no has enviado las muestras, si no que las has borrado, NADA PODEMOS ANALIZAR !!!

Y si tienes el CD insertado cuando exploras, se detecta el AUTORUN dle mismo, el cual es normal en tal caso.

Así que si quieres que analicemos muestras sospechosas, envianoslas y si quieres alguna otra aclaracion dinoslo, o si ya lo consideras solucionado, indicanoslo igualmente para dar por solucionado el Tema, gracias

saludos

ms, 29-1-2008

Mensaje por **flacoroo** » 29 Ene 2008, 19:29

si el elistara te pide la muestra es que debe estar infectado por algun virus y no se conoce esa aplicacion....

y se piden las muestras para que se actualizen los programitas y se puede eliminar en este caso tu problema y asi otro forero con el mismo problema se pueda beneficiar.....

Mensaje por **msc hotline sat** » 29 Ene 2008, 19:41

Si te refieres al AUTORUN.INF flacoroo, como sea que cada ordenador tiene la unidad de CD donde quiere, y no podemos saber a priori si es CD, DVD, disco duro o USB, informamos de su deteccion, pero indicando que si es conocido por el usuario que si en la unidad indicada es conocida la aplicacion en cuestion, ya no hace falta que nos la envie, solo en caso que no sea CD y no se conozca, pues los virus de pendrive se propagan asi, creando un AUTORUN.INF en las unidades extraibles.

Para ello contamos con la colaboracion del usuario, que sabe lo que tiene en cada unidad, nosotros no :wink:

saludos

ms, 29.1.2008

alexxx · Mensaje por **alexxx** » 29 Ene 2008, 19:48

Esque lo que yo había mandado para analizar eran tres archivos sospechosos, no las muestras del elistara ya que no se ha creado tal carpeta y por tanto no puedo mandar nada. El virus que vino a través del msn y que se supone se pasa a todos los contactos está eliminado totalmente, el problema sigue siendo el envío masivo de mails desde el norton antivirus a otros correos desconocidos. No creo que se desconfigurara porque lo he revisado y está normal...En cualquier caso, si encuentro algún archivo sospechoso os lo enviaré.

Parece complicado el asunto ya que si no tengo la carpeta de muestras...Bueno siempre queda el formateo :lol: además siendo optimistas podría ser peor porque por lo menos puedo guardar lo que necesite.

Gracias. Un saludo

Mensaje por **flacoroo** » 29 Ene 2008, 19:59

bajate esta herramienta...

SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp

posteandonos el SPROCLOG.TXT que te generará el SPROCES

Mensaje por **msc hotline sat** » 29 Ene 2008, 21:35

Pues la carpeta de C:\muestras se creó, al menos con este fichero:

Por favor, envienos una muestra del fichero

C:\Muestras\CTHKPCV.DLL.Muestra EliStartPage v12.96

Pero si algo o alguien la ha borrado...

Pues eso, si quieres que analicemos algun sospechoso ya sabes donde estamos

saludos

ms, 29-1-2008

alexxx · Mensaje por **alexxx** » 29 Ene 2008, 22:32

Por ahora no he encontrado más archivos sospechosos. En cuanto a lo del SPROCES aquí dejo el SprocLog.txt

Tue Jan 29 22:28:46 2008

SProces v2.8b (c)2007 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 2

Internet Explorer: (v6.0.2900.2180) ;SP2;

Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\INTEL\WIRELESS\BIN\EVTENG.EXE

C:\ARCHIVOS DE PROGRAMA\INTEL\WIRELESS\BIN\S24EVMON.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\ACER\EMANAGER\ANBMSERV.EXE

C:\ARCHIVOS DE PROGRAMA\WIDCOMM\BLUETOOTH SOFTWARE\BIN\BTWDINS.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\VS7DEBUG\MDM.EXE

C:\ARCHIVOS DE PROGRAMA\INTEL\WIRELESS\BIN\REGSRVC.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM32\WSCNTFY.EXE

C:\ARCHIVOS DE PROGRAMA\SYNAPTICS\SYNTP\SYNTPLPR.EXE

C:\ARCHIVOS DE PROGRAMA\SYNAPTICS\SYNTP\SYNTPENH.EXE

C:\ARCHIVOS DE PROGRAMA\ARCADE\PCMSERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE

C:\ACER\EPM\EPM-DM.EXE

C:\ARCHIVOS DE PROGRAMA\LAUNCH MANAGER\QTZGACER.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\REAL\UPDATE_OB\REALSCHED.EXE

C:\WINDOWS\SYSTEM32\RUNDLL32.EXE

C:\ARCHIVOS DE PROGRAMA\JAVA\JRE1.6.0_03\BIN\JUSCHED.EXE

C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBARNOTIFIER\GOOGLETOOLBARNOTIFIER.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE

C:\ARCHIVOS DE PROGRAMA\WIDCOMM\BLUETOOTH SOFTWARE\BTTRAY.EXE

C:\ARCHIV~1\WEBSHOTS\WEBSHOTS.SCR

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\TELECA SHARED\GENERIC.EXE

C:\ARCHIVOS DE PROGRAMA\SONY ERICSSON\MOBILE2\MOBILE PHONE MONITOR\EPMWORKER.EXE

C:\WINDOWS\SYSTEM32\WUAUCLT.EXE

C:\ARCHIVOS DE PROGRAMA\WINDOWS LIVE\MESSENGER\MSNMSGR.EXE

C:\ARCHIVOS DE PROGRAMA\MOZILLA FIREFOX\FIREFOX.EXE

C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 7.0\READER\ACRORD32.EXE

C:\ARCHIVOS DE PROGRAMA\EMULE\EMULE.EXE

C:\DOCUMENTS AND SETTINGS\ALEJANDRO\ESCRITORIO\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Hook de búsqueda de direcciones URL de Microsoft - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\system32\shdocvw.dll

R3 - URLSearchHook: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn0\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [PCMService] "C:\Archivos de programa\Arcade\PCMService.exe"

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe

O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot

O4 - HKLM\..\Run: [LManager] C:\Archivos de programa\Launch Manager\QtZgAcer.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: []

O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Archivos de programa\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - Startup: desktop.ini

O4 - Startup: Webshots.lnk

O4 - Global Startup: desktop.ini

O4 - Global Startup: WinZip Quick Pick.lnk

O4 - Global Startup: Microsoft Office.lnk

O4 - Global Startup: Adobe Gamma Loader.lnk

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk

O4 - Global Startup: BTTray.lnk

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {233C1507-6A77-46A4-9443-F871F945D258} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110w.bay110.mail.live.com/mail/resources/MsnPUpld.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.6.0_03) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CAFEEFAC-0015-0000-0007-ABCDEFFEDCBA} (Java Plug-in 1.5.0_07) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_07-windows-i586.cab

O16 - DPF: {CAFEEFAC-0015-0000-0009-ABCDEFFEDCBA} (Java Plug-in 1.5.0_09) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_09-windows-i586.cab

O16 - DPF: {CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA} (Java Plug-in 1.5.0_10) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586.cab

O16 - DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} (Java Plug-in 1.5.0_11) - http://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab

O16 - DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} (Java Plug-in 1.6.0_01) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab

O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} (Java Plug-in 1.6.0_02) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_03) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O18 - Protocol: cdo - {CD00020A-8B95-11D1-82DB-00C04FB1625D} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Web Folders\PKMCDO.DLL

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Information Retrieval\MSITSS.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: ATIEXTEVENT - ATI2EVXX.DLL

O20 - Winlogon Notify: IGFXCUI - IGFXSRVC.DLL

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll

Información Adicional:

----------------------

Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: AEGIS Protocol (IEEE 802.1x) v3.1.6.0 (AegisP) - Meetinghouse Data Communications - C:\WINDOWS\SYSTEM32\DRIVERS\AegisP.sys

O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Bluetooth Serial Driver (BTSERIAL) - WIDCOMM, Inc. - C:\WINDOWS\system32\drivers\btserial.sys

O23 - Service: Bluetooth Port Client Driver (BTSLBCSP) - WIDCOMM, Inc. - C:\WINDOWS\system32\drivers\btslbcsp.sys

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\WIDCOMM\Bluetooth Software\bin\btwdins.exe

O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: Acer EPM Power Scheme Driver (EpmPsd) - Acer Value Labs, USA - C:\WINDOWS\system32\drivers\epm-psd.sys

O23 - Service: Acer EPM System Hardware Driver (EpmShd) - Acer Value Labs, USA - C:\WINDOWS\system32\drivers\epm-shd.sys

O23 - Service: EvtEng - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: mdmxsdk - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\mdmxsdk.sys

O23 - Service: osaio - Avocent/OSA Technologies Inc. - C:\WINDOWS\system32\drivers\osaio.sys

O23 - Service: osanbm - Windows (R) 2000 DDK provider - C:\WINDOWS\system32\drivers\osanbm.sys

O23 - Service: RegSrvc - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: WLAN Transport (s24trans) - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\s24trans.sys

Gracias. Saludos

Mensaje por **msc hotline sat** » 30 Ene 2008, 07:17

No se aprecia ningun fichero sospechoso para analizar.

Solo hay esta clave anomala:

O4 - HKLM\..\Run: []

pero puede ser un resto mal eliminado.

saludos

ms, 30-1-2008