Ayuda!!! Por Favor...!!!

[FaCux]

[b]Mis Estimados:



EL Spybot S&D me detecta lo siguiente:[/b]



--- Search result list ---

Vanbot: [SBI $78E16199] Configuración (Valor del registro, fixed)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\Microsoft Update Machine



Win32.Rbot.aeu: [SBI $7A51A4DA] Configuración (Valor del registro, fixed)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\DRam prosessor



Zlob.DNSChanger: [SBI $041D1396] TCP/IP Settings #1 (Undefined) (Cambio en el registro, fixed)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{03CC680F-940C-4F2A-BAE3-FE29BF3064AC}\NameServer=208.67.220.220,208.67.222.222



[b]Pero cuando elijo solucionar problemas seleccionados... es como que se vuelven a ejecutar y cuando escaneo nuevamente siguen ahi!

Siguiendo otro mensaje del foro instale el Elistara, lo ejecute, pero me elimino un archivo ejecutable de un programa 3D (Blender.exe), pero no recolvio el problema. aqui adjunto el informe.[/b]

Thu Apr 24 23:15:07 2008

EliStartPage v16.16 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminada Class, "{7C109800-A5D5-438F-9640-18D17E168B88}" -> C:\Archivos de programa\NetProject\sbmdl.dll

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Apr 24 23:16:55 2008

EliStartPage v16.16 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Adobe\Adobe Photoshop CS3\MATLAB\PSTOOLBOX.HTML --> Eliminado, MalWare.Celular

C:\Archivos de programa\Blender Foundation\Blender\BLENDER.EXE --> Eliminado, SpyBurner

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 5801

Nº Total de Ficheros: 64347

Nº de Ficheros Analizados: 25557

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3

Sistema Infectado por el Flush o DNSChanger

Instalada Utilidad "ELINOTIF.DLL" (Reinicie de Nuevo para Completar la Limpieza)



EliNotify v1.8.02.21 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado Flush o DNSChanger

Desinstalado EliNotif.dll



Thu Apr 24 23:25:21 2008

EliStartPage v16.16 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\KDMJM.EXE.Muestra EliStartPage v16.16

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\KDMJM.EXE --> Eliminado

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Apr 24 23:25:57 2008

EliStartPage v16.16 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 5802

Nº Total de Ficheros: 64336

Nº de Ficheros Analizados: 25551

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





[b] y Luego el Hi-Jack this y aqui ve el informe:[/b]



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:36:07, on 24/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe

C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMBgMonitor.exe

C:\Archivos de programa\Telefonica\Speedy\SATConMon.exe

C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe

C:\Archivos de programa\Ares\Ares.exe

C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexStoreSvr.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\bycavn.exe

C:\Palm\HOTSYNC.EXE

C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

C:\Archivos de programa\Spybot - Search & Destroy\SpybotSD.exe

C:\Documents and Settings\Administrador\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7C109800-A5D5-438F-9640-18D17E168B88} - (no file)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [egui] "C:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\RunServices: [Microsoft Update Machine] bycavn.exe

O4 - HKLM\..\RunServices: [DRam prosessor] dlp.exe

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [tspcm] C:\Archivos de programa\Telefonica\Speedy\SATConMon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Microsoft Update Machine] bycavn.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE

O4 - Global Startup: PowerReg Scheduler.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1207327535879

O17 - HKLM\System\CCS\Services\Tcpip\..\{03CC680F-940C-4F2A-BAE3-FE29BF3064AC}: NameServer = 85.255.113.142 85.255.112.80

O17 - HKLM\System\CCS\Services\Tcpip\..\{9A89E477-E925-4298-B356-3D0BC835ADBB}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS1\Services\Tcpip\..\{03CC680F-940C-4F2A-BAE3-FE29BF3064AC}: NameServer = 85.255.113.142 85.255.112.80

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O22 - SharedTaskScheduler: important - {9c87cb31-93d0-4f3e-a360-4a91ff77aeb7} - C:\WINDOWS\system32\dcggain.dll (file missing)

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe

O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe



[b]No se si cabe aclarar que el Nod32 actualizado.. no detecta nada..... bueno.. la verdad es que no se que mas hacer... Desde ya les quedo agradecido por anticipado.. GRacias!! espero me respondan![/b]

[msc hotline sat]

Pues ya ve que se le pide que nos envie esta muestra:

EliStartPage v16.16 (c)2008 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Por favor, envienos una muestra del fichero
C:\Muestras\KDMJM.EXE.Muestra EliStartPage v16.16

y ademas vemos en el HJT otros sospechosos que conviene que nos envie tambien para analizar:


C:\WINDOWS\system32\bycavn.exe

C:\WINDOWS\system32\dlp.exe

C:\WINDOWS\system32\dcggain.dll (este ultimo mire que no esté oculto): viewtopic.php?f=5&t=13245

y para enviarlos:

· ¿Como enviar las muestras a zonavirus?




Aparte vemos que apunta a servidores DNS maliciosos de Ukraina:

85.255.113.142 85.255.112.80
85.255.113.142 UA Ukraine 17 Odes'ka Oblast' Odessa 46.4667 30.7333 UkrTeleGroup Ltd. UkrTeleGroup Ltd.
85.255.112.80 UA Ukraine 17 Odes'ka Oblast' Odessa 46.4667 30.7333 UkrTeleGroup Ltd. UkrTeleGroup Ltd.


Pregunte a su ISP los DNS servers que le recomiendan usar, y una vez lo sepa, puede probar el CONFGDNS.EXE para cambiarlos

http://www.zonavirus.com/descargas/confgdns.asp

Y cuando recibamos las muestras, las analizaremos e informaremos.
Si quiere, mientras, renombre estos ficheros que nos envia , a extension .VIR , (la que está en c:\muestras ya no hace falta), para que no se pongan en uso a partir del proximo reinicio, y tras ver lo que son, veremos si las eliminamos o las volvemos a renombrar a la extension original.

saludos

ms, 25-04-2008

[FaCux]

Les he enviaod la muestra de C:\KDMJM.exe, pero los otros archivos no los he encontrado (bycavn.exe, dcggain.exe, dlp.exe) los busque en C:\WINDOWS\system32\ y en todo el sistema, como archivos comunes, y como ocultos. pero el spyware y el HJT los siguen detectando.

Espero su respuesta.



gracias.



FacuX

[msc hotline sat]

Pues el lunes, cuando volvamos al trabajo en SATINFO, la analizaremos e informaremos



De momento el ELISTARA la ha movido a la carpeta de muestras, donde estará aparcado y no incordiará a partir del siguiente reinicio.



Si quiere, subala al VIRUSTOTAL a ver si la detectan como virus algunos antivirus, y asi adelantaremos acontecimientos:



http://www.virustotal.com /es



y nos postea el resultado, gracias



saludos



ms, 25-04-2008

[FaCux]

[b]estimados:



Aqui les posteo el resultado del scaneo de virustotal.com.

[/b]

Motor antivirus Versión Última actualización Resultado

AhnLab-V3 2008.4.25.2 2008.04.25 -

AntiVir 7.8.0.10 2008.04.25 TR/Dropper.Gen

Authentium 4.93.8 2008.04.26 -

Avast 4.8.1169.0 2008.04.25 Win32:KdCrypt

AVG 7.5.0.516 2008.04.25 DNSChanger.AB

BitDefender 7.2 2008.04.26 Trojan.Downloader.Zlob.ABOU

CAT-QuickHeal 9.50 2008.04.25 (Suspicious) - DNAScan

ClamAV 0.92.1 2008.04.26 -

DrWeb 4.44.0.09170 2008.04.25 Trojan.Virtumod.based

eSafe 7.0.15.0 2008.04.21 Suspicious File

eTrust-Vet 31.3.5736 2008.04.26 -

Ewido 4.0 2008.04.25 -

F-Prot 4.4.2.54 2008.04.25 -

F-Secure 6.70.13260.0 2008.04.25 Packed.Win32.Monder.gen

FileAdvisor 1 2008.04.26 -

Fortinet 3.14.0.0 2008.04.26 -

Ikarus T3.1.1.26 2008.04.26 -

Kaspersky 7.0.0.125 2008.04.26 Packed.Win32.Monder.gen

McAfee 5282 2008.04.25 -

Microsoft 1.3408 2008.04.22 Trojan:Win32/Alureon.gen

NOD32v2 3055 2008.04.25 -

Norman 5.80.02 2008.04.25 W32/DLoader.GSXD

Panda 9.0.0.4 2008.04.26 -

Prevx1 V2 2008.04.26 -

Rising 20.41.42.00 2008.04.25 -

Sophos 4.28.0 2008.04.25 -

Sunbelt 3.0.1056.0 2008.04.17 -

Symantec 10 2008.04.26 -

TheHacker 6.2.92.293 2008.04.26 -

VBA32 3.12.6.5 2008.04.26 suspected of Downloader.Zlob.6

VirusBuster 4.3.26:9 2008.04.25 -

Webwasher-Gateway 6.6.2 2008.04.26 Trojan.Dropper.Gen

Información adicional

Tamano archivo: 60928 bytes

MD5...: 65e6b995f41cc809ae980b6084f98bc6

SHA1..: f2cf1f9e15f8f9ea07c41a16ec72374d33021316

SHA256: 89aa215c4253f54da608607ea9891ecabbabf019ced682989c8822f88f530abb

SHA512: 25cd9fe36a14aa441b7c7e26fcb4ef0259c1f73621c9b8564a3687629bddbc63

593f85afd61c9c32d4d3ce8ec808fcf5061d06634033d2685b55c4b8cdf32849

PEiD..: -

PEInfo: PE Structure information



( base data )

entrypointaddress.: 0x401000

timedatestamp.....: 0x0 (Thu Jan 01 00:00:00 1970)

machinetype.......: 0x14c (I386)



( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0xd35 0xe00 6.31 751402c313cb10e066b09c0b7e77809f

code_ 0x2000 0x4d20 0x4c00 6.83 01a881c15d1ac80ef6213d2a5fbddae9

.rdata 0x7000 0xdb2 0x600 3.53 632169c770dbd551914d04d92d67b594

.data 0x8000 0xbfd5 0x8a00 7.99 34aec310138dcec948f384c9a9727f00



( 3 imports )

> user32.dll: GetMenu, LoadAcceleratorsA, LoadIconA, MessageBoxIndirectA, GetDlgItem, ShowCursor, ShowOwnedPopups, ToAscii, GetCursor, EndDialog, DrawTextA, DrawIcon, DestroyWindow, CreateDialogIndirectParamA, CreateAcceleratorTableA, CreateDesktopA, CharUpperBuffA, CharUpperA, CharNextA, ChangeMenuA, BeginPaint, OemToCharA, wsprintfA

> kernel32.dll: lstrcmpiA, lstrcatA, TlsAlloc, GetSystemTimeAsFileTime, EnumResourceLanguagesA, EnterCriticalSection, lstrcpyA

> gdi32.dll: PolyTextOutA, GetTextColor, GetPixelFormat, FillRgn, DeleteColorSpace, Polygon



( 0 exports )



[b]Igual les cuento... con ese archivo... creo que no tengo mas problemas... los que sigue dectectando el Spybot S&D son las entradas de los archivos Bycavn.exe y dlp.exe. y cuando intento Solucionar problemas y los elimina... instantaneamente... vuelve a detctar las entradas, y cuando hago un nuevo analisis... siguen estando ahi.



Gracias.[/b]

[msc hotline sat]

Vemos que algun antivirus lo detecta como VUNDO, y si es asi es de los duros de pelar, pero mañana analizaremos la muestra enviada y procederemos.



De todas formas, ya ve que sí que tiene los ficheros, quizas están con atributo de sistema ademas de oculto, y por ello no los ve (si no tiene desmarcada la casilla de ocultar ficheros de sistema)



Pruebe abrir una ventana al DOS (inicio -> ejecutar -> cmd.exe) y ejecute:



ATTRIB -S -H -R  Bycavn.exe  /S <enter>



ATTRIB -S -H -R  dlp.exe  /S <enter>



y luego mire si los ve y nos los puede enviar



saludos



ms, 27-04-2008