No cargan algunas paginas

[juemp]

Buenas. Desde hace unos dias algunas paginas no me cargan. Entre ellas, la que mas me fastidia es Google, ya que aunque esta si carga, cualquier busqueda que realizo se queda bloqueada y no pasa nada. Otras paginas son hotmail, o facebook,.... sin embargo, muchas otras si que funcionan como de costumbre y por eso no entiendo por que unas si y otras no. La verdad es que todo coincide con una especie de malware que se me colo el otro dia. Se llamaba, si mal no recuerdo "AntiSpywareMaster", y despues de buscar en internet, descubri que era un malware muy reciente. Lo consigue quitar (o al menos eso pense) con el Spyware doctor, pero de repente me comenzo a suceder lo de las paginas, con lo cual supongo que algo quedo todavia en el equipo. Un par de cosas mas: normalmente utilizo el firefox, aunque con el explorer sucede exactamente lo mismo. Y segundo, con algunas paginas no es que se queden bloqueadas al intentar abrirlas, sino que simplmenete no cargan y la pagina aparece en blanco, sin ni siquiera el mensaje de "servidor no encontrado" o algo parecido. Aqui os dejo el log del hijack para que le echeis un vistazo:



Logfile of HijackThis v1.99.1

Scan saved at 12:32:35, on 27/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Keyboard Manager\Manager Utility\KeyboardManager.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\system32\Rundll32.exe

C:\Archivos de programa\Speaking Clock Deluxe\SpClDlx.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Skype\Phone\Skype.exe

C:\Archivos de programa\VoipStunt.com\VoipStunt\VoipStunt.exe

C:\Archivos de programa\Nokia\Nokia PC Suite 6\PCSuite.exe

C:\Archivos de programa\TEXTware\HotKey\Twalink.exe

C:\WINDOWS\system32\igfxext.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe

C:\Archivos de programa\PC Connectivity Solution\Transports\NclMSBTSrv.exe

C:\Archivos de programa\PC Connectivity Solution\Transports\NclUSBSrv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Outlook Express\msimn.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Documents and Settings\Jorge\Mis documentos\software\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.0.0.20:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [Keyboard Manager Utility] "C:\Archivos de programa\Keyboard Manager\Manager Utility\KeyboardManager.exe" /lang en /H

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [BM2f97bffd] Rundll32.exe "C:\WINDOWS\system32\xrhdfxiu.dll",s

O4 - HKCU\..\Run: [Speaking Clock Deluxe] "C:\Archivos de programa\Speaking Clock Deluxe\SpClDlx.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [VoipStunt] "C:\Archivos de programa\VoipStunt.com\VoipStunt\VoipStunt.exe" -nosplash -minimized

O4 - HKCU\..\Run: [PC Suite Tray] "C:\Archivos de programa\Nokia\Nokia PC Suite 6\PCSuite.exe" -onlytray

O4 - Global Startup: HotKey.lnk = C:\Archivos de programa\TEXTware\HotKey\Twalink.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: PPLive - {95B3F550-91C4-4627-BCC4-521288C52977} - C:\Archivos de programa\PPLive\PPLive.exe

O9 - Extra 'Tools' menuitem: PPLive - {95B3F550-91C4-4627-BCC4-521288C52977} - C:\Archivos de programa\PPLive\PPLive.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{124D4BD3-B7D9-442F-8BD0-8C9C43F97D8A}: NameServer = 62.151.2.8,62.151.8.100

O17 - HKLM\System\CS1\Services\Tcpip\..\{124D4BD3-B7D9-442F-8BD0-8C9C43F97D8A}: NameServer = 62.151.2.8,62.151.8.100

O17 - HKLM\System\CS2\Services\Tcpip\..\{124D4BD3-B7D9-442F-8BD0-8C9C43F97D8A}: NameServer = 62.151.2.8,62.151.8.100

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: vtUnoolk - vtUnoolk.dll (file missing)

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsSvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe



Gracias e antemano y salu2.

[msc hotline sat]

Envianos estos ficheros sospechosos y los analizaremos:



C:\WINDOWS\system32\xrhdfxiu.dll



C:\WINDOWS\system32\vtUnoolk.dll





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 27-04-2008

[juemp]

Gracias por tu rapida respuesta. El caso es que tengo un problema, ya que aunque si encuentro el primer fichero que comentas (C:\WINDOWS\system32\xrhdfxiu.dll), el segundo (C:\WINDOWS\system32\vtUnoolk.dll ) no hay manera de dar con el, ni como archivo oculto ni nada de nada. Extraño. ¿alguna manera de dar con el para mandaroslo?



Gracias y salu2.

[lucl]

Intenta buscarlo con el buscareg a ver si lo encuentras te dejo link de descarga



http://www.zonavirus.com/descargas/buscareg.asp



metes el nombre del archivo y a ver que te sale, recuerda que el que nos interesa es el que termina en .exe , nos comentas si pudiste, saludos

[juemp]

Gracias de nuevo. El caso es que al buscarlo con el buscareg me encuentra dos entradas, pero no me dice como localizar fisicamente el archivillo, solo me deja borrarlo.... en cuanto a ese archivo .exe que decias, pertenece a un programa para ver television por internet y nunca antes ha dado problemas.....



Salu2.

[lucl]

Y supongo que el programa lo sigues teniendo totalmente instalado, o lo desinstalaste y es un resto? Nos comentas, saludos

[juemp]

si, estaba instalado, aunque no lo utilizaba y acabo de desinstalarlo ahora mismo. Y ¿como hallo ese otro archivo? la busqueda de windows no me da resultados..... y es que es muy extraño que unas paginas carguen y otras no... ademas, haciendo un ping a esas paginas desde la consola de ms-dos todo parece correcto....seguro que tengo algo pero no logro dar con ello.....



Gracias y salu2.

[lucl]

Bien, pues ya que has quitado el programa busca la clave con el buscareg de nuevo y eliminalo, despues lanzas hijackthis y miras si te sale de nuevo la clave, si es asi seleccionas la casilla correspondiente y le das a fix cheked, luego le das a yes, y reinicias, y nos dices si te desaparecio, saludos



nota: intenta encontrarla primero arrancando el pc en modo seguro antes de hacer todo lo que te indique arriba por si acaso y nos comentas, saludos

[juemp]

A ver. del programa ese pplive.exe, ademas de desinstalarlo, he borrado todo rastro en registro y en archivos propiamente dichos..... la primera entradas esa que no encontraba, al final el buscareg me la mostro y la elimine. Y la otra, la que si encontraba, el buscareg me detecta 3 entradas con dicho nombre....¿las borro? el caso es q esta dll me da mala espina porque coincide con la hora mas o menos que me entro aquel malware q os comente..... ¿os la mando?



Aqui el log del hijack





Logfile of HijackThis v1.99.1

Scan saved at 22:29:56, on 27/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Keyboard Manager\Manager Utility\KeyboardManager.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\system32\Rundll32.exe

C:\Archivos de programa\Speaking Clock Deluxe\SpClDlx.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Skype\Phone\Skype.exe

C:\Archivos de programa\VoipStunt.com\VoipStunt\VoipStunt.exe

C:\Archivos de programa\Nokia\Nokia PC Suite 6\PCSuite.exe

C:\Archivos de programa\TEXTware\HotKey\Twalink.exe

C:\WINDOWS\system32\igfxext.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Outlook Express\msimn.exe

C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe

C:\Archivos de programa\PC Connectivity Solution\Transports\NclMSBTSrv.exe

C:\Archivos de programa\PC Connectivity Solution\Transports\NclUSBSrv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Mozilla Firefox 3 Beta 2\firefox.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Documents and Settings\Jorge\Mis documentos\software\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.0.0.20:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [Keyboard Manager Utility] "C:\Archivos de programa\Keyboard Manager\Manager Utility\KeyboardManager.exe" /lang en /H

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [BM2f97bffd] Rundll32.exe "C:\WINDOWS\system32\xrhdfxiu.dll",s

O4 - HKCU\..\Run: [Speaking Clock Deluxe] "C:\Archivos de programa\Speaking Clock Deluxe\SpClDlx.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [VoipStunt] "C:\Archivos de programa\VoipStunt.com\VoipStunt\VoipStunt.exe" -nosplash -minimized

O4 - HKCU\..\Run: [PC Suite Tray] "C:\Archivos de programa\Nokia\Nokia PC Suite 6\PCSuite.exe" -onlytray

O4 - Global Startup: HotKey.lnk = C:\Archivos de programa\TEXTware\HotKey\Twalink.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: vtUnoolk - C:\WINDOWS\

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsSvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe





Salu2 y gracias una vez mas

[msc hotline sat]

Pues envianos el fichero sospechoso y lo analizaremos



y elimine esta clave:



O20 - Winlogon Notify: vtUnoolk - C:\WINDOWS\





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 28-04-2008

[juemp]

Os acabo de mandar el archivo, a ver si sacamos alguna conclusion de el.



Gracias

[msc hotline sat]

Hoy ya no da tiempo...



Mañana lo analizaremos y monitorizaremos y si procede añadiremos su control y eliminacion en nuestras utilidades,de lo cual informaremos



saludos



ms, 28-04-2008

[juemp]

¿algo raro con el archivo?



gracias

[msc hotline sat]

No me han indicado nada de haber monitorizado tu fichero xrhdfxiu.dll , por lo que pidiendo se buscara entre los mails recibidos ayer y hoy, no hay ninguno con la referencia JUEMP.



Vuelvelo a enviar, y recuerda:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 29-04-2008