Sopecha de virus y algo mas (SOLUCIONADO)

[thefla]

la makina lo siento lenta y aveces me presenta el error de autorun en las unidades usb cuando las pongo. Gracias ahi esta mi log.



Logfile of HijackThis v1.99.1

Scan saved at 01:56:51 p.m., on 26/05/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0013)



Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\LEXBCES.EXE

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\system32\LEXPPS.EXE

D:\Archivos de programa\Eset\nod32kui.exe

D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE

D:\WINDOWS\system32\ctfmon.exe

D:\Archivos de programa\REALTEK RTL8185 Wireless LAN Driver and Utility\RtWLan.exe

D:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

D:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

D:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\mdm.exe

D:\Archivos de programa\Eset\nod32krn.exe

D:\WINDOWS\system32\HPZipm12.exe

D:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Archivos de programa\MSN Messenger\msnmsgr.exe

D:\Archivos de programa\Winamp\winamp.exe

D:\Archivos de programa\MSN Messenger\msnmsgr.exe

D:\Archivos de programa\Internet Explorer\iexplore.exe

D:\Archivos de programa\Internet Explorer\iexplore.exe

D:\ARCHIV~1\WINZIP\winzip32.exe

D:\Documents and Settings\David\Configuración local\Temp\HijackThis.exe



R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - D:\Archivos de programa\FlashGet\jccatch.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - D:\Archivos de programa\FlashGet\getflash.dll

O3 - Toolbar: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [nod32kui] "D:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [System] D:\WINDOWS\system32\drivers\smss.exe

O4 - HKLM\..\Run: [EPSON Stylus CX3200] D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P19 "EPSON Stylus CX3200" /O6 "USB074" /M "Stylus CX3200"

O4 - HKLM\..\Run: [Ink Monitor] D:\Archivos de programa\EPSON\Ink Monitor\InkMonitor.exe

O4 - HKLM\..\Run: [RecSche] D:\TV Capture Card\RecSche.exe /Startup

O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: REALTEK RTL8185 Wireless LAN Utility.lnk = ?

O8 - Extra context menu item: &Download All with FlashGet - D:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: &Download with FlashGet - D:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://D:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - D:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1205540798080

O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100

O17 - HKLM\System\CCS\Services\Tcpip\..\{217989B7-FE62-4787-8D2B-BEC6A1A5CA2E}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CCS\Services\Tcpip\..\{2988F6BC-8195-411D-A113-5971963D287D}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CS1\Services\Tcpip\..\{217989B7-FE62-4787-8D2B-BEC6A1A5CA2E}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CS2\Services\Tcpip\..\{217989B7-FE62-4787-8D2B-BEC6A1A5CA2E}: NameServer = 200.48.225.130,200.48.225.146

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - D:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - D:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - D:\ARCHIV~1\ARCHIV~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: LMIinit - D:\WINDOWS\SYSTEM32\LMIinit.dll

O20 - Winlogon Notify: WgaLogon - D:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - D:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe

O23 - Service: EpsonBidirectionalService - Unknown owner - D:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - D:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - D:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NBService - Nero AG - D:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - D:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - D:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - D:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - D:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe

[msc hotline sat]

Está claro que tienes un malware en D:\WINDOWS\system32\drivers\smss.exe , ya que este fichero normalmente está en la carpeta de sistema, \windows\system32 en XP, ya que es del windows.



Aparte, esto de los pendrives indica que debe haber algun virus de pendrive en ellos... Vacuna todos los ordenadores y todos los pendrives con el ELIPEN !!!


[quote="para DESCARGAR el ELIPEN, msc"] http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

E igualmente todas estas unidades procesarlas con el ELISTARA a ver si este SMSS.EXE es un malware ya conocido de los que utilizan este nombre:


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]



y si este smss.exe de la carpeta WINDOWS\system32\drivers\ no se detectara por tratarse de otra variante, envianoslo para analizar, pero cuidado, que sea de esta carpeta, no de la de sistema !



en tal caso:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





saludos



ms, 26-05-2008

[thefla]

Hecho todo lo indicado aki muesttro el infosat.txt





Mon May 26 14:15:21 2008

EliPen v1.8 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------



Unidad D:\ Protegida



Unidad C:\ Protegida



Unidad E:\ Protegida



Mon May 26 14:21:10 2008

EliStartPage v16.35 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 26 de Mayo del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\LMIINIT] -> D:\WINDOWS\SYSTEM32\LMIinit.dll

Por favor, envienos una muestra del fichero

C:\Muestras\LMIINIT.DLL.Muestra EliStartPage v16.35

a "virus@satinfo.es". Gracias.

D:\WINDOWS\SYSTEM32\LMIINIT.DLL --> Renombrado a .VIR

Entrada Eliminada [HKLM\...\Run] "System"="D:\WINDOWS\system32\drivers\smss.exe"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Mon May 26 14:22:20 2008

EliStartPage v16.35 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 26 de Mayo del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 1252

Nº Total de Ficheros: 21297

Nº de Ficheros Analizados: 5928

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon May 26 14:24:41 2008

EliStartPage v16.35 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 26 de Mayo del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\WINDOWS\system32\drivers\AUTORUN.INF --> Eliminado, Keylog.gen(inf)

D:\Documents and Settings\David\AUTORUN.INF --> Eliminado, Keylog.gen(inf)



Nº Total de Directorios: 3875

Nº Total de Ficheros: 55761

Nº de Ficheros Analizados: 15443

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2



Mon May 26 14:30:30 2008

EliStartPage v16.35 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 26 de Mayo del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\

E:\System Volume Information\_restore{F58068F0-771E-4769-B52E-E9E9224A467E}\RP172\A0133950.EXE --> Eliminado, SpyRealtek

E:\System Volume Information\_restore{F58068F0-771E-4769-B52E-E9E9224A467E}\RP172\A0133951.EXE --> Eliminado, SpyRealtek

E:\System Volume Information\_restore{03F06EB1-572A-4635-8FF6-CD7A724CE692}\RP36\A0022765.EXE --> Eliminado, KeyGen.ZWT

E:\System Volume Information\_restore{03F06EB1-572A-4635-8FF6-CD7A724CE692}\RP36\A0022770.EXE --> Eliminado, KeyGen.ZWT

E:\System Volume Information\_restore{03F06EB1-572A-4635-8FF6-CD7A724CE692}\RP36\A0023004.EXE --> Eliminado, P2PAdware.A

E:\System Volume Information\_restore{03F06EB1-572A-4635-8FF6-CD7A724CE692}\RP38\A0027909.EXE --> Eliminado, Guiños(msn)

E:\INSTALL\betsy\DIRECTX\DRVSJ\DISPLAY\MSDDRAW\M64_SONY.DLL --> Eliminado, MalWare.Celular

E:\INSTALL\betsy\DIRECTX\DRIVERS\DISPLAY\MSDDRAW\M64_SONY.DLL --> Eliminado, MalWare.Celular

E:\drivers\PORTATILES_PLACAS\Toshiba-Satellite A215\sonido\driver_audio_realtek_26359B\WDM\ALCMTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 6592

Nº Total de Ficheros: 80149

Nº de Ficheros Analizados: 19224

Nº de Ficheros Infectados: 9

Nº de Ficheros Limpiados: 9



El archivo smss.exe desaparecio de la ruta d:\windows\system32\drv por lo cual supongo k ha sido detectado y eliminado. Espero sus respuestas. Mas bien cuando lo pase las herramientas me indico enviar un archivo de la carpeta muestra el cual ya envie a dicho correo en el cual indican uds. el archivo es el LMIINIT.DLL . kedo ala espera de sus respuestas

[lucl]

Confirma que lo enviaste a la direccion que te viene en el siguiente link , si no es asi repite el envio por favor, gracias , saludos



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

[thefla]

Confirmado, envie la muestra a este correo zonavirus@satinfo.es , pero porsiacaso acabo de enviarla una vez mas. Estoy en espera de sus respuestas.

[msc hotline sat]

Raro lo del smss, no vemos que haya sido eliminado, por lo que pensamos en que podria estar oculto [u][b][i]???[/i][/b][/u], mira si es que no lo ves:



https://foros.zonavirus.com/viewtopic.php?f=5&t=13245



y cuando entremos hoy a trabajar en SATINFO, esperamos encontrar el fichero enviado y proceder a su analisis, de lo cual informaremos.



saludos



ms, 27-05-2008









NOTA_: Tambien podría ser que este smss.exe ya hubiera sido eliminado anteriormente sin eliminar la clave de carga, pero ya el ELISTARA la ha eliminado ahora:



Entrada Eliminada [HKLM\...\Run] "System"="D:\WINDOWS\system32\drivers\smss.exe"



asi que aunque estuviera oculto, ya no se volvería a cargar ! ms.

[thefla]

En efecto la entrada ha sido eliminada del registro y lo pude comprobar, lo que hace raro es que el smss no este o puede k haya sido eliminada anteriormente, porke ni habilitando los archivos ocultos estaba., ya que configure tal com indicas en el tutorial `para mostrar TODOS LOS ARCHIVOS, pero aun asi el archivo nada que ver. lo que si el archivo smss que esta en la ruta\windows\system32 estaba en su lugar pero como dijiste ese es de sistema. mas bien toy a la espera del archivo que mande el LMIINIT.DLL aver que hay con ese k tipo de virus es etc. Un saludo a todos.

[msc hotline sat]

Podría ser que lo hubieras eliminado hace tiempo, sin eliminar la clave de carga, quedando un resto inútil... En cualquier caso ahora se eliminado del todo !



Y en unas 4 horas entraremos a trabajar en SATINFO, alli esperamos encontrar tu fichero para analizar (junto con otros muchos) los cuales entran en cola de analisis, primero los de los asociados a SATINFO, luego estos de zonavirus y al final los de los usuarios desconocidos, que si bien se analizan tambien, se hace en ultimo lugar, por eso es importante seguir las indicaciones de:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



y enviarlos a la cuenta reservada para este foro, como dices haber hecho.



Pues ya informaremos



saludos



ms, 27-05-2008







NOTA: SI quieres adelantar acontecimientos, puedes subir este fichero al virustotal para confirmar lo que es https://www.virustotal.com/es/

[msc hotline sat]

Al respecto de este LMIINIT.DLL, mira lo que se indica en:



http://spyware.adslnet.es/genera.php?processfile=lmiinit.dll&dir=l&pag=14



...



Si lo subes al virustotal, posteanos el resultado, gracias



saludos



ms, 27-05-2008





NOTA: y buscando en el baul de los recuerdos... https://foros.zonavirus.com/viewtopic.php?f=5&t=24037&p=129766



asi que igual es simplemente una herramienta de administracion remota, en cuyo caso, convendrá obrar segun sea voluntaria o no... ms.

[thefla]

Revisando sus comentarios y mas sobre el archivo LMIINIT.DLL que es un archivo de contro del logmein, bueno mi pc tenia instalado el logmein, eso kiere decir que no puedo usar el logmein ya k fue detectado como una amenaza de troyano, derrepente mañana cuando kiera cargar la pc ya no funcione el logmein... o es que ha sido duplicado en otra ruta de directorio como falso troyano. Por favor aclarenme esas dudas o es que estoy entendiendo mal. Gracias

[msc hotline sat]

Es lo que avisabamos, podía ser una herramienta de administracion remota, peligrosa pero que si es voluntaria, procede dejarla estar.



Hemos guardado una copia en:



C:\Muestras\LMIINIT.DLL.Muestra EliStartPage v16.35



simplemente tiene que renombrar la extension del fichero, cortando a partir de .DLL y copiarla de nuevo en la carpeta de sistema (C:\windows\system32\ )



Si desea seguir manteniendola, desactive la casilla de eliminacion automatica cuando pruebe en el futuro el ELISTARA, y no acepte cuando le pregunte si quiere eliminar dicho fichero.



saludos



ms, 27-05-2008

[msc hotline sat]

Analizada la muestra corresponde a lo que indicamos.



Como herramienta potencialmente indeseable (puede permitir control externo no deseado) será eliminada con nuestras utilidades, salvo que se desactive la casilla de eliminacion automatica, y no se acepte eliminar cuando lo ofrezca.



y dando por solucionado el tema procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 27-05-2008

[thefla]

ok. muchisimas gracias.

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 27-05-2008