PROBLEMAS EN PC spools.exe, chemadc.

[chemadc]

Hola, lo primero gracias por vuestra ayuda y por la página me ha sido de gran utilidad.



He tenido problemas en el PC de manera que no podia ejecutar ningún programa, he utilizado 2 programas vuestros elistara130686 y eletriip130608. Ahora ya puedo ejecutar los programas pero de todos modos os envio el fichero creado por el hijackthis para que le echeis un vistazo.



Os envio unos ficheros que vuestros programas me pidio que os enviara.



Muchas gracias.



Mi correo es INTERCEPTADO



https://foros.zonavirus.com/viewtopic.php?f=1&t=17044

[lucl]

Hola, no debes ponernos direcciones de mail etc por tu propia seguridad asi que editalo por favor, luego tienes que pegarnos el log de infosat.txt que tendras en C que te han dejado nuestras herramientas. Y el hijackthis debes pegarlo aqui, como respuesta al tema, las muestras mira si las has enviado a esta direccion que te pongo en el siguiente link





https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



Si es asi bien, y nos pegas los log por favor para que veamos de que virus se trata , saludos

[chemadc]

Hola, lo primero gracias por vuestra ayuda y por la página me ha sido de gran utilidad.



He tenido problemas en el PC de manera que no podia ejecutar ningún programa, he utilizado 2 programas vuestros elistara130686 y eletriip130608. Ahora ya puedo ejecutar los programas pero de todos modos os envio el fichero creado por el hijackthis para que le echeis un vistazo.



Os envio unos ficheros que vuestros programas me pidio que os enviara.



Muchas gracias.





Ok, te envio lo que me pides:



Logfile of HijackThis v1.99.1

Scan saved at 10:23:49, on 14/06/2008

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\rundll32.exe

C:\Chema\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Archivos de programa\Logitech\Video\ManifestEngine.exe" boot

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.217/ABoxInst_int14.exe

O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} - http://advnt01.com/dialer/int_ver32b.CAB

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by107fd.bay107.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1142966111818

O16 - DPF: {9E98E84C-79E1-49C3-82EB-798FCD552EFB} - http://advnt01.com/dialer/internazionale_ver4.CAB

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B7E76C25-791F-432E-BDB7-748D01A93FC2} - http://advnt01.com/dialer/int_ver30.CAB

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game06.zylom.com/activex/zylomgamesplayer.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: AOL Instant Messanger (AIM) - Unknown owner - C:\WINDOWS\aim.exe (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Windows lsass Service (lsass) - Unknown owner - C:\WINDOWS\lsass.exe (file missing)

O23 - Service: NNServ - Unknown owner - C:\Archivos de programa\NewDotNet\nnrun.exe" "C:\Archivos de programa\NewDotNet\nncore.dll" ServiceStart (file missing)

O23 - Service: Programador de tareas (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\spools.exe (file missing)







Sat Jun 14 00:33:24 2008

EliTriIP v4.82 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 13 de Junio del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\RDRIV.SYS --> Eliminado

C:\WINDOWS\SYSTEM32\I --> Eliminado



Sat Jun 14 00:33:42 2008

EliTriIP v4.82 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 13 de Junio del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 2555

Nº Total de Ficheros: 27648

Nº de Ficheros Analizados: 10338

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sat Jun 14 00:42:23 2008

EliStartPage v16.50 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 13 de Junio del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\WINDOWS\SYSTEM32\FTP34.DLL --> Eliminado DownLoader.Small.UYL

C:\WINDOWS\NDNUNINSTALL7_48.EXE --> Eliminado NewDotNet Uninst

C:\WINDOWS\NDNUNINSTALL6_38.EXE --> Eliminado NewDotNet Uninst

C:\WINDOWS\NDNUNINSTALL7_22.EXE --> Eliminado NewDotNet Uninst

C:\WINDOWS\SYSTEM32\NTOS.EXE --> Acceso Denegado.

C:\WINDOWS\PSKT.INI --> Eliminado (Fichero Complementario).

Eliminada Carpeta "\Program Files\Internet Optimizer"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



Sat Jun 14 00:42:51 2008

EliStartPage v16.50 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 13 de Junio del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

[lucl]

Bueno veamos, pasa elistara de nuevo pero arrancando en modo seguro



http://www.zonavirus.com/descargas/elistara.asp





las muestras se envian a la direccion que vienen en el siguiente link comprueba que lo has echo asi y si no repite envio



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





Actualiza tu pc porque te faltan el sp2 y sp3 , es imprescindible tenerlo actualizado para estar protegido



y ya que no has editado tu post quitando la direccion de correo electronico lo editare yo, y quedas avisado que hay que cumplir las normas!!! saludos

[msc hotline sat]

A la espera de los informes pedidos, vemos que solo tienes SP1 !!! lanza un windowsupdate y actualiza a SP3 ...



Y vemos claves con estos ficheros sospechosos, si aun los tienes, envianoslos para analizar:



C:\WINDOWS\system32\drivers\spools.exe



C:\Archivos de programa\NewDotNet\nnrun.exe

C:\Archivos de programa\NewDotNet\nncore.dll



C:\WINDOWS\lsass.exe



C:\WINDOWS\System32\shdocvw.dll







Y eliminar estas claves:



O16 - DPF: {B7E76C25-791F-432E-BDB7-748D01A93FC2} - http://advnt01.com/dialer/int_ver30.CAB



O16 - DPF: {9E98E84C-79E1-49C3-82EB-798FCD552EFB} - http://advnt01.com/dialer/internazionale_ver4.CAB



O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.217/ABoxInst_int14.exe



O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} - http://advnt01.com/dialer/int_ver32b.CAB





Para ello:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 30-06-2008