Darksma (SOLUCIONADO)

[oscarysusana]

Buenas

Tengo XP y el antivirus de ONO me detecta un spyware en registro de nombre darksma. Soy incapaz de identificarlo, os mando el hijack a ver si me podeis decir que he de hacer. Gracias.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:53:28, on 08/11/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Fws.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

C:\Archivos de programa\CA\PPRT\bin\ITMRTSVC.exe

C:\Archivos de programa\Java\jre6\bin\jqs.exe

C:\Archivos de programa\Autodesk\3ds Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Rps.exe

C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe

C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe

C:\WINDOWS\system32\IoctlSvc.exe

C:\Archivos de programa\DAEMON Tools\daemon.exe

C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe

C:\Archivos de programa\PowerISO\PWRISOVM.EXE

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\Java\jre6\bin\jusched.exe

C:\WINDOWS\system32\stkhost.exe

C:\Archivos de programa\Ono\Centro de Servicios\CSOComHandler.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

C:\Archivos de programa\MagicDisc\MagicDisc.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Archivos de programa\Raxco\PerfectDisk\PDEngine.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\rpsupdaterR.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Archivos comunes\Authentium\AntiVirus\dvpapi.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com/ie

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.google.com/ie

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.com/search?q=%s

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [CSO.exe] "C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe" /AUTORUN

O4 - HKLM\..\Run: [Centinela ONO] "C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Rps.exe"

O4 - HKLM\..\Run: [-FreedomNeedsReboot] "C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\ZkRunOnceR.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [MP10_EnsureFileVer] C:\WINDOWS\inf\unregmp2.exe /EnsureFileVersions

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Archivos de programa\Corel\Corel Graphics 12\Languages\ES\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=110908 serial=DR12wex-1504397-kty lang=ES

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Archivos de programa\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [NBKeyScan] "C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [Keyboard Driver] stkhost.exe

O4 - HKLM\..\Run: [bc49976f] rundll32.exe "C:\WINDOWS\system32\vjruhmin.dll",b

O4 - HKLM\..\RunServices: [Keyboard Driver] stkhost.exe

O4 - HKLM\..\RunOnce: [IndexCleaner] "C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\IdxClnR.exe"

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\RunOnce: [IndexCleaner] "C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\IdxClnR.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: MagicDisc.lnk = C:\Archivos de programa\MagicDisc\MagicDisc.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab

O16 - DPF: {6F15128C-E66A-490C-B848-5000B5ABEEAC} (HP Download Manager) - https://h20436.www2.hp.com/ediags/dex/secure/HPDEXAXO.cab

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\ARCHIV~1\MICROS~2\Office12\GR99D3~1.DLL

O20 - AppInit_DLLs: kvcuxw.dll

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: Boonty Games - BOONTY - C:\Archivos de programa\Archivos comunes\BOONTY Shared\Service\Boonty.exe

O23 - Service: DvpApi (dvpapi) - Authentium, Inc. - C:\Archivos de programa\Archivos comunes\Authentium\AntiVirus\dvpapi.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: CA Pest Patrol Realtime Protection Service (ITMRTSVC) - CA, Inc. - C:\Archivos de programa\CA\PPRT\bin\ITMRTSVC.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe

O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - C:\Archivos de programa\Autodesk\3ds Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Nero\Lib\NMIndexingService.exe

O23 - Service: PDAgent - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDEngine.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Servicios de seguridad Centinela ONO - Update Service (RPSUpdaterR) - Radialpoint Inc. - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\rpsupdaterR.exe

O23 - Service: Centinela ONO Firewall (RP_FWS) - ONO - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Fws.exe



--

End of file - 10481 bytes





El ordenador no va mal, pero me toca lo que no suena tener ese spyware, siempre tengo el equipo tope de limpio y no me gusta. A ver si me podeis echar una mano. Gracias.

[msc hotline sat]

Pues dos cosas:



Faltan parches:



    · Platform: Windows XP SP2 (WinNT 5.01.2600)



    · MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)





Lanza un windowsupdate e instala el SP3 y posteriores.









_______





Y tienes estos ficheros sospechosos, envianoslos para analizar:





C:\WINDOWS\system32\stkhost.exe



C:\WINDOWS\system32\vjruhmin.dll



C:\Archivos de programa\Ono\Centro de Servicios\CSOComHandler.exe



C:\WINDOWS\system32\kvcuxw.dll



C:\Archivos de programa\Archivos comunes\BOONTY Shared\Service\Boonty.exe







y todos estos que aparentan ser de ONO, si no los conoces, tambien:





C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\rpsupdaterR.exe



C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe



C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\ZkRunOnceR.exe



C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\IdxClnR.exe



C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Fws.exe







[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 8-11-2008

[oscarysusana]

Vale, ahora ya me estoy volviendo loco. No consigo encontrar:



c:\windows\system32\stkhost.exe

c:\windows\system32\vjruhmin.dll



Los otros los he comprimido y tal, pero creo que no te habrán llegado.

Me explico:

Por el sistema de envio de muestras cuando escogo el fichero y le doy a enviar me sale un mensaje que dice

Valida (fichero,pym_msj_fichero)

supongo que es un error y que no te habrá llegado.



Si intento enviartelo por correo yahoo, no me deja adjuntar el fichero porque dice que hay un virus dentro

BRUTAL EH?



Bueno ya me diras algo

Saludos

[lucl]

Bueno veamos te comento por si estan ocultos los dos que no encuentras haz esto que te indicamos en el link siguiente





https://foros.zonavirus.com/viewtopic.php?f=5&t=13245





y para el envio de muestras si los comprimes con winrar no deberias tener problemas, con hotmail si se puede enviar.





https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





saludos

[oscarysusana]

Ya te los he enviado por correo solo que no he encontrado el c:\windows\system32\vjruhmin.dll

Bueno, pues ya me diras algo

Gracias

[msc hotline sat]

Pues seguro que lo tienes, ya que se carga desde



O4 - HKLM\..\Run: [bc49976f] rundll32.exe "C:\WINDOWS\system32\vjruhmin.dll",b



y si no estuviera, daría error.



Posiblemente no lo veas porque tenga atributo de sistema... Aparte de configurar ver ficheros ocultos, desmarca la casilla de OCULTAR FICHEROS DE SISTEMA



Es importante que nos lo envies, porque seguro que es virus y ademas de la familia de los VUNDO ...



saludos



ms, 9-11-2008

[oscarysusana]

Vale. no esta, pero he vuelto a hacer el hijack y donde antes cargaba ese fichero ahora aparece esta linea



O4 - HKLM\..\Run: [bc49976f] rundll32.exe "C:\WINDOWS\system32\pbfjaxmg.dll",b



con lo cual paso a enviarte este C:\WINDOWS\system32\pbfjaxmg.dll",b



Te lo mando por e-mail porque por aki me es imposible

Un saludo

[msc hotline sat]

Posiblemente vaya cambiando de nombre en cada reinicio... muy cuco ! :wink:



Sí, envianoslos como se indica en:



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 10-11-2008

[oscarysusana]

OK. Pues ya os lo he enviado

Espero ansioso vuestra respuesta

Muchisimas gracias

Un saludo

[msc hotline sat]

Acabo de llegar a SATINFO, voy a ver si me entregan tu fichero y puedo informarte a continuacion



saludos



ms, 10-11-2008

ref SP/BCN41.3+2.1

[msc hotline sat]

Bien, pues un analisis previo se detectan 4 ficheros con rutinas maliciosas, que pasa a monitorizacion, pero ya de entrada puedo decirte que las dos DLL son variantes de VUNDO, quizas VUNDO5, Juan Search o CONHOOK, para lo que implementaremos control y eliminacion en el ELISTARA 17.38 de hoy



Y el STKHOST.EXE es unna variante de SDBOT que pasaremos a controlar con el ELITRIIP de hoy, 5.23



y nos queda este BOONTY.EXE que no es agua clara, veremos como se porta y en funcion de lo que sea lo controlaremos y eliminaremos o no, asi que esta tarde, baja estas dos utilidades, las pruebas y nos posteas el c:\infosat.txt resultante, gracias




[quote="msc"]


[b] ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp



[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlos, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado de los procesos


[/quote]



A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus



saludos



ms, 10-11-2008





NOTA: Y los demas ficheros enviados son de ONO y se les valora como tal, dejelos estar. ms.

[msc hotline sat]

Sobre el BOONTY.EXE ya se controla y elimina con el actual ELISTARA, asi que cuando lo pruebes para los demás, ya quedará solucionado este.



saludos



ms, 10-11-2008

[msc hotline sat]

Y el STKHOST.EXE ya se controla por cadenas con el actual ELITRIIP, pruebalo !



saludos



ms, 10-11-2008

[oscarysusana]

Buff!!!!!!!! :shock:

Sobredosis de informacion, ahora no puedo estar por ello, a la tarde-noche me pongo y te digo que tal me ha ido

Muchas gracias

Saludos

Oscar

[oscarysusana]

Por cierto,

Antes de pasar los enlaces que me has dado:

Me puedes dar normativa acerca de como hacerlo?

Es decir, ¿tengo que desactivar el antivirus de ono, o hacerlo en modo a prueba de fallos o algo asi? O ¿simplemente pincho el enlace y ya esta?

En cuanto me contestes me pongo a hacerlo

Gracias

Un saludo

Oscar

[msc hotline sat]

A partir de las 19 h estarán la nuevas versiones subidas, primero descargalas, luego arranca en modo seguro (asi no habrá ni malwares ni antivirus residentes) y pruebalas



Y nos comentas el resultado, gracias



saludos



ms, 10-11-2008

[oscarysusana]

El elistara sigue siende el 17.37, ¿tengo que esperar a que este el 17.38?

saludos

oscar

[msc hotline sat]

No me digas, ayer subi la 17.38...



Voy a ver, pero creo recordar que he visto infosats donde aparece la 17.38...





Sí, mira al final de https://foros.zonavirus.com/viewtopic.php?f=6&t=26707



se ve que el informe es de la 17.38, asi que comprueba tu descarga y prueba la indicada, gracias



saludos



ms, 11-11-2008

[oscarysusana]

Oye, pues no se que pasa, yo le doy al enlace y me sale la 37, ponme un enlace o algo porque he buscado el elistara 17.38 y yo no lo encuentro... :?

Gracias

Oscar

[msc hotline sat]

Pues misterios de la informatica, a mi me descarga la 17.38, como debe ser, pero en el título decia 17.37, he subido un numero y ha pasado a decir la 17.39 (aun no existente), pero seguia descargando la 17.38, claro, pues es la que hay, luego he bajado un número y ahora sale 17.38, y siguie descargando la misma, asi que te diga la que te diga, descargala y pruebala...



Haberlas, hailas ... :roll: :wink:



Si tienes algun problema añadido, indicalo, pero aunque no haya subido nada nuevo, la he descargado y dice ser la 17.38, compruebalo, gracias



saludos



ms, 11-11-2008

[oscarysusana]

Ok. Pues ya lo pasé todo y.... equipo limpio y desinfectado.

Sois brutales

Muchisimas gracias

Oscar :D :D :D :D :D :D

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 11-11-2008