Worm Activity. Me aparece un cuadro de McAfee Viruscan

[alvarokrater]

Hola Amigos de ZonaVirus, solicito ayuda.



Cuando conecto mi Lap a internet, aparece constantemente un cuadro de diálogo de McAfee VirusScan, dice: Potential Worm Activity. Ya sea que elija detener los e-mail que intenta enviar o elija continuar lo que hago. Sigue apareciendo un cuadro adicional: "Scanning and Sending". Ningún e-mail se envía, pues no tengo configurado el Out Look, sin embargo el diálogo no desaparece.



Notas: Tengo instalado Windows XP. Ya corrí el Avast antivirus, Spybot, Elistara, EliTriIP, Elibagla, Ad-aware, Elipen y no logro eliminar el problema. Por lo cual anexo el informe de HijackThis.



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:16:07 a.m., on 23/09/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\acs.exe

C:\Program Files\Common Files\AOL\ACS\AOLAcsd.exe

C:\Program Files\Common Files\AOL\TopSpeed\2.0\aoltsmon.exe

C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

C:\WINDOWS\system32\DVDRAMSV.exe

c:\program files\mcafee.com\agent\mcdetect.exe

c:\PROGRA~1\mcafee.com\vso\mcshield.exe

c:\PROGRA~1\mcafee.com\agent\mctskshd.exe

c:\PROGRA~1\mcafee.com\vso\OasClnt.exe

C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe

c:\program files\mcafee.com\vso\mcvsshld.exe

c:\program files\mcafee.com\agent\mcagent.exe

c:\progra~1\mcafee.com\vso\mcvsescn.exe

C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe

C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\system32\IoctlSvc.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

C:\WINDOWS\system32\svchost.exe

c:\TOSHIBA\IVP\swupdate\swupdtmr.exe

C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe

C:\WINDOWS\system32\TODDSrv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe

C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe

C:\Program Files\TOSHIBA\TOSHIBA Direct Disc Writer\ddwmon.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\ltmoh\Ltmoh.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Toshiba\Tvs\TvsTray.exe

C:\Program Files\Synaptics\SynTP\Toshiba.exe

C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe

C:\WINDOWS\system32\TPSMain.exe

C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

C:\toshiba\ivp\ism\pinger.exe

C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe

C:\WINDOWS\system32\TPSBattM.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe

C:\Program Files\TOSHIBA\ConfigFree\CFSServ.exe

C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe

C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkCalRem.exe

c:\progra~1\mcafee.com\vso\mcvsftsn.exe

C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Windows Live\Contacts\wlcomm.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Windows Live\Toolbar\wltuser.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

c:\program files\mcafee.com\shared\mghtml.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mx.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://desktop.google.com/networkhelp9.html

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: McAfee AntiPhishing Filter - {41D68ED8-4CFF-4115-88A6-6EBB8AF19000} - c:\program files\mcafee\spamkiller\mcapfbho.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [OASClnt] C:\Program Files\McAfee.com\VSO\oasclnt.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] c:\PROGRA~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [MSKAGENTEXE] C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe

O4 - HKLM\..\Run: [MSKDetectorExe] C:\PROGRA~1\McAfee\SPAMKI~1\MSKDetct.exe /startup

O4 - HKLM\..\Run: [ATICCC] "c:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe

O4 - HKLM\..\Run: [THotkey] C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe

O4 - HKLM\..\Run: [DDWMon] C:\Program Files\TOSHIBA\TOSHIBA Direct Disc Writer\\ddwmon.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [Tvs] C:\Program Files\Toshiba\Tvs\TvsTray.exe

O4 - HKLM\..\Run: [PadTouch] C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe

O4 - HKLM\..\Run: [TPSMain] TPSMain.exe

O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

O4 - HKLM\..\Run: [Pinger] c:\toshiba\ivp\ism\pinger.exe /run

O4 - HKLM\..\Run: [VirusScan Online] c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe

O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020

O4 - HKCU\..\Run: [clrtss] C:\WINDOWS\system32\bcllps.exe

O4 - HKCU\..\Run: [czwmgr] C:\WINDOWS\system32\wnddsl.exe

O4 - Startup: wkcalrem.LNK = C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkCalRem.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Agregar entrada - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &Agregar entrada en Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: (no name) - {39FD89BF-D3F1-45b6-BB56-3582CCF489E1} - c:\program files\mcafee\spamkiller\mcapfbho.dll

O9 - Extra 'Tools' menuitem: McAfee AntiPhishing Filter - {39FD89BF-D3F1-45b6-BB56-3582CCF489E1} - c:\program files\mcafee\spamkiller\mcapfbho.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.toshibadirect.com/dpdstart

O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{65C2177F-730E-4F5B-BE0D-D4C5A719E7A5}: NameServer = 200.33.146.161 200.33.146.153

O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - America Online - C:\Program Files\Common Files\AOL\ACS\AOLAcsd.exe

O23 - Service: AOL TopSpeed Monitor (AOL TopSpeedMonitor) - America Online, Inc - C:\Program Files\Common Files\AOL\TopSpeed\2.0\aoltsmon.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe

O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\program files\mcafee.com\agent\mcdetect.exe

O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe

O23 - Service: McAfee SpamKiller Server (MskService) - McAfee Inc. - C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Swupdtmr - Unknown owner - c:\TOSHIBA\IVP\swupdate\swupdtmr.exe

O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe

O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\WINDOWS\system32\TODDSrv.exe



--

End of file - 13693 bytes





Quedo en espera de su amable respuesta. Saludos

[msc hotline sat]

Vemos dos anomalias:



Teniendo instalado McAfee vemos residente ademas el AVAST:



C:\Program Files\Alwil Software\Avast4\ashWebSv.exe



No debe haber mas de un antivirus instalado para evitar colisiones y ralentizacion.



Desinstala uno de los dos.





Y por otro lado vemos este sospechoso:



C:\WINDOWS\system32\bcllps.exe





emvianoslo para analizar:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos







y para otra vez recuerda https://foros.zonavirus.com/viewtopic.php?f=6&t=29543



saludos



ms, 23-9-2009

[alvarokrater]

Hola de nuevo amigos:



Agradezco mucho su amable respuesta. Respecto al archivo que solicitan, no pude encontrarlo, tal como lo solicitan.



No obstante, encontré el siguiente: BCLLPS.EXE-0B31526D.pf y ya fué enviado como muestra.



Esta fué la ruta donde se encontró: C:\WINDOWS\Prefetch



También les comento, que al crear el archivo .Zip este mismo parece crearse también en: C:\Documents and Settings\Canelo Kot\Recent



El directorio REcent, no lo encontré.



Saludos

[msc hotline sat]

No, los .pf son prefetch, solo lanzadores, y no sirven sin el .EXE



Mira si lo localizas y lo pues copiar a C:\muestras con el ELIMOVER.EXE , y desde allí podrás envuarnoslo:
[quote]
ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



y pulsar sobre la casilla inferior izquierda para añadir .VIR al fichero original, ya que se trata de un malware[/quote]

y copia y pega en él toda la siguiente linea:



C:\WINDOWS\system32\bcllps.exe





Por cierto, mejor hazlo arrancando en MODO SEGURO, para que si es un RootKit no lo oculte.



saludos



ms, 26-9-2009

[msc hotline sat]

Y le dijimos desinstalara uno de los dos antivirus... ¿ lo ha hecho ? porque quizás sobran los dos para enviar la muestra, ya que cuando arranca ya le elimina el fichero, que sin duda es el causante de lo que indica, según PrevX:


[quote]"BCLLPS.EXE"Cloaked Malware

--------------------------------------------------------------------------------



PC Cleanup in 3 Easy Steps

Use Prevx 3.0 to remove BCLLPS.EXE, along with any other viruses, spyware, adware, trojans, rootkits, worms, information stealers, keyloggers, bots, and other form of malicious threat that may reside on your PC.



Remove this Infection »



Think your PC might be Infected? Scan Now

Prevx 3.0 will scan your PC in seconds to inform you whether your PC is clean or infected.

Malware Removal

Prevx 3.0 removes adware infections for free. More complicated infections require purchase of a malware removal license.

Expert Assistance

In the rare occurence that Prevx 3.0 malware removal fails - a Prevx Engineer will connect to your PC and manually disinfect.

Money Back Guarantee for Individual Users

If within the first 14 days, the Prevx Engineer finds it impossible to clean an infection from your PC, we give you your money back.

Associated Malware Groups

The filename is associated with the malware groups:



Cloaked Malware

System Back Door

Malware Dropper

File Behavior

BCLLPS.EXE has been seen to perform the following behavior:



Adds a Registry Key (RUN) to auto start Programs on system start up

This process creates other processes on disk

Executes Processes stored in Temporary Folders

Writes to another Process's Virtual Memory (Process Hijacking)

This Process Deletes Other Processes From Disk

Found on infected systems and resists interrogation by security products

Executes a Process

Injects code into other processes

Sends mail without telling you

Uses DNS to retrieve the IP address for web sites

BCLLPS.EXE has been the subject of the following behavior:



Added as a Registry auto start to load Program on Boot up

Executed from Temporary Folders

Has code inserted into its Virtual Memory space by other programs

Created as a process on disk

Copied to multiple locations on the system

Executed as a Process

Country Of Origin

The filename BCLLPS.EXE was first seen on Sep 3 2009 in the following geographical regions of the Prevx community:



MEXICO on Sep 3 2009

The EUROPEAN UNION on Sep 3 2009

File Name Aliases

BCLLPS.EXE can also use the following file names:



765.EXE211.EXE534.EXECXLSDDB[n].EXEINJE0000(n).EXEYHJJJ112 (n).EXEBCLLPSSS.EXEESCCCMB[n].EXEDPLTWEWMSS-450.PMS.EXE008.EXEFilesizes

The following file size has been seen:



44,032 bytes42,496 bytes64,512 bytesFile Type

The filename BCLLPS.EXE refers to many versions of an executable program.

Network Activity

One or more files with the name BCLLPS.EXE performs the following network events:



DNS Lookup208.53.158.154 nuygtdswqf.com

Website Activity

One or more files with the name BCLLPS.EXE interacts with the following web sites and pages. Web addresses have been deliberately modified to prevent unintentional use.



Port 25 IP:208.53.158.154

Port 25 IP:216.39.53.3

Port 25 IP:212.27.48.7

TCP:12.145.20.48:25 Port:26

TCP:216.163.188.57:25 Port:26

TCP:193.252.22.184:25 Port:26

TCP:74.125.93.27:25 Port:26

TCP:202.56.224.134:25 Port:26

TCP:67.15.62.2:25 Port:26

TCP:195.103.16.118:25 Port:26

TCP:216.32.180.22:25 Port:26

TCP:204.11.209.99:25 Port:26

TCP:213.186.33.32:25 Port:5

TCP:66.96.140.50:25 Port:5

TCP:205.178.149.7:25 Port:5

TCP:208.89.132.202:25 Port:5

TCP:64.89.23.151:25 Port:5

TCP:74.125.93.27:25 Port:11

TCP:4.79.181.18:25 Port:26

TCP:66.39.2.34:25 Port:26

TCP:139.175.54.239:25 Port:26[/quote]

o bien este otro, posible variante del anterior:


[quote="PrevX"]


"YV8G67.EXE"Malicious Software

--------------------------------------------------------------------------------



PC Cleanup in 3 Easy Steps

Use Prevx 3.0 to remove YV8G67.EXE, along with any other viruses, spyware, adware, trojans, rootkits, worms, information stealers, keyloggers, bots, and other form of malicious threat that may reside on your PC.



Remove this Infection »



Think your PC might be Infected? Scan Now

Prevx 3.0 will scan your PC in seconds to inform you whether your PC is clean or infected.

Malware Removal

Prevx 3.0 removes adware infections for free. More complicated infections require purchase of a malware removal license.

Expert Assistance

In the rare occurence that Prevx 3.0 malware removal fails - a Prevx Engineer will connect to your PC and manually disinfect.

Money Back Guarantee for Individual Users

If within the first 14 days, the Prevx Engineer finds it impossible to clean an infection from your PC, we give you your money back.

Associated Malware Groups

The filename is associated with the malware groups:



Malicious Software

Cloaked Malware

File Behavior

YV8G67.EXE has been seen to perform the following behavior:



Writes to another Process's Virtual Memory (Process Hijacking)

Executes a Process

Injects code into other processes

This process creates other processes on disk

This Process is a file infector which modifies program files to include a copy of the infection

Drops known malicious software during execution

Reads email address and phone book details

Uses DNS to retrieve the IP address for web sites

Visits web sites on your PC without you knowing

The Process is packed and/or encrypted using a software packing process

Found on infected systems and resists interrogation by security products

YV8G67.EXE has been the subject of the following behavior:



Executed as a Process

Has code inserted into its Virtual Memory space by other programs

Created as a process on disk

Copied to multiple locations on the system

Created by processes which appear to be checking for interception by security products

Country Of Origin

The filename YV8G67.EXE was first seen on Jul 27 2009 in the following geographical regions of the Prevx community:



SPAIN on Jul 27 2009

MALAYSIA on Aug 4 2009

URUGUAY on Sep 8 2009

File Name Aliases

YV8G67.EXE can also use the following file names:



94042395.EXE60A.TMP46.TMPA8.TMPSPM[n].HTMOEGCRHSA.EXEQGQTERE.EXEYUKBEA.EXEXQYIQH.EXECEXY.EXEPVJTGK[n].HTMKHWX.EXETJIQHD.EXEAETACFE.EXEPRINT.EXEXWVXGTU.EXEGJFTDDRA[n].HTMFCMMAABO[n].HTMDPLWQKITSV-450.PMS.EXERDL24.TMP.EXERDL31.TMP.EXERDL6B.TMP.EXEMEGATRADER-2K_20090727[n].EXENICEWGER.EXERDL23.TMP.EXERDL1C.TMP.EXERDL21.TMP.EXEBDFERYT[n].JPGRDL9.TMP.EXERDLA.TMP.EXEMEGATRADER-2K_20090727.EXE489.EXE86334579.EXEWMSBCC[n].EXEEMXUIYQ.EXEDPLWEIPWET-280.PMS.EXECCWYGKVW.EXEBGESLMM.EXEGNIAMBI.EXEFGVOCV.EXEUFGX.EXEHMICB.EXEBLYZDH[n].HTMDNXUH[n].HTMXUKGCB.EXEFilesizes

The following file size has been seen:



52,224 bytes132,096 bytes115,712 bytes139,264 bytes158,208 bytesFile Type

The filename YV8G67.EXE refers to many versions of an executable program.

File Activity

One or more files with the name YV8G67.EXE creates, deletes, copies or moves the following files and folders:



Creates c:\recycler\s-1-5-21-6079439397-5031233571-595905654-9695\Desktop.ini

Creates c:\docume~1\user\locals~1\temp\197.exe

Creates c:\docume~1\user\locals~1\temp\625.exe

Creates c:\docume~1\user\locals~1\temp\194.exe

Copies filec:\docume~1\user\locals~1\temp\194.exe to c:\windows\system32\pldmcx.exe

Copies filec:\docume~1\user\locals~1\temp\197.exe to c:\windows\system32\wnddsl.exe

Copies filec:\docume~1\user\locals~1\temp\625.exe to c:\windows\system32\bcllps.exe

Network Activity

One or more files with the name YV8G67.EXE performs the following network events:



DNS Lookup174.139.0.106 f5v9w.com

DNS Lookup1.1.36.1 DC36-UY325AQ9

DNS Lookup69.163.47.13 lxforbug.com

DNS Lookup208.53.131.102 luckybusy.com

DNS Lookup208.53.131.103 sometimesgood.com

DNS Lookup98.126.116.58 lycomputing.com

DNS Lookup98.126.25.202 miniknfdw.com

DNS Lookup64.120.149.53 dqglobex.com

DNS Lookup64.237.61.132 bydvwqcdw.com

DNS Lookup208.53.158.154 nuygtdswqf.com

DNS Lookup64.120.131.165 btceswqdw.com

DNS Lookup76.73.7.194 drwhox.com

DNS Lookup208.53.158.198 nuygtfcwq.com

DNS Lookup208.53.147.35 mojujfdhew.com

Website Activity

One or more files with the name YV8G67.EXE interacts with the following web sites and pages. Web addresses have been deliberately modified to prevent unintentional use.



209 .160 .22 .135 / cxlsdda .exe

208 .110 .82 .26 / cxlsddb .exe

208 .110 .82 .26 / cxlsddc .exe

TCP:64.191.125.149:444 Port:26

Port 80 IP:208.110.82.26

Port 80 IP:209.160.22.135

TCP:69.163.47.13:1430 Port:28

TCP:208.53.131.102:1430 Port:28

TCP:208.53.131.103:1430 Port:28

TCP:98.126.116.58:1430 Port:28

TCP:98.126.25.202:8900 Port:27

TCP:64.120.131.165:8900 Port:27

TCP:208.53.158.198:8900 Port:27

TCP:208.53.147.35:8900 Port:27

TCP:64.120.149.53:8090 Port:28

TCP:64.237.61.132:8090 Port:28

TCP:208.53.158.154:8090 Port:28

TCP:76.73.7.194:8090 Port:28

TCP:208.53.131.102:1430 Port:29

TCP:208.53.131.103:1430 Port:29

TCP:98.126.116.58:1430 Port:11

TCP:69.163.47.13:1430 Port:11

TCP:208.53.131.102:1430 Port:11

TCP:208.53.131.103:1430 Port:11

TCP:208.53.158.198:8900 Port:11

TCP:208.53.147.35:8900 Port:11

TCP:98.126.25.202:8900 Port:11

TCP:64.120.131.165:8900 Port:11

TCP:98.126.116.58:1430 Port:11

TCP:69.163.47.13:1430 Port:11

TCP:208.53.131.102:1430 Port:11

TCP:208.53.131.103:1430 Port:11
[/quote]

Y prueba el SPROCES, a ver si vemos lo que lo regenera:


[quote="msc escribió"]
[b]SPROCES.EXE[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT [/quote]
lo analizaremos e informaremos al respecto.



saludos



ms, 26-9-2009

[alvarokrater]

Hola:



Desinstalé el antivirus (McAfee). Ejecuté en modo seguro EliMover y me indica que el fichero no existe (probé con ambas variantes). No obstante, generó en C:/Muestras un archivo con el nombre: bcllps.exe.Muestra EliMover v1.1 No lo pude adjuntar a este mensaje.



También les estoy enviando el resultado de Sproces, traté de postearlo aquí, pero el número de caracteres supera el permitido.



Saludos

[msc hotline sat]

Pues muy bien ! Ahora has de enviarnos dicho fichero que tienes en C:\muestras para analizarlo y controlarlo:





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



y paso a analizar el log...





saludos



ms,

[alvarokrater]

Acabo de enviar la muestra solicitada del archivo:



bcllps.exe.Muestra EliMover v1



Saludos

[msc hotline sat]

En cuanto entremos a trabajar en SATINFO (dentro de unas 3 horas) esperamos verla y procederemos.



Y en el log aun vemos estas claves que, tras recibir la muestra, implementaremos su control y eliminacion en la proxima version del ELISTARA de hoy:



F2 - REG:system.ini: Taskman=C:\WINDOWS\system32\bcllps.exe



O4 - HKCU\..\Run: [clrtss] C:\WINDOWS\system32\bcllps.exe





si quieres las puedes eliminar, aunque si en el ELIMOVER no marcaste la casilla inferior izquierda, para que añadiera .VIR a la extension del fichero original, igual no te va a dejar...





y las líneas del HOSTS redirecionando a la ip 127.0.0.1 las pone el SPYBOT, ya las borrará el ELISTARA cuando lo pruebes.



Envianos la muestra en cuanto puedas para que podamos procesarla y si llega normalmente, a partir de las 19 horas de hoy podras descargar y probar la nueva version:


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

Y si pide el ELINOTIF.DLL, copiar dicho fichero en la misma carpeta que el ELISTARA.EXE, el cual la utilizará si la necesita:



ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp



saludos



ms, 29-9-2009

ref MX/DF+19.43-99.13

[msc hotline sat]

Pues analizado el fichero recibido, se trata de un downloader que pasamos a controlar con el ELISTARA 19.35 de hoy:


[quote]
[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso
[/quote]





A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus



saludos



ms, 29-9-2009

[Maziro6755]

prosperity makes friends, adversity tries them.



Thsale is a professional, loyal and reliable wow gold supplier online, we pioneered selling cheap ...



_________________

us wow gold







IP y mail de contacto de este apammer:



123.145.169.209 CN China 33 Chongqing Chongqing 29.5628 106.5528



moakewoo@gmail.com



Este chino ha enviado dos post-spam a este foro, por lo que se le ha desactivado y anulados los links y demas.



Se deja a efectos de conocimiento de otros foros

[alvarokrater]

Hola amigos:



Les comento que corri el Elistara y eliminó efectivamente el BCLLPS.EXE, lamentablemente corrí doble vez el proceso y actualicé el informe, por lo cual ya no aparece el primer resultado. Más doy fé que el fichero fue eliminado.



No obstante, lo anterior corrí nuevamente SPROCES y les adjunto el informe por si es de utilidad.



También les comento no me percaté que cuando corrí el EliBagla, integró un archivo en Muestras, mismo que les envío con fines de análisis, pues probablemente contribuyó a la eliminación del problema.



Saludos y muchas gracias por su fina atención.

[alvarokrater]

Aqui va el resultado de SProces



Saludos

[msc hotline sat]

Gracias pero el infosat.txt no se borra por mas que pase nuevas veces los ELI*.* que lo generan, pues añaden al final su resultado, sin borrarlo hasta que el fichero pesa demasiado...



Pero es en C:\infosat.txt , diferente del C:\sproclog.txt del SPROCES.EXE



Pero gracias por decirnos que ha funcionado bien, como esperabamos.



Ahora pasamos a rtevisar el log del SPROCES:

[msc hotline sat]

Tiene aun las entradas 127.0.0.1 propias del Spybot... las cuales habría eliminado con el ELISTARA si hubiera aceptado limpiar el HOSTS... son un tostón :mrgreen:



Esta clave, si no es voluntaria... parece mala:



23 - Service: WAN Miniport (ATW) (wanatw) - America Online, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\wanatw4.sys



segun:



http://www.threatexpert.com/files/wanatw4.sys.html





envienos muestra del fichero que lanza, para analizar:



C:\WINDOWS\SYSTEM32\DRIVERS\wanatw4.sys









[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 1-10-2009

[alvarokrater]

En cuanto al Infosat.txt, hubo un cuadro de diálogo que indicaba que era demasiado, acepté y supongo que por ello se sobreescribió.



Respecto a lo del Host, también acepté la opción de limpieza, por ello me parece curioso lo que mencionan.



Ahora mismo les envío muestra del archivo wanatw4.sys



Agradezco su apoyo.

[msc hotline sat]

Posiblemente tras limpiar estas lineas del HOSTS que pone el Spybot, al reiniciar, debe tener que se cargue el Spybot al respecto y se le instalaron de nuevo. No son malas, con ello se evita que se pueda acceder a estas URL que consideran maliciosas, como hacen muchos virus con las webs de seguridad, pero tantas como crea el Spybot resultan molestas, como ya ve.



Y en cuanto recibamos el fichero sospechoso lo analizaremos e informaremos.



Por ahora solo podemos decirle que vemos, al respecto, esta informacion:



http://www.prevx.com/filenames/X2117890565239117658-X1/WANATW4.SYS.html



pero claro, con el nombre de cualquier fichero luego puede haber cualquier cosa... ya veremos



saludos



ms, 2-10-2009

[msc hotline sat]

La muestra enviada hace referencia a AOL (AmericaOnLine)



Diganos si es voluntaria, sino eliminela



Pero no es propiamente vírica, por ello no la implementamos en ninguna utilidad de las nuestras



Si la elimina, tras reiniciar diganos si persisten las anomalias o no, gracias



saludos



ms, 2-10-2009

[msc hotline sat]

Recibida hoy otra muestra del sospechoso WANATW4.SYS que indica ser de AOL, por lo que no lo intervenimos.



Diganos si tras todo lo indicado persiste la anomalia o ya se ha solucionado el problema, gracias



saludos



ms, 15-10-2009