recibo mails desde hotmail con asunto !!! o ... (SOLUCIONADO)

[venet1979]

gente soy nuevo, antes que nada pido disculpas si ya existe el asunto pero busco !!! o ... y aparecen muchos con cualquier cosa, es muy generico.



bueno mi tema es asi:

tengo dos amigos que estan enviando un mail desde hotmail con asunto: !!! o ... y una pagina con un link que ovbiamente no lo abri!!, https://foros.zonavirus.com/viewtopic.php?f=1&t=17044



- envian a toda su libreta de contactos

- la pagina de hotmail se le cuelga

- se envia 1 vez por dia mas o menos



datos para tener en cuenta:



yo tengo seven con avast actulizado

no tengo hotmail (soy antihotmail)

lo recibo en el celu tambien (andriod 2.1)

lo recibo en iphone 3gs

lo recibo en mac 10.6.6 en otro cuenta con dominio propio y yahoo



datos recopilados de una de las pcs:



(18-3-2011 16:02:48 GMT)

SProces v5.2 (c)2010 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) Instalado.

Internet Explorer: (v8.0.6001.18702) 0

Nombre Equipo: YOUR-ABA080EE13

Nombre Usuario: User



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\ALWIL SOFTWARE\AVAST5\AVASTSVC.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM32\IGFXTRAY.EXE

C:\WINDOWS\SYSTEM32\HKCMD.EXE

C:\WINDOWS\SYSTEM32\IGFXPERS.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\ARCHIVOS DE PROGRAMA\SYSTEM CONTROL MANAGER\MGSYSCTRL.EXE

C:\ARCHIVOS DE PROGRAMA\USB DISK SECURITY\USBGUARD.EXE

C:\ARCHIV~1\ALWILS~1\AVAST5\AVASTUI.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\WINDOWS LIVE\MESSENGER\MSNMSGR.EXE

C:\WINDOWS\SYSTEM32\IGFXSRVC.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\ARCHIVOS DE PROGRAMA\SYSTEM CONTROL MANAGER\MSISERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\MICROSOFT\SEARCH ENHANCEMENT PACK\SEAPORT\SEAPORT.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\YAHOO!\SOFTWAREUPDATE\YAHOOAUSERVICE.EXE

C:\WINDOWS\SYSTEM32\WBEM\UNSECAPP.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\DOCUMENTS AND SETTINGS\USER\ESCRITORIO\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.ar

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Online Radio America Toolbar - {9a6be539-96ea-454d-898b-61891e0844d5} - C:\Archivos de programa\Online_Radio_America\prxtbOnl0.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\ARCHIV~1\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Archivos de programa\ConduitEngine\prxConduitEngine.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Archivos de programa\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Online Radio America - {9a6be539-96ea-454d-898b-61891e0844d5} - C:\Archivos de programa\Online_Radio_America\prxtbOnl0.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar_32.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\5.6.5805.1910\swg.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll

O2 - BHO: (no name) - {EF60DB06-3063-4393-80BE-8A76A6DE8DF9}80BE-8A76A6DE8DF9} - (no file)

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\ARCHIV~1\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: Barra Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\ARCHIV~1\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: Online Radio America Toolbar - {9a6be539-96ea-454d-898b-61891e0844d5} - C:\Archivos de programa\Online_Radio_America\prxtbOnl0.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar_32.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Archivos de programa\ConduitEngine\prxConduitEngine.dll

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Messenger (Yahoo!)] "C:\ARCHIV~1\Yahoo!\Messenger\YahooMessenger.exe" -quiet

O4 - HKCU\..\Run: [EPSON Stylus C92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE /FU "C:\WINDOWS\TEMP\E_S87.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [EPSON Stylus C92 Series (Copiar 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE /FU "C:\WINDOWS\TEMP\E_S4.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [EPSON Stylus CX5600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICAL.EXE /FU "C:\WINDOWS\TEMP\E_S8B.tmp" /EF "HKCU"

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [MGSysCtrl] C:\Archivos de programa\System Control Manager\MGSysCtrl.exe

O4 - HKLM\..\Run: [USB Antivirus] C:\Archivos de programa\USB Disk Security\USBGuard.exe

O4 - HKLM\..\Run: [avast5] C:\ARCHIV~1\ALWILS~1\Avast5\avastUI.exe /nogui

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Google Sidewiki... - res://C:\Archivos de programa\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html

O9 - Extra button: Agregar entrada - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Archivos de programa\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Information Retrieval\MSITSS.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: IGFXCUI - IGFXDEV.DLL

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------

WinSys\Drivers\dmboot.sys (de 800256 bytes) () Microsoft Corp., Veritas Software

WinSys\Drivers\mrxsmb.sys (de 455680 bytes) () Microsoft Corporation

WinSys\Drivers\ntfs.sys (de 574976 bytes) () Microsoft Corporation



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: avast! Antivirus - AVAST Software - C:\Archivos de programa\Alwil Software\Avast5\AvastSvc.exe

O23 - Service: Servicio de actualización de Google (gupdate) (gupdate) - Google Inc. - C:\Archivos de programa\Google\Update\GoogleUpdate.exe

O23 - Service: Micro Star SCM - Unknown owner - C:\Archivos de programa\System Control Manager\MSIService.exe

O23 - Service: Yahoo! Updater (YahooAUService) - Yahoo! Inc. - C:\Archivos de programa\Yahoo!\SoftwareUpdate\YahooAUService.exe



Listado de Servicios (Carga Manual):

------------------------------------

**O23 - Service: Administración de aplicaciones (AppMgmt) - Unknown owner - %SystemRoot%\system32\svchost.exe -k netsvcs - C:\WINDOWS\System32\appmgmts.dll (file missing)

**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Controlador de bus de Microsoft UAA para High Definition Audio (HDAudBus) - Windows (R) Server 2003 DDK provider - C:\WINDOWS\SYSTEM32\DRIVERS\HDAudBus.sys

O23 - Service: ialm - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\igxpmp32.sys

O23 - Service: Service for Realtek HD Audio (WDM) (IntcAzAudAddService) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\RtkHDAud.sys

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: RTS5121.Sys Realtek USB Card Reader (RSUSBSTOR) - Realtek Semiconductor Corporation - C:\WINDOWS\SYSTEM32\Drivers\RTS5121.sys

O23 - Service: Realtek RTL8187SE Wireless LAN PCIE Network Adapter (rtl8187Se) - Realtek Semiconductor Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\rtl8187Se.sys

O23 - Service: Realtek 10/100/1000 PCI-E NIC Family NDIS XP Driver (RTLE8023xp) - Realtek Semiconductor Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\Rtenicxp.sys

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys



Listado de Servicios (Deshabilitados):

--------------------------------------

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys

**O23 - Service: dmio - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmio.sys

**O23 - Service: dmload - Microsoft Corp., Veritas Software. - C:\WINDOWS\SYSTEM32\drivers\dmload.sys

O23 - Service: Acceso a dispositivo de interfaz humana (HidServ) - Unknown owner - %SystemRoot%\System32\svchost.exe -k netsvcs - C:\WINDOWS\System32\hidserv.dll (file missing)



19 Servicios.

4 de Carga Automatica.

11 de Carga Manual.

4 Deshabilitados.



(18-3-2011 16:01:48 (GMT))

EliStartPage v22.84 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 18 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurado "Userinit"

[Userinit anterior] = "C:\WINDOWS\system32\userinit.exe,"

[Userinit actual] = "C:\WINDOWS\SYSTEM32\Userinit.exe,"

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

C:\WINDOWS\SYSTEM32\AUTORUN.INF --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\AUTORUN.IN --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\AUTORUN.I --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE





agradezco su respuesta!!!

[msc hotline sat]

Pues parece claro que sus amigos tienen un troyano que envia mails a todas las direcciones de la libreta, pero esto lo han de arreglar ellos, Vd limitese a no abrir los anexados a dichos mails y en todo caso preferimos el del SPROCES que es mas exhaustivo, pero siempre despues del ELISTARA...

De todas formas vemos estas claves que si no son voluntarias, puede eliminarlas:

R3 - URLSearchHook: Online Radio America Toolbar - {9a6be539-96ea-454d-898b-61891e0844d5} - C:\Archivos de programa\Online_Radio_America\prxtbOnl0.dll
O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Archivos de programa\ConduitEngine\prxConduitEngine.dll
O3 - Toolbar: Online Radio America Toolbar - {9a6be539-96ea-454d-898b-61891e0844d5} - C:\Archivos de programa\Online_Radio_America\prxtbOnl0.dll
O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Archivos de programa\ConduitEngine\prxConduitEngine.dll
**O23 - Service: Administración de aplicaciones (AppMgmt) - Unknown owner - %SystemRoot%\system32\svchost.exe -k netsvcs - C:\WINDOWS\System32\appmgmts.dll (file missing)

Pero si su ordenador no presenta anomalias, tal como indicamos el problema está en los ordenqadores de sus amigos, no en el suyo.

saludos

ms, 18-3-2011

[msc hotline sat]

Aunque no le afecte a su equipo, le informo que descargado el fichero que anexan los mails de sus amigos, resulta ser un malware, segun se ve en el preanalisis del VT:

File name:
hVT3pZ.exe
Submission date:
2011-03-18 02:59:41 (UTC)
Current status:
finished
Result:
20 /43 (46.5%)

VT Community

malware
Safety score: 0.0%
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.03.18.01 2011.03.18 -
AntiVir 7.11.4.248 2011.03.17 TR/Dldr.Delphi.Gen
Antiy-AVL 2.0.3.7 2011.03.18 -
Avast 4.8.1351.0 2011.03.17 -
Avast5 5.0.677.0 2011.03.17 -
AVG 10.0.0.1190 2011.03.17 -
BitDefender 7.2 2011.03.18 DeepScan:Generic.Malware.P!Pk!.48A3079C
CAT-QuickHeal 11.00 2011.03.17 -
ClamAV 0.96.4.0 2011.03.17 -
Commtouch 5.2.11.5 2011.03.17 W32/Threat-SysVenFak-based!Maximus
Comodo 8019 2011.03.18 TrojWare.Win32.TrojanDownloader.Delf.gen
DrWeb 5.0.2.03300 2011.03.18 Trojan.DownLoad2.22072
Emsisoft 5.1.0.2 2011.03.18 Trojan-Downloader.Win32.Banload!IK
eSafe 7.0.17.0 2011.03.17 -
eTrust-Vet 36.1.8221 2011.03.17 -
F-Prot 4.6.2.117 2011.03.17 W32/Threat-SysVenFak-based!Maximus
F-Secure 9.0.16440.0 2011.03.17 DeepScan:Generic.Malware.P!Pk!.48A3079C
Fortinet 4.2.254.0 2011.03.18 -
GData 21 2011.03.18 DeepScan:Generic.Malware.P!Pk!.48A3079C
Ikarus T3.1.1.97.0 2011.03.18 Trojan-Downloader.Win32.Banload
Jiangmin 13.0.900 2011.03.17 Trojan/Generic.dyej
K7AntiVirus 9.93.4136 2011.03.17 Trojan
Kaspersky 7.0.0.125 2011.03.18 Heur.Trojan.Generic
McAfee 5.400.0.1158 2011.03.18 Suspect-AK!63C3DD4F2C9C
McAfee-GW-Edition 2010.1C 2011.03.17 Heuristic.BehavesLike.Win32.Keylogger.J
Microsoft 1.6603 2011.03.17 -
NOD32 5964 2011.03.17 a variant of Win32/TrojanDownloader.Banload.PZM
Norman 6.07.03 2011.03.17 W32/Malware
nProtect 2011-02-10.01 2011.02.15 -
Panda 10.0.3.5 2011.03.17 -
PCTools 7.0.3.5 2011.03.17 -
Prevx 3.0 2011.03.18 -
Rising 23.49.02.06 2011.03.16 -
Sophos 4.63.0 2011.03.18 -
SUPERAntiSpyware 4.40.0.1006 2011.03.18 -
Symantec 20101.3.0.103 2011.03.18 -
TheHacker 6.7.0.1.151 2011.03.18 -
TrendMicro 9.200.0.1012 2011.03.17 Mal_Banld-7
TrendMicro-HouseCall 9.200.0.1012 2011.03.18 Mal_Banld-7
VBA32 3.12.14.3 2011.03.16 -
VIPRE 8738 2011.03.18 Trojan-Downloader.Win32.Banload.anow (v)
ViRobot 2011.3.17.4362 2011.03.17 -
VirusBuster 13.6.254.0 2011.03.17 -
Additional information
Show all
MD5 : 63c3dd4f2c9c69a1dc9e1854cf284ca4
SHA1 : 786a6f1375eac1a2bdac7bbb80f894e0f4e37fc9

File size : 128512 bytes

sigcheck:
publisher....: Microsoft Corporation
copyright....:
product......:
description..: Arquivo de Som do Windows
original name:
internal name:
file version.: 7.22.1800.2
comments.....:
signers......: -
signing date.: -
verified.....: Unsigned

Al parecer se trata de un Downloader de Banker, de los que roban contraseñas bancarias, y en portugués, típico de Brasil, de donde vienen tantos similares.

Por si teme haberlo descargado, puede probar el ELIMD5.EXE indicando el hash correspondiente, que en este caso es 63c3dd4f2c9c69a1dc9e1854cf284ca4

y el lunes, de vuelta al trabajo en SATINFO, lo analizaremos e implementaremos su control y eliminacion en la siguiente verison del ELISTARA, de lo cual informaremos

saludos

ms, 18-3-2011



NOTA:

descarga de ELIMD5
http://www.zonavirus.com/descargas/elimd5exe.asp

[msc hotline sat]

Y monitorizado el fichero en SATINFO, pasamos a controlarlo a partir del ELISTARA 22.85 de hoy.



A partir de las 19 h CET dicha verison del ELISTARA 22.85 ESTARÁ DISPONIBLE EN NUESTRA WEB.



saludos



ms, 21-3-2011

[Poch]

Hola, qué tal?...



Soy nueva usuaria en la página por lo que les pido paciencia si me llego a equivocar en los posteos del foro. Contesto aquí porque a diferencia del usuario que comenzó el post, yo soy la persona que mando esos correos con puntos supensivos y un enlace para descargar fotos cosa que me tiene bastante preocupada porque paso el antivirus diario (AVG) y no me detecta absolutamente nada y a pesar de haber advertido a mis contactos es un tema que quiero solucionar lo más pronto posible.



Estuve leyendo los posteos aquí y siguiendo algunas formas de eliminarlo, me descargué el spybot y no pasó nada, esperé hasta el día de hoy para hacer lo que recomiendan con el ElistarA, inicié mi pc en modo a prueba de fallos, descargué y ejecuté el programa y no me detectó absolutamente nada, no se si es error mio o ya es algo imposible de resolver jaja. Y sinceramente ya es algo que desespera un poco, de hecho, no tengo idea de cómo se instaló ese virus en mi pc en fin..son muchas dudas y lo que más me interesa es poder acabar con ese virus definitivamente con su ayuda.



Desde ya...gracias!!! ;)

[msc hotline sat]

Pues le honra la buena intención de evitar el transtorno de los demás, no todos los usuarios obran como Vd !

Vamos a ver si logramos dar con lo que le causa dicho envio, si bien muchos spams son enviados utilizando remotamente ordenadores zombie, por los que poco puede hacer el usuario, y aun mas, en otros casos simplemente se utiliza su direccion de correo, sin que realmente los mails provengan de dicho ordenador, sino de otro infectado que esté usando tecnicas spoofing o de falseo de remitente.

Para ver si tiene algo raro en su equipo, está muy bien que pase el ELISTARA en modo seguro, pero hagalo con el usuario que acostumbra a usar, no como administrador, para tener acceso a las carpetas que usa normalmente.

Y tras ello posteenos el contenido de C:\infosat.txt, para ver lo que los detalles de la exploracion, aunque no detecte nada vírico.

Y en cualquier caso, luego lance el SPROCES y tras pulsar en SALIR , posteenos tambien el contenido del informe que genera, C:\sproclog.txt . Lo analizaremos e informaremos.

SPROCES.EXE (herramienta de investigación)
http://www.zonavirus.com/descargas/sproces.asp

saludos

ms, 22-3-2011
RMX

[Poch]

Ya estoy de nuevo por acá tratando de seguir al pie de la letra lo que ponen, acá les pego los resultados a ver si esto tiene solución..saludos y de nuevo gracias!!

(21-3-2011 23:45:30 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Restaurado "Userinit"
[Userinit anterior] = "C:\WINDOWS\system32\userinit.exe,"
[Userinit actual] = "C:\WINDOWS\SYSTEM32\Userinit.exe,"
C:\WINDOWS\infosapi.dll --> Eliminado (Fichero Complementario).
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

(21-3-2011 23:59:22 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 7489
Nº Total de Ficheros: 65946
Nº de Ficheros Analizados: 27582
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

(22-3-2011 00:00:07 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 199
Nº Total de Ficheros: 1235
Nº de Ficheros Analizados: 449
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0
Exploración Detenida por el Usuario.

(22-3-2011 00:12:19 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 7533
Nº Total de Ficheros: 67431
Nº de Ficheros Analizados: 27591
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

(22-3-2011 12:10:38 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminados Ficheros Temporales del IE

(22-3-2011 12:36:52 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 7489
Nº Total de Ficheros: 65981
Nº de Ficheros Analizados: 27589
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

(22-3-2011 22:18:55 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

(22-3-2011 22:40:46 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 7532
Nº Total de Ficheros: 67444
Nº de Ficheros Analizados: 27591
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

(23-3-2011 00:51:04 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

(23-3-2011 01:15:51 (GMT))
EliStartPage v22.85 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 21 de Marzo del 2011)
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios: 7533
Nº Total de Ficheros: 67351
Nº de Ficheros Analizados: 27593
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

Acá está el SProces:

(23-3-2011 01:25:23 GMT)
SProces v5.2 (c)2010 S.G.H. / Satinfo S.L.
-------------------------------------------
Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3
Parche MS08-067 (Servicio Servidor) Instalado.
Internet Explorer: (v8.0.6001.18702) 0
Nombre Equipo: PC1
Nombre Usuario: Horacio

Procesos Activos:
C:\WINDOWS\SYSTEM32\SMSS.EXE
C:\WINDOWS\SYSTEM32\WINLOGON.EXE
C:\WINDOWS\SYSTEM32\SERVICES.EXE
C:\WINDOWS\SYSTEM32\LSASS.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGCHSVX.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGRSX.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGCSRVX.EXE
C:\WINDOWS\SYSTEM32\SPOOLSV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\ARCHIV~1\AVG\AVG9\AVGTRAY.EXE
C:\WINDOWS\SYSTEM32\PV92TRAY.EXE
C:\WINDOWS\SYSTEM32\PCTSPK.EXE
C:\WINDOWS\SYSTEM32\IGFXTRAY.EXE
C:\WINDOWS\SYSTEM32\HKCMD.EXE
C:\ARCHIVOS DE PROGRAMA\WINDOWS LIVE\MESSENGER\MSNMSGR.EXE
C:\WINDOWS\SYSTEM32\CTFMON.EXE
C:\ARCHIVOS DE PROGRAMA\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGWDSVC.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGFWS9.EXE
C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\VS7DEBUG\MDM.EXE
C:\ARCHIVOS DE PROGRAMA\MICROSOFT\SEARCH ENHANCEMENT PACK\SEAPORT\SEAPORT.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\ARCHIVOS DE PROGRAMA\AVG\AVG9\AVGNSX.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\ARCHIVOS DE PROGRAMA\WINDOWS LIVE\CONTACTS\WLCOMM.EXE
C:\DOCUMENTS AND SETTINGS\HORACIO\MIS DOCUMENTOS\SPROCES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Archivos de programa\AVG\AVG9\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Archivos de programa\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Archivos de programa\AVG\AVG9\Toolbar\IEToolbar.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll
O2 - BHO: Microsoft Windows® - {E4C76A27-9108-4037-A7CF-19133FB7755B} - C:\ARCHIV~1\Scpad\scpMIB32.dll
O3 - Toolbar: AVG Security Toolbar - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - C:\Archivos de programa\AVG\AVG9\Toolbar\IEToolbar.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll
O4 - HKCU\..\Run: [NBJ] "C:\Archivos de programa\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKLM\..\Run: [AVG9_TRAY] C:\ARCHIV~1\AVG\AVG9\avgtray.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PV92TRAY] PV92Tray.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Ink Monitor] C:\Archivos de programa\EPSON\Ink Monitor\InkMonitor.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Archivos de programa\Archivos comunes\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
O4 - Startup: Ingresos Brutos - Ciudad de Bs.As..LNK = C:\Archivos de programa\S.I.Ap\AFIP\IBGCBA\ibgcba.exe
O4 - Startup: Yahoo! Widgets.lnk = C:\Archivos de programa\Yahoo!\Widgets\YahooWidgets.exe
O4 - Global Startup: Software Kodak EasyShare.lnk = C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Agregar entrada - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Archivos de programa\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Archivos de programa\Yahoo!\Common\Yinsthelper.dll
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-AR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} - http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/m3/photouploadcontrol/MSNPUpld.cab
O18 - Protocol: avgsecuritytoolbar - {F2DDE6B2-9684-4A55-86D4-E255E237B77C} - C:\Archivos de programa\AVG\AVG9\Toolbar\IEToolbar.dll
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Archivos de programa\AVG\AVG9\avgpp.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Information Retrieval\MSITSS.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
O18 - Protocol: mso-offdap11 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Archivos de programa\Windows Live\Mail\mailcomm.dll
O20 - Winlogon Notify: AVGRSSTARTER - AVGRSSTX.DLL
O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL
O20 - Winlogon Notify: IGFXCUI - IGFXSRVC.DLL
O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll
O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\system32\browseui.dll
O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll

Información Adicional:
----------------------
WinSys\Drivers\ati2mtag.sys (de 701440 bytes) () ATI Technologies Inc.
WinSys\Drivers\cmuda.sys (de 812416 bytes) () C-Media Inc
WinSys\Drivers\dmboot.sys (de 800256 bytes) () Microsoft Corp., Veritas Software
WinSys\Drivers\hsfcxts2.sys (de 685056 bytes) () Conexant Systems, Inc.
WinSys\Drivers\mrxsmb.sys (de 455680 bytes) () Microsoft Corporation
WinSys\Drivers\mtxparhm.sys (de 452736 bytes) () Matrox Graphics Inc.
WinSys\Drivers\ntfs.sys (de 574976 bytes) () Microsoft Corporation
WinSys\Drivers\slntamr.sys (de 404990 bytes) () Smart Link
WinSys\Drivers\vmodem.sys (de 936833 bytes) () PCTEL, INC.
WinSys\Drivers\vpctcom.sys (de 942675 bytes) () PCtel, Inc.

Listado de Servicios (Carga Automatica):
----------------------------------------
O23 - Service: AVG WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\avgwdsvc.exe
O23 - Service: AVG Firewall (avgfws9) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\avgfws9.exe
O23 - Service: AVG9IDSAgent (AVGIDSAgent) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\Identity Protection\Agent\Bin\AVGIDSAgent.exe
O23 - Service: Servicio Google Update (gupdate) (gupdate) - Google Inc. - C:\Archivos de programa\Google\Update\GoogleUpdate.exe

Listado de Servicios (Carga Manual):
------------------------------------
O23 - Service: PPdus ASPI Shell (Afc) - Arcsoft, Inc. - C:\WINDOWS\SYSTEM32\drivers\Afc.sys
O23 - Service: AVG Security Toolbar Service - Unknown owner - C:\Archivos de programa\AVG\AVG9\Toolbar\ToolbarBroker.exe
O23 - Service: Avgfwdx - AVG Technologies CZ, s.r.o. - C:\WINDOWS\SYSTEM32\DRIVERS\avgfwdx.sys
O23 - Service: AVG network filter service (Avgfwfd) - AVG Technologies CZ, s.r.o. - C:\WINDOWS\SYSTEM32\DRIVERS\avgfwdx.sys
O23 - Service: AVG9IDSDriver (AVGIDSDriverxpx) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\Identity Protection\Agent\Driver\Platform_XP\AVGIDSDriver.sys
O23 - Service: AVG9IDSFilter (AVGIDSFilterxpx) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\Identity Protection\Agent\Driver\Platform_XP\AVGIDSFilter.sys
O23 - Service: AVG9IDSShim (AVGIDSShimxpx) - AVG Technologies CZ, s.r.o. - C:\Archivos de programa\AVG\AVG9\Identity Protection\Agent\Driver\Platform_XP\AVGIDSShim.sys
O23 - Service: C-Media WDM Audio Interface (cmuda) - C-Media Inc - C:\WINDOWS\SYSTEM32\drivers\cmuda.sys
**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: ialm - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\ialmnt5.sys
O23 - Service: Controlador Compaq Ethernet o Fast Ethernet NIC (N100) - Compaq Computer Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\n100325.sys
O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys
O23 - Service: W2K Pctel Serial Device Driver (Ptserial) - PCTEL, INC. - C:\WINDOWS\SYSTEM32\DRIVERS\ptserial.sys
O23 - Service: Realtek RTL8139/810x Family Fast Ethernet NIC NT Driver (rtl8139) - Realtek Semiconductor Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\R8139n51.SYS
O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys
O23 - Service: Controlador de filtro USB de Sony (SONYPVU1) (SONYPVU1) - Sony Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\SONYPVU1.SYS
O23 - Service: W2K Vmodem (Vmodem) - PCTEL, INC. - C:\WINDOWS\SYSTEM32\DRIVERS\vmodem.sys
O23 - Service: W2K Vpctcom (Vpctcom) - PCtel, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\vpctcom.sys
O23 - Service: W2K Vvoice (Vvoice) - PCtel, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\vvoice.sys
O23 - Service: Intel(R) Graphics Platform (SoftBIOS) Driver ({6080A529-897E-4629-A488-ABA0C29B635E}) - Intel Corporation - C:\WINDOWS\SYSTEM32\drivers\ialmsbw.sys
O23 - Service: Intel(R) Graphics Chipset (KCH) Driver ({D31A0762-0CEB-444e-ACFF-B049A1F6FE91}) - Intel Corporation - C:\WINDOWS\SYSTEM32\drivers\ialmkchw.sys

Listado de Servicios (Deshabilitados):
--------------------------------------
**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys
O23 - Service: Acceso a dispositivo de interfaz humana (HidServ) - Unknown owner - %SystemRoot%\System32\svchost.exe -k netsvcs - C:\WINDOWS\System32\hidserv.dll (file missing)

27 Servicios.
4 de Carga Automatica.
21 de Carga Manual.
2 Deshabilitados.

[msc hotline sat]

Pues vemos que en la carpeta de inicio tiene un .lnk lanzando este fichero desconocido:

C:\Archivos de programa\S.I.Ap\AFIP\IBGCBA\ibgcba.exe

Si no es voluntario, envienoslo para analizar y le informaremos del resultado del analisis:

info al respecto : http://www.prevx.com/filenames/1334434606438171347-X1/IBGCBA.EXE.html




Tras recibir el/los fichero/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos


saludos

ms, 23-3-2011

[Poch]

hola de nuevo;



el programa que me señalan está instalado voluntariamente, nunca causó problemas y es el programa de impuestos oficial de acá por lo que no creo que esté infectado, aunque nunca se sabe, de todas maneras tiene que haber sido analizado por el ElistarA y también por el Spybot que había pasado anteriormente, y el AVG que analiza diariamente mi equipo. Se agradecen la buena voluntad y la atención.

[msc hotline sat]

Por esto le deciamos si lo conocía, en tal caso dejelo como está.



Posiblemente sea un spam controlado remotamente por el hacker, sin que sea propiamente su ordenador el que esté infectado.



Dado lo visto, solo nos cabe la duda si puede ser un RootKit que nos oculte informacion de rutinas y ficheros que tuviera malwares en su ordenador. Por si acaso puede lanzar un FIXMBR desde la consola de recuperacion, a la que se accede pulsando R tras arrancar con el CD de instalaicon de windows.



Actualmente algunos troyanos que no podemos ver normalmente, se ocultan por tecnicas de RootKit .



Si decide hacerlo, tras ello lance nuevo SPROCES y pposteenos el log, si todavia persiste el problema.



saludos



ms, 23-3-2011

[Poch]

Qué tal?..



El procedimiento que me ponen ahora me pone nerviosa jajaja y es que digamos que el CD de Windows no lo tengo, por lo que resultaría difícil hacerlo, no?. Por otro lado tengo la duda de que si mando a formatear mi pc creen que se solucione el problema o no serviría de nada? (esta opción no me agrada pero si es necesrio....) y otra cosa más, en su página de Satinfo leí los antivirus que supuestamente eliminan este virus y me di cuenta que el AVG que se encuentra ahí es una versión totalmente nueva a la que tengo por lo que decidí actualizarme a la versión 1204 que si bien no es la que aparece en la página supongo que es superior al 1190 y en algo puede ayudar, no? Será que me estoy haciendo ilusiones? jaja..



Ya les contaré qué tal me fue con esta prueba, que este virus ya cansa. Saludos!!!

[msc hotline sat]

Nosotros no proponemos formatear... pero si persisten los problemas conviene asegurarse que no tengas virus en el MBR, y dado que muchos usan tecnicas Stealth, lo mas efectivo es sobreescribirlo con un FIXMBR.



Sirve arrancar con un CD de instalacion de cualquier sistema de windows actual.



saludos



ms, 24-3-2011

[Poch]

Nosotros no proponemos formatear... pero si persisten los problemas conviene asegurarse que no tengas virus en el MBR, y dado que muchos usan tecnicas Stealth, lo mas efectivo es sobreescribirlo con un FIXMBR.

Sirve arrancar con un CD de instalacion de cualquier sistema de windows actual.

saludos

ms, 24-3-2011

Y si no tengo ninguno?...sirve un CD de música? jeje....les cuento que actualicé mi AVG y después de tardar 3 horas en analizar mi sistema no detectó absolutamente nada, lo que si sucedió es que me sacó en varias ocasiones del msn, pasé el spybot y nada detectó..y como si se tratara de alguna muy mala broma, en cuanto terminó al AVG de nuevo se enviaron esos correos...creo que esto ya me supera por completo y lo que hice fue probar con otro antivirus..así que descargué el Avast y tardó nada más y nada menos que 16 horas y qué detectó? nada. No tengo ya ni idea de qué hacer, si elimino mis cuentas de correo creen que termine el problema o sucederá con cualquier cuenta que yo abra?.
-------------
Como no se si puedo hacer doble post o no...mejor edité, y es que les tengo nuevas noticias:
1. Como dato curioso puedo decir que sólo envió el mail desde mi cuenta de hotmail, otras cuentas como yahoo o gmail no se han visto afectadas.
2. Ayer como les comenté me sacó en varias ocasiones del msn y me salió un aviso en google chrome (que lamentablemente no pude copiar) pero decía algo como que no podía hacer esa aplicación porque alguien estaba usando mi pc.
3. Y hoy el AVG (si, quité el Avast que la pc me la tenía más lenta que nada) me preguntó si le permitía la entrada a algo o alguien, no lo pude copiar pero daba la posibilidad de ver de dónde procedía y ponía: Edmonton Washington USA

No tengo idea si esto sirva de algo, pero es lo que ha estado sucediendo. Por otro lado, no se si ustedes me recomendarían utilizar Zonealarm y también por ahí estuve leyendo que Prevx es un bueno eliminando troyanos aunque supongo que ya está más que seguro que se trata de un hacker. Espero que puedan seguirme ayudando que yo me encuentro totalmente perdida y agotada.

Gracias por toda su ayuda y paciencia, saludos.!

[msc hotline sat]

Posiblemente lo de Edmons Washington fue algun mensaje de Microsoft, ya que es allí donde se encuentra su sede central.

Y toda ayuda es poca. Nosotros recomendamos nuestras utilidades, ELISTARA, SPROCES, y otras, pero en visto que ya las ha probado sin detectar nada anómalo, puede probar las que quiera.

y recuerde que nuestro consejo es lanzar un FIXMBR, le sirve el CD de instalacion de cualquier sistema actual.

Y tras reiniciar, vea si pesiste alguna anomalia y nos lo comenta, gracias

saludos

ms, 26-3-2011

[Poch]

Les cuento, en voz baja...que hasta el momento no he mandado más correos, ya no se bien si hasta ahí quedará todo, o si la persona que entra a mi pc está esperando el momento preciso..pero bueno, esas son las novedades hasta el día de hoy.



Por otra parte tengo una duda enorme, si no tengo ese CD de instalación..no puedo hacer lo que ustedes me recomiendan de otra forma? o quizá descargarme lo que es la instalación, quemarla en un CD..y de esa manera tenerlo?...

[msc hotline sat]

No, los CD de instalacion de Windows no se descargan de webs, sino que se adquieren con la licencia del producto.



Si no lo tiene, para hacer lo del FIXMBR, le sirve el de cualquier sistema operativo actual, pero de Microsoft, claro.



Y celebramos que se haya arreglado el problema, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 28-3-2011