Virus? Problema nevegadores

[hectorfrattini]

Hola, soy nuevo por aqui, y no soy ningun experto en informatica. Tengo problemas con los navegadores Firefox y Chrome, se ponenmuy lentos e indican problemas con plugin de Adobe. Ya desinstale y reinstale Firefox y continúa el problema. Podrá ser un virus? Tengo una HP ¨Pavilion ze5300 con XP. Pase el Combofix en modo seguro y les adjunto el informe. Por favor les agradezco me digan si hay virus detectados y como debo actuar. Muchas gracias. Héctor.

[msc hotline sat]

Pues pruebe el ELISTARA:


[quote="para DESCARGAR el ELISTARA, msc"]



http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el

resultado del proceso [/quote]



y si no detectara malwares ni pidiera envio de sospechosos, lanzar el SPROCES y

pulsar en SALIR, tras lo cual generará informe en c:\sproclog.txt, que nos puede

postear para analizar:


[quote="para DESCARGAR el SPROCES, msc"]



http://www.zonavirus.com/descargas/sproces.asp


[/quote]

saludos



ms, 31-8-2013

[hectorfrattini]

Hola: gracias por responder. He tratado de hacer correr el Elistara en modo seguro y también en modo normal, y parece no hacer nada. Veo que el proceso se ejecuta pero luego de dejarlo media hora o mas no muestra nada y no genera el reporte en txt. La única pantalla que aparece al inicio es la que pregunta si borra los temporales de los navegadores. Estoy haciendo algo mal? Muchas gracias. Saludos.

[hectorfrattini]

Les envio el informe del Sproces en modo seguro. Gracias.

[msc hotline sat]

En el SPROCLOG, vemos:



(1-9-2013 16:17:59 GMT)

SProces v7.2 (c)2013 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) NO Instalado.

Parche MS10-046 (Exploit.CPLlink) NO Instalado.

Internet Explorer: (v8.0.6001.18702) 0

Equipo: HF-787803EBD81E

Usuario: hector

Sesión de Usuario: hector



15 Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\CSRSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\EXPLORER.EXE

C:\ARCHIVOS DE PROGRAMA\MOZILLA FIREFOX\FIREFOX.EXE

C:\ARCHIVOS DE PROGRAMA\REALNETWORKS\REALDOWNLOADER\RECORDINGMANAGER.EXE

C:\ARCHIVOS DE PROGRAMA\MOZILLA FIREFOX\PLUGIN-CONTAINER.EXE

C:\DOCUMENTS AND SETTINGS\HECTOR\ESCRITORIO\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www2.delta-search.com/?babsrc=HP_ss&mntrId=040F000BCDA85EEC&affID=119357&tt=288013_icon&tsp=4992

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: YTNavAssistPlugin Class - {81017EA9-9AA8-4A6A-9734-7AF40E7D593F} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn1\yt.dll

O2 - BHO: WebConnect - {2316c625-b487-4410-a1a5-ff040b65245f} - C:\Archivos de programa\WebConnect\WebConnectbho.dll

O2 - BHO: RealNetworks Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Documents and Settings\All Users.WINDOWS\Datos de programa\RealNetworks\RealDownloader\BrowserPlugins\IE\rndlbrowserrecordplugin.dll

O2 - BHO: avast! Online Security - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\ARCHIV~1\AVASTS~1\Avast\aswWebRepIE.dll

O2 - BHO: delta Helper Object - {C1AF5FA5-852C-4C90-812E-A7F75E011D87} - C:\Archivos de programa\Delta\delta\1.8.24.6\bh\delta.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: avast! Online Security - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\ARCHIV~1\AVASTS~1\Avast\aswWebRepIE.dll

O3 - Toolbar: Delta Toolbar - {82E1477C-B154-48D3-9891-33D83C26BCD3} - C:\Archivos de programa\Delta\delta\1.8.24.6\deltaTlbr.dll

O4 - HKCU\..\Run: [NTRedirect] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\hector\Datos de programa\BabSolution\Shared\enhancedNT.dll",Run

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [avast] "C:\Archivos de programa\AVAST Software\Avast\avastUI.exe" /nogui

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://windowsupdate.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1373300688187

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O18 - Protocol: mso-offdap11 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\11\OWC11.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\Skype4COM.dll

O20 - AppInit_DLLs: c:\docume~1\alluse~1.win\datosd~1\browse~1\261562~1.220\{c16c1~1\browse~1.dll

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\shell32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %Systemroot%\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - %systemroot%\system32\stobject.dll

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll

O22 - ShellExecuteHooks: - {5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} - C:\Archivos de programa\SUPERAntiSpyware\SASSEH.DLL



Información Adicional:

----------------------

WinSys\Drivers\aswSnx.sys (de 770344 bytes) () AVAST Software

WinSys\Drivers\ati2mtag.sys (de 701952 bytes) () ATI Technologies Inc.

WinSys\Drivers\dmboot.sys (de 800256 bytes) () Microsoft Corp., Veritas Software

WinSys\Drivers\mrxsmb.sys (de 456320 bytes) () Microsoft Corporation

WinSys\Drivers\ntfs.sys (de 574976 bytes) () Microsoft Corporation



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: aswMonFlt - AVAST Software - C:\WINDOWS\system32\drivers\aswMonFlt.sys

O23 - Service: avast! Antivirus - AVAST Software - C:\Archivos de programa\AVAST Software\Avast\AvastSvc.exe

O23 - Service: BrowserDefendert - PerformerSoft LLC - C:\Documents and Settings\All Users.WINDOWS\Datos de programa\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe

O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Archivos de programa\Skype\Updater\Updater.exe

O23 - Service: TeamViewer 8 (TeamViewer8) - TeamViewer GmbH - C:\Archivos de programa\TeamViewer\Version8\TeamViewer_Service.exe

O23 - Service: Update WebConnect - WebConnect - C:\Archivos de programa\WebConnect\updateWebConnect.exe



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: Controlador WDM acelerador de audio ALi (aliadwdm) - Acer Laboratories Inc. - C:\WINDOWS\SYSTEM32\drivers\ac97ali.sys

O23 - Service: Controlador de dispositivo de infrarrojos ALi (ALiIRDA) - Acer Laboratories Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\alifir.sys

O23 - Service: ati2mtag - ATI Technologies Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ati2mtag.sys

O23 - Service: catchme - Unknown owner - C:\DOCUME~1\hector\CONFIG~1\Temp\catchme.sys (file missing)

**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Controlador de adaptador Fast Ethernet NETGEAR FA330/FA312/FA311 (FA312) - NETGEAR Corp. - C:\WINDOWS\SYSTEM32\DRIVERS\FA312nd5.sys

O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Archivos de programa\Mozilla Maintenance Service\maintenanceservice.exe

O23 - Service: PalmUSBD - PalmSource, Inc. - C:\WINDOWS\SYSTEM32\drivers\PalmUSBD.sys

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys



Listado de Servicios (Deshabilitados):

--------------------------------------

O23 - Service: SAS Core Service (!SASCORE) - SUPERAntiSpyware.com - C:\Archivos de programa\SUPERAntiSpyware\SASCORE.EXE

O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Archivos de programa\Canon\CAL\CALMAIN.exe

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Acceso a dispositivo de interfaz humana (HidServ) - Unknown owner - %SystemRoot%\System32\svchost.exe -k netsvcs - C:\WINDOWS\System32\hidserv.dll (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: RealNetworks Downloader Resolver Service - Unknown owner - C:\Archivos de programa\RealNetworks\RealDownloader\rndlresolversvc.exe

O23 - Service: Yahoo! Updater (YahooAUService) - Yahoo! Inc. - C:\Archivos de programa\Yahoo!\SoftwareUpdate\YahooAUService.exe



25 Servicios.

6 de Carga Automatica.

10 de Carga Manual.

9 Deshabilitados.



lo cual pasamos a analizar, y mientras le adelantamos que el ELISTARA debe generar en el ROOT del sistema el fichero infosat.txt, especialmente si lo hace arrancando en MODO SEGURO, en cuyo caso nada debe impedirlo...



_______



analisis del informe:



de entrada, en el log del SPROCES vemos que le faltan parches:





Parche MS08-067 (Servicio Servidor) NO Instalado.



Parche MS10-046 (Exploit.CPLlink) NO Instalado.





Lance un windowsupdate (www.update.microsoft.com) e instale los que encuentre a faltar.





Y elimine estas claves:





R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www2.delta-search.com/?babsrc=HP_ss&mntrId=040F000BCDA85EEC&affID=119357& tt=288013_icon&tsp=4992



O4 - HKCU\..\Run: [NTRedirect] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\hector\Datos de programa\BabSolution\Shared\enhancedNT.dll",Run



O23 - Service: BrowserDefendert - PerformerSoft LLC - C:\Documents and Settings\All Users.WINDOWS\Datos de programa\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\Bro wserDefender.exe





La última puede ser la carga de un malware BPROTECTOR, del que ya el ELISTARA informaría...





y añada .VIR a la extension de este fichero



C:\WINDOWS\SYSTEM32\DRIVERS\alifir.sys



y envienoslo para analizar, pues podría ser este FRAUDTOOL:



"What Is alifir.sys

The alifir.sys file is a malicious file related to spyware. You can read the following information to learn more about the alifir.sys file and get detailed approach on how to detect and remove the alifir.sys file. "





saludos



ms, 2-9-2013

[hectorfrattini]

Gracias. Pude finalmente ejecutar el Eliztara y envio informe de este y uno nuevo de Sproces, ambos en modo seguro.

Actualicé con Windows Update pero no se corrigieron los parches mencionados.

Como elimino las claves mencionadas? Envio archivo señalado. La terminacion a agregar, lo hago a continuacion del .sys o reemplazo el .sys?

Muchas gracias.

[msc hotline sat]

La modificacion de una extension conviene hacerla despues de la existente actualmente, para poder restablecer la normalidad del fichero eliminando el añadido, si procede.



La eliminacion de una clave puede hacerla ejecutando el SPROCES, pulsando en SCAN, marcando las claves que se quieren borrar y pulsando ELIMINAR.



Y fijese que en sus informes se indica que le faltan parches importantes:



No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

No detectado Parche MS10-046 de Microsoft instalado. (Exploit.CPLlink)



Lance un windowsupdate (www.update.microsoft.com) e instale los que encuentre a faltar.



saludos



ms, 4-9-2013

[hectorfrattini]

Corri ambos programas luego de instalar todo lo que permitia el Windows Update, y no se instalaron esos parches. Lo unico que no instale fue el Windows Sheffiel )o algo asi) porque en otro momento me trajo problemas y luego no lo podia desinstalar.

Vos a buscar esos parches en la web y los instalo. Esta correcto?

Me dicen luego si el archivo que les mande está infectado?

Muchas gracias.

[msc hotline sat]

Efectivamente, mire de instalar los parches indicados que son críticos.



y no hemos recibido ningun fichero de VD.



Entendemos que se refiere al que pedíamos C:\WINDOWS\SYSTEM32\DRIVERS\alifir.sys





Recuerde: https://foros.zonavirus.com/viewtopic.php?f=5&t=45334



saludos



ms, 4-9-2013

[hectorfrattini]

Ahora acabo de mandarlo. Gracias.

[msc hotline sat]

Efectivamente. ahora sí que lo hemos recibido.



En este caso ha resultado ser un driver de ACER:




[quote]CopyrightCopyright (C) 2000 Acer Laboratories Inc.



Publisher Acer Laboratories Inc.

Product ALi Fast Infrared Device Driver

Version 5.1.2600.0

Original name ALiIRDA.SYS

Internal name ALiIRDA.SYS

File version 5.1.2600.0 (XPClient.010817-1148)

Description ALi Fast Infrared Device Driver [/quote]

Así que la sospecha queda eliminada. Dejelo como esta, o sea:



C:\WINDOWS\SYSTEM32\DRIVERS\alifir.sys





Y vea si con lo demás indicado se soluciona el problema.



saludos



ms, 4-9-2013

[hectorfrattini]

No logro ubicar las claves que me indica eliminar con el Sproces. No estan ahi cuando pulso scan y aparece el listado de entradas. Puedo eliminarlas por otro lado?

No consigo instalar el parche MS10-046. No me lo detecta como faltante el windows update y en otra página de Microsoft entiendo que no lo indica para el XP SP3 que es la versión que tengo.

El otro parche ya pude instalarlo.

Por ahora continua el problema con los navegadores, especialmente Mozzilla que es el que uso. Está muy lento y cada tato aparece la pantalla de plugin que no responde respecto del Shockwave.

Muchas gracias por el tiempo dedicado y la atención.

[msc hotline sat]

Esta clave que no le aparece con el SCAN del SPROCES:



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www2.delta-search.com/?babsrc=HP_ss&mntrId=040F000BCDA85EEC&affID=119357&



la puede eliminar con el REGEDIT del sistema operativo o con nuestro BUSCAREG.exe , para lo cual puede buscar el texto 040F000BCDA85EEC&affID que contiene dicha clave.





y sobre el parche MS010-046, el windows XP SP3 no lo lleva integrado, por lo que conviene instalarlo ya que de lo contrario pueden entrar virus como el STUXNET y otros que aprovechan la vulnerabilidad CPL-LNK, lo cual normalmente con un windowsupdate es suficiente, pero igual lo tiene instalado a medias y debería desinstalarlo primero para normalizar su windows. Mire en Inicio -> Panel de Control -> Agregar o quitar programas, (habilitando visualizar los parches de microsoft seleccionando MOSTRAR ACTUALIZACIONES) si figura, y en tal caso desinstalelo para luego proceder a la instalacion correcta.







Y si el problema está centrado en el Firefox, mire de desinstalarlo y volverlo a instalar, que igual está "tocado" y asi se regenera.



Y nos cuenta el resultado, gracias.



SALUDOS



ms, 5-9-2013

[hectorfrattini]

Como dije, se poco de esto, pero voy a intentar ubicar estas cuestiones para desinstalarlas. Por favor tendrá algún link desde donde poder luego bajar el parche e instalarlo correctamente? O luego de desinstalar lo que está instalado a medias en Windows update debería poder bajarlo?

Si, voy a desinstalar Firefox y reponerlo?

Muchas gracias.

Héctor.

[msc hotline sat]

El parche indicado se instala lanzado un windowsupdate desde www.update.microsoft.com



Asi se instala el adecuado al sistema operativo usado.



saludos



ms, 5-9-2013

[hectorfrattini]

No encuentro en Agregar y quitar programas ninguna actualización con este número de parche, como para poder desinstalarla. Y w. Update no me ofrece ninguna actualización (ya están todas descargadas) a excepción de Windows PowerShell 2.0 y WinRM 2.0 para Windows XP y Windows Embedded (KB968930) que no la estoy descargando porque recuerdo que alguna vez luego quise desinstalarla para reparar windows y me fue imposible.



Alguna idea bajo que nobre o número podrá estar en mi sistema ese parche instalado a medias?



Muchas gracias.

[msc hotline sat]

Aquí tiene la información que ofrece Microsoft al respecto de este parche:



http://www.microsoft.com/latam/technet/seguridad/boletines/2010/ms10-046.mspx



Normalmente no ofrece problemas su instalacion con el windowsupdate, por lo que se supone que en su ordenador existe algo que lo impide, pero si quiere saber algo mas al respecto, puede consultarlo a support@microsoft.com , que son quienes logicamente saben mas de dicho parche.



saludos



ms, 6-9-2013

[hectorfrattini]

Gracias por seguir ocupandose de esto.



Ya conocía esa página, pero lo que ocurre es que no hay alli, o no lo encuentro, ningun link para descargarla, y en el cuado que hayu debajo dice que para el xp sp3 no hay ningún boletín reemplazando la actualización. Voy a escribir al soporte. Espero que tomen preguntas en español,



Cuando abro el Buscareg aparece un cuadro que dice que el programa debe ser renovado a la ultima versión, la que no encuentro en ningún lado. Intente bajarlo de Satinfo pero pide usuario y clave y no encuentro donde hacer el registro, si es gratuito.



Muchas gracias.

[msc hotline sat]

Las descargas desde SATINFO son para usuarios con contrato de Asistencia Tecnica de dicha empresa, y solo en este foro se pueden descargar algunas en concepto de evaluacion. Voy a actualizar el BUSCAREG para que pueda probarlo.



y lo referente al parche, mejor lo consulte con Microsoft, y si aparte del windowsupdate le ofrecen otro, indiquenoslo, gracias



saludos



ms, 6-9-2013