backdoor.servU.5.09

mondmol · Mensaje por **mondmol** » 17 Dic 2004, 13:27

De nuevo tengo problemas con un backdoor..el panda on line no me lo detectó pero si el Bitdefender..pero no me lo ha podido eliminar..¿alguien me puede decir como eliminarlo?..he escaneado en modo a prueba de errores..he pasado el adaware..el Spy & destroy...y no hay manera..el archivo infentado es:

windows\system32|32177463279.Ins...Morphine.12...Aspack 2.12.........infectado por.........backdoor.ServU.5.09.

he buscado el archivo..pero no se donde esta..

gracias de antemano

Mensaje por **msc hotline sat** » 17 Dic 2004, 15:14

Si en modo seguro, lanzando el antivirus que te lo detecta, no te lo elimina, o es una falsa alarma o es duro de pelar.

Envianos una muestra del fichero gusano a zonavirus@satinfo.es y lo analizaremos y si procede, haremos una utilidad de eliminacion, y si es una falsa alarma informaremos al respecto como respuesta de este Tema

saludos

ms, 17-12-2004

mondmol · Mensaje por **mondmol** » 17 Dic 2004, 15:30

me temo que no es una falsa alarma....mi conexion va lentisima..me he puesto en contacto con mi servidor y detecta que alguien, algo esta tirando de mi conexion...

el problema es que no localizo el archivo...el explorador no me lolocaliza ni buscando en ocultos...¿alguna sugerencia?

Mensaje por **maura63** » 17 Dic 2004, 15:38

· Hijackthis version: 1.99

Sitio 1 - Descargar Hijackthis

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Descarga y descomprimes, con todos los programas cerrados incluso el internet explorer, lo ejecutas, pulsa scan y luego en save, se abrira un fichero log txt con el resultado, haz un copiar y pegas el resultado como respuesta a este tema.

Saludos

maura63

mondmol · Mensaje por **mondmol** » 17 Dic 2004, 15:53

Logfile of HijackThis v1.99.0

Scan saved at 15:49:21, on 17/12/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\system32\inetsrv\svchost.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

C:\WINDOWS\System32\aim95.exe

C:\Archivos de programa\Softwin\BitDefender8\bdoesrv.exe

C:\Archivos de programa\Softwin\BitDefender8\bdswitch.exe

C:\Archivos de programa\Real\RealPlayer\RealPlay.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1.CAS\CONFIG~1\Temp\Rar$EX01.484\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.trivialnet.org/foros/viewforum.php?f=17

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar1.dll

O4 - HKLM\..\Run: [BDMCon] C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe

O4 - HKLM\..\Run: [BDOESRV] C:\Archivos de programa\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [BDNewsAgent] C:\ARCHIV~1\Softwin\BITDEF~2\bdnagent.exe

O4 - HKLM\..\Run: [BDSwitchAgent] C:\Archivos de programa\Softwin\BitDefender8\\bdswitch.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe

O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe

O4 - HKLM\..\RunOnce: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [USB Hardware32 Monitoring] USBhardware32.exe

O4 - HKCU\..\Run: [Generic Host Process System] scvhost32.exe

O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [Sepate Security Firewall] sepate.exe

O4 - HKCU\..\Run: [Microsoft Update SERVICE] phqghum.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [PhotoShow Deluxe Media Manager] C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

O4 - HKCU\..\RunOnce: [AIM95 Startup] aim95.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

O8 - Extra context menu item: &Google Search - res://c:\windows\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102266127701

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O23 - Service: BitDefender Scan Server - Unknown - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: BitDefender Virus Shield - Unknown - C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

O23 - Service: BitDefender Communicator - Softwin - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

Mensaje por **msc hotline sat** » 17 Dic 2004, 16:05

El fichero indicado por el bicho no aparece en el HJT:

windows\system32|32177463279.Ins...

Mire si no encuentra con el Inicio/buscar y si no vuelva a pasar el antivirus y mueva el fichero a una carpeta de cuarentena, de forma que ya no se ponga en uso al reiniciar.

Desde allí, si puede nos lo envía, y sino, por lo menos ya lo saca de circulacion, y si no incordia mas, lo elimina y punto

saludos

ms, 17-12-2004

mondmol · Mensaje por **mondmol** » 17 Dic 2004, 19:48

Pasado de nuevo el antivirus, sigue detectandolo pero no puede ni moverlo , ni ponerlo en cuarentena

Summary:

C:\WINDOWS\system32\77463279.INS=>(Morphine 1.2)=>(ASPack 2.12) Infected Backdoor.ServU.5.0.9

C:\WINDOWS\system32\77463279.INS=>(Morphine 1.2)=>(ASPack 2.12) Disinfection failed

sigo buscandolo en la carpeta de system32....incluidos los ocultos..pero sin resultado

caito · Mensaje por **caito** » 18 Dic 2004, 00:29

Tienes que actualizar vía windows update ( SO e IE ).

Tienes bichos, pasa un av on line :

http://us.mcafee.com/root/mfs/default.asp

http://housecall.trendmicro.com/

Baja actualiza y ejecuta el AdAware Se :

http://www.lavasoft.de/news/20040809.shtml

elimina Archivos innecesarios con este programa :

http://www.xs4all.nl/~mp2004/

Recuerda que debes deshabilitar Restaurar sistema antes de limpiar tu pc, y de ser posible arranca en Modo seguro.

Salu2

caito

mondmol · Mensaje por **mondmol** » 18 Dic 2004, 11:40

despues de desactivar restaurar sistema...entrar en modo a prueba de errores....paso el Macafee y me detecta:

win32\sdbot.worm gen.... eu TFTP 1060,1672,3312,4980 y 684..pero no me desinfecta...tampoco el beetdefender...ah..y tengo actualizado tanto el adaware como el search & destroy..sin resultado

carolxsiempre · Mensaje por **carolxsiempre** » 18 Dic 2004, 14:25

Descárgate la siguiente utilidad, luego reinicias el pc en modo a prueba de fallos y la ejecutas, luego nos cuentas los resultados

http://www.zonavirus.com/descargas/EliSlutA.exe

Saludos

Carolxsiempre

mondmol · Mensaje por **mondmol** » 18 Dic 2004, 18:52

pues me temo que no ha funcionado..sigo infectada despues de probarlo todo... :( :( :( :( :( :(

caito · Mensaje por **caito** » 18 Dic 2004, 19:57

Primero baja otra vez el Hijack pero esta vez guárdalo en su propia carpeta por ej : C>Limpiar>Hijack

Haz que se vean todos los archivos :

Para configurar Windows XP para que muestre las extensiones de archivo:

Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.

En modo normal toma un nuevo log con el hijack y veremos...

Salu2

Caito

Pd : Actualizaste tu SO y el Internet Explorer ?

mondmol · Mensaje por **mondmol** » 18 Dic 2004, 21:14

Si, lo tengo todo actualizado, lo más curioso es que he escaneado on line en modo a prueba de errores y solo Mcafee y betdefender que es el que tengo instalado detectan infección..los demás (llevo medio dia escaneando)..no detectan nada. venga, voy a probar y os cuento.

millon de gracias

mondmol · Mensaje por **mondmol** » 18 Dic 2004, 21:31

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\system32\inetsrv\svchost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Softwin\BitDefender8\bdoesrv.exe

C:\Archivos de programa\Softwin\BitDefender8\bdswitch.exe

C:\Archivos de programa\Real\RealPlayer\RealPlay.exe

C:\WINDOWS\System32\ctfmon.exe

C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

c:\archiv~1\softwin\bitdef~2\bdmcon.exe

C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

C:\Archivos de programa\a2\a2guard.exe

C:\DOCUME~1\ADMINI~1.CAS\CONFIG~1\Temp\Rar$EX00.063\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.trivialnet.org/foros/viewforum.php?f=17

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar1.dll

O4 - HKLM\..\Run: [BDMCon] C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe

O4 - HKLM\..\Run: [BDOESRV] C:\Archivos de programa\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [BDNewsAgent] C:\Archivos de programa\Softwin\BitDefender8\bdnagent.exe

O4 - HKLM\..\Run: [BDSwitchAgent] C:\Archivos de programa\Softwin\BitDefender8\\bdswitch.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe

O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [USB Hardware32 Monitoring] USBhardware32.exe

O4 - HKCU\..\Run: [Generic Host Process System] scvhost32.exe

O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [Sepate Security Firewall] sepate.exe

O4 - HKCU\..\Run: [Microsoft Update SERVICE] phqghum.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [PhotoShow Deluxe Media Manager] C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

O4 - HKCU\..\Run: [a-squared] "C:\Archivos de programa\a2\a2guard.exe"

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

O8 - Extra context menu item: &Google Search - res://c:\windows\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {2119776A-F1AD-4FCD-9548-F1E1C615350C} - http://www.stop-sign.com/pub/download/ss_stopsign.cab?n=s_gw_es_infn_vir-name&kw=gw_es_w32%20klez&pg=%26se_spin%26se046b%26ss_prod_av%26ss_prod_av&ver=online&SV=se046b&dc=1

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102266127701

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4415/mcfscan.cab

O23 - Service: BitDefender Scan Server - Unknown - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: BitDefender Virus Shield - Unknown - C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

O23 - Service: BitDefender Communicator - Softwin - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

caito · Mensaje por **caito** » 18 Dic 2004, 22:57

Si no sigues las indicaciones será muy difícil ayudarte ( además de ser una pérdida de tiempo ).

Te aconsejé guardar el hijack en su propia carpeta

Ignoro si actualizaste ( no sale en el log )

Tienes como ISP a AOL ?

Realiza lo anterior y luego :

Desactiva Restaurar sistema y hazlo en Modo seguro :

Busca estos y si están mata el proceso (ctrl+alt+delete):

scvhost32.exe

sepate.exe

phqghum.exe

Cierra todo menos el Hijack y dale a fix :

O4 - HKCU\..\Run: [Generic Host Process System] scvhost32.exe

O4 - HKCU\..\Run: [Sepate Security Firewall] sepate.exe

O4 - HKCU\..\Run: [Microsoft Update SERVICE] phqghum.exe

O16 - DPF: {2119776A-F1AD-4FCD-9548-F1E1C615350C} - http://www.stop-sign.com/pub/download/ss_stopsign.cab?n=s_gw_es_infn_vir-name&kw=gw_es_w32%20klez&pg=%26se_spin%26se046b%26ss_prod_av%26ss_prod_av&ver=online&SV=se046b&dc=

Elimina archivos innecesarios con este programa .

http://www.xs4all.nl/~mp2004/

Haz que se vean todos los archivos :

Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.

Elimina si todavía están :

scvhost32.exe

sepate.exe

phqghum.exe

Ejecuta el AdAware SE para que termine de limpiar.

realiza un scan on line .

Reinicia normal y pon un nuevo log .

Salu2

Caito

mondmol · Mensaje por **mondmol** » 19 Dic 2004, 12:41

[quote="caito"]Si no sigues las indicaciones será muy difícil ayudarte ( además de ser una pérdida de tiempo ).

Te aconsejé guardar el hijack en su propia carpeta.......el hijack está en su carpeta....te lo aseguro...

Ignoro si actualizaste ( no sale en el log )

Actualicé...lo puedes leer un par de mensajes más arriba

Tienes como ISP a AOL ?

No no tengo AOL...sino ONO

Realiza lo anterior y luego :

Desactiva Restaurar sistema y hazlo en Modo seguro :

Busca estos y si están mata el proceso (ctrl+alt+delete):

scvhost32.exe

sepate.exe

phqghum.exe..

hecho......no aparecen en procesos

Cierra todo menos el Hijack y dale a fix :

O4 - HKCU\..\Run: [Generic Host Process System] scvhost32.exe

O4 - HKCU\..\Run: [Sepate Security Firewall] sepate.exe

O4 - HKCU\..\Run: [Microsoft Update SERVICE] phqghum.exe

O16 - DPF: {2119776A-F1AD-4FCD-9548-F1E1C615350C} - http://www.stop-sign.com/pub/download/ss_stopsign.cab?n=s_gw_es_infn_vir-name&kw=gw_es_w32%20klez&pg=%26se_spin%26se046b%26ss_prod_av%26ss_prod_av&ver=online&SV=se046b&dc=

Elimina archivos innecesarios con este programa .

http://www.xs4all.nl/~mp2004/

esto tambien estaba hecho con anterioridad, aun asi, lo vuelvo a hacer..

Haz que se vean todos los archivos :

Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.

Elimina si todavía están :

Esta es la configuracion habitual que tengo..aqui si los he encontrado y eliminado manualmente.

scvhost32.exe

sepate.exe

phqghum.exe

Ejecuta el AdAware SE para que termine de limpiar.

---ejecutado--

realiza un scan on line .

al escanear...primero con el panda..encuentro lo siguiente....

Virus:W32/Dedler.S.worm Desinfectado C:\Documents and Settings\All Users.WINDOWS\Documentos\install.exe

Virus:W32/Dedler.U.worm Desinfectado C:\Documents and Settings\All Users.WINDOWS\Documentos\setup32.exe

Virus:W32/Dedler.W.worm Desinfectado C:\Documents and Settings\All Users.WINDOWS\Documentos\update32.exe

No contenta con esto paso el Mcafee (sigo en a prueba de fallos)

C:\documents and settings\...\temp\ecahnano.htm

" " \jmnphggh.htm

" " \mfgmjbhn.htk

los tres infectados con el Backdoor.AXJ.htm

Estos como ves el Panda no los habia detectado..los elimino a mano buscando los archivos infectados

Reinicia normal y pon un nuevo log .

Salu2

Caito[/quote][i]

reiniciado en modo normal....este es el log... lo envio aparte

[/i]

mondmol · Mensaje por **mondmol** » 19 Dic 2004, 13:04

Logfile of HijackThis v1.99.0

Scan saved at 12:42:41, on 19/12/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe

C:\WINDOWS\system32\inetsrv\svchost.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\Archivos de programa\Softwin\BitDefender8\bdoesrv.exe

C:\Archivos de programa\Softwin\BitDefender8\bdswitch.exe

C:\Archivos de programa\Real\RealPlayer\RealPlay.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

C:\Archivos de programa\a2\a2guard.exe

C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Documents and Settings\Administrador.CASA\Escritorio\limpiar\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.trivialnet.org/foros/viewforum.php?f=17

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar1.dll

O4 - HKLM\..\Run: [BDMCon] C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe

O4 - HKLM\..\Run: [BDOESRV] C:\Archivos de programa\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [BDNewsAgent] C:\Archivos de programa\Softwin\BitDefender8\bdnagent.exe

O4 - HKLM\..\Run: [BDSwitchAgent] C:\Archivos de programa\Softwin\BitDefender8\\bdswitch.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe

O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [USB Hardware32 Monitoring] USBhardware32.exe

O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [PhotoShow Deluxe Media Manager] C:\ARCHIV~1\SIMPLE~1\PHOTOS~1\data\Xtras\mssysmgr.exe

O4 - HKCU\..\Run: [a-squared] "C:\Archivos de programa\a2\a2guard.exe"

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView6\NkvMon.exe

O8 - Extra context menu item: &Google Search - res://c:\windows\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102266127701

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4415/mcfscan.cab

O23 - Service: BitDefender Scan Server - Unknown - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: BitDefender Virus Shield - Unknown - C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

O23 - Service: BitDefender Communicator - Softwin - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

caito · Mensaje por **caito** » 19 Dic 2004, 16:14

Logfile of HijackThis v1.99.0

Scan saved at 12:42:41, on 19/12/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Como verás no estás actualizado

:!:

Los mismos pasos anteriores pero ahora dale a Fix a :

O4 - HKLM\..\Run: [AIM95 Startup] aim95.exe

O4 - HKLM\..\RunServices: [AIM95 Startup] aim95.exe

O4 - HKCU\..\Run: [AIM95 Startup] aim95.exe

Busca este archivo si está lo eliminas :

aim95.exe

Cuenta como anda todo despues de seguir estos pasos.

salu2

Caito

fircsix · Mensaje por **fircsix** » 20 Dic 2004, 13:23

Primero baja otra vez el Hijack pero esta vez guárdalo en su propia carpeta (como C>Limpiar>Hijack)

Haz que se vean todos los archivos :

Hace clic en Mi PC.

Hace clic en el menú Herramientas, y después en Opciones de carpeta u Opciones.

Hace clic en la pestaña Ver.

Quita la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" selecciona "Mostrar archivos y carpetas ocultos".

Quita la marca en "Ocultar archivos protegidos del sistema operativo".

Hace clic en Aplicar, y después en Aceptar.

Saludos.

fircsix

(POST REPETIDO ACCIDENTALMENTE)