Adware-RBlast.dldr y Reg/LowZones

[tonino]

Hola,ygracias a todos anticipadas.

Quizas este tema ya este comentado, pero no lo encontre, el asunto es que tengo estos troyanos o como se llamen y no puedo quitarlos, son el:

Adware-RBlast.dldr y el Reg/LowZones

Os pido un favor y es que intenteis decirme los pasos a seguir lo mas explicativos posibles,soy novato en esto gracias

[caito]

Mira esto:

https://foros.zonavirus.com/viewtopic.php?t=5370



https://foros.zonavirus.com/viewtopic.php?t=4795

Salu2

Caito

[Aramis]

Estoy teniendo un problema que me está inquietando bastante. Cronológicamente el desarrollo es el siguiente:

- Reinstalo el SO (Win XP)

- Configuro mi conexión a internet con UOL (aclaro porque usa proxy)

- Empiezo a notar que la actividad de la red es excesiva. No se detiene un instante sin tener ningún browser abierto (ahora estoy usando FireFox, pero antes del formato usaba Opera) ni sistema de mensajería, ni cliente de correo, ni nada que use la conexión.

- Intento actualizar mi SO vía Win Update sin éxito. Encuentra 24 actualizaciones críticas y algunas otras que no lo son. Cuando las pongo a descargar, todas dan Error.

- Pruebo con las actualizaciones automáticas y nunca pasa del 5%.

- Instalo el paquete Norton SystemWorks 2005, lo actualizo y analizo el sistema. Aparecen varios archivos infectados con el Trojan.LowZones!Reg (o algo así). El Norton no puede eliminarlos, asique los elimino a mano. Los archivos infectados están dentro de un autoinstalable de nombre "bootios1.exe" que aparece en la raíz de mi disco principal y en algunas ubicaciones temporales.

- Sigo intentando instalar las actualizaciones de Windows Update con iguales resultados (llegué a esperar más de 8 horas sin que descargue absolutamente nada).

- Encuentro este foro y empiezo a usar los programas que recomiendan. Estos encuentran de todo menos el troyano ya citado.

- Aparentemente mi máquina ahora está limpia, pero sigo sin poder actualizar el SO. ¿de qué me estoy olvidando? ¿alguien podría darme una mano?.



agrego el log del hijackthis:



Logfile of HijackThis v1.99.1

Scan saved at 11:40:21 p.m., on 28/03/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe

C:\WINDOWS\System32\winsupdater.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\WINDOWS\System32\devldr32.exe

C:\Archivos de programa\Microsoft AntiSpyware\gcasDtServ.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Descargas\HijackThis.exe



R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.uolfast.com.ar:80

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [MicroSoft Wind0ws Updater] winsupdater.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\RunServices: [MicroSoft Wind0ws Updater] winsupdater.exe

O4 - HKCU\..\Run: [MicroSoft Wind0ws Updater] winsupdater.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Norton SystemWorks] "C:\Archivos de programa\Norton SystemWorks\cfgwiz.exe" /GUID {05858CFD-5CC4-4ceb-AAAF-CF00BF39736A} /MODE CfgWiz

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O17 - HKLM\System\CCS\Services\Tcpip\..\{5575C707-EE01-41BB-AA5F-CF062092244A}: NameServer = 216.244.192.2 216.244.192.3

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe





* Nota: Eliminé todas las entradas que dicen "[MicroSoft Wind0ws Updater]"

[msc hotline sat]

Efectivamente tienes un resto del Lowzones, si bien puede haber sido creado por el SDBOT:



El fichero UNMT.EXE, que conviene lo pongas en cuarentena:



http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=TROJ%5FLOWZONES%2EAG&VSect=T



y además, tienes otra clave que utiliza dos url que si no son conocidas por tí, debes investigar:





O17 - HKLM\System\CCS\Services\Tcpip\..\{5575C707-EE01-41BB-AA5F-CF062092244A}: NameServer = 216.244.192.2 216.244.192.3



saludos



ms, 29-03-2005

[msc hotline sat]

Al parecer las URL indicadas son DNS logicos para proxys UOL, así que olvida la última parte de mi anterior post y centrate en poner en cuarentena el fichero UNMT.EXE



http://www.psicofxp.com/forums/archive/index.php/t-169061.html



Por cierto, que para que lo controlaramos en proximas versiones de nuestras utilidades, podrías enviarnos una miestra del mismo a zonavirus@satinfo.es anexado a un mail cuyo texto sea un copiat y pegar de este post, gracias



saludos



ms, 29-03-2005

[Aramis]

Efectivamente esas IPs son de los DNS de UOL (los tengo configurados a mano).

En cuanto encuentre el archivo, lo zipeo y lo mando.

El problema es que sigo sin poder actualizar mi SO via Win Update. ¿A alguien se le ocurre qué puede estar pasando?

[Aramis]

Otra novedad: El archivo UNMT.exe no existe en mi disco y sigo con el problema en Windows Update. ¿¿¿???

[maura63]

Prueba a eliminar esta del Sdot worm



O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE



Comprueba tambien que se muestren archivos y carpetas ocultos del sistema.



Saludos

maura63

[Aramis]

Eliminé esa entrada y ahora aparenta estar todo en orden (salvo lo del Win Update).

Es curioso porque el Office Update funciona a la perfección.



También he notado que no puedo acceder a la página http://www.subdissidenteam.com.ar de la cual soy asiduo visitante.

[flacoroo]

las actualizaciones las puedes bajar en otra maquina y de ahi guardarlas y hacer un cd con ellas y despues cargarlas a tu maquina, esa es una opcion, actualiza tu antivirus y si no tienes el spybot bajalo, actualizalo y lo corres junto con el antivirus poniendo tu computadora en modo seguro, sin estar conectado al la red(desconectar el cable fisicamente)



te dejo el link para que bajes el spybot, y cuando ya hayas echo eso y borrado lo que te salga, entonces mandas otra copia de tu log del hijackthis actualizada en modo seguro....



Sitio 2 - Descargar Spybot - Search & Destroy 1.3 desde zonavirus.com

http://www.zonavirus.com/descargas/spybot-sd.asp

[Aramis]

Aparentemente mi problema con Win Update es que desde Febrero o Marzo empezaron a verificar que las copias sean auténticas.

[maura63]

Efectivamente, Microsoft ya aviso que solo se podria actualizar sistema operativos legitimos para evitar la pirateria.



Deberias conseguir una copia legitima de XP, pues al no poder actualizar el sistema operativo estaras continuamente en peligro e infectado.



Saludos

maura63

[Yuri_Napoles]

Running processes:



C:\WINDOWS\System32\winsupdater.exe



O4 - HKLM\..\Run: [MicroSoft Wind0ws Updater] winsupdater.exe

O4 - HKLM\..\RunServices: [MicroSoft Wind0ws Updater] winsupdater.exe

O4 - HKCU\..\Run: [MicroSoft Wind0ws Updater] winsupdater.exe



Tu problema esta en ese winsupdater.exe tienes que eliminarlo manualmente, debes tener configurado la opcion de ver archivos ocultos del sistema y borrarlo de la carpeta systenm32



debes matar el proceso primero con al administrador de tareas para que puedas borrarlo o entrar en modo a prueba de fallos.



Suerte

Yuri