Ataques a mi PC

zenit2005 · Mensaje por **zenit2005** » 15 Abr 2005, 22:32

Saludos!

Estoy probando ZoneAlarm 5.5. En principio bastante bien. El tema, es que sin tener eMule conectado y teniendo IP dinamica, ¿por que he recibido en 20 minutos 6000 ataques alñ puerto 4662?. Tengo ADSL Telefónica con modem.

No se si será algún virus o troyano que escanea ese puerto, pero me mosquea bastante tener tantos ataques.

Por otro lado, tengo una aplicación saliente que es el upnp.exe, que intenta conectarse a internet por el puerto 6556 a la IP

217.79.182.119 (que es una página alemana) con destination DNS dev.memzero.info.

A ver si sabeis algo, adjunto el hijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 22:30:06, on 15/04/2005

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Antivirus\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Antivirus\Norton AntiVirus\AdvTools\NPROTECT.EXE

C:\WINDOWS\system32\regsvc.exe

C:\Archivos de programa\Antivirus\Norton AntiVirus\SAVScan.exe

C:\WINDOWS\system32\MSTask.exe

C:\WINDOWS\system32\upnp.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\System32\WBEM\WinMgmt.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\system32\RunDll32.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\internat.exe

C:\Archivos de programa\VIA\RAID\raid_tool.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Administrador.ANDRES\Escritorio\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Mi explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Seguridad\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Antivirus\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Antivirus\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Acceso directo a la página de propiedades de High Definition Audio] HDAudPropShortcut.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [Advanced Tools Check] C:\ARCHIV~1\ANTIVI~1\NORTON~1\AdvTools\ADVCHK.EXE

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - Global Startup: iFinger.lnk = C:\Archivos de programa\Idiomas\iFinger\iFinger.exe

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Archivos de programa\VIA\RAID\raid_tool.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: iFinger - {936E5D60-596C-11D3-BB96-00600816DF55} - C:\WINDOWS\system32\SHDOCVW.DLL

O9 - Extra button: Papelera - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\ARCHIV~1\SEGURI~1\OUTPOS~1.0\trash.exe (file missing) (HKCU)

O9 - Extra 'Tools' menuitem: Papelera - {072F3B8A-2DA2-40e2-B841-88899F240200} - C:\ARCHIV~1\SEGURI~1\OUTPOS~1.0\trash.exe (file missing) (HKCU)

O16 - DPF: ppctlcab - http://ppupdates.ca.com/downloads/scanner/ppctlcab.cab

O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://ppupdates.ca.com/downloads/scanner/axscanner.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F980BC15-E014-4D6C-BAE9-91224774B6F1}: NameServer = 80.58.61.250 80.58.61.254

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Antivirus\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Archivos de programa\Antivirus\Norton AntiVirus\AdvTools\NPROTECT.EXE

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Antivirus\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: Universal Plug and Play Device Configuration (UPnP Configuration) - Unknown owner - C:\WINDOWS\system32\upnp.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Mensaje por **maura63** » 16 Abr 2005, 13:01

Sobre [color=red]C:\WINDOWS\system32\upnp.exe[/color]

no existe informacion.... comprueba en agregar y quitar programas si tienes algo sospechoso.

Pasa un antivirus en modo seguro al usar w2000.

Antivirus On-line:

· Computer Associates

https://www.virustotal.com/es/

Llevo usando ZA bastante tiempo y me va muy bien aunque hace poco inclui firewall por hardware. Intentos de ataque siempre los tendras, para lo cual tienes que estar preparado y blindar o intentar blindar el pc. Configura tambien el ZA para que no te notifique los intentos o te volveras loco, siempre podras verlos pulsando el Alert Logs.

No olvides tampoco visitar windows update y comprobar que no te falten actualizaciones.

Si despues de pasar.. te recomiendo:

Antivirus online

Spybot

Ad_aware

CWS

sigues con problemas elimina esa entrada en C que dices, para ello en modo seguro arrancas, usa el esplorador la buscas y fulmina.

Empieza por ahi.Y con los resultados nos contestas sobre este mismo tema.

Saludos

maura63

zenit2005 · Mensaje por **zenit2005** » 16 Abr 2005, 20:56

Gracias.

He arrancado el PC en modo Pruebas.

He buscado y eliminado todas las entradas al respecto de

UPNP.EXE.

Es algo sobre Universal Plug & Play. Me lo he cargado todo y si había algun problema con hardware, lo reinstalaría de nuevo. Pero no ha habido ningún problema. No tenía virus ni nada.

Me conecto a internet y no veo intentos de acceso de ninguna aplicación UPNP a través de Zone Alarm.

Ya os diré si me da algún problema el haber eliminado el UPNP, pero por ahora todo perfecto.

Gracias

Mensaje por **maura63** » 16 Abr 2005, 20:59

Pues me alegro de ello, y ante cualquier problema ya sabes donde encontrarnos.

Saludos

maura63