trojan.dropper

rapiega · Mensaje por **rapiega** » 18 Abr 2005, 10:29

Hola! desde hace unos cuantos días mi pc no accede a internet (mi conexión es de cable). He comprobado todo el hardware, el software, he formateado... pero no hay manera de arreglarlo, sin embargo, si conecto otro equipo en mi conexión, este accede perfectamente a internet. El sistema operativo es XP home en el que no funciona y WinMe en el que sí funciona. Me sale un mensaje en pantalla que dice que mi conexión es lenta o nula, y que si quiero repararla, le digo que sí, pone que está intentando asignar nueva IP, pero al cabo de un rato, me dice que no ha sido posible. A continuación salta el Norton y me dice "Trojan.dropper" encontrado. ¿Como se quita el virus este? ¿o troyano o lo que sea? He pasado el tauscan y no detecta nada; antivirus online no puedo pasarle porque ya os digo que no accede a la red...

Por favor, ayuda urgente, ya llevo así muchos días. Gracias

Mensaje por **maura63** » 18 Abr 2005, 10:33

Has probado a pasar tu antivirus actualizado desactivando la restauracion del sistema y arrancando en modo seguro :?:

Saludos

maura63

rapiega · Mensaje por **rapiega** » 18 Abr 2005, 10:42

ayer mismo actualicé el norton, y escaneé mis discos duros, pero no me elimina nada... ya no sé qué hacer.

Mensaje por **maura63** » 18 Abr 2005, 10:45

Lo has paso de la forma que te comente antes :?:

Modo seguro y desactivando la restaracion del sistema de usar XP ó ME.

Saludos

maura63

Mensaje por **msc hotline sat** » 18 Abr 2005, 10:52

Aparte de lo correctamente indicado por Maura63, puede ser que tengas desconfigurada la conexion a red.

Abre MSDOS y ejecuta un IPCONFIG y mira si tienes asignada una direccion IP a este ordenador, direccion servidor DNS, puerta de enlace, etc, similar al del otro equipo (la direccion IP diferente, claro)

Si no lom tienes configurado, entra en el icono de red de la barra de inicio, ve a propiedades, selecciona protocolo de Intercet (TCP/IP) y alli configuralo.

Es que aparte del Trojan/Dropper, es muy posible que te falle la configuracion de Internet, Y que una vez tengas acceso a ello, puedas lanzar utilidades antispyware con las que eliminar este troyano, que puede que los antivirus no te eliminen.

Cinmentanos tus progresos como respuesta de este Tema, gracias

saludos

ms, 18-04-2005

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 13:24

cuando ejecuto ipconfig, la ventana msdos desaparece tan rápido, que no me da tiempo a ver nada.

De todos modos, el pc que no accede a internet, aún habiendo hecho lo recomendado por Maura63 (gracias de todos modos), dice que tiene una ip no válida, y es que tiene todo 0.0.0.0 ¿alguna otra sugerencia?

Mensaje por **maura63** » 19 Abr 2005, 13:27

Abre una ventana MSdos te vas a C y escribes ipconfig + intro

Saludos

maura63

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 13:49

ok ya he ejecutado y visto el resultado de ipconfig, he copiado la configuración al pc que no accede a internet, pero sigue sin acceder. Paso el norton (actualizado anteayer) y no me detecta nada. Paso el tauscan y tampoco me detecta nada...

La desesperación se apodera de mí definitivamente, ¿alguna otra sugerencia?

Gracias por anticipado. Sois geniales.

Mensaje por **maura63** » 19 Abr 2005, 14:59

Bajar :

http://www.merijn.org/files/hijackthis.zip

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

Pasalo en modo normal y con todos los programas cerrados, comprueba que se muestren archivos y carpetas ocultos del sistema.

Saludos

maura63

Mensaje por **msc hotline sat** » 19 Abr 2005, 15:24

Aparte de postearnos el log de HJT, hay un punto que no es correcto, y es lo que dices de que has copiado los parametros del otro PC en red con este, y evidentemente podrán tener la misma máscara, la misma página de acceso, los mismos servidores DNS, pero no la misma IP, ya que la IP de la Intranet debe ser diferente para cada ordenador.

Cambia el último nñumero de la IP, de forma que sea diferente de la del otro ordenador en red.

saludos

ms, 19-04-2005

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 15:33

Este es el log del hijack

Logfile of HijackThis v1.99.1

Scan saved at 15:26:26, on 19/04/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Acer\eManager\anbmServ.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\PDFCreatorMessages.exe

C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Launch Manager\LaunchAp.exe

C:\Program Files\Launch Manager\PowerKey.exe

C:\Program Files\Launch Manager\HotkeyApp.exe

C:\Program Files\Launch Manager\CtrlVol.exe

C:\Program Files\Launch Manager\OSDCtrl.exe

C:\Program Files\Launch Manager\Wbutton.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Arcade\PCMService.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

D:\Archivos de programa\Winamp\winampa.exe

D:\Archivos de programa\PDF\PDFClient.exe

D:\ARCHIV~1\AGNITUM\TAUSCA~1.6\taumon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_SICN03.EXE

C:\Archivos de programa\Messenger\msmsgs.exe

C:\DOCUME~1\Patri\CONFIG~1\Temp\Rar$EX00.859\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe

O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"

O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\HotkeyApp.exe

O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe

O4 - HKLM\..\Run: [LMgrOSD] C:\Program Files\Launch Manager\OSDCtrl.exe

O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [LtMoh] C:\Archivos de programa\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Arcade\PCMService.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [WinampAgent] d:\Archivos de programa\Winamp\winampa.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [PDFCreatorClient] D:\Archivos de programa\PDF\PDFClient.exe

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\Run: [Tau Monitor] D:\ARCHIV~1\AGNITUM\TAUSCA~1.6\taumon.exe

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [eMuleAutoStart] D:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE

O4 - Global Startup: Microsoft Office.lnk = D:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://D:\ARCHIV~1\MICROS~1\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: FireDaemon Service: ecure (ecure) - Unknown owner - C:\WINDOWS\Temp\FireDaemon.EXE (file missing)

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PDFCreatorMessages - Global Graphics Software Ltd - C:\WINDOWS\system32\PDFCreatorMessages.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: FireDaemon Service: svchost1 (svchost1) - Unknown owner - C:\WINDOWS\Temp\FireDaemon.EXE (file missing)

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: FireDaemon Service: system (system) - Unknown owner - C:\WINDOWS\Temp\FireDaemon.EXE (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Mensaje por **maura63** » 19 Abr 2005, 15:39

En tu log no se ve nada raro.

Haz lo que te comento Msc

[quote]y evidentemente podrán tener la misma máscara, la misma página de acceso, los mismos servidores DNS, pero no la misma IP, ya que la IP de la Intranet debe ser diferente para cada ordenador.

Cambia el último nñumero de la IP, de forma que sea diferente de la del otro ordenador en red.[/quote]

Saludos

maura63

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 15:43

lo he hecho, pero sigue igual. No accede. Gracias de todos modos.

Mensaje por **maura63** » 19 Abr 2005, 16:02

Elimina estas

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/

Saludos

maura63

[color=blue]Pos va a ser que no [/color]:wink:

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 16:13

eliminadas, el problema continua.

Mensaje por **msc hotline sat** » 19 Abr 2005, 16:19

SI el otro ordenador te accede con el mismo router, este no debe dejar de hacerlo.

Utlizas el mismo cable hasta el PC?

A veces el switch, hub o conector del cable o el mismo cable tiene fallos. Pruebalo cambiando los ordenadores fñisicamente y conectalos el uno en el sitio del otro, con todos los extras del otro menos la torre, y comprueba que no sea fallo de lo demás.

Tambien podría estar dañada la tarjeta de red o su software o configuracion. En último caso mira de desinstalarla e instalarla de nuevo.

Desde una ventana al DOS, mira de hacer ping a tu servidor de DNS, y sabrás si llegas a él o no.

SI no llegara a dicho servidor, haz un ping a tu puerta de enlace, y si ya no llegaras allí, no llegas al router, por tanto no es que no salgas a Internet, sino que no llegas ni al router !!!

Las direcciones del servidor del DNS y las de la puerta de enlace, las obtendrás desde DOS ejecutando IPCONFIG.

Venga, que el camino está claro, solo hace falta seguirlo y enmendarlo :D :D :D

Esperamos nos indiques tus progresos como respuesta de este Tema, gracias

saludos

ms, 19-04-2005

Mensaje por **maura63** » 19 Abr 2005, 16:22

Echale un vistazo a

http://www.f-secure.com/v-descs/trojdrop.shtml

Saludos

maura63

rapiega · Mensaje por **rapiega** » 19 Abr 2005, 16:40

creo que hay un malentendido... a ver, no tengo los ordenadores en red. Lo que hago es simplemente desconectar uno y conectar otro, pero no están en red. Cuando quiero trabajar con el portátil desconecto el cable del sobremesa y lo conecto al portátil. Pero NO están en red.

Gracias

Mensaje por **msc hotline sat** » 19 Abr 2005, 19:43

entendidos, pues con el malo, usando el mismo cable y demás, haga un pink a la puerta de enlace, a ver si llega al router o no.

Si no, es que tiene un fallo de red,tarjeta, conectores, configuracion y demás, pero sin tener que ver Internet ni el ancho de banda que podrían limitarle los bichos, pues si ya no llega a la puerta...

Informenos al respecto, gracias

saludos

ms, 19.04-2005

rapiega · Mensaje por **rapiega** » 20 Abr 2005, 10:36

perdón por mi ignorancia, pero qué es un pink y como se hace?

Mensaje por **maura63** » 20 Abr 2005, 10:48

Desde una ventana MSDOS te colocas en C y haces esto

C:/ ping 192.168.1.1 (la numeracion es la de tu router)

Saludos

maura63

Mensaje por **msc hotline sat** » 20 Abr 2005, 11:07

Aunque en un 90 % de los casos la puerta de enlace predeterminada (gateway) sea la indicada por maura63, la que tienes tu, que probablemente sea esta, lo veras entrando desde MSDOS la instruccion IPCONFIG, y en la linea donde dice "puerta de enlace predeterminada" te dirá el número en cuestión.

Pudiera ser el caso que dicho número no fuera el acostumbrado, pues lo fija tu ISP (El proveedor de servicios de Internet), y yo por ejemplo, tanto en casa como en la oficina tengo un gateway distinto al básico.

saludos

ms, 20-04-2005

rapiega · Mensaje por **rapiega** » 20 Abr 2005, 11:26

he hecho el ping, me sale:

haciendo ping a 192.168.1.1 con 32 bytes de datos:

Tiempo de espera agotado para esta solicitud

Tiempo de espera agotado para esta solicitud

Tiempo de espera agotado para esta solicitud

Tiempo de espera agotado para esta solicitud

Estadísticas de ping para 192.168.1.1:

Paquetes: enviados=4 recibidos=0 perdidos=4

Mensaje por **maura63** » 20 Abr 2005, 11:33

Has comprobado con ipconfig que la direccion de tu router sea la que te he comentado ?

Coloca la tuya que puede variar como dice Msc.

Saludos

maura63

rapiega · Mensaje por **rapiega** » 20 Abr 2005, 11:36

si que lo he comprobado, eso es lo que sale...

Mensaje por **maura63** » 20 Abr 2005, 11:43

Entonces recuerda esto

[quote]Si no, es que tiene un fallo de red,tarjeta, conectores, configuracion y demás, pero sin tener que ver Internet ni el ancho de banda que podrían limitarle los bichos, pues si ya no llega a la puerta...[/quote]

Compruebalo.

Saludos

maura63