malware.h / swat.s /furootkit

attreyhu · Mensaje por **attreyhu** » 05 May 2005, 17:46

hola buenas....a ver si estais por ahi.

estoy en casa de un colega, y tengo este problema,.

os dejo el log vale.

un abrazo a todos

Logfile of HijackThis v1.99.1

Scan saved at 17:43:46, on 05/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Administrador\Mis documentos\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [Windows Update V4.11A] C:\WINDOWS\System32\iyhvk.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\McUpdate.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Archivos de programa\Lexmark X74-X75\lxbbbmgr.exe"

O4 - HKLM\..\Run: [msnappau] "C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es\msnappau.exe"

O4 - HKLM\..\Run: [Sin Espias] C:\Archivos de programa\SinEspias\No-Spy.exe /autorun

O4 - HKLM\..\Run: [Ad-aware] "C:\Archivos de programa\Lavasoft\Ad-aware 6\Ad-aware.exe" +c

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitegdp32.exe

O4 - HKLM\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Windows NT Login Session Manager] WNSM.EXE

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Mhjau] C:\WINDOWS\System32\??anregw.exe

O4 - HKCU\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE

O4 - Global Startup: Troyan Explore Antivirus.LNK = C:\EXTROYAN\EXTROYAN.EXE

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,90/mcinsctl.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1115144066671

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,23/mcgdmgr.cab

O16 - DPF: {D19781C5-2051-44F8-8445-DDC82933C191} (VacPro.internazionale_ver11) - http://advnt03.com/dialer/internazionale_ver11.CAB

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe

el service pack 2 aun no me deja insltalarlo.

muchas gracias

Mensaje por **maura63** » 05 May 2005, 17:51

Prueba de eliminar esta entrada

O4 - HKLM\..\Run: [Windows Update V4.11A] C:\WINDOWS\System32\iyhvk.exe

Saludos

maura63

attreyhu · Mensaje por **attreyhu** » 05 May 2005, 17:54

asi ha quedado el log ahora.

maura echale un vistazo y dime si le ves algo?

Logfile of HijackThis v1.99.1

Scan saved at 17:53:42, on 05/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Administrador\Mis documentos\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\McUpdate.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Archivos de programa\Lexmark X74-X75\lxbbbmgr.exe"

O4 - HKLM\..\Run: [Sin Espias] C:\Archivos de programa\SinEspias\No-Spy.exe /autorun

O4 - HKLM\..\Run: [Ad-aware] "C:\Archivos de programa\Lavasoft\Ad-aware 6\Ad-aware.exe" +c

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitegdp32.exe

O4 - HKLM\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Windows NT Login Session Manager] WNSM.EXE

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Mhjau] C:\WINDOWS\System32\??anregw.exe

O4 - HKCU\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE

O4 - Global Startup: Troyan Explore Antivirus.LNK = C:\EXTROYAN\EXTROYAN.EXE

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,90/mcinsctl.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1115144066671

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,23/mcgdmgr.cab

O16 - DPF: {D19781C5-2051-44F8-8445-DDC82933C191} (VacPro.internazionale_ver11) - http://advnt03.com/dialer/internazionale_ver11.CAB

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe

gracias maura.

Mensaje por **maura63** » 05 May 2005, 18:01

Comprueba que se muestren archivos y carpetas ocultos del sistema.

Has probado a intentar actualizar via windows update, te comente solo esa por si era la causante de no poder hacerlo.

El resto desconocido es

O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitegdp32.exe -

O4 - HKLM\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE -

O4 - HKCU\..\Run: [Windows NT Login Session Manager] WNSM.EXE -

O4 - HKCU\..\Run: [Mhjau] C:\WINDOWS\System32\??anregw.exe -

O4 - HKCU\..\RunServices: [Windows NT Login Session Manager] WNSM.EXE -

O4 - Global Startup: Troyan Explore Antivirus.LNK = C:\EXTROYAN\EXTROYAN.EXE -

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab -

Fulmina esta

O16 - DPF: {D19781C5-2051-44F8-8445-DDC82933C191} (VacPro.internazionale_ver11) - http://advnt03.com/dialer/internazionale_ver11.CAB -

[size=150][color=red]Ojo[/color][/size] por si alguna te es conocida y la utiliza algun programa instalado.

Saludos

maura63

attreyhu · Mensaje por **attreyhu** » 05 May 2005, 18:24

maura ok

pero el explorador de windows tarda un monton en abrirse..

siguen saliendo ventanas de publicidad extrañas...

el ordeandor va un poco lento....

a mejorado algo pero sigue sin pillar algo que no logro saber que es.

es extraño. mcafee limpio, spyboot limpio, adware limpio..

las entrdas en el hijs estan borradas..

creo unos backups los borro?

o que le hacemos contesta rapido ...porfavor.

Mensaje por **maura63** » 05 May 2005, 18:29

Has comprobado que se muestran los archivos y carpetas ocultas :?:

Veo el log algo pequeño aunque puede ser normal pero compruebalo y observa el log que te da.

Otra cosa, para recuperar los backups guarda hijackthis en su propia carpeta, por ejemplo c/hijacthis.

Comprueba en agregar o quitar programas si ves algo extraño.

Saludos

maura63

attreyhu · Mensaje por **attreyhu** » 05 May 2005, 18:39

las entradas que me dijistes que borrara, se regeneran de nuevo.

y vuelven aparecer.

alguna otra opcion?

los archivos y carpetas estan para que se vea todo todo y todo..... heejjejejje

Mensaje por **maura63** » 05 May 2005, 18:44

Prueba estas utilidades y no olvides para limpiar desactivar la restauracion y arrancar en modo seguro

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Saludos

maura63

Mensaje por **msc hotline sat** » 05 May 2005, 19:22

No estarás lanzando el HiJackThis habiendo arramcado en modo seguro ? SI es el caso, arranca normalmente y copianos el nuevo log

(Es que no tienes ni el antivirus residente ...)

o eso o están siendo "escondidos" . Por si acaso, lanza el ELISOBEA, por si tienes el SOBER y te está afectando al HJT, que nos consta que lo hace:

ELISOBEA

http://www.zonavirus.com/datos/descargas/103/ELISOBEAEXE.asp

saludos

ms, 5-05-2005

Mensaje por **msc hotline sat** » 06 May 2005, 21:23

Probado el HJT con el SOBER.P residente, solo da un mensaje de salida indicando que no se ha detectado virus ni spywares y que el Status is ok (e impide el proceso del HJT, claro)

Por tanto no es el Sober, que sabíamos que interfería con el HiJackThis, pero no sabíamos como.

Posiblemente sea que lanzas el HJT habiendo arrancado en modo seguro, y así vemos las claves, pero no los procesos normalmente residentes. Si es el caso, arranca normal y lanza el HJT y posteanos nuevo log, gracias

saludos

ms, 6-5-2005