Antivirus desactivado (solucionado)

Sama · Mensaje por **Sama** » 16 Jun 2005, 14:31

Hola esque un dia de repente se me desactivo el antivirus(norton 2005) y en el momento en el que se desactivo se me metio este virus Backdoor.Hackdefender entonces volvi a meter la clave otra vez y funciono el antivirus y al dia siguiente se me volvio a desactivar y desde entonces no puedo actualizar el antivirus y todo me va mas lento. Es por culpa del virus? y si es asi ¿como lo quito?

Gracias

Mensaje por **maura63** » 16 Jun 2005, 14:45

Pasa este y dinos que detecta.

Antivirus On-line:

· Computer Associates

https://www.virustotal.com/es/

Si dispones de internet via adsl mediante router o cable moden lanzalo arrancando en modo seguro para limpiar, desactiva la restauracion antes.

Saludos

maura63

Mensaje por **msc hotline sat** » 16 Jun 2005, 18:26

Al amigo maura63, el gato se le comió unas palabras básicas:

[quote="maura63"]
Si dispones de internet via adsl mediante router o cable moden lanzalo arrancando en modo seguro para limpiar, desactiva la restauracion antes.
[/quote]

y quiso decir:

Si tienes ADSL con router o cable modem, arranca en modo seguro ~~[b]~~CON FUNCIONES DE RED [/b] y lanza el antivirus ONLINE, con la restauracion de sistema desactivada

Si no arrancas en con funciones de red no podrías navegar en modo seguro

saludos

ms, 16-06-2005

Sama · Mensaje por **Sama** » 16 Jun 2005, 19:31

no pude probarlo en modo seguro con funciones de red ya que no se conectaba asi que lo probe en modo normail y me elimino 3 virus pero no el que hablaba antes y encima ahora me aparece este error:

La configuracion actual impide la ejecucion de los controles actvex en esta pagina.Puede que la pagina no se muestre correctamente

Por culpa de esto no puedo ni activar el antivirus ni abrir carpetas.Que puedo hacer?

Mensaje por **msc hotline sat** » 16 Jun 2005, 19:53

Esto es porque tiene desactivados los Active X en la configuracion de seguridad del Internet Explorer, lo cual evita que le entren muchos adwares y spywares que intrusionan a traves de ellos.

En modo normal no puede eliminar los virus que estan residentes, porque microsoft no permite eliminar los ficheros que estan en uso, por ello le decíamos lo de hacerlo en modo seguro, pero si no lo puede hacer ONLINE, hagalo con su antivirus instalado, actualicelo y arrancando en modo seguro, lo lanza en modo se eliminacion

Si nos dijera de qué virus habla, le sugeriría utilizar nuestras utilidades, como ELITRIIP, ELISOBEA, ELINETSA, ELIBAGLA, ELIMYDOA, ELISTARA... pero es que "solo" hay unos 130.000 virus y unos 150.000 spywares y adibinar cual tiene Vd ...

Indiquenoslo como respuesta de este Tema, gracias

Podiblemente, tras eliminar dicho virus ya se le activarña el Norton al reiniciar y podrá actualizarlo.

saludos

ms, 16-06-2005

Mensaje por **maura63** » 16 Jun 2005, 20:11

[img]http://www.gifanimados.com/gatos/gatos_y_leche/katze062.gif[/img]

[img]http://www.gifanimados.com/gatos/gatos_y_leche/mix_225.gif[/img]

[img]http://www.gifanimados.com/gatos/gatos_pequenos/fun17.gif[/img] vamor a ver si maura63 se acaba de afeitar el bigote y nos da comida :evil:

Hombre.... lo mismo que atendemos el foro tengo que atender a mis gatos :mrgreen:

Los pobres estaban desesperador por papear algo :idea: y mira que el peke me decia.... PAPA DAZLES DE COMER :D :D

pero en misa y repicando no puedo estar, ....total ....paque estan los otros mosqueteros.

Saludos

maura63

Mensaje por **msc hotline sat** » 16 Jun 2005, 20:18

Que bien se está sin trabajar por las tardes, eh maura63 ?!

Como que no estabas, en lugar de mandarte un privado. lo he posteado atribuyendolo a los gatos...

PERO TAMPOCO HACIA FALTA, porque por lo visto no tiene ADSL con router.

Como que tambien quiero plegar, te dejo el relevo. Cuando indique el virus que no ha podido eliminar en modo normal, mira si es de los que eliminamos con nuestras utilidades, y le ofreces la adecuada.

saludos y hasta mañana.

ms, 16-06-2005

Sama · Mensaje por **Sama** » 16 Jun 2005, 22:24

Le he pasado el norton en modo seguro y no ha detectado ningun virus luego le he intentado pasar el antivirus online en modo seguro con funciones de red pero no se ha podido conectar.Tengo wanadoo adsl y al darle al icono de conectarse dice que no encuentra wanadoo adsl pero en modo normal si se puede.Que puedo hacer? Al intentar actualizar el antivirus no puede pero si me detecto ese virus y no lo ha encontrado como lo elimino?

caito · Mensaje por **caito** » 17 Jun 2005, 00:17

Bajar trial ewido security suite:

http://www.ewido.net/en/download/

actualizarlo acá:

http://www.ewido.net/en/download/updates/

(para XP)

Ejecútalo y ve si se solucionó.

Salu2

Caito

Mensaje por **msc hotline sat** » 17 Jun 2005, 05:52

Sigues sin indicarnos el nombre del virus en cuestion !!!

Es lo que necesitamos saber para ofrecerte una utilidad que lo elimine.

Si lo indicaste y no hemos sabido verlo, no te sepa mal volverlo a indicar en tu proximo post, y obraremos en consecuencia

saludos

ms, 17-06-2005

Mensaje por **maura63** » 17 Jun 2005, 08:42

Si es el que indicas al principio

http://securityresponse.symantec.com/avcenter/venc/data/backdoor.hackdefender.html

Saludos

maura63

Mensaje por **msc hotline sat** » 17 Jun 2005, 09:41

En tal caso, puede probar con el ELISTARA.EXE:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

y cuentenos el resultado, gracias

saludos

ms, 1-06-20057

Sama · Mensaje por **Sama** » 17 Jun 2005, 15:41

Hola pase el elistara ya que no pude meterme en el enlace de maura poruq decia que la pagina web no estaba disponible y esto es lo que hizo

Fri Jun 17 15:16:35 2005

EliStartPage v9.1 (c)2005 S.G.H. / Satinfo S.L.

------------------------------------------------

Lista de Acciones:

C:\\system.sys --> Eliminado, HackDefender sys

C:\Archivos de programa\BitTorrent\uninstall.exe --> AutoExtraible

C:\Archivos de programa\Codec Pack de ELISOFT\divx511\fsg_4104.exe --> Eliminado, Gator o Gain

C:\Archivos de programa\DVD Decrypter\uninstall.exe --> AutoExtraible

C:\Documents and Settings\Juan Carlos\ban3.exe --> Eliminado, LowZones (Dropper)

C:\Documents and Settings\Juan Carlos\Escritorio\cosas\BitTorrent-4.0.1.exe --> AutoExtraible

C:\Documents and Settings\Juan Carlos\Escritorio\cosas\SetupDVDDecrypter_3.5.4.0.exe --> AutoExtraible

C:\WINNT\ransy.reg --> Eliminado, LowZones REG

C:\WINNT\rany.reg --> Eliminado, LowZones REG

C:\WINNT\$NtServicePackUninstall$\mmc.exe --> Eliminado, QHosts-16

C:\WINNT\ServicePackFiles\i386\mmc.exe --> Eliminado, QHosts-16

C:\WINNT\system32\5soernc6.exe --> Eliminado, SAHAgent

C:\WINNT\system32\ban3.exe --> Eliminado, LowZones (Dropper)

C:\WINNT\system32\mmc.exe --> Eliminado, QHosts-16

C:\WINNT\system32\ransy.reg --> Eliminado, LowZones REG

C:\WINNT\system32\update-sp3.html --> Eliminado, RBlast.dldr

C:\WINNT\system32\update-sp4.html --> Eliminado, RBlast.dldr

C:\WINNT\Temp\SahUpdate\atrc8parb_.exe --> Eliminado, SAHAgent

C:\WINNT\Temp\SahUpdate\hqrhil7kg_.exe --> Eliminado, SAHAgent

pero todavia no se bajan las actualizaciones.No puede ser que el servidor de symantec no este disponible?

Mensaje por **msc hotline sat** » 17 Jun 2005, 16:25

Pues hizo buena faena !!!

y respecto el link de maura63, es de informacion, y aunque no llegue al site, me ha servido para saber de que se trataba, por el enlace, y asi ofrecerte la utilidad qie bien te ha ido.

Ahora arranca normal y mira si ya se han solucionado los problemas.

saludos

ms, 17-06-2005

Sama · Mensaje por **Sama** » 18 Jun 2005, 10:00

ahora todo me va mejor pero el antivirus sigue desactivandose y sin poder acceder a las actualizaciones.

Estoy por cambiar de antivirus a ver si es eso.

No puede haber algun gusano que se cargue las claves del antivirus

Mensaje por **msc hotline sat** » 18 Jun 2005, 12:53

Efectivamente, puede haber algun virus de los que desactivan los residentes de seguridad, como antivirus y cortafuegos por soft, que no detectara tu antivirus si no está actualizado.

Lanza un antivirus ONLINE y comentanos el resultado:

https://www.virustotal.com/es/

saludos

ms, 18-06-2005

Sama · Mensaje por **Sama** » 20 Jun 2005, 19:50

Ya me funciona las actualizaciones y no se desactiva pero ahora hace una cosa mazo rara empieza a enviar mensajes al servidor de symantec y no se puede parar solo finalizando la tarea.y eso que puede ser?

Mensaje por **maura63** » 20 Jun 2005, 20:40

Baja

http://www.hijackthis.de/downloads/hijackthis_199.zip

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

Saludos

maura63

Sama · Mensaje por **Sama** » 20 Jun 2005, 21:29

pase el hijackThis y esto es lo que puso

Logfile of HijackThis v1.99.1

Scan saved at 21:29:55, on 20/06/2005

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

C:\Archivos de programa\Norton Internet Security\ISSVC.exe

C:\WINNT\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\system32\drivers\CDAC11BA.EXE

C:\WINNT\system32\CTsvcCDA.EXE

C:\WINNT\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINNT\system32\netddeclnt.exe

C:\WINNT\System32\nvsvc32.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\devldr32.exe

C:\WINNT\system32\RUNDLL32.EXE

C:\Archivos de programa\Creative\SBLive2k\AudioHQ\AHQTB.EXE

C:\Archivos de programa\Creative\SBLive2k\Program\CTAvTray.EXE

C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe

C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\ARCHIV~1\Sony\SONICS~1\SsAAD.exe

C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\WINNT\SYSTEM32\somepn.exe

C:\WINNT\system32\dontyoux.exe

C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

C:\WINNT\system32\internat.exe

C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpqgalry.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mm_director.exe

C:\ARCHIV~1\MUSICM~1\MUSICM~1\MM_TDM~1.EXE

C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\MMDiag.exe

C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mmjb.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NSMdtr.exe

C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [AudioHQ] C:\Archivos de programa\Creative\SBLive2k\AudioHQ\AHQTB.EXE

O4 - HKLM\..\Run: [CTAvTray] C:\Archivos de programa\Creative\SBLive2k\Program\CTAvTray.EXE

O4 - HKLM\..\Run: [MMTray] C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [CamMonitor] C:\Archivos de programa\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe

O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SsAAD.exe] C:\ARCHIV~1\Sony\SONICS~1\SsAAD.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [caxdy] C:\WINNT\SYSTEM32\somepn.exe

O4 - HKLM\..\Run: [Wronglike] dontyoux.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\RunServices: [Wronglike] dontyoux.exe

O4 - HKLM\..\RunOnce: [CTAVTray] C:\Archivos de programa\Creative\SBLive2k\Program\CTAvStub.EXE EAX.AVI

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Wronglike] dontyoux.exe

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: hp psc 1000 series.lnk = C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

O4 - Global Startup: hpoddt01.exe.lnk = C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - Global Startup: Inicio rápido de HP Image Zone.lnk = C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpqthb08.exe

O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://aeat.es/imagenes/comun/cactivex.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{DC676039-2430-4CC3-9951-440FE2D9D1EB}: NameServer = 62.36.225.150 62.37.228.20

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINNT\system32\drivers\CDAC11BA.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.EXE

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: TurkSpy For RootKit (GencTurK RootKit) - Unknown owner - C:\system.exe (file missing)

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ISSVC.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINNT\system32\netddeclnt.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

Mensaje por **maura63** » 20 Jun 2005, 21:34

Por lo pronto elimina esta entrada

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab

Lanza hijackthis, pulsa scan, marcas la entrada y FIX.

Saludos

maura63

Mensaje por **maura63** » 20 Jun 2005, 21:38

Comprueba estas y de no conocer elimna igualmente

C:\WINNT\system32\netddeclnt.exe -

C:\WINNT\SYSTEM32\somepn.exe -

C:\WINNT\system32\dontyoux.exe -

O4 - HKLM\..\Run: [caxdy] C:\WINNT\SYSTEM32\somepn.exe -

O4 - HKLM\..\Run: [Wronglike] dontyoux.exe -

O4 - HKLM\..\RunServices: [Wronglike] dontyoux.exe -

O4 - HKLM\..\RunOnce: [CTAVTray] C:\Archivos de programa\Creative\SBLive2k\Program\CTAvStub.EXE EAX.AVI -

O4 - HKCU\..\Run: [Wronglike] dontyoux.exe -

O23 - Service: TurkSpy For RootKit (GencTurK RootKit) - Unknown owner - C:\system.exe (file missing) -

O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINNT\system32\netddeclnt.exe -

Saludos

maura63

Mensaje por **msc hotline sat** » 21 Jun 2005, 11:06

Y aunque algunos se supone son de HP y de SONY, convendría que nos enviaras todos estos ficheros , en la seguridad de que muchos son troyanos, que analizaremos, mejoraremos su control en el ELISTARA, enviaremos los desconocidos a MCAfee para su control, y te informarenos con el resultado del analisis y además indicaremos la version de la utilidad con la que los contralaremos, como respuesta de este Tema

Para ello, envianos un ZIP de todos estos ficheros:

[quote]
C:\WINNT\system32\netddeclnt.exe

C:\ARCHIV~1\Sony\SONICS~1\SsAAD.exe

C:\WINNT\SYSTEM32\somepn.exe

C:\WINNT\system32\dontyoux.exe

C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpqgalry.exe

C:\ARCHIV~1\MUSICM~1\MUSICM~1\MM_TDM~1.EXE

C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\MSCSPTISRV.exe

C:\WINNT\system32\netddeclnt.exe

C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\PACSPTISVR.exe

C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

[/quote]

y envianoslo anexado a un mail dirigido a zonavirus@satinfo.es en cuyo texto pongas un copiar y pegar de este post.

saludos

ms, 21-06-2005

Mensaje por **msc hotline sat** » 21 Jun 2005, 11:54

Y buscando informacion sobre el primer fichero de los indicados, netddeclnt.exe , vemos que podría corresponder a un SDBOT conocido:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_SDBOT.BJA

[quote="Sobre el WORM_SDBOT.BJA, TREND"]
Upon execution, this worm drops a copy of itself as NETDDECLNT.EXE in the Windows system folder.
[/quote]

Y este gusano entra por las vulnerabilidades RPCDCOM y LSASS, por lo que a este ordenador podrían faltarle actualizaciones MS04-011 y MS04-012, lance un windowsupdate e instale las actualizaciones criticas que le falten.

.

Solo a titulo de informacion , nuebtras recibimos las muestras.

saludos

ms, 21-06-2005

Sama · Mensaje por **Sama** » 23 Jun 2005, 19:04

ya me funciona todo pero como mencionabas antes el archivo netddeclnt.exe le pase el norton y me dio que habia sido infectado por el virus w32.toxbot y al intentarlo eliminar pues no te deja ni eliminarlo ni ponerlo en cuarentena ni na.Que puedo hacer?

Mensaje por **maura63** » 24 Jun 2005, 11:35

Pasa el antivirus arrancando en modo seguro y lo eliminas.

Saludos

maura63

Sama · Mensaje por **Sama** » 24 Jun 2005, 14:32

aun arrancandolo en modo seguro no se elimina el virus.esta situado en el archivo netddeclnt.exe y no lo deja ni eliminar ni ponerlo en cuarentena ni repararlo.

Mensaje por **maura63** » 24 Jun 2005, 14:37

Te faltan parches, en concreto

The Microsoft Windows DCOM RPC Interface Buffer Overrun Vulnerability (described in Microsoft Security Bulletin MS03-026).

The Microsoft Windows ntdll.dll Buffer Overflow Vulnerability (described in Microsoft Security Bulletin MS03-007).

The Microsoft SQL Server Web Task Stored Procedure Privilege Escalation Vulnerability (as described in Microsoft Security Bulletin MS02-061).

Conecta via windows update y actaliza tu sistema, descargas los parches y luego vuelve a pasar en modo seguro el antivirus.

Saludos

maura63

Mensaje por **msc hotline sat** » 24 Jun 2005, 16:31

Si tienes el NETDDECLNT.EXE posiblemente estes infectado por una variante del SDBOT que muchos conocen como TOXTBOT:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_SDBOT.BJA

Tal como indica Maura63, actualiza los parches de microsoft, pero mejor con el windowsupdate e instalando todos los criticos pendientes de instalar, pues este virus puede entrar tambien por la vulnerabilidad LSASS, MS04-011

Tras ello arranca en modo seguro pero además deshabilita la restauracion de sistema, lo cual no parece que lo hicieras, y lanza tu antivirus actualizado, que deberá eliminarlo

Si tuvieras problemas, envianos el fichero en cuestion, el NETDDECLNT.EXE a zonavirus@satinfo.es anexado a un maiul cuyo texto fuera un copiar y pegar de este post y lo añadiríamos a nuestra utilidad ELITRIIP para que lo eliminara comodamente, como hacemos con otros muchos SDBOT.

Y cuentanos tus progresos, como respuesta de este Tema, gracias

saludos

ms, 24-06-2005

Sama · Mensaje por **Sama** » 25 Jun 2005, 12:54

Como deshabilito la restauracion del sistema en el windows 2000

caito · Mensaje por **caito** » 25 Jun 2005, 14:11

Olvídalo el 2000 no tiene esa opción :shock:

Salu2

Caito