Sobre adware sqwire (solucionado)

[msc hotline sat]

Como que Panda solo ofrece una descripcion breve, aqui tienes la de symantec, mas completa:



http://securityresponse.symantec.com/avcenter/venc/data/adware.sqwire.html



saludos



ms, 26-06-2005

[muchamelena]

Ya esta visto lo de synmantec, pero me gustaria que me contestarais a si debo borra o no los archivos que te instalan el escaneo on line con varios antivirus que probé y si hace faltaborrarlos, por favor que me digais donde debo buscar y que archivos borrar. Gracias.

[caito]

Los active x que te instalan lo av on line están en las entradas 016 que las podrás ver y eliminar con el hijack.

Salu2

Caito

[muchamelena]

He borrado las 016 que me dice excepto otras que no estaba seguro, pego un log de como ha quedado el hjt despues de quitar las que estaba seguro, pero xfa decidme las que quedan cual debo quitar.



Logfile of HijackThis v1.99.1

Scan saved at 15:48:54, on 26/06/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

C:\Archivos de programa\ewido\security suite\ewidoguard.exe

C:\Norman\bin\ZLH.EXE

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Norman\bin\ZANDA.EXE

C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

C:\Norman\bin\NJEEVES.EXE

C:\NORMAN\nvc\BIN\NVCSCHED.EXE

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\eMule\emule.exe

D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

C:\Archivos de programa\The Cleaner\tca.exe

C:\Archivos de programa\The Cleaner\tcm.exe

C:\WINDOWS\explorer.exe

C:\NORMAN\nvc\BIN\nvcoas.exe

C:\Norman\Nvc\bin\cclaw.exe

E:\brip enero 2005\BRIp004\BRIp.exe

C:\Archivos de programa\Opera\Opera.exe

C:\Documents and Settings\JOSE\Mis documentos\hijackthis_199\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [tcactive] C:\Archivos de programa\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Archivos de programa\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe /waitservice

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Ajuste del explorador - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Archivos de programa\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093860170789

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\bin\ZANDA.EXE

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\nvc\BIN\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\nvc\BIN\NVCSCHED.EXE

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

[msc hotline sat]

EN el log del HJT solo veo dos procesos raros, que puede que Vd conozca, pero si no, obre en consecuencia:



D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe



E:\brip enero 2005\BRIp004\BRIp.exe



saludos



ms, 26-06-2005



[b]PD: Pero esto he visto que ya se lo indiqué en un post anterior:



[quote="msc"]

Ver tema anterior :: Ver tema siguiente

Autor Mensaje

msc hotline sat

Administrador







Registrado: 09 Mar 2004

Mensajes: 7172

Ubicación: BARCELONA (ESPAÑA)

Publicado: Vie Jun 24, 2005 4:43 pm Asunto:



--------------------------------------------------------------------------------



Selecciona y elimina estas entradas con FIX:



O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Coches - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\nge-pillamusica\entrar.html (file missing)





Y estos ficheros mira si son aplicaciones que hayas querido instalar, y si no, borralos arrancando en modo seguro, pues en modo normal los tienes en uso y no podrías eliminarlos:



D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

E:\brip enero 2005\BRIp004\BRIp.exe



Y sobre el troyano adware sqwire, con nuestra ultima version 9.5 del ELISTARA ya lo contemplamos y eliminamos:



https://foros.zonavirus.com/viewtopic.php?p=34204#34204



saludos



ms, 24-06-2005





[/quote]



Y no nos ha indicado nada al respecto... [/b]



ms.

[muchamelena]

Ya comenté que borré las entradas que me indicasteis y que pasé la herramienta de ELISTARA y me salio todo en negativo , es decir no encontró nada de nada, ahora me gustaria saber si en el log que he pegado anteriormente debo de borrar las entradas 016 que no estoy seguro si debo o no. Gracias.

[caito]

Las entradas 016 que tienes son legales :lol:

Salu2

Caito

[msc hotline sat]

Estos dos procesos no son cargados desde claves que se vean en el HJT:



D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe



E:\brip enero 2005\BRIp004\BRIp.exe



SI no los conoce, vea de eliminar los ficheros en cuestion, sitos en la ruta que se indica en cada uno, pero hagalo arrancando en modo seguro, pues sino estarán en uso y windows no dejará eliminarlos



Vea antes que en Panel de control

-> Agregar quitar programas, no figuren como Aplicaciones instaladas, y si fuera así desinstalelas.



Recuerde que solo un 1 % del registro de sistema es visualizado por el HJT, y aunque en el suyo ya no hay claves a eliminar, puede haberlas sin que alli sean mostradas, como las de las aplicacones instaladas, pues inicialmente son programas voluntariamente instalados por el usuario



Tras todo ello vea que los dos procesos indicados, si es el caso de no conocerlos, ya no aparezcan en el log del HJT



saludos



ms, 27-06-2005

[muchamelena]

esos dos procesos p2pfire y Brip son dos programas ejecutables que tengo y son seguros, no es nada malo, son bloqueadores de IPS espias en descargas P2P.Gracias.

[msc hotline sat]

Pues ya todo controlado, y solucionados los problemas, procedemos a cerrar el Tema



saludos



ms, 27-06-2005