Keylogger de Haxdoor (SOLUCIONADO)

Jorge913 · Mensaje por **Jorge913** » 13 Jul 2005, 21:31

Hola a todos, soy nuevo y kisiera komentaros ke el virus HaxDoor ha entrado en mi pc, y kreo k me ha instalado un keylogger. Por mas ke borro el archivo .dll el log y otros, sigue apareciendo y un programa, el Ad-Aware SE me lo ha lokalizado y se supone ke me lo ha borrado...pero aun asi sigue kogiendome las letras...alguien sabe komo borrarlo?? por favor ayuda!

Mensaje por **msc hotline sat** » 13 Jul 2005, 21:38

Siguiendo el tutorial de antispywares verás que lo adecuado es arrancar en modo seguro (y dshabilitar la restauracion de sistema en caso de XP) y lanzar el antispyware para que no esté el malware en uso y asi windows permita eliminarlo:

https://foros.zonavirus.com/viewtopic.php?t=4795

SI ni asi lo lograras, mira que no lo tenhas instalado como una aplicacion, abriendo el Panel de Control y accediendo a Agregar Quitar Programas, y si asi fuera, desinstalalo desde allí.

Cuentanos el resultado como respuesta de este Tema, gracias

saludos

ms, 13-07-2005

Jorge913 · Mensaje por **Jorge913** » 14 Jul 2005, 21:57

Ya he hecho lo ke me has dicho, pero los programs no lo detectan! el SpyBot me detecta el archivo .dll y lo borra, pero siempre aparece de nuevo...weno, he hecho un escaneo kon el HijackThis y este es el log:

------------------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 21:18:26, on 14/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\windows\System32\smss.exe

C:\windows\system32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\windows\system32\spoolsv.exe

C:\windows\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\System32\CTSVCCDA.EXE

C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe

C:\ARCHIV~1\eScan\TRAYSSER.EXE

C:\ARCHIV~1\eScan\avpm.exe

C:\Archivos de programa\Creative\PC-CAM Center\CAMTRAY.EXE

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\ARCHIV~1\eScan\TRAYICOS.EXE

C:\windows\system32\avpx32.exe

C:\windows\system32\ctfmon.exe

C:\ARCHIV~1\eScan\MAILDISP.EXE

C:\ARCHIV~1\eScan\SPOOLER.EXE

C:\windows\System32\svchost.exe

C:\Archivos de programa\Symantec AntiVirus\Rtvscan.exe

C:\Archivos de programa\VIA\RAID\raid_tool.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\windows\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es\msnappau.exe

C:\Documents and Settings\Propietario\Mis documentos\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.khmaniacs.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_1.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es\msntb.dll

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_1.dll

O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Archivos de programa\Creative\PC-CAM Center\CAMTRAY.EXE

O4 - HKLM\..\Run: [PC-CAM 300 STI App Registration] RunDLL32.exe Pd016pin.dll,RunDLL32EP 513

O4 - HKLM\..\Run: [Zone Labs Client] C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Archivos de programa\eScan\LAUNCH.EXE"

O4 - HKLM\..\Run: [eScan Updater] C:\ARCHIV~1\eScan\TRAYICOS.EXE /App

O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] C:\ARCHIV~1\Yahoo!\MESSEN~1\ypager.exe -quiet

O4 - Startup: Registration-Studio 7.lnk = C:\Archivos de programa\Pinnacle\Studio 7\Register\RegTool.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Archivos de programa\VIA\RAID\raid_tool.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll

O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O10 - Broken Internet access because of LSP provider 'mwtsp.dll' missing

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.com/molbin/shared/mcinsctl/es/4,0,0,84/mcinsctl.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102887169031

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} - http://download.mcafee.com/molbin/shared/mcgdmgr/es/1,0,0,21/mcgdmgr.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{4B9644C4-322E-4109-8243-7BFFC4CE08C5}: NameServer = 80.58.0.33,80.58.32.97

O20 - Winlogon Notify: avpx32 - C:\windows\SYSTEM32\avpx32.dll

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSVCCDA.EXE

O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe

O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\ARCHIV~1\eScan\TRAYSSER.EXE

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\ARCHIV~1\eScan\avpm.exe

O23 - Service: SAVRoam (SavRoam) - symantec - C:\Archivos de programa\Symantec AntiVirus\SavRoam.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\Rtvscan.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Mensaje por **msc hotline sat** » 15 Jul 2005, 08:09

Borre las siguientes claves e informenos del resultado, gracias:

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

03 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

Por otro lado hay la clave de carga y el proceso en marcha del AVPX32 que analizariamos si nbo se resolviera con lo indicado

C:\windows\system32\avpx32.exe

O20 - Winlogon Notify: avpx32 - C:\windows\SYSTEM32\avpx32.dll

____________________________________

LO DE ARRIBA ES MALWARE, ELMINALO:

http://esp.sophos.com/virusinfo/analyses/trojhaxdoory.html

____________________________________

y esta que no se que es:

O4 - HKLM\..\Run: [PC-CAM 300 STI App Registration] RunDLL32.exe Pd016pin.dll,RunDLL32EP 513

saludos

ms, 15-07-2005

Jorge913 · Mensaje por **Jorge913** » 15 Jul 2005, 19:58

Voy a probarlo enseguida, lo ke me intriga es ke en todas las webs ke he visto...ninguna dice ke avpx32.dll y avpx32.exe vaya relacionado kon el keylogger, por lo tanto al acabar con estos archivos (ke por cierto se intentan konektar a internet y servidor nada mas encender el pc, pero el ZoneAlarm no lo permite) no signifikara ke se vaya a solucionar el problema del keylogger. Y repito: el SpyBot lo pase ayer y detecto HaxDoor, lo abri a ver ke archivo era y ponia: klogini.dll y dijo k el archivo habia sido eliminado satisfactoriamente pero aun asi sigue apareciendo y lo se por dos kosas:

1.- He borrado manualmente el klogini.dll infinidad de veces

2.- He vuelto a mirar y sigue el klogini ya ke las dos veces ke pase el SpyBot me lo detecto una y otra vez

Seguire investigando y os informare sobre este archivo, avpx32

Por Cierto: Lo ke no sabes ke es, no te preokupes porke PC-CAM es de mi camara digital ke la utilizo de webcam tb :wink:

Jorge913 · Mensaje por **Jorge913** » 16 Jul 2005, 12:27

Ya he probado, pero no me he atrevido a borrar el Winlogon c:\windows\system32\avpx32.exe pero por todo lo demas no hay problema ha sido borrado. Pero el keylogger sigue funcionando!! No se ke nombre recibira la aplicacion, y no se si sera posible ke el hijackthis no lo detecte... :cry:

Mensaje por **msc hotline sat** » 17 Jul 2005, 10:42

Pues claro que es posible ! . El HJT solo visualiza un 1 % de las claves del registro, las que están en zonas que acostumbran a usar los malwares del I.E., que modifican paginas de inicio, y otras zonas caracteristicas, pero las aplicaciones instaladas no tienen porqué aparecer.

Mira bien en Panel de Control-Agregar quitar programas a ver si todo lo que hay instalado lo has hecho tu...

Y dado lo que indicas sobre el AVPX32, miraré de informarme tambien

saludos

ms, 17-07-2005

Mensaje por **msc hotline sat** » 17 Jul 2005, 10:53

Pues como pensabamos, esta clave AVPX32 debe eliminarse, y con ello se ha solucionado el problema en este otro caso:

http://www.computing.net/security/wwwboard/forum/15812.html

Eliminala y cuentanos el resultado

salkudos

ms, 17-07-2005

Jorge913 · Mensaje por **Jorge913** » 17 Jul 2005, 13:03

ok voy a borrar winlogon notify avpx32 pero no me atrevia porke Winlogon es algo ke ya venia kon windows (no se muy bien lo ke es) y kreia k al borrarlo windows daria errores.

Jorge913 · Mensaje por **Jorge913** » 17 Jul 2005, 15:43

NO puedo borrarlo, le doy a borrar y al scanear de nuevo, aparece! ya no se ke puedo hacer :?

Mensaje por **msc hotline sat** » 17 Jul 2005, 17:12

Prueba de eliminar dicha clave arrancando en modo seguro, y nos lo cuentas

saludos

ms, 17-07-2005

Mensaje por **maura63** » 17 Jul 2005, 17:21

Hazlo como indica Msc pero desactiv la restauracion del sistema antes.

Saludos

maura63

Jorge913 · Mensaje por **Jorge913** » 17 Jul 2005, 18:10

Ke bien! :D ha funcionado pasandolo en modo seguro! y he podido borrar el avpx32.dll pero ahora ke lo busko, avpx32.exe no esta! mas de una vez ha desaparecido y al dia siguiente estaba...al borrar el dll kreeis ke no aparecera mas?

PD: Voy a pasar tambien el SpyBot en modo seguro, a ver si akaba kon el keylogger, aviso si konsigo borrarlo

Mensaje por **msc hotline sat** » 17 Jul 2005, 18:17

No importa que el día sea mañana o pasado. Si apagas el ordenador, arrancas de nuevo y ya no te aparece, es que ya no lo tienes.

Tras comprobarlo, dinoslo para poder cerrar el Tema. gracias

saludos

ms, 17-07-2005

Jorge913 · Mensaje por **Jorge913** » 17 Jul 2005, 20:23

ya pero eske avpx32.dll va relacionado con el keylogger?? :? porke yo kreo k m sigue kogiendo las letras voy a probar y os digo.

Mensaje por **msc hotline sat** » 17 Jul 2005, 20:54

Realmente es un troyano backdoor que permite eñl acceso remoto desde otro ordenador, segun puede ver en la siguiente informacion:

http://www.sophos.com/virusinfo/analyses/trojhaxdoory.html

Dejamos este Tema abierto a la espera de sus noticias

saludos

ms, 17-07-2005

Jorge913 · Mensaje por **Jorge913** » 18 Jul 2005, 12:58

Muy buenas, he reiniciado varias veces el PC y no hay rastros del Keylogger ni de avpx32.dll ni .exe. El log del keylogger y el klogini.dll los borre y ahora no han vuelto aparecer, kreo ke ya lo hemos konseguido eliminar, os doy las gracias, y ya podeis cerrar el tema. Si veo ke el keylogger da señales de nuevo, msc, ¿te puedo mandar un mensaje privado para que vuelvas a abrirlo? Gracias.

Saludos

Mensaje por **msc hotline sat** » 18 Jul 2005, 13:09

Postealo como Tema nuevo, y cualquier moderador lo podrá reabrir, aunque mientras hagas referencia a él o indiques link de acceso es suficiente.

https://foros.zonavirus.com/viewtopic.php?t=7634&highlight=

y solucionado el problema, de lo cual nos alegramos, procedemos a cerrar el Tema

saludos

ms, 18-07-2005