Spy keylogger (solucionado)

tobi · Mensaje por **tobi** » 20 Jul 2005, 04:14

Cada vez que inicializo la maquina me aparece el asistente de instalacion de nuevo hardware encontrado (spy keylogger) Se que es un programa que toma los datos del teclado, le pongo cancelar la instalacion pero cada vez que vuelvo a iniciar la maquina aparece el asistente.Quisiera saber como hacer para eliminar esto y ver si no tengo algun programa parecido instalado.

Ya pase el antivirus (avg) el ad-adware se y el spydoctor y el spyboot y no aparece nada.Como siempre muchisimas gracias

Mensaje por **msc hotline sat** » 20 Jul 2005, 07:19

Si ya ha pasado los antispuwares indicados y no se lo detectan, caben dos cosas, que no los tenga actualizados (pulse en la casilla de actualizacion para hacerlo) o que se trate de una aplicacion profesional, que vera instalada en Panel de Control.Agregar Quitar Programas y desde allí desinstalar.

Pero no cuadra lo que indica que detecta "nuevo hardware encontrado" ya que esto seria software, asi que quizas lo que le faltan son drivers de algun hardware que instaló recientemente y que tiene a medio instalar.

Piense un poco en lo que instaló recientemente, justo antes que le empezara a salir este mensaje, y aparte diganos porqué relaciona esto con un spykeylogger ???

Contestenos como respuesta a este Tema, gracias

saludos

ms, 20-07-2005

tobi · Mensaje por **tobi** » 20 Jul 2005, 08:14

Tengo todos los antivirus y ad adware, spydoctor etc. actualizados, en la lista de quitar programas y/o agregar no figura nada y lo relaciono con un spy keylogger porque es lo que me aparece en nuevo hardware encontrado, lo que a mi tambien me llama la atencion porque como bien dice ud tendria que ser un sofware.Por ultimo no he agregado nada ni me ha quedado nada por la mitad. por lo menos desde esta maquina.

Por ultimo he pasado todos los antivirus y firewares en modo seguro y desactivado el restaurar sistema (xp) y me aparecio algo de KGB keylogger, no se si tendra algo que ver.Nuevamente gracias por su respuesta

Mensaje por **msc hotline sat** » 20 Jul 2005, 08:22

Entonces es una aplicacion instalada por alguien. Mira la informacion al respecto:

http://www.abcdatos.com/programas/programa/l11066.html

y cuidado que hay otra persona que usa este ordenador y lo ha instalado para saber lo que se hace en su ausencia...

saludos

ms, 20-07-2005

tobi · Mensaje por **tobi** » 20 Jul 2005, 15:00

Ya lei de que se trata ese supuesto programa que me quisieron instalar o ya me instalaron, lo que quisiera saber es como lo desinstalo o que hago para que no aparezca más el asistente de nuevo hardware instalado.

Te copio tambien un log del hijackthis para ver si encontras algo que esta mal y tengo que darle fix (de esto no entiendo cual sirve y cual no)

Logfile of HijackThis v1.99.0

Scan saved at 09:59:15 a.m., on 20/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\Smtray.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\Compaq\Easy Access Button Support\StartEAK.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\Archivos de programa\Compaq\Easy Access Button Support\CPQEADM.EXE

C:\COMPAQ\CPQINET\CPQInet.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\ARCHIV~1\TEXTBR~1.0\Bin\INSTAN~1.EXE

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\WINDOWS\system32\pctspk.exe

C:\Compaq\EAKDRV\EAUSBKBD.EXE

C:\WINDOWS\System32\svchost.exe

C:\ARCHIV~1\Compaq\EASYAC~1\BttnServ.exe

C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\Archivos de programa\Skype\Phone\Skype.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\wkcalrem.exe

C:\WINDOWS\system32\fxssvc.exe

C:\Archivos de programa\LivePerson\hc.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Greg\Escritorio\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~2\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~2\tools\iesdpb.dll

O4 - HKLM\..\Run: [Smapp] C:\Archivos de programa\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe

O4 - HKLM\..\Run: [REGSHAVE] C:\Archivos de programa\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [RegisterDropHandler] C:\ARCHIV~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [CPQEASYACC] C:\Archivos de programa\Compaq\Easy Access Button Support\StartEAK.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [WCOLOREAL] "C:\Archivos de programa\COMPAQ\Coloreal\coloreal.exe"

O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Archivos de programa\Microsoft Works\WksSb.exe /AllUsers

O4 - HKLM\..\Run: [InstantAccess] C:\ARCHIV~1\TEXTBR~1.0\Bin\INSTAN~1.EXE /h

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Archivos de programa\Corel\Corel Graphics 12\Languages\ES\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=072605 serial=dr12wex-1504397-kty lang=ES

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\ARCHIV~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - Startup: Timpani.lnk = C:\Archivos de programa\LivePerson\hc.exe

O4 - Global Startup: Avisos del Calendario de Microsoft Works.lnk = ?

O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~2\tools\iesdpb.dll

O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Archivos de programa\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Archivos de programa\ICQ\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O23 - Service: Adobe LM Service - Unknown - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: EPSON Printer Status Agent2 - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: IMAPI CD-Burning COM Service - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe

O23 - Service: Macromedia Licensing Service - Unknown - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: PCTEL Speaker Phone - Unknown - C:\WINDOWS\system32\pctspk.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: TrueVector Internet Monitor - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

Espero tu respuesta y Muchas Gracias.

Mensaje por **msc hotline sat** » 20 Jul 2005, 16:07

No se trata de un virus ni de un spyware, sino de una aplicacion profesional a tal fin, por lo que puede estar camuflada con otro nombre en una clave aparentemente normal, o instalada como una aplicacion falsa.

La desinstalacion pasa por ser quien la ha instalado, sabiendo su nombre falso y su password, y normalmente no es detectable por utilidades convencionales.

Sin que tenga porqué tener nada que ver, del HJT se pueden analizar las siguientes claves:

Analiza si conoces esta aplicacion, pues normalmente se instala en directorio de sistema, no en Aplicaciones de programa:

C:\Archivos de programa\Analog Devices\SoundMAX\Smtray.exe

Tienes instalado el Corel ???

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Archivos de programa\Corel\Corel Graphics 12\Languages\ES\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=072605 serial=dr12wex-1504397-kty lang=ES

Conoces esta aplicacion ???

O4 - Startup: Timpani.lnk = C:\Archivos de programa\LivePerson\hc.exe

Y este si no lo has instalado tu, eliminalo:

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

y tras actualizar el HJT a una version actual, lanzalo, marca las claves que quieras eliminar, si hay alguna, y dale a FIX.:

http://www.hijackthis.de/downloads/hijackthis_199.zip

Tras ello, reinicia y cuentanos si aprecias alguna mejora, pero no es ni el sistema ni lo que estña previsto que se pueda hacer.

Puedes probar testear con otros antispywares que tienen pretensiones de antikeylogger, como el Bazooka, y si no, ya has de entrar en antikeyloggers profesionales con su coste, los cuales hemos utilizado en alguna ocasion y los hay que para detectar uno de estos, emplean varias horas.

Utiliza el Google para bajarte demos y trials, y prueba con todas ellas a ver si das con una que lo detecte, pero ya estas hablando con aplicaciones profesionales, no simples troyanos de mas fácil intrusion y eliminacion.

saludos

ms, 20-07-2005

tobi · Mensaje por **tobi** » 21 Jul 2005, 20:31

Elimine lo que no conocia de lo que me dijiste , reinicie y la noto igual de lenta.

Con respecto al aviso de harware encontrado que salía lo solucione de la siguiente manera, fui al boton derecho en mi PC , propiedades, harware, administrador de dispositivos y ahi lo encontré y lo eliminé y nop sale más ,asi que creo que lo solucione.Un abrazo y gracias

Mensaje por **msc hotline sat** » 21 Jul 2005, 21:18

Pues lo celebramos y solucionado el problema, procedemos a cerrar el Tema

saludos

ms, 21-07-2005

PD y si ya no tienes virus ni spywares y te parece que el ordenador va lento, elimina temporales, desgragmenta el disco duro y ya puestos a pedir, aumentale la RAM que aliviarás :D :D :D

saludos

ms, 21-07-2005