Problemas AVPX64.tcp

[Jorge913]

Hola, kuando tenia los troyanos, virus, etc, me decia el pc ke habia enkontrado un hardware ke se llamaba avpx64.tcp y aun kuando konsegui eliminar los troyanos y virus, me sigue apareciendo, ke puede ser esto? es peligroso?

[maura63]

Consulta siguiente link al respecto



http://www.sophos.com/virusinfo/analyses/trojhaxdoorah.html





Saludos

maura63

[Jorge913]

Ya, si eso lo lei hace tiempo, pero kiero saber komo eliminarlo

[msc hotline sat]

Es un troyano backdoor poco conocido que no controlan mas que algunos antivirus como SOPHOS.



Envianos muestra de los ficheros en los que detectes este troyano a zonavirus@satinfo.es anexados a un mail, en cuyo texto figure como referencia REF HAXDOOR y lo analizaremos para implementar su eliminacion en nuestra utilidad ELISTARA, y te informaremos al respecto como respuesta de este Tema



saludos



ms, 19-08-2005

[Jorge913]

Entonces ke hago¿? os mando el email? porke el uniko sitio donde he enkontrado restos de ese troyano es al iniciar el pc, ke me dice ke ha enkontrado hardware nuevo y pone ese nombre

[msc hotline sat]

No, lo que necesitamos para analizarlo es la muestra de los ficheros que te detecta el antivirus y poder hacer un eliminador de claves que estos generan.



El mensaje no nos sirve.



Mira si los pasaste a carpeta de cuarentena o en cualquier parte fuera de circulacion y envianoslos, para monitorizar su ejecucion y pasar a controlarlos.



Si no hay manera de conseguirlos, puedes postear como respuesta de este Tema un log del HiJackThis, por si en él apareciera alguna clave que te incordiara, pero es como los manicomios, que hay mas locos fuera que dentro, pues igual con los log del HJT, que hay mas claves fuera que dentro, pero a lo mejor...





[i]¿Como utilizar el Hijackthis en los foros?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]





saludos



ms, 23-08-2005

[Jorge913]

Mi log



Logfile of HijackThis v1.99.1

Scan saved at 14:19:06, on 24/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\windows\System32\smss.exe

C:\windows\system32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\Archivos de programa\Ahead\InCD\InCDsrv.exe

C:\windows\system32\spoolsv.exe

C:\windows\system32\cisvc.exe

C:\WINDOWS\System32\CTSVCCDA.EXE

C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

C:\Archivos de programa\ewido\security suite\ewidoguard.exe

c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

C:\windows\Explorer.EXE

C:\Archivos de programa\Creative\PC-CAM Center\CAMTRAY.EXE

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\Archivos de programa\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Archivos de programa\Ahead\InCD\InCD.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

c:\archiv~1\mcafee.com\vso\mcvsescn.exe

C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe

C:\windows\system32\ctfmon.exe

C:\Archivos de programa\VIA\RAID\raid_tool.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

c:\archiv~1\mcafee.com\vso\mcvsftsn.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\windows\system32\cidaemon.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Propietario\Mis documentos\Programas bajo Visual Basic\CreaNicks Msn.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Propietario\Mis documentos\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.khmaniacs.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es\msntb.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Archivos de programa\Creative\PC-CAM Center\CAMTRAY.EXE

O4 - HKLM\..\Run: [PC-CAM 300 STI App Registration] RunDLL32.exe Pd016pin.dll,RunDLL32EP 513

O4 - HKLM\..\Run: [Zone Labs Client] C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [InCD] C:\Archivos de programa\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: VIA RAID TOOL.lnk = C:\Archivos de programa\VIA\RAID\raid_tool.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll

O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Archivos de programa\ICQLite\ICQLite.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/es/4,0,0,84/mcinsctl.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102887169031

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/es/1,0,0,21/mcgdmgr.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{4B9644C4-322E-4109-8243-7BFFC4CE08C5}: NameServer = 80.58.0.33,80.58.32.97

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSVCCDA.EXE

O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe

O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Archivos de programa\Ahead\InCD\InCDsrv.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[maura63]

Conoces esto



C:\Documents and Settings\Propietario\Mis documentos\Programas bajo Visual Basic\CreaNicks Msn.exe





Veo tambien que tienes el mensenger Plus 3¡ , cuando lo instalastes aceptastes tambien la publicidad :?: :?:





Si fue asi elimina, pasa Spybot y Ad-aware y si vuelves a instalar ...ojo con lo que aceptas.



Saludos

maura63

[Jorge913]

El creanicks msn no es nada, es un programa ke he kreado yo. El msn Plus lo instale sin publicidad y no me ha dado problemas.

[maura63]

LO otro que desconozco es esto, pues cada ordenador es un mundo.



O4 - HKLM\..\Run: [PC-CAM 300 STI App Registration] RunDLL32.exe Pd016pin.dll,RunDLL32EP 513



Por lo demas tu log no muestra nada, aunque solo representa el 1%.



Saludos

maura63

[Jorge913]

Es de mi camara web...entonces komo me puedo librar de ese troyano backdoor

[msc hotline sat]

Pues esta clave dejala estar si es voluntaria, y en cuanto al troyano, mira si tienes alguno de estos ficheros:



Windows system folder>\avpx32.dll

<Windows system folder>\avpx32.sys

<Windows system folder>\avpx64.sys

<Windows system folder>\p3.ini

<Windows system folder>\qy.sys

<Windows system folder>\qz.dll

<Windows system folder>\qz.sys



Si los tienes, muevelos a una carpeta de cuarentena y nos envias una copia de los mismos anexada a un mail dirigido a zonavirus@satinfo.es en cuyo texto indiques Referencia REF AVPX64 y tras analizarlos, te contestaremos como respuesta de este Tema



Y si no los tienes, o pruebas de eliminarlos con lo que los detectaste, o mira de utilizar el antivirus de Sophos que es el único que parece lo controla.



De todas formas, si no tienes dichos ficheros, puede tratarse de una falsa alarma.



saludos



ms, 25-08-2005