pokapoka70.exe (SOLUCIONADO)

[wasila]

no se lo que es, pero siempre lo tengo en mi pc y le he pasado el antivir xp, el hithjak y el microsoft antispyware, pero no consigo eliminarlo.

alguna solucion. gracias.

[msc hotline sat]

Los "Pokapoka" son variantes del ELITE BAR de los que existen varios siendo los conocidos inferiuores al 70 que Vd indica.



Vea:


[quote="msc"]


msc hotline sat

Administrador





Registrado: 09 Mar 2004

Mensajes: 9424

Ubicación: BARCELONA (ESPAÑA)

Publicado: Jue Sep 08, 2005 5:13 pm Asunto: NUEVA VERSION UTILIDAD ELISTARA 10.25



--------------------------------------------------------------------------------



Hemos procedido al desarrollo de la nueva version 10.25 del ELISTARA para deteccion, control y eliminacion de nuevas muestras viricas, a saber:



---v10.25-( 8 de Septiembre del 2005) (Muestras de (2)ProcKill.CR, SrchRedir o Searcher de AVP y para el Stervis de McAfee y EliteBar "PockaPocka*.exe" según ZonaVirus)





Ya se ha subido a esta web para pruebas de evaluacin en el foro de zonavirus



saludos



ms, 8-09-2005


[/quote]

Si el ELISTARA actual no se lo controla y elimina, envienos muestra del fichero pokapoka70.exe anexado a un mail dirigido a zonaviris@satinfo.es en cuyo texto indique como referencia "REF POKAPOKA70" y tras analizarlo e implementar su eliminacion el el ELISTARA , le contestaremos como respuesta de este Tema indicandole nombre, version y disponibilidad del eliminador.



saludos



ms, 27-09-2005

[wasila]

os mando muestra para su analisis, gracias por vuestra ayuda.salu2.



Logfile of HijackThis v1.99.1

Scan saved at 19:44:16, on 28/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Archivos de programa\AVPersonal\AVWUPSRV.EXE

c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe

C:\WINDOWS\system32\svchost.exe

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsescn.exe

C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

D:\copia de sguridad\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.es/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\McUpdate.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif

O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,83/mcinsctl.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {5F0C30E4-1E72-4DCC-85E5-57810F1CA97B} (McUpdatePortalFactory Class) - http://www.amiuptodate.com/vsc/bin/1,0,0,8/McUpdatePortal.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1125997768683

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4587/mcfscan.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{6D088914-679A-452E-B134-65FF0CDC33A1}: NameServer = 62.81.16.130 62.81.0.34

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Archivos de programa\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Archivos de programa\AVPersonal\AVWUPSRV.EXE

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[msc hotline sat]

Estas claves son muy sospechosas, al carhar un mismo fichero en dos claves distintas, HKCU y HKLM:



O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif



O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif



No hay infomaicon. Si el fichero que nos ha enviado se llama asi: MSWIN.PIF, ya puede eliminarlas !!!





Luego estas no encuentran el fichero, deben eliminarse:



O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)



O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)







Y esta es sospechosa. Si no la conoce, obre en consecuencia:



O16 - DPF: {5F0C30E4-1E72-4DCC-85E5-57810F1CA97B} (McUpdatePortalFactory Class) - http://www.amiuptodate.com/vsc/bin/1,0,0,8/McUpdatePortal.cab







Y por cierto, debe actualizar los parches de microsoft con el windowsupdatem ya que le faltan todos los parches del SP2 y posteriores





saludos



ms, 28-09-2005



NOTA: Las demas claves viricas al respecto, fuera del log del HJT seran eliminadas con la utilidad que haremos gracias a la muestra enviada. ms.

[wasila]

gracias por la respuesta tan rapida, pero con lo de instalar el SP2 resulta que lo tenia instalado y no me dejaba conectarme a internet y a veces se quedaba colgado, una vez desinstalado ya me podia conectar.¿ sabeis por que?

tengo adsl con wanadoo a 1mg.

gracias y salu2.

[maura63]

Vuelve a instalar el SP2 del XP y desactiva el firewall que trae consigo dentro del centro de seguridad.



Instala por ejemplo Zone Alarm.



Saludos

maura63

[wasila]

eso es lo que hice desactivar el firewall, pero seguia igual, de todos modos voy a probar otra vez a instalarlo y os cuento.

un saludo.

[msc hotline sat]

En un post anterior, indicabamos:


[quote="msc"]


Si el ELISTARA actual no se lo controla y elimina, envienos muestra del fichero pokapoka70.exe anexado a un mail dirigido a zonaviris@satinfo.es en cuyo texto indique como referencia "REF POKAPOKA70" y tras analizarlo e implementar su eliminacion el el ELISTARA , le contestaremos como respuesta de este Tema indicandole nombre, version y disponibilidad del eliminador.


[/quote]

Hemos recibido hoy muvgas muestras, especialmente de droppers y downloaders, pero no hemos recibido esta suya, aunque la recordaba y esperaba.



Vea si le ha venido devuelta o eb cualquier casom vuelvanosla a enviar en la forma indicada, gracias



saludos



ms, 29-09-2005

[wasila]

bueno despues de pasarle el Trojan Remover, el Antivir xp y el Mcafee viruscan en modo seguro, eliminé con el hitjack las secuencias que "msc hotline sat" me indicó y por lo que he comprobado ya no aparece el dichoso "pokapoka70.exe", además el pc va como la seda, por fin no se queda colgado cuando navego y hago alguna tarea más.



muchas gracias por vuestra aportación.



os mando muestra del hitjaLogfile of HijackThis v1.99.1



Scan saved at 18:46:12, on 29/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Archivos de programa\AVPersonal\AVWUPSRV.EXE

c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsescn.exe

C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

D:\copia de sguridad\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.es/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [TrojanScanner] C:\Archivos de programa\Trojan Remover\Trjscan.exe

O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,83/mcinsctl.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1125997768683

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4587/mcfscan.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{6D088914-679A-452E-B134-65FF0CDC33A1}: NameServer = 62.81.16.130 62.81.0.34

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Archivos de programa\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Archivos de programa\AVPersonal\AVWUPSRV.EXE

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe



ck.

[msc hotline sat]

No es la "muestra" del log del HJT sino la muestra del fichero lo que estabamos esperando para potenciar la utilidad de eliminacion y que sirviera para los demas usuarios, pero si ha eliminado dicho fichero, ya se lo pediremos a otro afectado.



Solucionado el problema, procedemos a cerrar el Tema

saludos



ms, 29-09-2005



nota: y le falta eliminar esta clave:



O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)



y actualizar los parches de microsoft con el windowsupdate: odos los del SP2 y posteriores !