sobre herramienta elirahal.exe

muchamelena · Mensaje por **muchamelena** » 13 Oct 2005, 01:13

Hola amigos me parece que hay una herramienta que se llama elirahal,exe para la eliminación del virus w32 rahack, me gustaria que si alguien pudiera me pusiera el enlace para la descarga de dicha herramienta, espero de vuestra ayuda. Gracias.

Ademas os pongo mi log del hijackthis por si veis algo que no debería de estar y me decis que debo hacer y de nuevo daros las gracias por vuestra inestimable ayuda

Logfile of HijackThis v1.99.1

Scan saved at 1:19:48, on 13/10/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

C:\Norman\bin\ZANDA.EXE

C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

C:\Norman\bin\ZLH.EXE

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\The Cleaner\tca.exe

C:\Archivos de programa\The Cleaner\tcm.exe

C:\NORMAN\nvc\BIN\NVCSCHED.EXE

C:\Norman\bin\NJEEVES.EXE

C:\NORMAN\nvc\BIN\nvcoas.exe

C:\Norman\Nvc\bin\cclaw.exe

D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

E:\brip enero 2005\BRIp004\BRIp.exe

C:\Archivos de programa\eMule\emule.exe

C:\Archivos de programa\ewido\security suite\SecuritySuite.exe

C:\Archivos de programa\Opera\Opera.exe

E:\DESCARGAS APLICACIONES\COSAS VARIAS XPEPE\foro zona virus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [tcactive] C:\Archivos de programa\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Archivos de programa\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe /waitservice

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Búsqueda en Google - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093860170789

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\bin\ZANDA.EXE

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\nvc\BIN\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\nvc\BIN\NVCSCHED.EXE

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

Mensaje por **msc hotline sat** » 13 Oct 2005, 12:38

No, mo hemos hecho ningun ELI... para el Rahach ya que es un troyano del que no hemos tenido incidencias hasta ahora.

Sus caracteristicas pueden verse en:

http://www.vsantivirus.com/rahak-a.htm

Vamos a analizar el HJT y seguimos.

saludos

ms, 13-10-2005

Mensaje por **maura63** » 13 Oct 2005, 12:41

Para las entradas 015 utiliza

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Saludos

maura63

Mensaje por **msc hotline sat** » 13 Oct 2005, 12:45

Aparte de requerir actualizar los parches de micrsoft con un windowsupdate, debe lanzar el ELISTARA arrancando en m,odo seguro, para poder librarse de las o15 PROTOCOL DEFAILTS:

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

Luego hay en uso ficheros cargados desde D: y E: que debe considerar si son de su gusto..._

D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

E:\brip enero 2005\BRIp004\BRIp.exe

y para probar el ELISTARA:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

saludos

ms, 13-10-2005

muchamelena · Mensaje por **muchamelena** » 13 Oct 2005, 19:37

Hola usé la herramienta que me mandais y me detectó varias cosas que os pongo a continuación y la eliminó todas, son estas.

Troyano alexa

Patchjre.exe clickSpring (BHO)

Axbridge.dll

jucheck.exe

dos veces el wmpvis.dll

Nvcut08.dll

volvi a lanzar el hijacht y este es mi nuevo log a ver como lo veis y con respecto al P2pfire y al brip se de que son pues yo los tengo puesto son dos bloqueadores de ips malignas. como os digo este es mi log nuevo despues de usar vuestra herramienta, a ver como lo veis.

Logfile of HijackThis v1.99.1

Scan saved at 19:33:04, on 13/10/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

C:\Norman\bin\ZANDA.EXE

C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

C:\Norman\bin\ZLH.EXE

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\The Cleaner\tca.exe

C:\Archivos de programa\The Cleaner\tcm.exe

C:\Norman\bin\NJEEVES.EXE

D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

E:\brip enero 2005\BRIp004\BRIp.exe

C:\Archivos de programa\eMule\emule.exe

C:\NORMAN\nvc\BIN\nvcoas.exe

C:\NORMAN\nvc\BIN\NVCSCHED.EXE

C:\Norman\Nvc\bin\cclaw.exe

C:\Archivos de programa\Opera\Opera.exe

E:\DESCARGAS APLICACIONES\COSAS VARIAS XPEPE\foro zona virus\hijackthis\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [tcactive] C:\Archivos de programa\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Archivos de programa\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe /waitservice

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Búsqueda en Google - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093860170789

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\bin\ZANDA.EXE

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\nvc\BIN\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\nvc\BIN\NVCSCHED.EXE

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\ARCHIV~1\Agnitum\OUTPOS~1\outpost.exe

De nuevo muchas gracias por todo y espero vuestras respuestas.

Mensaje por **msc hotline sat** » 13 Oct 2005, 19:44

Pues muy bien, solo falta actualizar los parches lanzando el windowsupdate y si estas de acuerdo con los dos procesos residentes que lanzas, ya indicados anteriormente:

D:\fires de modma\P2PFire_1.2_FINAL_RELEASE\P2PFire.exe

E:\brip enero 2005\BRIp004\BRIp.exe

El log está limpio, y si no tienes incidencias al respecto, indicanoslo para considerar el tema solucionado, gracias

saludos

ms, 13-10-2006

muchamelena · Mensaje por **muchamelena** » 13 Oct 2005, 20:22

en el otro ordenador tambien he usado vuestra herramienta y me ha detectado 20 cosas, entre ellas una que me dice que es un archivo sospechoso y que lo envie a satinfo para su estudio, pero de momento no se como mandarlo, me podeis decir como tengo que hacerlo para poder ayudaros a ampliar vuestra base de datos de virus o spywares o malwares o lo que pudiera ser. Muchas gracias a todos por vuestra ayuda.

Mensaje por **maura63** » 13 Oct 2005, 20:32

Busca el archivo del cual te pide muestra con win zip por ejemplo lo comprimes y lo adjuntas a un e:mail para enviar a

zonavirus@satinfo.es .

Como referencia le pones REF...... los puntos los cambias por el nombre del archivo.

Saludos

maura63

Mensaje por **msc hotline sat** » 13 Oct 2005, 20:33

Si te la ha pedido una utilidad, anexas el ficheropm en cuestio a un mail dirigido a virus@satinfo.es, tal y como se te pide

saludos

ms, 13-10-2005

muchamelena · Mensaje por **muchamelena** » 13 Oct 2005, 20:56

Pues no preocuparos que así lo haréen cuanto tenga un hueco de lugar pues el ordenador es de el de mi hijo y ahora mismo está usandolo para estudiar y en cuanto este libre os lo mando. Gracias.

Mensaje por **maura63** » 13 Oct 2005, 21:02

Como simple comentario y al ver la direccion de envio, le he enviado un privado a msc para que me confirme la direccion correcta.

Antes se que se mandaba a zonavirusetc.... pero puede que la cambiaran para prioridad en examinarla a virus etc...

Si la envias dentro de un rato prueba las dos por si las moscas, el estara de regreso a casa y seguramente me lo confirme mañana.

Saludos

maura63

muchamelena · Mensaje por **muchamelena** » 13 Oct 2005, 21:35

Muchas gracias por vuestro interes y en cuanto lo mande os lo comunico en el foro y a la vez pegaré un log del otro ordenador. De nuevo Muchas Gracias de veras.

Mensaje por **msc hotline sat** » 09 Nov 2005, 17:33

Al haber recibido una muestra de este virus y habiendo realizado ña utilidad correspondiente, la puedes probar en concepto de evaluacion en este foro, descargandola de:

http://www.zonavirus.com/datos/descargas/218/ELIRAHACEXE.asp

Ya nos durás como te ha ido

saludos

ms, 9-11-2005