NewDonet??

lanenadelsoe · Mensaje por **lanenadelsoe** » 18 Nov 2005, 20:05

Hola!

Haciendo un análisis rutinario del Pc encontré al lanzar el hijack una clave sospechosa llamada NewDonet me suena a que es algún virus pero no lo sé aparte el Pc me va lento y la pantalla se apaga y se enciende, y otra cosa no me aparece el icono del Cd-Room ni del Dvd al entrar en mi Pc, cosa rara, y al iniciar windows me sale una mensaje de erro diciéndome que no se ha podido aplicar no se qué del Newdonet ese, he entrado en modo a prueba de fallos, he lanzado el elistara,el elitrip,el spyboot, y mi antivirus y no me detecta nada, y elimino la clave newDonet del hijack pero cuando reinicio vuelve a estar ahí(todo esto como administrador en modo a prueba de fallos). Os pongo mi log.

Logfile of HijackThis v1.99.1

Scan saved at 20:03:18, on 18/11/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\soundman.exe

C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Alcohol Soft\Alcohol 120\Alcohol.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\BizKit\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [SoundMan] soundman.exe

O4 - HKLM\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\ARCHIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O4 - HKLM\..\RunOnce: [HLcleanup] cmd /c IF EXIST "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe" (del /s /q "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe")

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1130614175275

O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

A ver que podemos hacer, muchas gracias.

Mensaje por **msc hotline sat** » 18 Nov 2005, 20:42

Efectivamente, en su log hay estas dos claves que corresponden a malwares_

O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\ARCHIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O4 - HKLM\..\RunOnce: [HLcleanup] cmd /c IF EXIST "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe" (del /s /q "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe")

La primera es del ya comentado Newdotnet, y la segunda del adware Ffinder, segun la siguiente descripcion:

Adware-FFinder

http://vil.mcafeesecurity.com/vil/content/v_134892.htm

Ya que dice que con antispywares e incluso con el Elistara no ha conseguido eleiminarlos, entiendo que incluso arrancando en modo seguro y deshabilitando la restairacion de sistema, como siempre se ha de hacer para eliminacion de virus y troyanos, proceda a arrancar en modo seguro con solo simbolo de sistema y mover los dos ficheros que lanzan dichas claves, para que no los pueda poner en uso en el siuguiente arranque, y asi poder eliminar las claves en cuestion, lanzando el HJT, marcandolas y dandoles FIX.

Y ya que dice que el ELISTARA no pudio con ellas, mire de enviarnoslas a zonavirus@satinfo.es anexadad a un mail en cuyo texto indique como referencia "REF donetffinder" y le contestaremos como respueta de este Tema con el, resultado del analisis y la utilidad en la que implantemos su eliminacion

saludos

ms, 18-11-2005

lanenadelsoe · Mensaje por **lanenadelsoe** » 19 Nov 2005, 18:11

Hola,

me he metido en el Pc como símbolo del sistema y me sale una pantalla de MS-DOS pero no sé como hacerlo para poder eliminar desde allí dichas claves.. luego como os puedo mandar las claves?? No sé en que carpeta se encuentran el supuesto newDonet dice en el log que está en C:/Archivos de Programa, pero he buscado y no lo he encontrado seguramente esté oculto no?

gracias.

Mensaje por **msc hotline sat** » 19 Nov 2005, 18:46

Tanto el ELISTARA como el HJT corren arrancando en dicho modo.

Y sobre la muestra a enviarnos, una vez movida a otra carpeta, reinicie normalmente y nos la podrá enviar arrancando en modo normal, maxime desactive el antivirus si ello se lo impide. Y con el ATTRIB podrá ver los atributos de dicho fichero y eliminarlos si los hay con ATTRIB -H -R -S o lo que tenga.,

saludos

ms, 19-11-2005

lanenadelsoe · Mensaje por **lanenadelsoe** » 20 Nov 2005, 12:42

Perdón, no sé si me he explicado bien, lo que digo es que no sé que hacer para arrancar el hijack como símbolo del sistema, me sale una pantalla de MS-DOS al iniciar Windows, que debería hacer luego?

y como puedo mover a otra carpeta la muestra si no sé que muestra es? no sé donde están los malwares, perdona mi ignorancia..

y esto tanpoco lo entiendo

~~[b]~~Y con el ATTRIB podrá ver los atributos de dicho fichero y eliminarlos si los hay con ATTRIB -H -R -S o lo que tenga., [/b]

Gracias, y disculpa las molestias.

Mensaje por **msc hotline sat** » 20 Nov 2005, 12:50

En modo DOS: ve a la carpeta donde tengas el HJT, con CD \HJT por ejemplo. suponiendo que lo tuvieras en C:\HJT, y desde alli tecleas Hijackthis <enter>

y para mover ficheros uisa MOVE <fichero.xxx> C:\ si los quieres mover al directorio raiz

pero es miuy importante que arranques en tal nmodo, para que no esté en uso, ya que se resiste...

saludos

ms, 20-11-2005

lanenadelsoe · Mensaje por **lanenadelsoe** » 22 Nov 2005, 12:31

Bueno pues me metí en dicho modo, lancé el hijack, eliminé las entradas malignas, pero al reiniciar y volver a lanzar el hijack ví que aún seguía ahí!! No hay manera de eliminarlas, tanpoco puedo formatear ya que no me detecta el cd-room y no me lee el cd..de todas maneras hay alguna otra solución?

Gracias!

Mensaje por **maura63** » 22 Nov 2005, 12:38

Abre spybot en modo avanzado, y en la pestaña de PRODUCTOS, comprueba en el lado derecho de la pantalla las lista de bichos que controla y comprueba que New.net no este marcada por defecto.

Si esta marcada debes desmarcar. Luego lanzalo en modo seguro y desactiva antes la restauracion del sistema.

Saludos

maura63

Mensaje por **msc hotline sat** » 23 Nov 2005, 06:34

Y ve mirando de solucionar lo del CDROM, pues si bien no para formartear, sino para arrancar en consola de recuperacion y poder copiar el fichero de marras a disquete por ejemplo, para poder enviarnoislo despues, y tras copiarlo, eliminarlo del disco duro !!!

Es posible que tras ello, al reiniciar ya se pueda eliminar la clave en cuestion.

saludos

ms, 23.11.2005

lanenadelsoe · Mensaje por **lanenadelsoe** » 23 Nov 2005, 14:40

Maura, hice lo que me dijiste, parecía que lo había eliminado, pero al reiniciar lancé el hijack y aún lo seguía teniendo!! No hay manera de acabar con este bicho... y todo eso l ohice en modo seguro ,y respecto a lo del CD-ROOM no sé como puedo solucionarlo ?? alguna sugerencia mas?

Muchas gracias.

Mensaje por **maura63** » 23 Nov 2005, 15:21

Pega un nuevo log.

Saludos

maura63

lanenadelsoe · Mensaje por **lanenadelsoe** » 23 Nov 2005, 17:03

Venga aqui está:

Logfile of HijackThis v1.99.1

Scan saved at 17:03:03, on 23/11/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\soundman.exe

C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\BizKit\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [SoundMan] soundman.exe

O4 - HKLM\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\ARCHIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O4 - HKLM\..\RunOnce: [HLcleanup] cmd /c IF EXIST "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe" (del /s /q "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe")

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1130614175275

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab

O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Mensaje por **maura63** » 23 Nov 2005, 17:36

Elimina

O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\ARCHIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

Conoces esta otra

O4 - HKLM\..\RunOnce: [HLcleanup] cmd /c IF EXIST "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe" (del /s /q "c:\archiv~1\themexp\themex~1.org\hlsetup2.exe")

Saludos

maura63

lanenadelsoe · Mensaje por **lanenadelsoe** » 23 Nov 2005, 18:13

~~[b]~~Si la movida es que al eliminar dichas entradas, me vuelven a aparecer al reiniciar.. :x y la otra entrada que me dices me pasa igual.. si lo que yo haría sería formatear C, lo que pasa que al no detectarme el CD-ROOM pues no puedo... no sé ya que puedo hacer, lo doy por imposible?[/b]

Mensaje por **maura63** » 23 Nov 2005, 18:16

Desactiva antes la restauracion de sistema y vuelve a intentarlo.

Saludos

maura63

javier_almeria · Mensaje por **javier_almeria** » 24 Nov 2005, 21:32

Hola.

Para solucionar tu problema de cd rom vete a inicio/mi pc/ver infomacion de sistema.

En la ventana propiedades de sistema clikea la pestaña hardware. Luego en administrador de dispositivos. Abre unidades de dvd/cd-room (tendrán una advertencia en amarillo). Haces doble clik en cada una de ellas. Se te abre otra ventana de propiedades de la unidad. Clikea en la pestaña controlador y luego en el boton desinstalar (lo haces en todas las unidades que tengas).

Hecho esto reinicias el pc. Al cargar windows detecta hardware nuevo y carga los controladores el solo. Luego vas a mi pc y lo compruebas.

Si funciona hemos triunfao. :D

El Newdonet se te instala conjuntamente con programas como el kaaza, imesh, etc. Es un "regalito" por tener esos programas. Siempre lo he desinstalado desde agregar y quitar programas (con internet conectado) en panel de control. Luego he pasado el spybot y limpio.

Saludos.

pikarodo · Mensaje por **pikarodo** » 19 Dic 2005, 17:20

Hola si quieres acabar con este bicho y termina pa siempre con el, lo mejor es que visites su pagina web http://www.newdotnet.com/removal.html y te bajes el desistalador del NewDotNet.

en la pagina te esplica como desistalarlo y terminar con ese comecocos del pc.

Yo en su tiempo lo hice y fue la unica manera de que me dejara en paz.

espero te sirva antes de formatear tu pc,

Mensaje por **msc hotline sat** » 19 Dic 2005, 18:39

No creo que el problema esté en el newDotnet, que el ELISTARA ya elimina, sino en alguna clave o aplicacion que ha quedado maltrecha.

De todas formas gracias por la informacion, si bien cabe indicar que la utilidad indicada en el 4º paso, es detectada como utilidad potencialmente peligrosa o adware, sehun algunos antivirus, tras el examen con VirusTotal:

[quote="VirusTotal"]Este es el resultado de analizar el archivo "NNuninstall.exe" que VirusTotal ha procesado el dia 19/12/2005 a las 18:25:27 (CET).

Antivirus Version Actualización Resultado

AntiVir 6.33.0.61 19.12.2005 ADSPY/NewDotNet.E.5

Avast 4.6.695.0 19.12.2005 no ha encontrado virus

AVG 718 15.12.2005 Adware Generic.GXN

Avira 6.33.0.61 19.12.2005 ADSPY/NewDotNet.E.5

BitDefender 7.2 19.12.2005 Adware.NetDotNet.A

CAT-QuickHeal 8.00 19.12.2005 AdWare.NewDotNet.e (Not a Virus)

ClamAV devel-20051108 19.12.2005 no ha encontrado virus

DrWeb 4.33 19.12.2005 no ha encontrado virus

eTrust-Iris 7.1.194.0 17.12.2005 no ha encontrado virus

eTrust-Vet 12.3.3.0 19.12.2005 no ha encontrado virus

Fortinet 2.54.0.0 19.12.2005 Adware/Ndotnet

F-Prot 3.16c 19.12.2005 no ha encontrado virus

Ikarus 0.2.59.0 19.12.2005 AdWare.NewDotNet.E

Kaspersky 4.0.2.24 19.12.2005 not-a-virus:AdWare.Win32.NewDotNet.e

McAfee 4652 16.12.2005 potentially unwanted program Adware-NDotNet

NOD32v2 1.1328 19.12.2005 no ha encontrado virus

Norman 5.70.10 19.12.2005 no ha encontrado virus

Panda 8.02.00 19.12.2005 no ha encontrado virus

Sophos 4.01.0 19.12.2005 no ha encontrado virus

Symantec 8.0 19.12.2005 no ha encontrado virus

TheHacker 5.9.1.059 19.12.2005 Adware/NewDotNet.e

VBA32 3.10.5 19.12.2005 AdWare.Win32.NewDotNet.e

VirusTotal es un servicio gratuito ofrecido por Hispasec Sistemas, que no garantiza la disponibilidad y continuidad de funcionamiento de este. Pese a que el indice de detección ofrecido por el análisis simultaneo de múltiples motores antivirus es muy superior al de un solo producto, los resultados NO pueden garantizar la inocuidad de un archivo. No existe solución que pueda ofrecer un 100% de efectividad en el reconocimiento de virus y malware en general.> Ir a: Inicio Contactar English Version

--------------------------------------------------------------------------------

http://www.virustotal.com :: ©Hispasec Sistemas 2004,05:: e-mail info@virustotal.com[/quote]

En cualquier caso, si tras ello quedara resueltro el problema del Cd, esperamos nos lo comentes para experiencia del foro.

saludos

ms, 19-12-2005

NewDonet??

NewDonet??

Re: NewDonet??

eliminar NewdotNet