Tengo un problema con el Spybot

[windu]

Hola, antes de nada felicitaros por el magnífico trabajo que hacéis.



Sobre mi problema: Recientemente he instalado el Spybot. Lo tengo activado en modo residente. Al navegar, con bastante frecuencia, se abre una ventana de internet explorer, reiteradamente, con el siguiente mensaje: "Spybot S&D indica que desea descargar "Advertising.com". Esto es una amenaza conocida. ¿Desea bloquear esta descarga?"



No entiendo qué significa esto. No se supone que el Spybot me protege contra el spyware? Por qué desea descargarlo entonces? Os ruego que me ayudéis, porque no sé qué hacer ante estos mensajes. Le digo que sí, que deseo bloquear la descarga, y vuelve a abrirse la ventana, repetidamente.

[admin]

[b]Que es Advertising.com[/b]

Advertising.com toma avisos publicitarios desde distintas páginas web, las agrupa y las relanza en forma de amplias campañas publicitarias en toda la red.



Y para que no te vuelva a preguntar le tienes q activar la opcion de no recordar nunca

[windu]

Gracias, pero lo que no entiendo es por qué el spybot quiere descargarlo. Es el explorer el que me avisa. Además, no me da esa opción de no recordar en ningún sitio. Simplemente me pregunta si deseo bloquear la descarga. Cuando le digo que sí, se vuelve a abrir la misma ventana.



Desde que publiqué la primera pregunta, a mayores, me ha pasado lo mismo con "Avenue A. Inc." Parece que el spybot, en vez de proteger, quisiera instalar todos los spywares conocidos en mi ordenador

[msc hotline sat]

No, en ningun caso el SPYBOT le quiere instalar adwares y spywares, sino todo lo contrario: le avisa de que le intentan entrar, y le pide permiso por si son de su interés, y antes le llegaban igual, pero no se enteraba de ello.



Ojos que no ven, spyware que te meten !!!



Es igial qiue si no tuviera antivirus, no es que estos llamen a los virus, pero sin ellos "no le llega ninguno" verdad ??? NO SE ENGAÑE !!!



Los mas de 200.000 malwares (unos 165000 virus y 35000 spywares) conocidos actualmente, pululan por internet y solo con estas utilidades se puede ir trampeando, pero si prefiere no saberlo, desinstale el spybot y el antivirus residente y dejará de tener avisos (NI SE LE OCURRA, CLARO !!! :lol: :lol: :lol: )



SALUDOS



MS, 11-12-2005

[windu]

Gracias de nuevo por su interés. Entiendo perfectamente lo que me dice, y en ningún caso prefiero "no enterarme" :lol:



Mi "mosqueo" proviene de que la ventana que me aparece no es del Spybot, sino del explorer, similar a la que aparece cuando intentas descargar algún archivo de internet, y te avisa de que puede ser peligroso. Y en esa ventana, el iexplorer, literalmente, me informa de que "Spybot indica que desea descargar Advertising.com. Esto es una amenaza conocida... Es como si me estuviera avisando de que el spybot está haciendo algo peligroso. No sé si me explico.



A lo mejor lo tengo mal configurado, aunque creo que no. Porque cuando me conecto a internet me pregunta si deseo cambiar no sé qué clave del registro (y ésa sí que es una ventana del spybot). Y mientras intento leer y averiguar lo que me pregunta, me cambia la página de inicio a una de Microsoft. Y en la configuración he confirmado cuál debe ser mi página de inicio. Entonces no entiendo por qué cada vez que me conecto a internet me pregunta eso, y me lleva a la página de Microsoft.



En fin, que me pregunto si será incompatible con alguna aplicación, o si puede haber algo mal configurado, porque no me parece normal que "incordie" tanto.



Por cierto, el otro día le pasé el Elistara, porque me parecía que el pc se sobrecargaba demasiado, sin motivo aparente, y mirando ahora el Infosat, veo que me ha elimiando lo siguiente:



C:\ARCHIVOS DE PROGRAMA\SPYBOT - SEARCH & DESTROY\DUMMIES\DUMMY.CD_CLINT.DLL --> Eliminado, CyDoor



C:\ARCHIVOS DE PROGRAMA\SPYWAREBLASTER\SBAUTOUPDATE.EXE --> Eliminado, WinAd (Dropper)



C:\ARCHIVOS DE PROGRAMA\TROJANHUNTER 4.2\TOOLS\NETSTAT VIEWER\NETSTATVIEWER.EXE --> Eliminado, Delf (Notify)



C:\ARCHIVOS DE PROGRAMA\MCAFEE\SPAMKILLER\MCRFC822.DLL --> Eliminado, Delf (Notify)



Entre otras cosas. Me pregunto si es normal que haya eliminado todo eso, y si en el spybot o en el mcafee había archivos malignos. Es que como no pregunta, no da opción a que le digas que no.



Muchas gracias por su atención y por su tiempo.

[msc hotline sat]

Que no, quie lo que lo tiene es mal entendido:



Entiendalo bien:



Dice que



"el iexplorer, literalmente, me informa de que Spybot indica que desea descargar Advertising.com"



Debe entenderlo asi:



No es que el Spybot intente descargar nada, sino que el Spybot le avisa de un intento de descarga, lo cual se lo visualiza el Iexplore...



Que podrían explicarlo mejor, seguro !!! :lol: :lol: :lol:





y como dice ADMIN: "Y para que no te vuelva a preguntar le tienes q activar la opcion de no recordar nunca"



Creo que son esto queda aclarado el Tema.



saludos



ms, 11-12-2005

[windu]

Gracias, efectivamente, al cambiar la configuración para que sólo me avisara, me dice que el spybot ha bloqueado... tal y cual. Es que, realmente, no está bien redactado el mensaje, lleva a confusión. Así que lo he puesto en modo silencioso para que no moleste.



No quisiera ser pesada, y pido disculpas si es así (mi desconocimiento de estos temas es notorio), pero agradecería mucho que pudieran explicarme si hay algún modo de impedir que me salga el aviso del cambio de registro cada vez que me conecto a internet, y que no me cambie la página de inicio.



Y sobre el satinfo del elistara, me preocupa los archivos que dice que ha borrado, sobre todo los que estaban en el mcafee, en el spywareblaster y en el propio spybot.



Muchas gracias una vez más, y siento mi total ignorancia del tema.

[msc hotline sat]

Justamente lo interesante es que le avise para denegar el cambio, o poder proceder en consecuencia si detecta la pagina de inicio cambiada. Es lo mas usual con los spyware, para llevarnos "al huerto"



Y lo que hacemos con el ELISTARA es eliminar las entradas malwares, pero si quieres aclaran alguna eliminacion, posteanos el log que creamos en C:\infosat.txt y dinos que es lo que "te preocupa" y te lo razonaremos.



En SATINFO tecnicos especialistas muy cualificados en seguridad informatica, con mucha experiencia (somos los mas antiguos del sector) que vamos desarrollando día a día las utilidades que ofrecemos a los asociados a nuestro servicio tecnico (y algunas a este foro para su evaluacion) con las que vamos controlando novedades complementando a los antivirus y antispywares, para facilitar el control y eliminacion de procesos maliciosos que presentan dificultad en ser eliminados por los metodos convencionales, bien por su novedad o por su argucia (ocultamiento, encriptacion, mutacion en cada reinicio, etc)



Espero que podamos contestar a tus preguntas y convencerte...



saludos



ms, 12-12-2005

[windu]

Hola de nuevo. No quisiera que pensaran que dudo de su pericia... :lol: A lo mejor es el desconocimiento lo que me hace preocuparme en exceso. El infosat del Elistara es el siguiente:





Wed Dec 07 21:20:01 2005

EliStartPage v10.72 (c)2005 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Eliminados Ficheros Temporales del IE



Thu Dec 08 08:42:29 2005

EliStartPage v10.72 (c)2005 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

C:\ARCHIVOS DE PROGRAMA\MCAFEE\SPAMKILLER\MCRFC822.DLL --> Eliminado, Delf (Notify)

C:\Archivos de programa\ratDVD\uninst.exe --> AutoExtraible

C:\ARCHIVOS DE PROGRAMA\SPYBOT - SEARCH & DESTROY\DUMMIES\DUMMY.CD_CLINT.DLL --> Eliminado, CyDoor

C:\ARCHIVOS DE PROGRAMA\SPYWAREBLASTER\SBAUTOUPDATE.EXE --> Eliminado, WinAd (Dropper)

C:\ARCHIVOS DE PROGRAMA\TROJANHUNTER 4.2\TOOLS\NETSTAT VIEWER\NETSTATVIEWER.EXE --> Eliminado, Delf (Notify)

C:\Archivos de programa\Unlocker\uninst.exe --> AutoExtraible

C:\Archivos de programa\Webteh\BSplayerPro\uninstall.EXE --> AutoExtraible

C:\Archivos de programa\Winamp\UninstWA.exe --> AutoExtraible

C:\DOCUMENTS AND SETTINGS\BELEN.BELEN-E2E78EF1C\CONFIGURACIóN LOCAL\ARCHIVOS TEMPORALES DE INTERNET\CONTENT.IE5\SDA3OX6N\INFECCIONES[1].HTM --> Eliminado, StartPage-DU (Pag.Ini)

C:\SYSTEM VOLUME INFORMATION\_RESTORE{EFBBDD4D-A658-4668-94AB-39FCC50289E3}\RP154\A0018675.DLL --> Eliminado, Delf (Notify)

C:\WINDOWS\SYSTEM32\LTFIL13N.DLL --> Eliminado, WinAd



Me preocupa especialmente la dll del mcafee que dice que ha eliminado...

[msc hotline sat]

Pues analizaremos los ficheros y DLL correspondinetes, no sea que tengan una coincidencia con las cadenas de deteccion que puede ocurrir, pues ficheros hay millones y alguna vez hay coincidencia de cadenas.



Como que el Spamkiller es un producto comercial veremos si coincide con la cadena del DELF y en su caso cambiaríamos la cadena de deteccion, lo cual veremos en la version que estamos haciendo 10.73 del ELISTARA de hoy



Gracias por sus comentarios



saludos



ms, 12-12-2005

[msc hotline sat]

Subida la nueva version del ELISTARA 10.73 a esta web para pruebas de evaluacion en el foro de zonavirus.



Vea que se ha cambiado la cadena de deteccion del DELF para eludir coincidencias con otras utilidades. Gracias por sus sugerencias, han sido aplicadas.



Pruebela y nos comenta el resultado, como respuesta de este Tema, gracias



saludos



ms, 12-12-2005



[b]Admin:

Descargar ElistarA

http://www.zonavirus.com/descargas/elistara.asp[/b]

[windu]

Lo probaré, a ver qué pasa. Pero el trojanhunter supongo que tendré que volver a instalarlo, para restituir el fichero exe. Con el spybot no sé qué hacer, no sé si ésa dll era necesaria, o era realmente cydoor... Sin embargo, la dll del spamkiller sigue estando ahí, no sé si no se ha dejado eliminar, o si se ha "regenerado"... ni idea.

[msc hotline sat]

El fichero NetStatViewer.exe lo puedes descargar de:



http://www.misec.net/freeware/



y es simplemente desempaquetar el ZIP, no necesita instalacion.



Es por el que modificamos la cadena de deteccion, pues como bien dice, la DLL del SPAMKILLER no la eliminó en la máquina en la que lo instalamos para las pruebas, pero con la nueva cadena se soslayan los dos falsos positivos, asi que puedes volver a copiar el fichero y probar la nueva version 10.73 del ELISTARA



Hoy ensayaremos este Dummie del Spybot , por si acaso hay otra coincidencia, que siempre es posible... y en su caso cambiaremos la cadena del cydoor por otra que no coincida, lo cual haremos si procede en la misma 10.74 de hoy.



saludos



ms, 13-12-2005

[admin]

Tambien disponible en:

[url=http://www.zonavirus.com/datos/descargas/223/Netstat_Viewer.asp][b]Netstat Viewer[/b][/url]

http://www.zonavirus.com/datos/descargas/223/Netstat_Viewer.asp

[msc hotline sat]

Gracias por subirla ADMIN, es una buena herramienta para usuarios del NETSTAT, pero en entorno grafico y demás.



Bueno y a lo que vamos sobre el CYDOOR !!!



Menuda se ha armado con lo que era la dichosa carpeta dummies del Spybot y los ficheros que contiene, pero al final nos parece haber entendido lo que son y cambiamos el chip !



Como puede verse en:



http://cexx.org/cydoor.htm



hay aplicaciones que instalan spuwares, como el Kazaa, el Imesh,. etc, e incluso la instalacion de productos de Microsoft instala Gator, Alexa, etc, lo cual es de sobras conocido y controlado.



Pero lo que no se sabía y ha costado entenderlo es que, como que algunas de estas aplicaciones no funcionan sin estos adwares, lo que hacen los del Spybot es eliminarlos y emplear en su lugar sus parientes inocentes los cuales instalan en dicha carpeta DUMMIE que cuelga de la del Spybot.



Son pseudoadwares sustitutivos de los que eliminan, para que puedan seguir funcionando las aplicaciones que los usan tras la eliminacion de los que ellos instalan, y ello, que tan fácil es de entender como lo hemos explicado (o al menos esto hemos pretendido) no estaba nada claro y para llegar a esta decision ha hecho falta mucha comprension y entendimiento, pues además de los textos en ingles, si lo indicado no es lo que uno imagina, aun siendo de mente abierta, cuesta de captarlo, y mas en inglés.



No sé si de la lectura del link habñian llegado a la misma conclusion, pero primero era encontrar dicha documentacion, y segundo interpretarla. Agora es muy facil, verdad ???



Pues a partir de ahora dejamos de eliminar los ficherfos de la carpeta DUMMIE haya lo que haya, por sospechosos que parezcan, a la vista de la interpretacion en cuestion.



Como que ya se sabía que las aplicaciones que utilizan troyanos, dejaban de funcionar si se limpiabanm seguía siendo asi eliminando los dummies, sin saber lo que pretendían los del SPYBOT, así que lo unico es que no nos beneficiabamos de dicho ardid, pero staba asumido. A partir de esta 10.74 de hoy, se dejan estar. (salvo mejor opinion futura ... :lol: )



No te irás a dormir sin saber una cosa mas... Pues ya podemos ir a dormir :lol: :lol: :lol:



saludos



ms, 13-12-2005