Analizando mensajes. Posible envío de spam (SOLUCIONADO)

luis_atr · Mensaje por **luis_atr** » 08 Ene 2006, 02:21

Hola, desde hoy tengo un problema, creo que ejecuté algo que no debía y el ordenador me alertó de que tenía un virus, aunque bueno eso creo que lo he resuelto, pero lo que me pasa ahora es que desde la barra de tareas, desde donde está el reloj, me salen ventanas emergentes del norton antivirus diciéndome: "analizando mensajes 1 de 1" y poniéndome ventanitas de error que dicen "no se pudo enviar su mensaje de correo electrónico, el servidor de correo rechazó el mensaje: (con una dirección de correo o algo similar)".

Este problema lo puedo solventar si desactivo la casilla del antivirus de analizar correos salientes, pero eso no lo veo como una solución si no como algo para hacer que no me aparezca ese mensaje pero que en el fondo sigue enviando esos correos.

He leido por ahí que puede ser que utilicen mi ordenador para enviar spam, pero no lo sé, espero que me ayuden a solucionar el problema.

Un saludo y gracias

buitre · Mensaje por **buitre** » 08 Ene 2006, 06:54

POR LO QUE NOS CUENTAS... ES DIFICIL CREER QUE SEA SPAM, PUES TU PC YA ESTARIA ATASCADO DE POP UPS LO MAS SEGURO ESQUE ESE VIRUS HAYA SEGUIDO CON "VIDA" Y SE ESTE REEMBIANDO POR MAIL A TODOS LOS MAILS ALMACENADOS EN TU PC, TE RECOMUENDO QUE PASES EL ELITRIIP

http://www.zonavirus.com/descargas/elitriip.asp

DE NO SER ASI PASA EL HIJACK THIS

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Y PEGA EL LOG COMO RESPUESTA DEL TEMA

SALUDOS

Mensaje por **msc hotline sat** » 08 Ene 2006, 07:49

Bueno, ante todo pedirte que nos digas cual era el virus que eliminaste, para saber si puede ser algo relacionado con el mismo, pues ya indicamos que el ultimo SOBER descargaba malwares desconocidos estos dias, y logicamente aun no se controlan:

https://foros.zonavirus.com/viewtopic.php?t=10023

Aparte de esto aclarar a Buitre que los spam no presentan popups, sino que utilizan naquinas remotas sigilosamente, por lo que lo indicado tambien podría ser un spam, como indicabamos en un articulo al respecto:

http://www.satinfo.es/web/2003/spam.html

Ello es controlado por algunos antivirus, controlando que todo lo que sale por el port 25 sea de un motor SMTP aceptado, para evitar envios de mails masivos no voluntarios, aunque ello pueda causar bloqueo de envios normales si no se certifica el cliente de correo:

http://www.satinfo.es/web/2004/bloqueo_emails

Vigila ambas cosas, no sea que estes enviando virus por doquier, o te utilicen para enviar spam y te pongan en una lista negra por ello, de la que cuesta salir...

saludos

ms, 8-1-2006

luis_atr · Mensaje por **luis_atr** » 08 Ene 2006, 15:13

Aqui teneis el log del hijackthis, gracias por ayudarme, espero que lo podamos resolver.

Logfile of HijackThis v1.99.1

Scan saved at 15:09:27, on 08/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Network Monitor\netmon.exe

C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Console\NSCSRVCE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\propietario\Escritorio\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\fgiebar.dll

O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: Download All by FlashGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\ARCHIV~1\Yahoo!\Common\yhexbmeses.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\ARCHIV~1\Yahoo!\Common\yhexbmeses.dll

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: IPConfTSP - C:\WINDOWS\system32\n24s0ch7ef4.dll (file missing)

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Network Monitor - Unknown owner - C:\Archivos de programa\Network Monitor\netmon.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Console\NSCSRVCE.EXE

O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SPBBCSvc - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

Un saludo y gracias de nuevo.

Mensaje por **msc hotline sat** » 08 Ene 2006, 17:33

Tienes este proceso residente que es sospechoso:

C:\Archivos de programa\Network Monitor\netmon.exe

Puede corresponder a una aplicacion de microsoft instalada volunatriamente por ti, pero si no lo has instalado, puede ser el gusano del virus Mimail, de envio masivo de mails infectados...

http://securityresponse.symantec.com/avcenter/venc/data/w32.mimail.m@mm.html

Veamos las claves que has de eliminar:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

O20 - Winlogon Notify: IPConfTSP - C:\WINDOWS\system32\n24s0ch7ef4.dll (file missing)

y lo que hemos indicado al principìo, si has instalado voluntariamente el Network Monitor de Microsoft, dejala, pero sino, elimina la siguiente clave, por coincidir su nombre con el empleado por un MiMail, que podría ser el causante de estos envios masivos

O23 - Service: Network Monitor - Unknown owner - C:\Archivos de programa\Network Monitor\netmon.exe

Tras ello, reinicia, y cuentanos el resultado, y si has borrado o no el NETMON.EXE en cuestion.

Saludos

ms, 8-1-2006

luis_atr · Mensaje por **luis_atr** » 08 Ene 2006, 18:34

Hola, he eliminado las claves esas menos:

O20 - Winlogon Notify: IPConfTSP - C:\WINDOWS\system32\n24s0ch7ef4.dll (file missing)

que no la he encontrado.

Y con respecto al proceso ese:

O23 - Service: Network Monitor - Unknown owner - C:\Archivos de programa\Network Monitor\netmon.exe

pues no lo he instalado yo, de echo lo quise quitar ayer desde el panel de control en agregar y quitar programas y me daba que se habia desinstalado satisfactoriamente, pero el programa quedaba alli, y ahora lo intenté quitar desde ese directorio, y no me deja, me dice que "sea ha denegado el acceso o que stá en proceso", he intentado terminar el proceso desde el administrador de tareas, pero tampoco me deja. Como lo puedo quitar?

Gracias de nuevo y un saludo.

P.D. : no os dije el nombre del virus, se llamaba "Backdoor.Nibu" y el nombre del archivo que no me dejaban eliminar era era "dvpd.dll".

Mensaje por **msc hotline sat** » 08 Ene 2006, 18:52

Dos cosas:

Lanza de nuevo el HJT y mira en el apartado 020 a ver si tienes algo...

Si es la que indicabamos, seleccionala pinchando a la izquierda de la misma y dale a FIX, para eliminarla, como supongo que habras hecho con las demas que has eliminado-

Si hay una 020 pero es otra, posteanosla para decirte que hacer con ella

Y por otra parte:

El proceso NETMON podrás eliminar la clave de carga siu arrancas en modo seguro, tras lo cual reinicias y eliminas el fichero, o primero en modo seguro eliminas el fichero y lanzas el HJT, y seleccionas y eliminas diocha clave

Cuentanos el resultado, gracias

saludos

ms, 8-1-2006

luis_atr · Mensaje por **luis_atr** » 08 Ene 2006, 19:33

Pues no los he eliminado así, los he eliminado mediente el regedit, el:

O20 - Winlogon Notify: IPConfTSP - C:\WINDOWS\system32\n24s0ch7ef4.dll (file missing)

lo he eliminado ahora así mediante el HJT y el:

O23 - Service: Network Monitor - Unknown owner - C:\Archivos de programa\Network Monitor\netmon.exe

lo acabo de borrar en modo seguro y me lo dejó borrar, ahora te copio el log del HJT, a ver si veis algo sospechoso:

Logfile of HijackThis v1.99.1

Scan saved at 19:29:55, on 08/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Documents and Settings\propietario\Escritorio\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\fgiebar.dll

O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: Download All by FlashGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\ARCHIV~1\Yahoo!\Common\yhexbmeses.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\ARCHIV~1\Yahoo!\Common\yhexbmeses.dll

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Console\NSCSRVCE.EXE

O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SPBBCSvc - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

Gracias de nuevo, un saludo.

Mensaje por **msc hotline sat** » 08 Ene 2006, 19:45

Ya me pareció entenderlo, por eso te lo expliqué.

Asi resulta comodo y sencillo, y ya tienes el log limpio.

Cuentanos si persiste algun problema, pero ya sin log de HJT, gracias

saluidos

ms, 8-1-2006

luis_atr · Mensaje por **luis_atr** » 08 Ene 2006, 19:57

Creo que ya está, he activado la casilla del antivirus de analizar correos salientes y no me sale ninguna ventanita emergente de la la barra de tareas, muchas gracias por todo.

Ahora tengo una carpeta en el escritorio que pone backups, se puede borrar? o la dejo ahí?

Tambien veo un archivo que no sé si es fiable, porque pone que se creó el día que me pasó esto, es... c:/winstall.exe

Y otra cosa, en agregar y quitar programas, aun tengo el Network Monitor, y sigue sin dejarme borrarlo, aunque no lo tengo en ningun otro lado.

De nuevo muchas gracias.

Mensaje por **msc hotline sat** » 08 Ene 2006, 20:24

El winstall acostumbra a ser usadio como nombre de un gusano del SPYBOT o SPYSHERIFF:

http://www.processlibrary.com/directory/files/winstall/

mejor borralo o muevelo a cuarentena

y la carpeta de backups mira lo que tienes y si no te sirve ya eliminala.

Y celebrando haber quedado solucionados los problemas, procedemos a cerrar el Tema

saludos

ms, 8-1-2006