Smitfraud C y SpywareStrike. ¿Como los elimino?(SOLUCIONADO)

voretpi · Mensaje por **voretpi** » 08 Feb 2006, 03:27

Hola amigos,

Hace poco se me instalo el Smitfraud C. La verdad es ke estoy hasta el gorro del dichoso trojano. La variente del mismo es la que te instala el SpywareStrike y te sale en la barra del escritorio un mensajito la verdad que un poco cargante que dice "Your computer es infected!".

Después de haber leido en varias webs como eliminarlo, solo he conseguido eliminar algunos ejecutables con el killbox (mssarchtnet.exe, etc.), y la página de inicio del IE.

He pasado el EliStara en modo seguro y nada, sigue saliendo el mensajito agobiente y el SPywareStrike sigue instalandose.

EL log del Hijackthis es el siguiente:

ogfile of HijackThis v1.99.1

Scan saved at 3:05:17, on 08/02/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe

C:\Archivos de programa\Winamp\winampa.exe

C:\Archivos de programa\PC Alarm Clock\pac.exe

C:\ARCHIV~1\Softwin\BITDEF~1\bdmcon.exe

C:\Archivos de programa\Softwin\BitDefender Free Edition\bdnagent.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Salvador\Escritorio\Coses\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: (no name) - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - (no file)

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll (file missing)

O4 - HKLM\..\Run: [Zone Labs Client] C:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe

O4 - HKLM\..\Run: [PC Alarm Clock] C:\Archivos de programa\PC Alarm Clock\pac.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Ad-watch] "C:\Archivos de programa\Lavasoft\Ad-aware 6\Ad-watch.exe"

O4 - HKLM\..\Run: [BDMCon] C:\ARCHIV~1\Softwin\BITDEF~1\bdmcon.exe

O4 - HKLM\..\Run: [BDNewsAgent] C:\Archivos de programa\Softwin\BitDefender Free Edition\bdnagent.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [SpywareStrike] C:\Archivos de programa\SpywareStrike\SpywareStrike.exe /h

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Google Desktop Search] "C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462} -

O16 - DPF: {10ABC6DB-E091-4EAE-98DD-21B5A2460714} -

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} -

O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} -

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} -

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} -

O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} -

O16 - DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} -

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} -

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200} -

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Help me !!!!!!!!!!!!!!!!!!!!!!!!!

Gracias por adalentado.

Mensaje por **msc hotline sat** » 08 Feb 2006, 04:28

Arranque en modo seguro, deshabilitela restauracion de sistema y elimine las siguientes claves:

O2 - BHO: (no name) - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - (no file)

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll (file missing)

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462} -

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE}

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} -

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} -

O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} -

O16 - DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} -

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200} -

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Tras ello reinicie y comentenos el resultado como resùesta de este Tema, gracias

saludos

ms, 8-2-2006

Nota: Caso que persistoeran las anomalias, tras lo indicado postee nuevo log del HJT pero arrancando en modo seguro, para quie no se escondan algunas claves de malwares que ocultan ficheros y claves cuando estan en uso. y asi podamos verlas y obrar en consecuencia

voretpi · Mensaje por **voretpi** » 11 Feb 2006, 08:30

Hola,

Agradezco la ayuda. Despues de eliminar claves de registro, ejecutables y otras cosas, se me jodio el windows. Funcionaba pero muy mal. No se, algo me carge seguro, para eliminar el p**o Smitfraud c.

Despues de desesperarme y pensar en el formateo del disco duro, se me ocurrio crear una nueva cuenta de usuario del windows xp, borre la cuenta donde tenia el smitfraud c y de momento todo va bien. Ni aparece el mensaje cargante, ni se regenera el spywareStrike.

Todo va bien, al menos de momento.

Gracias

Mensaje por **msc hotline sat** » 11 Feb 2006, 09:24

Pues lo celebbramos, y solucionado el problema, procedemos a cerrar el Tema

Tomamos nota de lo de abrir otra cuenta de usuario por si se repitiera el caso, gracias

sakudos

ms, 11-2-2006