viene de spyware: no me actualiza el ad-aware (SOLUCIONADO)

jon · Mensaje por **jon** » 12 Mar 2006, 22:08

Hola este es el log del hjt (viene de https://foros.zonavirus.com/viewtopic.php?p=52870#52870 )

Logfile of HijackThis v1.99.1

Scan saved at 20:45:06, on 12/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\zHotkey.exe

C:\Archivos de programa\NASDAK\OmniMouse Driver\4.06\MOUSE32A.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\FotoStation Easy\FotoStation Easy AutoLaunch.exe

C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Archivos de programa\Nikon\NkView5\NkvMon.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\eMule\emule.exe

C:\WINDOWS\system32\ntvdm.exe

C:\WINDOWS\system32\ctfmon.exe

C:\ARCHIV~1\WINZIP\winzip32.exe

C:\Documents and Settings\Ubaldo\Configuración local\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [CHotkey] zHotkey.exe

O4 - HKLM\..\Run: [ShowWnd] ShowWnd.exe

O4 - HKLM\..\Run: [LWBMOUSE] C:\Archivos de programa\NASDAK\OmniMouse Driver\4.06\MOUSE32A.EXE

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: FotoStation Easy AutoLaunch.lnk = ?

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Archivos de programa\Nikon\NkView5\NkvMon.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{F01DA4DC-8649-429F-96AA-CCE14F95ABFF}: NameServer = 195.235.113.3,212.55.8.132

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

Mensaje por **msc hotline sat** » 13 Mar 2006, 06:16

Tienes un troyano backdoor no contrrolado.

Envianos copia de este fichero ShowWnd.exe a zonavirus@satinfo.es , anexado a un mail en cuyo texto indiques referencia "REF ShowWnd" y muevelo a otra carpeta para que no se active en el proximo reinicio

y elimina esta clave:

O4 - HKLM\..\Run: [ShowWnd] ShowWnd.exe

Y tras analizar la muestra , informaremos

saludos

ms, 13-3-2006

jon · Mensaje por **jon** » 13 Mar 2006, 15:26

Hola de nuevo msc hotline sat, he buscado el ejecutable showWnd en el disco duro con buscar y no me lo encuentra, o sea que posiblemente este camuflado, ¿ como puedo dar con el?.

Mensaje por **msc hotline sat** » 13 Mar 2006, 15:49

Al parecer debería estar en la carpeta C:\windows p C:\windows\system32 (si usa XP):

[quote]ShowWnd.exe file information

The process belongs to the software unknown by unknown.

Description: ShowWnd.exe is located in the folder C:\Windows. The file size on Windows XP is 36864 bytes.

The program has a visible window. There is no description of the program. The process is loaded during the Windows boot process (see Registry key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run). File ShowWnd.exe is not a Windows core file. Therefore the technical security rating is 6% dangerous, however also read the users reviews.

Important: Some malware camouflage themselves as ShowWnd.exe, particularly if they are located in c:\windows or c:\windows\system32 folder. Thus check the ShowWnd.exe process on your pc whether it is pest.
[/quote]

Por si se ocultara, mire de arrancar en modo seguro, para que no esté en uso y configurar ver todos los ficheros y no ocultar los de sistema.

Si no hay manera de encontrarlo, hafa una prueba, renombre cualquier fichero "tonto" a ShowWnd.exe e intente copiarlo a C:\windows y a c:\windows\system32, luego ta los borrará, pero si no puede por indicar que ya existe, tenga por seguyro que es que lo ve, pero está.

Si es el caso, diganoslo y lo destaparemos !

Pero si pyede copiar en ambas carpetas dicho fichero, señal de que no está ahí. Figanoslo tambien y lo buscaremos de otra manera

saludos

ms, 13-3-2006

jon · Mensaje por **jon** » 13 Mar 2006, 20:24

Hola ya estoy aqui, bueno he creado un archivo con el nombre famoso y lo he pegado en C:/Windows/System32 sin ningún problema.

tambien decirte que la clave 04.HKLM...etc. creo que la he quitado con el HJTmarcandola y pulsando Fix checked, no se si esta bien hecho, pero hecho esta, mas adelante me tendré que pillar un manual.

Mensaje por **msc hotline sat** » 14 Mar 2006, 11:34

Si has copiado el fichero con su nombre sin que preguntara si lo querias sobreescribir,m es que no existía...

Y claro que asi es como debes borrar la clave, como si no ???

Y ya borrada la clave y no existiendo el fichero, no hay problema al respecto. El log del HJT está correcto y si el adware no se actualiza igual es que no hay actualizaciones... Y si no,m lo desinstalas y lo vuelves a instalar

Y consioderando soluciuonado el Tema, procedemos a cerrarlo

saludos

ms, 14-3-2006

PD y como que veo que tienes interés en el manejo del HJT, sin que debas hacerlo solo, te indico link de tutorial en castellano al respecto: http://www.razorman.net/dpDocs-index15.html