Ayuda urrgente...me ataca hoax, ohpe 4.12_23...ayuda.

[felipegaray]

[code]Logfile of HijackThis v1.99.1
Scan saved at 2:39:31, on 08/06/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\atmclk.exe
C:\WINDOWS\system32\dcomcfg.exe
C:\Archivos de programa\ZyXEL\ADSL USB Modem\CnxDslTb.exe
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\Eset\nod32.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Aquiles\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Nothing - {686a161d-5bd1-4999-8832-6393f41e564c} - C:\WINDOWS\system32\hp100.tmp
O3 - Toolbar: &Save Flash - {4064EA35-578D-4073-A834-C96D82CBCF40} - C:\Archivos de programa\Save Flash\SaveFlash.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Archivos de programa\ZyXEL\ADSL USB Modem\CnxDslTb.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [ab112098.exe] C:\WINDOWS\system32\ab112098.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{53C4B2FE-4816-4DB3-AED9-D0B664E8976A}: NameServer = 200.50.96.90
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: winmbj32 - winmbj32.dll (file missing)
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\Pacsptisvr.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\Sptisrv.exe
[/code]

[maura63]

Ante lo visto



Descarga y lanzas esta utilidad



http://www.zonavirus.com/descargas/elistara.asp



Creara un fichero en C:/infosat.txt copianos aqui el resultado del mismo.



http://www.zonavirus.com/descargas/elitriip.asp



Saludos

maura63

[felipegaray]

[code]hu Jun 08 12:40:27 2006
EliStartPage v11.83 (c)2006 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Por favor, envienos una muestra del fichero
C:\Muestras\DCOMCFG.EXE.Muestra EliStartPage v11.83
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DCOMCFG.EXE --> Eliminado
C:\WINDOWS\SYSTEM32\SIMPOLE.TLB --> Eliminado
C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado
C:\WINDOWS\SYSTEM32\REGPERF.EXE --> Eliminado
C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).
C:\Documents and Settings\Aquiles\Favoritos\Antivirus Test Online.url --> Eliminado (Fichero Complementario).
C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).
Eliminada Carpeta "%WinSys%\1024"
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Thu Jun 08 12:42:14 2006
EliStartPage v11.83 (c)2006 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
C:\Archivos de programa\MessengerPlus! 3\Plugins\ColorNick\CNUNINST.EXE --> AutoExtraible
C:\Archivos de programa\Save Flash\UNINST.EXE --> AutoExtraible
C:\Documents and Settings\Aquiles\Escritorio\Respaldo vladimir\install\CN2SETUP.EXE --> AutoExtraible
C:\Documents and Settings\Aquiles\Escritorio\Respaldo vladimir\install\ITUNESSETUP.EXE --> Eliminado, Bifrose (dropper)
C:\Documents and Settings\Felipe\Escritorio\CN2SETUP.EXE --> AutoExtraible
[/code]

[maura63]

Pues ya sabes algunos eliminados y otros pone....



Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\DCOMCFG.EXE.Muestra EliStartPage v11.83

a "virus@satinfo.es". Gracias.



copilao a diskette, lo comprimes en un zip y lo envias por e:mail.

Ponle como referencia Rfelipegaray





Saludos

maura63

[felipegaray]

no me sale lo ke me pides."C:\Muestras" es todo lo ke hay ak

[felipegaray]

maura, hice correr trojan Hunter y encontro lo sig:



Trojandownloader.zlob.362

TrojanDropper.zlob



ojala me puedas ayudar con ellos.

gracias

[felipegaray]

elimine a uno con Elistart, y ahora solo me keda el trojandownloader.zlob.362. como lo mato?, el NOD32 lo detecto yme dio la opcion de eliminarlo y acepte. pero = sigue apreciendo...

corri de nuevo el hijackthis y esto fue lo ke me arrojo:



Logfile of HijackThis v1.99.1

Scan saved at 13:42:41, on 08/06/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\atmclk.exe

C:\Archivos de programa\ZyXEL\ADSL USB Modem\CnxDslTb.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Aquiles\Escritorio\malware\programas para procedimientos Hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cl

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Nothing - {686a161d-5bd1-4999-8832-6393f41e564c} - C:\WINDOWS\system32\hp100.tmp (file missing)

O3 - Toolbar: &Save Flash - {4064EA35-578D-4073-A834-C96D82CBCF40} - C:\Archivos de programa\Save Flash\SaveFlash.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Archivos de programa\ZyXEL\ADSL USB Modem\CnxDslTb.exe"

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [THGuard] "C:\Archivos de programa\TrojanHunter 4.5\THGuard.exe"

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{53C4B2FE-4816-4DB3-AED9-D0B664E8976A}: NameServer = 200.50.96.90

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\Pacsptisvr.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\Sptisrv.exe



gracias por tu ayuda...

SALUDOS

[msc hotline sat]

Hay que eliminar esta clave:



O2 - BHO: Nothing - {686a161d-5bd1-4999-8832-6393f41e564c} - C:\WINDOWS\system32\hp100.tmp (file missing)





pero ademas, la presencia de este residente que no aparece clave de carga en el registro, es muy sospechosa_:



C:\WINDOWS\system32\atmclk.exe





Arranque en modo seguro y lance la ultima version del ELISTARA:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp







y tras ello nos posteas el cointenido de C:\infosat.txt y sabremos lo que ha detectado



saludos



md, 8-6-2006

[felipegaray]

hola md, ak t adjunto lo ke me pediste



Thu Jun 08 21:52:15 2006

EliStartPage v11.83 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\MessengerPlus! 3\Plugins\ColorNick\CNUNINST.EXE --> AutoExtraible

C:\Archivos de programa\Save Flash\UNINST.EXE --> AutoExtraible

C:\Documents and Settings\Aquiles\Escritorio\Respaldo vladimir\install\CN2SETUP.EXE --> AutoExtraible

C:\Documents and Settings\Felipe\Escritorio\CN2SETUP.EXE --> AutoExtraible



gracias, saludos

[msc hotline sat]

Pues si el ELISTARA lo lanzaste habiendo arrancado en modo seguro, estamos ante una nueva variante que puede cargarse desde winlogon o similar, incluso en modo seguro, y ocultarmos claves y ficheros al estar residente, como hacen algunos rootkit que ya conocemos.



Para poder controlarlo le pedimos que nos envie muestra de este fichero:



C:\WINDOWS\system32\atmclk.exe



abexandolo a un mail dirigido a zonavirus@satinfo.es en cuyo texto indique como referencia "REF atmclk"



A su recepcion lo exanminaremos e impolementraremos su control y eliminacion, si rocede en la proxima version del ELISTARA



mientrras, tras enviarlo, pruebe de renombrar este fichero a .VIR, y aunque faltaría eliminar las claves de carga, no se cargaría en el proximo, reinicio, y luego ya limpiariamos el registro con la proxima version del ELISTARA



saludos



ms, 9-6-2006