Trojano win32.horst y Agent

sarasara · Mensaje por **sarasara** » 24 Oct 2006, 20:36

Hola, antetodo perdonad si no me expreso muy bien en estos temas, por que soy algo novata. Hace algunos dias el ordenador me va muy lento y le cuesta conectar al servidor. Le pasado el Avast y me ha encontrado 31 troyanos !!! La mayoria son de la familia del win32.horts y Agent. He ejecutado el hijackthis y aqui os pego lo que resulta:

(Si he hecho algo mal, por favor comentadmelo y lo intentaré mejorar). Gracias y perdon por las molestias.

Logfile of HijackThis v1.99.1

Scan saved at 20:18:53, on 24/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\aswUpdSv.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashServ.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashMaiSv.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashWebSv.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\ezSP_Px.exe

C:\DOCUME~1\Nuria\MISDOC~1\PROGRA~1\ANTIVI~1\avast\ashDisp.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe

C:\documents and settings\nuria\mis documentos\programas\acer\active sync 3.7.1\WCESCOMM.EXE

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashSimpl.exe

C:\ARCHIV~1\Pinnacle\SHARED~1\Filter\server.exe

C:\Archivos de programa\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\EMULE Ketamine v7\emule.exe

C:\Archivos de programa\Pinnacle\Pinnacle PCTV\Vision\Vision.exe

C:\ARCHIV~1\Pinnacle\SHARED~1\Filter\VBI_SE~1.EXE

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashChest.exe

C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\HITACKTHIS\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.terra.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&pver=6&ar=msnhome

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = iexplore

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOCUME~1\Nuria\MISDOC~1\PROGRA~1\SPYBOT~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: QUICKfind BHO Object - {C08DF07A-3E49-4E25-9AB0-D3882835F153} - C:\ARCHIV~1\TEXTware\QUICKF~1\PlugIns\IEHelp.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe

O4 - HKLM\..\Run: [avast!] C:\DOCUME~1\Nuria\MISDOC~1\PROGRA~1\ANTIVI~1\avast\ashDisp.exe

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\DOCUME~1\Nuria\MISDOC~1\PROGRA~1\NOKIA6~1\PCSUIT~1.1\NOKIAP~1\TRAYAP~1.EXE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\QUICK TIME 6\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Smapp] C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [hp Update 2100C] c:\sj644\hpupdate.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\documents and settings\nuria\mis documentos\programas\acer\active sync 3.7.1\WCESCOMM.EXE"

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ACER\OUTLOOK 2002 PARA ACER\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Crear un favorito móvil - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - c:\documents and settings\nuria\mis documentos\programas\acer\active sync 3.7.1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - c:\documents and settings\nuria\mis documentos\programas\acer\active sync 3.7.1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - c:\documents and settings\nuria\mis documentos\programas\acer\active sync 3.7.1\INetRepl.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender-es.com/scan/Msie/bitdefender.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab

O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - https://intranet.fiatc.es/dwa7W.cab

O16 - DPF: {EFAEF0E4-F044-4D57-9900-1C3FF18524C9} (AV Class) - http://pcpitstop.com/antivirus/PitPav.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{1CF49D1B-3314-4B6E-B78A-68E2ECF073A7}: NameServer = 80.58.0.33,80.58.32.97

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PROGRAMAS\ANTIVIRUS MOMENTANEO\avast\ashWebSv.exe" /service (file missing)

O23 - Service: ewido security suite control - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PRUEBAS\desinstalar virus\security suite\ewidoctrl.exe (file missing)

O23 - Service: ewido security suite guard - Unknown owner - C:\Documents and Settings\Nuria\Mis documentos\PRUEBAS\desinstalar virus\security suite\ewidoguard.exe (file missing)

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

Mensaje por **msc hotline sat** » 25 Oct 2006, 19:19

Arranque en modo seguro y lance el HJT, marque la casilla de la izquierda de estas claves y eliminelas con FIX CHECKED:

3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

saludos

ms, 25-10-2006

Nota: la O23 corresponde a un Rizalof o Backdoor CMQ que puede ser tambien eliminado con el ELITRIIP:

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

Tras lanzarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

sarasara · Mensaje por **sarasara** » 25 Oct 2006, 23:27

Gracias por vuestra rapida respuesta.Despues de ejecutar el elitrip he seguido los pasos que me habeis dicho y aqui posteo el contenido de c:/ infosat.txt

Saludos.

Tue Oct 24 23:27:44 2006

EliTriIP v2.65 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\NVSVCD.EXE.Muestra EliTriIP v2.65

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\NVSVCD.EXE --> Eliminado

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

sarasara · Mensaje por **sarasara** » 25 Oct 2006, 23:30

Ah !! Tambien os he enviado la muestra por e.mail

Gracias otra vez.

Mensaje por **msc hotline sat** » 26 Oct 2006, 11:00

NO RECIBIDA MUESTRA DEL NVSCD.EXE

REPITA EL ENVIO !!!

no se olvide:

Todas las muestras que pedimos al respecto, nos las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF <nick que usa en el foro>" y asi podremos informarle si hay alguna incidencia sobre el particular, gracias.

Tras recibirlas, las analizaremos e implementaremos su control y eliminación, si procede, en nuestras utilidades, de lo cual informaremos en el foro, como siempre.

Para que el envio no sea interceptado por los antivirus, desactivando el antivirus residente o arrancando en modo seguro, empaquetar el fichero infectado en un ZIP o RAR con password "VIRUS" y asi se encriptará de manera que nadie lo detecte

saludos

ms, 26-10-2006