Problemas con Bifrose.LA y Fake.Wget

[Oskar.02]

Hola, tenia estos dos troyanos los que hacen que al pulsar la tecla de tilde estas salgan dobles despues de pasar el spybot cientos de veces y pasar tambien elistara y elitriip otra cuantas parece ser que los troyanos ya no estan pero el problema de las tildes sigue pasando y tambien el pc muchas veces se me queda bloquado al reiniciar tanto cuando sale de windows como cuando entra, otra cosa que me pasa, al iniciar elitriip me dice que si deseo bloquear el intento de intrusion por el tcp445, pulso que si y me dice bloqueada intrusion remota, pero cada vez que lo paso me lo dice de nuevo, tambien me da una alerta de windowsupdate incompleto, os dejo el log de hijackthis y de elistara y elistriip, muchas gracias un saludo.



Logfile of HijackThis v1.99.1

Scan saved at 22:15:00, on 21/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\ATKKBService.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Creative\Sound Blaster X-Fi\DVDAudio\CTDVDDET.EXE

C:\Archivos de programa\Creative\Shared Files\Module Loader\DLLML.exe

C:\Archivos de programa\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe

C:\WINDOWS\CTHELPER.EXE

C:\WINDOWS\system32\CTXFIHLP.EXE

C:\WINDOWS\SYSTEM32\CTXFISPI.EXE

C:\Archivos de programa\ASUS\AI Nap\AiNap.exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\Archivos de programa\Windows Defender\MSASCui.exe

C:\Archivos de programa\REALTEK RTL8187 Wireless LAN Driver and Utility\RtWLan.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Propietario\Mis documentos\ELITRIIP.27112006.EXE

C:\Archivos de programa\HJT\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O4 - HKLM\..\Run: [CTDVDDET] "C:\Archivos de programa\Creative\Sound Blaster X-Fi\DVDAudio\CTDVDDET.EXE"

O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Archivos de programa\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Archivos de programa\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"

O4 - HKLM\..\Run: [VolPanel] "C:\Archivos de programa\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe" /r

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE

O4 - HKLM\..\Run: [tartwin] C:\WINDOWS\system32\Winmac.exe

O4 - HKLM\..\Run: [SoundMAXPnP] C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [Ai Nap] "C:\Archivos de programa\ASUS\AI Nap\AiNap.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [kav] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"

O4 - HKLM\..\Run: [Windows Defender] "C:\Archivos de programa\Windows Defender\MSASCui.exe" -hide

O4 - HKCU\..\Run: [tartwin] C:\WINDOWS\system32\Winmac.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: REALTEK RTL8187 Wireless LAN Utility.lnk = ?

O8 - Extra context menu item: Agregar a &Windows Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Download all links using BitComet - res://C:\Archivos de programa\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: Download link using &BitComet - res://C:\Archivos de programa\BitComet\BitComet.exe/AddLink.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Antivirus de la Web - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {03B39B10-9AB9-4DBB-8189-7F76E0CE5F3F} (FavImport Class) - https://favorites.live.com/cab/ImportAx.cab?v=13,0,0831,02

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15026/CTSUEng.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {238F6F83-B8B4-11CF-8771-00A024541EE3} (Citrix ICA Client) - http://a516.g.akamai.net/f/516/25175/7d/runaware.download.akamai.com/25175/citrix/wficat-no-eula.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0_09-windows-i586.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {E6187999-9FEC-46A1-A20F-F4CA977D5643} (ZoneChess Object) - http://messenger.zone.msn.com/binary/Chess.cab31267.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15026/CTPID.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{D927049F-59D1-46AE-A235-EC53D04BCA7A}: NameServer = 87.216.1.65,87.216.1.66

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe







Tue Nov 21 17:29:46 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "UpdReg"="C:\WINDOWS\UpdReg.EXE"

Eliminada Carpeta "%WinSys%\LogFiles"

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Tue Nov 21 17:35:08 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Tue Nov 21 17:37:24 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

C:\Archivos de programa\Nero\Nero 7\Nero Vision\NVDV.DLL --> Eliminado, Hotbar

C:\Archivos de programa\Security Task Manager\ASCODE.DLL --> Eliminado, PWS-WoW

C:\Archivos de programa\Security Task Manager\SPYPRODLL.DLL --> Eliminado, PWS-WoW



Tue Nov 21 17:40:44 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\PLUGIN1.DAT --> Eliminado

C:\WINDOWS\SYSTEM32\SYSPR.PRX --> Eliminado

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 17:41:24 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Security Task Manager\Setup.exe --> Eliminado, HideExec

C:\Archivos de programa\Security Task Manager\uninstal.exe --> Eliminado, HideExec



Tue Nov 21 17:54:28 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Tue Nov 21 17:55:13 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible



Tue Nov 21 17:58:06 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\PLUGIN1.DAT --> Eliminado

C:\WINDOWS\SYSTEM32\SYSPR.PRX --> Eliminado

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 18:01:06 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 18:01:23 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 18:05:03 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 19:23:47 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Tue Nov 21 19:24:45 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible



Tue Nov 21 19:28:33 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\PLUGIN1.DAT --> Eliminado

C:\WINDOWS\SYSTEM32\SYSPR.PRX --> Eliminado

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 21:36:15 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 21:37:51 2006

EliStartPage v12.75 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible



Tue Nov 21 21:46:16 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 22:00:11 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Tue Nov 21 22:13:00 2006

EliTriIP v2.78 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

[msc hotline sat]

Ya que lo has visto: "ALERTA. WindowsUpdate Incompleto." lanza un windowsupdate !!!

[msc hotline sat]

Comentarios sobre el bloqueo del intento de intrusion por el port TCP445:



Para algunas de las familias que controla el ELITRIIP, que intrusionan a traves del TCP445, se dispone en esta opcion con la posibilidad de poder cerrar dicho port para que asi se pueda, hasta el proximo reinicio, liberarlo de dichos ataques, que en ocasiones provocan shutdowns e impiden actualizar parches al no poder acceder a Internet normalmente, en cuyo caso se arranca sin cable de red, se activa dicha proteccion, se conecta el cable, se accede a Internet y se lanza el windowsupdate sin problemas



El hacerlo en otras circunstancias no hace ningun daño,. peo no tiene otro sentido que impedir la intrusion remota por dicho port.



saludos



ms, 22-11-2006

[Oskar.02]

gracias por las respuestas, el windows update lo tengo actualizado totalmente siempre, de ahí que me extrañara mucho ese mensaje, con respecto a las dobles tildes siguen saliendo...

[msc hotline sat]

El control de los Parches cambia cada vez que hay nuevos parches de microsoft y ayer hubo...



Lance un windiwsuodate y dugale que actualice los criticos y verá como le falta alguno.



Sobre los dobles acentos es ima caracteristica que producen aplicaciones compiladas o desarrolladas por medios que no contemplan el lenguake castellano, y los correspondientes acentos, y como que en ingles no se acentúa...



Ello delata algun qie otro virus y keylogger pero no solo ellos lo provocan.



Alguna aplicación debe tener no standar, es custion de ir descartando las que carga en el inicio, por lo que arrrancando en modo seguro, salvpo que se cargue a propósito en "safe Boot", no de lo devería hacer



PRiebe de arrancar en midi seguro, y si asñi se lo gicieram serñua mucho mas fñacil encontrar la culpanle, por ser muchos menos (las de sistema y muy pocas mas) las quie se cargan de este modo



Mientras, miraré cual otra puede ser



Desde luego no descarto un keylogger escondido..



saludos



ms, 22-11-2006

[msc hotline sat]

Uno a uno renombre estos ficheros a extension .VIR y reinicia. Si en uno de los arranques le deja de hacer dobles acentos, el fichero que tiene renombrado a .VIR nos lo envia y lo analizaremos



Empiece por estas cuatro, una cada vez:







C:\Archivos de programa\Creative\Shared Files\Module Loader\DLLML.exe



C:\Archivos de programa\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe



C:\Archivos de programa\ASUS\AI Nap\AiNap.exe



C:\Archivos de programa\REALTEK RTL8187 Wireless LAN Driver and Utility\RtWLan.exe





saludos



ms, 22-11-2006

[Oskar.02]

Ya esta solucionado, el problema estaba con este archivo, parece ser que era el portador de los troyanos



O4 - HKLM\..\Run: [tartwin] C:\WINDOWS\system32\Winmac.exe

O4 - HKCU\..\Run: [tartwin] C:\WINDOWS\system32\Winmac.exe



gracias, un saludo.

[msc hotline sat]

Pues mira si nos lo puedes enviar para analizar:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms. 23-11-2006



nota: por cierto, que no aparece en el log del HJT ??? DONDE LO TENIAS ESCONDIDO ?? :lol:

[Oskar.02]

Estaba en la carpeta system32 no se por que no aparecio en el log, ya a sido eliminado y pasadas las entradas por el fix checked.



Un saludo.

[msc hotline sat]

Pero el FIX CHECKED NO ELIMINA LOS FICHEROS , si nos lo envias lo analizaremos para poder pbrar en consecuencia, sino ya procederemos ya a cerrar el Tema



saludos



ms, 23-11-2006