Varios Virus: Busters, 888bar, Troj_Purity(SOLUCIONADO)

Mensaje por **msc hotline sat** » 28 Nov 2006, 16:41

Perfecto.

Con ello el nuevo ELISTARA de hoy, v 12.81, ya cpntrolará y eliminará totalmente esta variante, incluidas claves y demas

Descargala esta novje y pruebala y nos cuentas, gracias

saludos

ms, 28-11-2006

Mensaje por **msc hotline sat** » 28 Nov 2006, 19:59

Pues otras dos versiones de ELISTARA y ELINOTIF se han desarrollado hoy, que cubriran totalmente la eliminacion del malware de marras, aparte de un FAKE ALERT que nos envio ayer y que no dio tiempo a procesar, asi como otras hierbas de otros usuarios que incluimos en esta version

viewtopic.php?f=11&t=15038

Pruebelas y esperamos que nos informe al respecto para poder considerar solucionado el Tema y proceder a cerrarlo

saludos
ms, 28-11-2006

Shauri · Mensaje por **Shauri** » 29 Nov 2006, 08:57

Ya he vuelto a pasar el Elistara v 12.81 y el Elinotif actualizado.

El log es el siguiente:

Wed Nov 29 07:38:39 2006

EliStartPage v12.81 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed Nov 29 07:39:55 2006

EliStartPage v12.81 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\RECYCLER\S-1-5-21-1377445001-576521872-925700815-2113\Dc2\DRVGIK.DLL --> Eliminado, FakeAlert.Renos

C:\RECYCLER\S-1-5-21-1377445001-576521872-925700815-2113\Dc2\JEZMESH.DLL --> Eliminado, Bongler o Busky

C:\RECYCLER\S-1-5-21-1377445001-576521872-925700815-2113\Dc2\XRSYWKCA.DLL --> Eliminado, PcClient(BHO)

C:\WINDOWS\system32\DRVGIK.DLL --> Eliminado, FakeAlert.Renos

C:\WINDOWS\system32\JEZMESH.DLL --> Eliminado, Bongler o Busky

C:\WINDOWS\system32\XRSYWKCA.DLL --> Eliminado, PcClient(BHO)

Wed Nov 29 07:45:22 2006

EliStartPage v12.81 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\Archivos de programa\Phoenix Contact\Software Suite\Bin\DELLUCFG.EXE --> Eliminado, QDial.Internazionale

D:\Mis documentos\8. PROGRAMAS\0. ANTIVIRUS\Posible borrar\backups\BACKUP-20061126-202500-695.DLL --> Eliminado, PcClient(BHO)

D:\Mis documentos\8. PROGRAMAS\Personales\Passware Kit v7.5.1764 Enterprise\PASSWARE KIT V7.5.1764 ENTERPRISE.EXE --> AutoExtraible

D:\Mis documentos\8. PROGRAMAS\Personales\Utiles\AutoHotkey\AUTOHOTKEYINSTALL.EXE --> AutoExtraible

D:\Mis documentos\Mis archivos recibidos\Idoia\Cortafuegos\NV11ESD.EXE --> AutoExtraible

D:\Mis documentos\MIS DOCUMENTOS\12. Matematicas\1. Matemáticas\Comentarios CorelDRAW 12_archivos\AXDLPLUG-1.5.0.0-147-SETUP.EXE --> AutoExtraible

Espero que os sirva.

¿Me podriais resolver una pequeña duda? Me he instalado el SpywareBlaster y lo he configurado tal como explicais en el foro.

¿Una vez configurado ya no hace falta tenerlo abierto para que te proteja de posibles intrusiones?

Saludos,

Shauri

Mensaje por **msc hotline sat** » 29 Nov 2006, 09:09

Exacto, está "residente" aunque no de una manera clásica

De todas fornas con los spywares lo mejor es moverte solo por webs conocidas...

Y ta ves que hemos detectado y pulido tu ordenador. Solo nos gustaría que nos confirmaras que lanzando el HJT ya no está el resto de la clave de marras:

O20 - Winlogon Notify: sfqwrghw - c:\windows\system32\sfqwrghw.dll (file missing)

Tras ello daremos por solucionado el Tema, gracias

saludos

ms, 29-11-2006

Shauri · Mensaje por **Shauri** » 29 Nov 2006, 12:02

Hola de nuevo;

Ya he pasado el HJT, el log es el siguiente:

Logfile of HijackThis v1.99.1

Scan saved at 10:54:31, on 29/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

D:\Mis documentos\8. PROGRAMAS\0. ANTIVIRUS\3. HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer proporcionado por GAMESA

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.254.2:8080

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 192.168.*.*; 127.0.0.1;<local>

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - D:\Archivos de programa\Gamesa Utiles\SnagIt 7\SnagItBHO.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Archivos de programa\AntiVirus\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - D:\Archivos de programa\Gamesa Utiles\SnagIt 7\SnagItIEAddin.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [IAAnotif] C:\Archivos de programa\Intel\Intel Matrix Storage Manager\iaanotif.exe

O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Convert link target to Adobe PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert link target to existing PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert selected links to Adobe PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convert selected links to existing PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Convert selection to Adobe PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert selection to existing PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert to Adobe PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert to existing PDF - res://D:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Archivos de programa\Fujitsu Siemens\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O15 - Trusted Zone: http://www.zonavirus.com

O16 - DPF: {3ADBB867-9732-4F8F-BF11-028BD4D2B7B1} (CEngine Control) - http://aulavirtual.ibex.es/content/global/cursoscae/cengine.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\BTXPPA~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\Fujitsu Siemens\Bluetooth Software\bin\btwdins.exe

O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMon) - Intel Corporation - C:\Archivos de programa\Intel\Intel Matrix Storage Manager\iaantmon.exe

O23 - Service: Exploración en tiempo real de OfficeScanNT (ntrtscan) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe

O23 - Service: Cortafuegos de OfficeScanNT (OfcPfwSvc) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\OfcPfwSvc.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe

O23 - Service: Washer AutoComplete (wwSecSvc) - Webroot Software, Inc. - C:\WINDOWS\system32\wwSecure.exe

Parece que ya hemos conseguido arreglar el problema. Muchisimas gracias por toda la ayuda y por solucionar el problema.

Tengo otra pregunta:

En Archivos de programa/archivos comunes tengo unas carpertas que se me antojan un poco raras, que contienen archivos .dll y .exe.

Te muestro el nombre de las carpetas y de los archivos:

{30C1AD13-06C0-3082-0322-060927200022}

888.dll

Unistall.exe

{30C1AD13-06C1-3082-0322-060927200022}

888.dll

Unistall.exe

{60C1AD13-06C0-3082-0322-060927200022}

System.dll

Update.exe

{60C1AD13-06C1-3082-0322-060927200022}

System.dll

Update.exe

Tienes una idea de que pueden ser y si lo puedo eliminar??

Shauri · Mensaje por **Shauri** » 29 Nov 2006, 12:19

Otra cuestion, ya que estamos.

Tengo problemas con el Spybot - Search & Destroy. Cuando busco actualizaciones me sale el siguiente error:

¡ Error al descargar archivo con la información de actualización!

Socket Error#10054

Connection reset by per.

Sabeis que es lo que pasa?

Gracias por toda la ayuda.

Shauri

Mensaje por **msc hotline sat** » 29 Nov 2006, 13:00

Lo ultimo indicado entiendo que debes querer decir "by peer"

Se entiende que es un cierre de comunicacion por POP3, por la causa que sea

Prueba con el WinsockFix: http://www.softpedia.com/get/Tweak/Network-Tweak/WinSockFix.shtml

y los nombre de ficheros, el 888 es significatuvom siendo los demas nombres usuales que pueden contener cualquier coaa, buena o mala. Prueba de empaquetarlos en un zip para no perderlos y ver que poasa sin ellos.

Sobre el 888, usando el buscador del foro...

Mensaje por **msc hotline sat** » 29 Nov 2006, 13:06

Lo ultimo indicado entiendo que debes querer decir "by peer"

Se entiende que es un cierre de comunicacion por POP3, por la causa que sea

Prueba con el WinsockFix: http://www.softpedia.com/get/Tweak/Network-Tweak/WinSockFix.shtml

y los nombre de ficheros, el 888 es significativo, siendo los demas nombres usuales que pueden contener cualquier cosa, buena o mala. Prueba de empaquetarlos en un zip para no perderlos y ver que pasa sin ellos.

Sobre el 888, usando el buscador del foro... ademas de tu Tema hay otros 10

Y ya habiendose solucionado lo que respecta a virus y troyanos origen de este Tema, procedemos a cerrarlo

Si tienes otro problema de software y demas, postealo en el apartado correspondiente, gracias

Ha sido un placer, shauri, si tienes otro problema ya sabes donde estamos

saludos

ms, 29-11-2006