Infeccion que envia a www.virusbursters.com (SOLUCIONADO)

[wsalinas]

Antes que nada, hola... les muestro mi problema y agradeceria si me ayudan con esto:

En la barra de tereas me aparece un icono diciendo "critical system errors", envia a http://www.virusbursters.com/?aff=330... el problema es que tb aparece en "modo seguro", con el hijackthis he eliminado una tras otra entrada, y no he podido sacarlo, aca les dejo el log que quedo despues de borrar varios ya, el icono continua apareciendo...









Logfile of HijackThis v1.99.1

Scan saved at 16:47:24, on 14/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

D:\HijackThis.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\system32\NOTEPAD.EXE



O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://sobrelahierbasandra.spaces.live.com//PhotoUpload/MsnPUpld.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{6A70BB6C-CCA2-4215-BE59-C02A5F5D8F71}: NameServer = 192.168.0.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{6A70BB6C-CCA2-4215-BE59-C02A5F5D8F71}: NameServer = 192.168.0.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{6A70BB6C-CCA2-4215-BE59-C02A5F5D8F71}: NameServer = 192.168.0.1

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: PostgreSQL Database Server 8.1 (pgsql-8.1) - Unknown owner - C:\Archivos de programa\PostgreSQL\8.1\bin\pg_ctl.exe" runservice -N "pgsql-8.1" -D "C:\Archivos de programa\PostgreSQL\8.1\data\ (file missing)



Aca tambien les dejo dos entradas del NOD32 donde muestra dos archivos infectados que fueron eliminados y reaparecen con cada reinicio.



Muchas gracias

[wsalinas]

He visto posteos sobre este bicho, he tomado nota de las lineas que decian que habia que eliminar, pero aun siguio apareciendo, solo quedaron estas...

[msc hotline sat]

En otra ocasion mas vale que nos postee el log antes de manipularlo...



Ahora ya, pruebe el ELISTARA:





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 19-12-2006

[wsalinas]

[quote]"En otra ocasion mas vale que nos postee el log antes de manipularlo..."[/quote]
Tomo nota.



Aca esta el contenido de infosat:



Tue Dec 19 13:15:31 2006

EliStartPage v12.92 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\OT.ICO --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\ts.ico --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Dec 19 13:17:04 2006

EliStartPage v12.92 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Safety Bar\SAFETYBAR.DLL --> Eliminado, DownLoader.Safety (TB)



Esta todo en orden?



Muchas gracias...

[msc hotline sat]

Como que los .ICO eliminados son iconos de malwares pero no vemos a los que acompañan, np sabemos si los elimino anteriormentye o es que no los vemos...



Tras reiniciar, undiquenos si persiste alguna anomalia o icono de CRITICAL ERROR, o no, y nos informa de ello para ovrar en consecuencia.





saludos



ms, 20-12-2006

[wsalinas]

Antes que nada, gracias por la atencion, despues del reinicio, el icono sigue apareciendo cual si nada hubiese pasado...

Muchas gracias...



Muchas gracias...

[msc hotline sat]

Pues puede ser un Fake Alert embebido en alguna aplicacion licita, ya que en el log del HJT no aparece nada raro



Diganos donde le lleva si pulsa en dicho icono, para saber de qué se trata, pues similar caso tenemos con el acceso a antivermins QUE ES UN MALICIOSO ANTISPYWARE y rtambien se esconde en aplicaciones normales... o eso creemos por ahora, ta que como este, no lo hemos encontrado (el causamte del FAkE ALERT)



saludos



ms, 21-12-2006



Revisando el Tema desde el principio ya he vosto que en este caso es :



http://www.virusbursters.com/?aff=330...



pues no es el mismo, pero parecido y curiosamente tambien con pagina de acceso:





saludos



ms, 21-12-2006

[msc hotline sat]

Bueno, pues hemos resuelto el otro FAKE ALERT gracias a la informacion que nos ofrece nuestra utilidad SPROCES.EXE, por lo que le pedimos que la pruebe y nos postee el fichero de salida C:\SPROCLOG.TXT como respuesta a este Tema



A ver si tenemos la misma suerte y lo localizamos



saludos



ms, 22-12-2006





SPROCES (en desarrollo)

http://www.zonavirus.com/descargas/sproces.asp

[dkvas]

Yo tambien tengo el mismo problema, me he bajado el hijackthis y te adjunto el log



Logfile of HijackThis v1.99.1

Scan saved at 17:52:15, on 27/12/2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\Ati2evxx.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\WINNT\system32\Ati2evxx.exe

C:\WINNT\Explorer.EXE

C:\Archivos de programa\Internet Explorer\Iexplore.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe

C:\Archivos de programa\Video ActiveX Object\pmsngr.exe

C:\Archivos de programa\Video ActiveX Object\pmmon.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINNT\System32\LVComS.exe

C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\Softwin\BitDefender8\bdmcon.exe

C:\Archivos de programa\Softwin\BitDefender8\bdnagent.exe

C:\WINNT\system32\internat.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Archivos de programa\TightVNC\WinVNC.exe

C:\Archivos de programa\ScanButton 2.1\ScanButton.exe

C:\Archivos de programa\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\WINNT\system32\ntvdm.exe

C:\Archivos de programa\Outlook Express\msimn.exe

C:\Archivos de programa\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\ARCHIV~1\WINZIP\winzip32.exe

C:\Documents and Settings\Administrador\Escritorio\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.transports-gefco.com/servlet/URDMM03/run/mm03wg00

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {67982BB7-0F95-44C5-92DC-E3AF3DC19D6D} - C:\Archivos de programa\Video ActiveX Object\isaddon.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Barra de Herramientas MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Toolbar\01.01.1601.0\es\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: Protection Bar - {0D045BAA-4BD3-4C94-BE8B-21536BD6BD9F} - C:\Archivos de programa\Video ActiveX Object\iesplugin.dll

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [LVComs] C:\WINNT\System32\LVComS.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [KAVPersonal50] C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Archivos de programa\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [BDMCon] "C:\Archivos de programa\Softwin\BitDefender8\bdmcon.exe"

O4 - HKLM\..\Run: [BDNewsAgent] "C:\Archivos de programa\Softwin\BitDefender8\bdnagent.exe"

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: Launch TightVNC Server.lnk = C:\Archivos de programa\TightVNC\WinVNC.exe

O4 - Global Startup: ScanButton 2.1.lnk = C:\Archivos de programa\ScanButton 2.1\ScanButton.exe

O4 - Global Startup: Ulead Photo Express 3.0 SE Calendar Checker.lnk = C:\Archivos de programa\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/26f623f56327592c4c06/netzip/RdxIE601_es.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{11CF2620-DBC9-48C3-9771-4E559BB7A152}: NameServer = 194.179.1.100,80.38.29.195

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: kavsvc - Kaspersky Labs - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)



Muchas gracias por anticipado.



Por cierto tengo windows 2000

[dkvas]

Perdona con el Sproces el resultado es el siguiente:



Wed Dec 27 17:56:55 2006

SProces v2.3 (c)2006 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows 2000 (v5.0.2195) Service Pack 4

Internet Explorer: (v6.0.2800.1106) ;SP1;Q823353;Q903235;



Procesos Activos:

------------------

C:\WINNT\SYSTEM32\SMSS.EXE -> smss.exe, 5.00.2195.6601, Windows NT Session Manager, Microsoft Corporation

C:\WINNT\SYSTEM32\WINLOGON.EXE -> WINLOGON.EXE, 5.00.2195.6997, Aplicación de inicio de sesión de Windows NT, Microsoft Corporation

C:\WINNT\SYSTEM32\SERVICES.EXE -> services.exe, 5.00.2195.7035, Aplicación de servicios y controlador, Microsoft Corporation

C:\WINNT\SYSTEM32\LSASS.EXE -> lsasrv.dll and lsass.exe, 5.00.2195.7011, DLL de servidor y ejecutable LSA (versión de exportación), Microsoft Corporation

C:\WINNT\SYSTEM32\ATI2EVXX.EXE -> ATI2EVXX.EXE, 6.14.4096, ATI External Event Utility EXE Module, ATI Technologies Inc.

C:\WINNT\SYSTEM32\SVCHOST.EXE -> svchost.exe, 5.00.2134.1, Generic Host Process for Win32 Services, Microsoft Corporation

C:\WINNT\SYSTEM32\SPOOLSV.EXE -> spoolss.exe, 5.00.2195.7059, Spooler SubSystem App, Microsoft Corporation

C:\WINNT\SYSTEM32\SVCHOST.EXE -> svchost.exe, 5.00.2134.1, Generic Host Process for Win32 Services, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\VS7DEBUG\MDM.EXE -> mdm.exe, 7.00.9466, Machine Debug Manager, Microsoft Corporation

C:\WINNT\SYSTEM32\REGSVC.EXE -> REGSVC.EXE, 5.00.2195.6701, Remote Registry Service, Microsoft Corporation

C:\WINNT\SYSTEM32\MSTASK.EXE -> mstask.exe, 4.71.2195.6972, Motor de Programador de tareas, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\ANALOG DEVICES\SOUNDMAX\SMAGENT.EXE -> SMAgent.exe, 3, 2, 6, 0, SoundMAX service agent component, Analog Devices, Inc.

C:\WINNT\SYSTEM32\STISVC.EXE -> STIMON.EXE, 5.00.2195.6656, Monitor de dispositivos de imagen estática, Microsoft Corporation

C:\WINNT\SYSTEM32\WBEM\WINMGMT.EXE -> , 1.50.1085.0100, Instrumental de administración de Windows, Microsoft Corporation

C:\WINNT\SYSTEM32\SVCHOST.EXE -> svchost.exe, 5.00.2134.1, Generic Host Process for Win32 Services, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\SOFTWIN\BITDEFENDER COMMUNICATOR\XCOMMSVR.EXE -> xcommsvr.exe, 1, 8, 9, 0, BitDefender Communicator Server, Softwin

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\SOFTWIN\BITDEFENDER SCAN SERVER\BDSS.EXE -> , , ,

C:\WINNT\SYSTEM32\ATI2EVXX.EXE -> ATI2EVXX.EXE, 6.14.4096, ATI External Event Utility EXE Module, ATI Technologies Inc.

C:\WINNT\EXPLORER.EXE -> EXPLORER.EXE, 5.00.3700.6690, Windows Explorer, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE -> IEXPLORE.EXE, 6.00.2800.1106, Internet Explorer, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBARNOTIFIER\1.2.908.5008\GOOGLETOOLBARNOTIFIER.EXE -> GoogleToolbarNotifier.exe, 1, 2, 908, 5008, GoogleToolbarNotifier, Google Inc.

C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\PMSNGR.EXE -> , , ,

C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\PMMON.EXE -> , , ,

C:\ARCHIVOS DE PROGRAMA\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE -> Atiptaxx.exe, 6.14.10.5090, ATI Desktop Control Panel, ATI Technologies, Inc.

C:\WINNT\SYSTEM32\LVCOMS.EXE -> LVComS.exe, 1.5.0.1596, LVCom Server, Logitech Inc.

C:\ARCHIVOS DE PROGRAMA\JAVA\JRE1.5.0_09\BIN\JUSCHED.EXE -> jusched.exe, 5.0.90.3, Java(TM) 2 Platform Standard Edition binary, Sun Microsystems, Inc.

C:\ARCHIVOS DE PROGRAMA\QUICKTIME\QTTASK.EXE -> QTTask.exe, 6.5.1, , Apple Computer, Inc.

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\REAL\UPDATE_OB\REALSCHED.EXE -> realsched.exe, 0.1.0.3427, RealNetworks Scheduler, RealNetworks, Inc.

C:\ARCHIVOS DE PROGRAMA\SOFTWIN\BITDEFENDER8\BDMCON.EXE -> bdmcon.exe, 8.1.0.3, BitDefender Management Console, SOFTWIN S.R.L.

C:\ARCHIVOS DE PROGRAMA\SOFTWIN\BITDEFENDER8\BDNAGENT.EXE -> , , ,

C:\WINNT\SYSTEM32\INTERNAT.EXE -> INTERNAT.EXE, 5.00.2920.0000, Aplicación Indicador de idioma del teclado, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE -> msnmsgr.exe, 7.0.0816, MSN Messenger, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\DISTILLR\ACROTRAY.EXE -> AcroTray.exe, 6.0.0.2003051500, AcroTray, Adobe Systems Inc.

C:\ARCHIVOS DE PROGRAMA\TIGHTVNC\WINVNC.EXE -> WinVNC.exe, 1, 2, 5, 0, TightVNC Win32 Server, Constantin Kaplinsky

C:\ARCHIVOS DE PROGRAMA\SCANBUTTON 2.1\SCANBUTTON.EXE -> ScanButton.EXE, 2, 1, 1, 2, ScanButton MFC Application,

C:\ARCHIVOS DE PROGRAMA\ULEAD SYSTEMS\ULEAD PHOTO EXPRESS 3.0 SE\CALCHECK.EXE -> CalCheck.EXE, 3, 0, 0, 1, Photo Express -- Calendar Checker, Ulead Systems, Inc.

C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE -> WZQKPICK.EXE, 1.0 (32-bit), WinZip Executable, WinZip Computing, Inc.

C:\WINNT\SYSTEM32\NTVDM.EXE -> NTVDM.EXE, 5.00.2195.7011, NTVDM.EXE, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\OUTLOOK EXPRESS\MSIMN.EXE -> MSIMN.EXE, 6.00.2800.1807, Outlook Express, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE11\WINWORD.EXE -> WinWord.exe, 11.0.6359, Microsoft Office Word, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE -> IEXPLORE.EXE, 6.00.2800.1106, Internet Explorer, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE -> IEXPLORE.EXE, 6.00.2800.1106, Internet Explorer, Microsoft Corporation

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE -> IEXPLORE.EXE, 6.00.2800.1106, Internet Explorer, Microsoft Corporation

C:\ARCHIV~1\WINZIP\WINZIP32.EXE -> WINZIP32.EXE, 18.0 (32-bit), WinZip, WinZip Computing, Inc.

C:\DOCUMENTS AND SETTINGS\ADMINISTRADOR\CONFIGURACIóN LOCAL\ARCHIVOS TEMPORALES DE INTERNET\CONTENT.IE5\89QZCHQ3\SPROCES[1].EXE -> SProces.EXE, 1, 0, 0, 0, Visualizador de Modulos y Procesos activos, Satinfo S.L.



Llamadas en el Registro de Sistema:

-----------------------------------

F2 - REG:system.ini: Shell=Explorer.exe

F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,

F3 - REG:win.ini: Load=

- HKCR\exefile: "%1" %*

- HKCR\comfile: "%1" %*

- HKCR\cmdfile: "%1" %*

- HKCR\batfile: "%1" %*

- HKCR\piffile: "%1" %*

- HKCR\scrfile: "%1" /S

O4 - HKLM\..\Run: [internat.exe] internat.exe

O4 - HKLM\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKLM\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [LVComs] C:\WINNT\System32\LVComS.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [KAVPersonal50] C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Archivos de programa\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [BDMCon] "C:\Archivos de programa\Softwin\BitDefender8\bdmcon.exe"

O4 - HKLM\..\Run: [BDNewsAgent] "C:\Archivos de programa\Softwin\BitDefender8\bdnagent.exe"

O4 - HKLM\..\Policies\Explorer\Run: [none] C:\Archivos de programa\Video ActiveX Object\pmsngr.exe

O20- AppInit_DLLs:

O20- Winlogon Notify: ATIEXTEVENT - ATI2EVXX.DLL

O20- Winlogon Notify: WZCNOTIF - WZCDLG.DLL

O21- ShellServiceObjectDelayLoad: Network.ConnectionTray - {7007ACCF-3202-11D1-AAD2-00805FC1270E} - C:\WINNT\system32\NETSHELL.dll

O21- ShellServiceObjectDelayLoad: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\System32\webcheck.dll

O21- ShellServiceObjectDelayLoad: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - stobject.dll

O22- SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\System32\browseui.dll

O22- SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\System32\browseui.dll

- ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - - shell32.dll



Internet Explorer:

------------------

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.transports-gefco.com/servlet/URDMM03/run/mm03wg00

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/en/us/default.aspxisapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: Hook de búsqueda de direcciones URL de Microsoft - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\System32\shdocvw.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: - {67982BB7-0F95-44C5-92DC-E3AF3DC19D6D} - C:\Archivos de programa\Video ActiveX Object\isaddon.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Barra de Herramientas MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Toolbar\01.01.1601.0\es\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: Protection Bar - {0D045BAA-4BD3-4C94-BE8B-21536BD6BD9F} - C:\Archivos de programa\Video ActiveX Object\iesplugin.dll

O16- DPF: DirectAnimation Java Classes - file://C:\WINNT\Java\classes\dajava.cab

O16- DPF: Microsoft XML Parser for Java - file://C:\WINNT\Java\classes\xmldso.cab

O16- DPF: {00000055-9980-0010-8000-00AA00389B71} - http://codecs.microsoft.com/codecs/i386/fhg.CAB

O16- DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} - http://www.apple.com/qtactivex/qtplugin.cab

O16- DPF: {166B1BCA-3F9C-11CF-8075-444553540000} - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

O16- DPF: {17492023-C23A-453E-A040-C7C580BBF700} - http://go.microsoft.com/fwlink/?linkid=39204

O16- DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} - http://www.cult3d.com/download/cult.cab

O16- DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} - http://office.microsoft.com/officeupdate/content/opuc.cab

O16- DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/26f623f56327592c4c06/netzip/RdxIE601_es.cab

O16- DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_09-windows-i586.cab

O16- DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38306.1164583333

O16- DPF: {CAFEEFAC-0014-0002-0006-ABCDEFFEDCBA} - http://java.sun.com/update/1.4.2/jinstall-1_4_2_06-windows-i586.cab

O16- DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_02-windows-i586.cab

O16- DPF: {CAFEEFAC-0015-0000-0004-ABCDEFFEDCBA} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_04-windows-i586.cab

O16- DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab

O16- DPF: {CAFEEFAC-0015-0000-0009-ABCDEFFEDCBA} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_09-windows-i586.cab

O16- DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - http://java.sun.com/update/1.5.0/jinstall-1_5_0_09-windows-i586.cab

O16- DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O17- Servidores DNS: NameServer = 194.179.1.100,80.38.29.195



Ficheros en la Carpeta de Inicio de Windows:

--------------------------------------------

O4 - Startup: Acrobat Assistant.lnk

O4 - Startup: Launch TightVNC Server.lnk

O4 - Startup: ScanButton 2.1.lnk

O4 - Startup: Ulead Photo Express 3.0 SE Calendar Checker.lnk

O4 - Startup: WinZip Quick Pick.lnk



Llamadas en el WIN.INI y SYSTEM.INI:

------------------------------------



Contenido del CONFIG.SYS:

-------------------------



Contenido del AUTOEXEC.BAT:

---------------------------



Contenido del WINSTART.BAT:

---------------------------



Contenido del HOSTS:

--------------------

O1 - Hosts: # Copyright (c) 1993-1999 Microsoft Corp.

O1 - Hosts: #

O1 - Hosts: # Éste es un ejemplo de archivo HOSTS usado por Microsoft TCP/IP para Windows.

O1 - Hosts: #

O1 - Hosts: # Este archivo contiene las asignaciones de las direcciones IP a los nombres de

O1 - Hosts: # host. Cada entrada debe permanecer en una línea individual. La dirección IP

O1 - Hosts: # debe ponerse en la primera columna, seguida del nombre de host correspondiente.

O1 - Hosts: # La dirección IP y el nombre de host deben separarse con al menos un espacio.

O1 - Hosts: #

O1 - Hosts: #

O1 - Hosts: # También pueden insertarse comentarios (como éste) en líneas individuales

O1 - Hosts: # o a continuación del nombre de equipo indicándolos con el símbolo "#"

O1 - Hosts: #

O1 - Hosts: # Por ejemplo:

O1 - Hosts: #

O1 - Hosts: # 102.54.94.97 rhino.acme.com # servidor origen

O1 - Hosts: # 38.25.63.10 x.acme.com # host cliente x

O1 - Hosts: 127.0.0.1 localhost

[msc hotline sat]

Muy posiblemente entre estas esté el de marras:



O20- AppInit_DLLs:

O20- Winlogon Notify: ATIEXTEVENT - ATI2EVXX.DLL

O20- Winlogon Notify: WZCNOTIF - WZCDLG.DLL

O21- ShellServiceObjectDelayLoad: Network.ConnectionTray - {7007ACCF-3202-11D1-AAD2-00805FC1270E} - C:\WINNT\system32\NETSHELL.dll

O21- ShellServiceObjectDelayLoad: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\System32\webcheck.dll

O21- ShellServiceObjectDelayLoad: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - stobject.dll

O22- SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\System32\browseui.dll

O22- SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\System32\browseui.dll

- ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - - shell32.dll



vamos a mirarlos uno por uno

[dkvas]

Gracias, pero que es lo que tengo que hacer ??, como los miro ó los elimino ??, perdona por las preguntas pero soy muy novato en estos temas.

[msc hotline sat]

pUES ENVIANOS TODAS LAS dll (AL FINAL DE CADA CLAVE) Y LAS ANALIZAREMOS



https://foros.zonavirus.com/viewtopic.php?f=5&t=45334



SALUDOS



ms, 27-12-2006

[dkvas]

Perdona por mi torpeza, pero que te mando un email con el fichero Sproclog.txt ?? o como te envio las dll porque he leido el link pero no me entero





Gracias.

[msc hotline sat]

No, por mail solo se aceptan ficheros, no correspondencia.



Anexas todos estos a un mail con tu referencia (nick en el foro) como se indica en el lnk



Ficheros a anexar:



ATI2EVXX.DLL

WZCDLG.DLL

NETSHELL.dll

webcheck.dll

stobject.dll

browseui.dll

shell32.dll



LOs analizaremos e informaremos



saludos



ms, 27-12-2006

[dkvas]

Los archivos que me indicas a la hora de buscarlos por el ordenador me aparecen con el mismo nombre pero en distintas ubicaciones, cual te mando ??, no te puedo mandar todo pues al intentar añadirlos al zip, me dice que ya existe con ese mismo nombre.



Gracias

[Nuker]

Todos los que se te piden, vas a tener que mandarlos uno por uno. Saludos.

[Nuker]

O bien renombralos, a como te salen en el log y envialos todos de un jalon.

[dkvas]

Los he renombrado todos y he creado un zip, ahora lo envio por email y ya me diras que tengo que hacer.



Muchisimas gracias

[dkvas]

msc hotline sat, te envie el fichero por email pesaba 15 Mb, por favor confirmame que lo has recibido y ya me diras que tengo que hacer.



Gracias.

[msc hotline sat]

Recibido fichero de 15 MB, resultan ser todo ficheros de varias versiones de sistema operativo, pero todos de microsoft, ninguno virico .



Entrego al departamento de programacion el report del sproclog.txt para que miren si se les ocurre algo mas. `



saludos



ms. 28-12-2006

[msc hotline sat]

4 ojos ven mas que 2 !



Los de proceso creen que en hay procesos activos con droppers qie generan downloaders que pieden descargar troyanos que ... pues vamos a verlo.



Envianos todos los ficheros que encuentres en esta carpeta:



C:\ARCHIVOS DE PROGRAMA\VIDEO ACTIVEX OBJECT\



Aparte en la proxima version del ELISTARA pediremos muestra de dichos ficheros.



Probablemente se trate de nuevas variantes del PUPER



saludos



ms, 28-12-2006

[dkvas]

Los acabo de enviar por email, me da a mi que esos son lo que hacen que cada cierto tiempo me aparezcan mensajes de que si esta infectado y se me abran ventanas con publicidad.



Ya me diras....



Gracias de nuevo.

[msc hotline sat]

Mientras los examinamos, mueve todos los ficheros de esta carpeta a c:\muestras y reinicia, a ver si , provisionalmente, se soluciona el problema



Luego, con el ELISTARA proximo ya los eliminaremos si procede y restauraremos las claves correspondientes



saludos



ms, 28-12-2006

[dkvas]

Os envio los resultado de panda en fichero txt

[msc hotline sat]

Lo que nos interesa es que muevas estos ficheros, reinicies y nos cuentes el resultado, es lo que realmente nos sirve.



No mezcles otras herramientas, que si no no sabremos si el ELISTARA elimina bien o no lo que hayamos hecho nuevo, y esto es para lo que está la evaluacion de las utilidades!



saludos



ms, 28-12-2006

[dkvas]

Acabo de cortar los archivos y pegarlos en una nueva carpeta llamada Muestra y he reiniciado el ordenador y ya no me saltan los mensajes de que esta infectado ni se me abren ventanas con publicidad, ademas al acceder a internet me sale la pagina de inicio que tenia, no como antes que salia otra.



Que tengo que hacer con el link de Java que me has puesto ??

[msc hotline sat]

Esrtabamos tanto con lo tuyo que se me ha colado lo de Java que es para otro, olvidalo :oops:



Y eso que nos dices si que es lo que queria oir !!! Ha costado al ser una nueva subfamilia dentro de los PUPER ...



Esta tarde subiremos nuevo ELISTARA qie controlarña todas estas novedades, pruebalo, pero de momento ya lo tienes solucionado provisionalmente



saludos



ms, 28-12-2006

[dkvas]

Muchas gracias, por toda la ayuda dispensada. :D :D :D



Referente al programa ELISTARA de donde lo bajo ??, el solo me quitará los archivos ó los borro yo a mano de la nueva carpeta Muestra ?

[msc hotline sat]

Mejor hacerlo con el ELISTARA para eliminar ficheros y claves y que haga el informe del proceso.



Esta tarde lo subiremos a esta web, pus ha de ser la nueva version de hoy v 12.98



el link de descarga es siempre:



(pero espera a ultima hora > 20 h)



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 28-12-2006