Sospecha de espias en Pc

Jorgem · Mensaje por **Jorgem** » 03 Ene 2007, 06:30

Un feliz 2007 a todos, tengo una gran duda, hace un tiempo veo que la luz del reuter (internet) esta intermitente (señal de envio o descarga) sin que yo haga nada en la Pc, verifico en estado de conexion y marca actividad en enviados y recibidos, tengo el Nod32, Ad-aware Se, SpyRemove, no me encuentra nada malo, pero sospecho que algo hay, aqui algunos archivos raros?

BRWCTL32.DLL

GETUI.DLL

DJBADJB.DLL

Envio tambien el archivo de HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 11:13:00 p.m., on 02/01/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\NVIDIA Corporation\NvMixer\NVMixerTray.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\CLI.EXE

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

D:\utils\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: CIEPl Object - {3D70343E-636E-4FDC-AFF1-5907C3C4021F} - C:\WINDOWS\system32\getui.dll

O2 - BHO: (no name) - {822FDF7B-243B-4AA6-A9C2-0E7E6FE1CEBC} - C:\WINDOWS\system32\djbadjb.dll

O2 - BHO: IECatcher Class - {B930BA63-9E5A-11D3-A288-0000E80E2EDE} - C:\ARCHIV~1\MASSDO~1\MDHELPER.DLL

O4 - HKLM\..\Run: [NVMixerTray] "C:\Archivos de programa\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Archivos de programa\NVIDIA Corporation\nTune\\nTune.exe" clear

O4 - HKLM\..\Run: [ATICCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\CLIStart.exe"

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: Descargar &Todo usando Mass Downloader - C:\Archivos de programa\Mass Downloader\Add_All.htm

O8 - Extra context menu item: Descargar usando &Mass Downloader - C:\Archivos de programa\Mass Downloader\Add_Url.htm

O9 - Extra button: Mass Downloader - {0FD01980-CCCB-11D3-80D4-0000E80E2EDE} - C:\Archivos de programa\Mass Downloader\massdown.exe

O9 - Extra 'Tools' menuitem: &Mass Downloader - {0FD01980-CCCB-11D3-80D4-0000E80E2EDE} - C:\Archivos de programa\Mass Downloader\massdown.exe

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Archivos de programa\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Archivos de programa\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{0472D43A-E5C0-4182-979F-0BB7FA569F3C}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CCS\Services\Tcpip\..\{E46D7765-D147-4B16-B150-134F0A6C52BA}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CS1\Services\Tcpip\..\{0472D43A-E5C0-4182-979F-0BB7FA569F3C}: NameServer = 200.48.225.130,200.48.225.146

O17 - HKLM\System\CS2\Services\Tcpip\..\{0472D43A-E5C0-4182-979F-0BB7FA569F3C}: NameServer = 200.48.225.130,200.48.225.146

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: getui - C:\WINDOWS\SYSTEM32\getui.dll

O20 - Winlogon Notify: lixcnqwo - C:\WINDOWS\SYSTEM32\djbadjb.dll

O20 - Winlogon Notify: ljpnwvex - C:\WINDOWS\SYSTEM32\ljpnwvex.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe

****

A ver si me ayudan a salir de esta duda, gracias

Mensaje por **msc hotline sat** » 03 Ene 2007, 06:53

Enviarnos muestra de estos ficheros para analizar:

C:\WINDOWS\system32\getui.dll
C:\WINDOWS\system32\djbadjb.dll
C:\WINDOWS\SYSTEM32\getui.dll
C:\WINDOWS\SYSTEM32\djbadjb.dll
C:\WINDOWS\SYSTEM32\ljpnwvex.dll

Y eliminar de entrada estas claves:

O2 - BHO: CIEPl Object - {3D70343E-636E-4FDC-AFF1-5907C3C4021F} - C:\WINDOWS\system32\getui.dll

recordar: viewtopic.php?f=5&t=45334

saludos

ms, 3-01-2007

Mensaje por **msc hotline sat** » 04 Ene 2007, 11:27

Realmente este getui.dll es un troyano, medio VUNDO, medio Agent que pasamos a detectar con la nueva version del ELISTARA pero qie conviene complementar con el ELINOTIF.DLL.

Descargue estas dos utilidades en una misma carpeta y ejecute el ELISTARA, y tras reiniciar se terminará el proceso de limpieza:

ELISTARA:
http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL
http://www.zonavirus.com/descargas/elinotif.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 4-01-2007

Jorgem · Mensaje por **Jorgem** » 05 Ene 2007, 08:58

Buen dia

Gracias por la respuesta, baje y ejecute ELISTARA, fue efectivo, encontro varios archivos malos, entre ellos el getui.dll, pase 2 veces y a la tercera no encontro nada, pero sigo teneiendo actividad de salida (enviados) sin que haga nada con la pc, envio el infosat.txt, tambien me pidio actualizar parches de windows (justo sobre peligros de control remoto del equipo) baje 7 parches y los corri, pero como repito sigue en actividad el reuter y enviando, envio tambien 2 archivos que me pidio Satinfo:

DJBABJB.DLL

LJPNWVEX.DLL

Saludos

Thu Jan 04 23:31:52 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\LIXCNQWO]

Por favor, envienos una muestra del fichero

C:\WinLogon\DJBADJB.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\LJPNWVEX]

Por favor, envienos una muestra del fichero

C:\WinLogon\LJPNWVEX.DLL

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\GETUI.DLL --> SDOptimizer (notify) Acceso Denegado.

C:\WINDOWS\SYSTEM32\GETUI.DLL --> SDOptimizer (notify) Acceso Denegado.

C:\WINDOWS\SYSTEM32\OSPCONT.DAT --> Eliminado (Fichero Complementario).

Eliminada Class, "{3D70343E-636E-4FDC-AFF1-5907C3C4021F}" -> C:\WINDOWS\system32\getui.dll

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Jan 04 23:37:33 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Security Task Manager\ASCODE.DLL --> Eliminado, PWS-WoW

C:\Archivos de programa\Security Task Manager\SPYPRODLL.DLL --> Eliminado, PWS-WoW

C:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000040.DLL --> Eliminado, PWS-WoW

C:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000041.DLL --> Eliminado, PWS-WoW

C:\!KillBox\GETUI.DLL --> Eliminado, SDOptimizer (notify)

Thu Jan 04 23:39:38 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\utils\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

D:\utils\dfi\6-8_XP-2K_DD_CCC_WDM_ENU_35179.EXE --> AutoExtraible

D:\utils\hijackthis\backups\BACKUP-20070103-004042-782.DLL --> Eliminado, SDOptimizer (notify)

D:\utils\hijackthis\backups\BACKUP-20070103-004201-992.DLL --> Eliminado, SDOptimizer (notify)

D:\utils\hijackthis\backups\BACKUP-20070104-000859-167.DLL --> Eliminado, SDOptimizer (notify)

D:\utils\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

D:\utils\corel13\RSTResetter\RapidShare Time Resetter\RAPIDSHARE TIME RESETTER.EXE --> Eliminado, QuickBatch(dr)

D:\flash\rx550-x64\6-7_XP64_DD_CCC_34826.EXE --> AutoExtraible

D:\flash\utils2\lexar\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

D:\flash\utils2\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

Thu Jan 04 23:40:00 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

E:\utils2\rx550-x64\6-7_XP64_DD_CCC_34826.EXE --> AutoExtraible

E:\utils2\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

E:\utils2\lexar\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

E:\utils2\lexar\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

E:\de-c-p1\UTIL\medidor\conver-a\MIDCONVERTER.EXE --> AutoExtraible

Instalada Utilidad "ELINOTIF.DLL"

EliNotify v1.7.01.03 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------------

Lista de Acciones:

Detectado SDOptimizer

Elininada KEY "Winlogon\Notify\getui"

Elininada Class {3D70343E-636E-4FDC-AFF1-5907C3C4021F}

C:\WINDOWS\SYSTEM32\OSPCONT.DAT -> Eliminado.

Desinstalado EliNotif.dll

Thu Jan 04 23:50:48 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\LIXCNQWO]

Por favor, envienos una muestra del fichero

C:\WinLogon\DJBADJB.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\LJPNWVEX]

Por favor, envienos una muestra del fichero

C:\WinLogon\LJPNWVEX.DLL

a "virus@satinfo.es". Gracias.

Eliminada Class, "{3D70343E-636E-4FDC-AFF1-5907C3C4021F}" -> NULL2

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Jan 04 23:51:54 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\WINDOWS\system32\GETUI.DLL --> Eliminado, SDOptimizer (notify)

C:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000042.DLL --> Eliminado, SDOptimizer (notify)

C:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000060.DLL --> Eliminado, SDOptimizer (notify)

Thu Jan 04 23:54:03 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000043.DLL --> Eliminado, SDOptimizer (notify)

D:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000044.DLL --> Eliminado, SDOptimizer (notify)

D:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000045.DLL --> Eliminado, SDOptimizer (notify)

D:\System Volume Information\_restore{4EC19158-5147-42D7-969E-AAF295B225F7}\RP1\A0000046.EXE --> Eliminado, QuickBatch(dr)

D:\utils\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

D:\utils\dfi\6-8_XP-2K_DD_CCC_WDM_ENU_35179.EXE --> AutoExtraible

D:\utils\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

D:\flash\rx550-x64\6-7_XP64_DD_CCC_34826.EXE --> AutoExtraible

D:\flash\utils2\lexar\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

D:\flash\utils2\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

Thu Jan 04 23:54:20 2007

EliStartPage v13.02 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

E:\utils2\rx550-x64\6-7_XP64_DD_CCC_34826.EXE --> AutoExtraible

E:\utils2\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

E:\utils2\lexar\kaspersky-esp-5\KAV5.0.388_PERSONALES.EXE --> AutoExtraible

E:\utils2\lexar\dfi\6-7_XP-2K_DD_CCC_WDM_ENU_34826.EXE --> AutoExtraible

E:\de-c-p1\UTIL\medidor\conver-a\MIDCONVERTER.EXE --> AutoExtraible

Mensaje por **msc hotline sat** » 05 Ene 2007, 11:02

Recibidas las muestras de

Por favor, envienos una muestra del fichero

C:\WinLogon\DJBADJB.DLL

Por favor, envienos una muestra del fichero

C:\WinLogon\LJPNWVEX.DLL

Entran en proceso de investigación, pero mientras puede renombrar estas DLL a extension .VIR a ver si tras reiniciar deja de haber trafuico en el router y nos lo comenta.

Si procede, se programará su eliminacion en proxima versión del ELISTARA

saludos

ms, 5-01-2007

Mensaje por **msc hotline sat** » 05 Ene 2007, 14:03

info a mitad de proceso:

La primera ya la tenemos controlada, para ello se hace nuevo ELINOTIF que utilizara el nuevo ELISTARA de hoy, bajarse los dos ficheros. Esta tarde, a una misma carpeta, y probar el ELISTARA, que instalará la DLL y en el proximo reinicio eliminara claves y ficheros al respecto

La segunda se reproduce con nombre variable y sera eliminada con la misma version del ELISTARA

Esta tarde estara disponible

saludos

ms, 5-01-2007

Jorgem · Mensaje por **Jorgem** » 06 Ene 2007, 08:19

Buen dia, gracias y felicitaciones, baje el nuevo ELISTARA y ELINOTIF, los eliminó y ahora no registra trafico en el router, esta normal, agradesco sus esfuerzos por ayudarnos, este foro es una gran ayuda de verdad para los internautas, felicitaciones una vez mas, son efectivos y oportunos, ya que este problema me tenia loco, y seguro que servira a todos esta experiencia.

Quisiera que me indicaran que parches del windows hace falta instalar, ya que me indica "UpdateWindows incompleto"

Saludos

Jorge

Nuker · Mensaje por **Nuker** » 06 Ene 2007, 10:31

Estos son los que le faltan:

Parche MS06-001 de Microsoft (WMF)
Parche MS06-070 de Microsoft (SServidor)

Solo lance un Windows Update accediendo a la pagina de microsoft y dele en e recuadro manual o avanzado para que ud escoja los parches que quiere instalar o si no solo dele en rápida para instalar todos lo que le hicieran falta sin preguntarle que instalar.

Saludos.

Sospecha de espias en Pc

Sospecha de espias en Pc

Solucionado