aplicacion desconocida accediendo a internet (solucionado)

[formiga]

Hacia mucho que entraba a exponer problemas, que bien!

Bueno al caso, que ayer me volvio a pedir una aplicacion desconocida hasta el momento por la menda lerenda acceso a internet. asi que procedi a lo de costumbre, spybot ad-aware, antivirus (si, en ,modo a prueba de fallos) y nada. Le pase el hijackthis (pero que nombre por dios) para ver desde donde se cargaba.

La aplicacion es dll.safe.exe alguien sabe que es?

No me he instalado nada ultimamente, ni me he bajado nada, asi que no se de donde ha salido.

He ido al administrador de tareas y he visto que estaba ahi tan pancho el muy capullo. Le he dado a finalizar tarea a ver si pasaba algo raro, y nothing de nothing.



El log del hijlkajslkjd es:



C:\WINNT\system32\dllsafe.exe

O4 - HKLM\..\Run: [Sysmon] dllsafe.exe

O4 - HKLM\..\RunServices: [Sysmon] dllsafe.exe

O4 - HKCU\..\Run: [Sysmon] dllsafe.exe



Que hago? me lo cargo a saco paco? Lo dejo en paz?

PD: Hoy me he bajado los ultimos parches de windows, pero por supuesto me sigue pidiendo acceso.

PPD: uso windows2000

PPPD: Saludos!!!

[msc hotline sat]

Hola formiga !



Pues ya sabes donde la tienes que enviar, a zonavirus@satinfo.es anexada a un mail cuyo texto sea un copiar y pegar de este post.



No, no conocemos que es esto de DLLSAFE:EXE, pero se adivina, verdad...



Lo analizamos y te decimos algo



saludos



ms, 14-07-2004

[maura63]

Informacion sobre sysmon



http://www.enciclopediavirus.com/virus/vervirus.php?id=741&alerta=1



Saludos

maura63

[formiga]

OK, enviado.

?¿ yo hace mucho que ni uso no tengo el ICQ... que cosas

Lei tarde la informacion que dabas maura, envie el correo ya.

[msc hotline sat]

Maura63, ¿ en que se relacionan el DLLSAFE.EXE y el BIZEX ?



Cuentamelo para ganar tiempo, please.



Si lo dices porque el valor de la clave indica Sysmon, no tiene porque estar relacionado, como si al valor le pusieramos Maura, no tendrías ninguna culpa.



saludos



ms, 14-07-2004

[maura63]

Solo era por si tenia alguna relacion con



O4 - HKCU\..\Run: [[color=red]Sysmon[/color]] dllsafe.exe



al no encontrar informacion sobre [color=red]dllsafe.exe [/color]





Saludos

maura63

[msc hotline sat]

Repito que el valor de una clave no tiene porqué corresponder con una aplicacion del mismo nombre, sino incluso querer despistar, si bien tambien podría tener relacion, por lo que quería saber si te habías basado en el valor de la clave o sabías algo mas al respecto.



La verdad es que del Bizex no hemos tenido incidencias, y está ya controlado por McAfee desde hace 4 meses, desde la 4328, pero saldremos de didas mirando si formiga tiene dos DLL :

.[quote]
Dentro del directorio C:\Windows\System32, serán copiadas las librerías java32.dll y javaext.dll
[/quote]

Y tambien crea el fichero SYSMON, no el DLLSAFE.EXE, y solo en HKLM....RUN, no en RUNSERVICES, etc, pero podría tratarse de una variante aun no conocida de él, por lo que toda ayuda es bien recibida.



Voy a enviarle un privado a formiga a ver si nos indica si tiene o no estas DLL, y que nos conteste aqui mismo.



gracias y saludos



ms, 14-07-2004

[formiga]

voy voy

la javaext.dll no la encuentro

la otra, lo mas parecido que he visto es esta NPjava32.dll que si no me equivoco es buena (del applet de java de Sun)

Asi que no, no las tengo.

Ya lo siento, eso significaria que estaria resuelto el problema, pero por otro lado querria decir que mi antivirus esta muuuuy vago.

Saludos!!!!

[msc hotline sat]

Y con razón !



Tu DLLSAFE.EXE ha resultado ser un Keylogger desconocido hasta ahora, y que pasamos a controlar.



Estamos inplementando su control y eliminacion en una nueva version del ELISLUTA:EXE, que subiremos a esta web cuando esté lista (a media mañana)



Se ha enviado tambien a McAfee para su inclusion en futuros DAT.



Seguiremos informando



saludos



ms, 15-07-2004

[msc hotline sat]

Terminada la implementacion y creada version 4.0 del ELISLUTA con el control del nuevo keylogger



La utilidad detendrá el proceso virico en memoria, eliminará el gusano y restairará las claves de registro modificadas por el virus.



Se informa que este nuevo bicho tiene caracteristicas como el SDBOT, entrando por comparticiones administrativas, si bien tiene funciones de keylogger, con lo que el hacker puede recibir informacion de la máquina infectada.



Se recomienda ver el Tema de las comparticiones administrativas:



https://foros.zonavirus.com/viewtopic.php?t=1013



Puede descargarse la nueva version ELISLUTA, desde:



https://foros.zonavirus.com/viewtopic.php?t=29



saludos



ms, 15-07-2004

[formiga]

porque a mi!!!??? PUGCUÁ PUGCUÁ PUGCUÁÁÁÁ!!!!!!!!

Aaah en fin, en cuanto llegue a casa me la descargo, muchisiiimas gracias

Sois como los Robin Hood de la informatica.

Saludos!!!

[msc hotline sat]

Para todos en general, McAfee ya ha respondido a la muestra, detectando el keylogger en cuestion como un SPYBOT mas (no confundir los virus con la aplicacion del mismo nombre), y que es detectada con un EXTRA.DAT que ofrecemos a continuacion:



__________________



2242 178 159 179 77 51 218 128 63 28 222 195 116 81 226 199

35 68 226 193 96 160 138 180 77 51 141 179 230 51 30 180

1 115 141 179 13 222 47 32 10 52 205 179 13 51 100 72

158 52 138 243 13 51 141 211 101 160 138 180 77 51 141 179

109 139 30 180 10 115 141 179 13 138 149 32 10 52 205 179

13 51 237 91 158 52 138 243 13 51 141 211 204 160 138 180

77 51 141 179 241 102 30 180 10 115 141 179 13 83 17 32

10 52 205 179 13 51 102 181 158 52 138 243 13 51 141 64

142 160 138 180 77 51 141 179 230 49 30 180 10 115 141 179

13 139 217 32 10 52 205 179 13 51 102 178 158 52 138 243

13 51 141 35 109 204 137 34 15 50 140 76 12 71 104 163

16 188 151 83 168 126 14 28 42 225 121 71 251 192 163 231

142 49 205 179 232 35 54 159 254 144 161 120 162 23 212 235

218 136 17 100 138 180 104 163 181 46 141 189 147 177 2 44

64 220 49 136 251 13 49 15 232 35 121 250 168 70 123 29

89 67 49 222 164 47 227 32 13 38 104 163 152 11 31 6

38 99 123 233 83 118 224 205 187 218 25 159 232 35 117 154

171 126 187 27 137 194 61 190 167 87 35 38 221 167 104 163

112 54 74 245 67 89 63 210 56 18 70 220 155 228 171 247

232 35 221 89 17 185 147 1 174 46 237 234 10 109 165 100

29 83 104 163 4 148 127 93 6 115 78 88 76 176 115 116

94 14 154 125 232 35 127 27 197 65 253 240 56 157 143 122

36 169 32 65 226 16 104 163 50 200 184 54 20 80 81 7

13 85 69 231 77 45 98 127 232 35 228 254 78 25 198 228

42 116 3 251 109 68 58 205 1 61 104 163 214 229 243 57

37 74 134 30 30 1 255 16 189 55 210 59 232 35 142 210

163 56 204 136 230 1 56 214 67 71 26 12 168 126 104 163

130 201 109 139 118 70 53 78 189 131 103 179 26 88 13 179

232 35 177 49 209 161 12 192 140 151 34 27 105 24 210 200

51 12 104 163 184 75 244 207 110 47 58 48 80 225 253 75

129 181 180 110 232 35 67 162 35 35 198 141 65 27 146 209

250 186 185 70 211 93 104 163 168 58 215 62 4 65 4 178

241 206 251 22 181 69 44 18 232 35 150 224 4 3 209 77

62 78 139 53 246 95 96 119 98 93 104 163 54 173 77 174

147 0 154 45 160 41 186 246 101 28 242 202 232 35 193 11

193 158 106 240 149 21 31 127 237 182 218 244 189 178 104 163

163 34 24 30 22 169 164 183 219 199 141 43 104 57 143 179

232 35 226 10 241 56 150 211 52 206 127 76 237 237 41 244

115 27 104 163 17 88 231 193 154 156 19 114 213 204 109 120

22 63 248 202 232 35 88 51 232 175 71 157 107 175 215 203

218 189 243 41 29 53 104 163 120 50 19 153 51 20 190 140

220 229 115 177 75 196 134 181 232 35 100 21 184 184 24 118

87 109 55 218 129 173 17 98 157 196 104 163 239 52 191 8

130 76 76 208 236 1 78 3 5 11 154 150 232 35 231 3

173 127 198 6 206 185 246 124 210 240 90 186 247 221 104 163

182 62 91 22 212 197 63 246 20 142 253 72 188 175 75 216

232 35 220 222 250 180 44 133 202 171 68 255 229 152 62 154

230 156 104 163 2 139 234 115 20 178 85 21 55 164 134 195

197 13 126 142 232 35 20 8 18 187 23 5 254 70 121 72

226 32 199 101 119 124 104 163 146 189 153 189 183 191 245 133

144 210 116 24 84 198 105 43 232 35 59 232 99 237 214 245

215 96 89 100 79 133 134 241 191 129 104 163 114 107 31 250

59 64 44 191 184 206 215 166 111 3 97 71 232 35 122 105

82 77 221 226 130 26 104 25 10 190 15 1 243 187 104 163

75 1 75 79 58 75 188 16 223 94 34 208 135 147 145 172

232 35 121 52 185 139 74 20 109 168 194 74 146 59 22 27

221 151 104 163 245 60 43 181 11 58 124 106 222 253 187 56

179 26 55 52 232 35 173 107 27 65 60 224 37 180 128 36

76 206 77 216 40 72 104 163 246 83 33 199 108 226 232 177

22 41 85 31 182 234 16 19 232 35 18 145 162 243 90 32

184 235 122 229 152 125 20 13 62 249 104 163 172 26 173 129

14 153 95 241 243 195 101 62 152 191 165 194 232 35 115 53

84 158 6 231 212 146 149 204 227 120 189 160 42 205 104 163

23 50 117 214 76 71 113 10 18 167 249 174 97 23 236 219

232 35 32 109 7 170 247 136 41 148 64 3 134 237 67 226

185 105 104 163 7 143 45 68 188 45 189 220 237 211 144 148

244 33 141 148 232 35 46 222 222 76 0 80 36 73 60 151

182 248 7 131 35 106 104 163 30 10 183 149 176 151 185 14

199 189 191 215 15 60 163 109 232 35 91 213 234 10 128 238

234 79 231 223 236 105 84 129 168 86 104 163 183 38 195 168

66 18 248 162 108 88 130 95 73 50 75 103 232 35 96 170

253 212 25 67 23 163 172 181 96 211 55 219 18 47 104 163

236 69 44 255 7 211 92 78 224 191 200 33 69 157 163 143

232 35 141 204 60 60 242 121 138 71 73 151 175 11 192 249

173 147 104 163 32 251 99 149 190 191 182 105 226 174 72 6

172 135 186 244 232 35 2 0 30 208 238 176 244 232 74 228

18 249 118 205 96 13 104 163 234 229 179 233 212 229 134 162

215 40 95 249 32 138 94 116 232 35 203 145 238 232 70 107

201 219 103 80 222 0 159 75 209 68 104 163 209 68 195 111

42 156 204 230 49 97 253 219 122 129 201 250 232 35 125 171

47 162 156 128 135 53 51 15 35 162 100 148 135 186 104 163

242 85 126 75 20 19 119 173 77 50 169 153 56 20 161 158

232 35 166 218 204 197 181 7 250 8 149 40 194 249 173 109

198 251 104 163 92 245 53 169 102 50 178 79 108 76 217 36

255 74 165 144 232 35 171 134 248 135 77 240 194 133 108 188

175 214 106 117 1 193 104 163 236 8 252 40 230 222 172 5

139 156 198 114 43 158 230 193 232 35 12 80 157 172 14 183

236 169 68 116 145 197 86 202 120 204 104 163 129 201 207 21

143 99 62 19 202 172 128 231 163 38 252 186 232 35 196 92

41 238 110 11 236 196 43 45 185 110 112 27 108 110 104 163

247 226 190 251 46 154 149 129 9 201 161 250 132 204 136 198

232 35 186 69 64 161 110 113 117 92 12 169 119 14 47 154

171 74 104 163 241 58 42 246 123 153 57 194 185 30 38 223

227 164 173 167 232 35 93 206 233 44 117 19 87 84 54 186

115 39 56 75 94 123 104 163 184 1 86 165 177 2 130 163

36 109 75 102 229 175 89 64 232 35 19 73 121 42 40 19

68 139 235 79 4 227 16 22 154 45 104 163 59 142 227 27

168 29 80 104 22 231 195 185 33 229 148 246 232 35 63 168

217 202 223 62 160 139 119 204 213 163 135 67 52 110 104 163

80 243 9 44 168 135 101 6 3 140 190 83 22 246 78 34

232 35 206 76 83 7 249 208 167 223 45 18 233 7 117 174

167 27 104 163 226 121 50 195 127 245 229 137 45 23 99 227

254 165 197 243 232 35 60 208 153 204 15 191 172 171 116 244

149 165 87 194 56 206 104 163 200 242 108 164 202 21 29 161

128 214 96 205 18 40 201 196 232 35 231 239 7 27 80 34

67 180 175 11 11 50 8 31 151 145 104 163 56 182 35 6

51 111 90 136 76 69 40 121 39 122 6 26 232 35 52 134

232 48 41 71 191 142 152 64 85 153 78 30 53 138 104 163

151 8 91 249 20 113 43 189 228 21 141 116 165 188 168 3

232 35 252 74 114 82 42 245 179 113 130 29 97 150 161 252

98 183 104 163 140 183 206 52 5 172 208 192 91 34 255 153

93 177 23 79 232 35 96 31 237 190 16 163 103 89 19 24

90 174 39 24 2 202 104 163 51 146 63 227 119 232 196 254

114 201 174 144 71 57 180 209 232 35 63 57 254 81 173 225

116 84 215 233 144 205 40 31 84 6 104 163 244 142 6 142

238 191 45 236 243 208 57 40 123 1 126 178 232 35 72 57

216 154 171 22 86 105 92 54 147 226 12 50 168 226 104 163

211 88 6 234 2 66 225 124 2 152 16 170 45 215 78 193

232 35 146 65 78 243 107 69 153 251 185 148 103 252 163 236

154 189 104 163 178 245 245 108 53 124 59 110 12 159 198 188

205 108 204 41 232 35 112 130 124 133 2 131 91 134 10 114

32 72 62 153 47 197 104 163 205 224 137 117 7 221 227 31

170 113 103 215 31 154 118 229 232 35 176 245 54 63 21 32

173 214 208 123 88 73 68 59 32 175 104 163 105 240 244 74

252 72 2 49 224 222 104 23 233 30 168 59 232 35 244 0

219 104 41 17 53 208 140 215 56 67 218 124 78 246 104 163

150 25 227 37 17 135 44 170 220 156 159 127 255 39 71 6

232 35 184 78 67 157 188 141 235 44 59 137 54 208 254 29

42 23 114 183 156 49 140 177 142 49 205 179 232 35 167 79

111 242 236 102 37 91 166 236 228 180 221 155 164 16 128 49

5 48 233 210 96 35 222 76 34 177 133 176 105 82 224 104

20 204 141 49 7 54 234 214 99 29 232 179 13 50 141 167

242 50 224 253 242 69 45 199 127 51 141 178 127 51 141 179

65 51 141 179 13 119 141 179 13 51 206 227 13 110 141 204

12 51 140 150 140 76 142 179 12 22 12 204 15 51 140 150

140 76 137 179 12 22 12 204 15 51 12 204 12 51 12 204

13 51 12 204 14 51 140 150 140 76 141 179 12 22 12 204

8 51 140 150 140 76 143 179 12 22 12 204 15 51 140 148

140 76 140 179 12 22 12 204 13 51 12 204 12 51 12 204

13 51 133 179 13 51 141 175 13 51 255 50 114 254 143 180

13 125 138

1416 256 12548 336 W32/Spybot.worm





_______________



Se recuerda que, quien use McAfee, puede controlarlo seleccionando el script entre lineas, Hacer un Copiar (CTRL-C) y abrir el bloc de notas y PEGAR (CTRL-V) Yy luego Guardar Como EXTRA.DAT y copuar este fichero en el directorio de DATS del antivirus de mcAfee, junto con el SCAN,DAT



Hoy hay disponibñes los nuevos DAT 4376, que logicamente no conocen este nuevo bucho, y que será incluido en posteriores DAT



saludos



ms, 15-07-2004

[formiga]

Bajada utilidad y echado a patadas al bicho del ordenador.

Menos mal que lo pillamos a tiempo, lo tenia desde el martes 13 (¡?)

Pero que rabia da saber que te estan pillando datos privados

Una pregunta, si el zone le denegó el acceso a internet, ha enviado algun dato al "amo"? es por si he de cambiar alguna que otra contraseña, por ejemplo la de este foro.



Lo dicho, gracias otra vez, por la utilidad, por el extra dat y por la paciencia.

Por mi parte tema zanjado.

Saludos!!!!!!

[maura63]

Por tu seguridad yo las cambiaria todas las que tengas.



Saludos

maura63

[msc hotline sat]

Pues como indica nuestra formiga y con el beneplacito de Maura63, contrtolado el problema, se cierra el Tema



Y gracias tambien a tí, formiga, que sin tu colaboracion no estaría controlado todavía este keylogger.