Pop Up en búsqueda Google y redireccionamiento

vector · Mensaje por **vector** » 19 Feb 2007, 17:58

Hola:

Me he encontrado con un problemilla en el ordenador de un amigo usando google y es que al hacer una búsqueda inmediatamente surge un popup con un link a una supuesta oferta referente donde mirando en el código fuente siempre redirecciona a un tal gcloth.com

A continuación da igual que link de búsqueda se pinche que redirecciona a otra web diferente (supongo que la misma que la del popup)

El log:

[i]

Logfile of HijackThis v1.99.1

Scan saved at 16:48:21, on 19-02-2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe

C:\Archivos de programa\Alwil Software\Avast4\aswServ.exe

C:\Archivos de programa\Alwil Software\Avast4\AvAgent.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\MensajeriaWeb\MensajeriaWeb.exe

C:\ARCHIV~1\ALWILS~1\Avast4\aswDisp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

C:\Archivos de programa\KeirNet\K9\K9.exe

C:\Archivos de programa\Alwil Software\Avast4\aswMaiSv.exe

C:\Archivos de programa\Alwil Software\Avast4\aswWebSv.exe

O:\FRAN\Anti-Bichos\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.es/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http:/182.168.0.1

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: Class - {626251FC-4676-52FD-F14C-826289E57FA9} - C:\WINDOWS\yumra1.dll (file missing)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar4.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar4.dll

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [iTunesHelper] C:\Archivos de programa\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Mensajeria Web] C:\Archivos de programa\MensajeriaWeb\MensajeriaWeb.exe 1

O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\aswDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - Startup: Internet.lnk = ?

O4 - Startup: Launch K9.lnk = C:\Archivos de programa\KeirNet\K9\K9.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = elmio.local

O17 - HKLM\Software\..\Telephony: DomainName = elmio.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{BA87CED8-833E-4CC3-88D5-52FB627066E2}: NameServer = 192.168.0.1,80.58.32.97

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = elmio.local

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswMaiSv.exe" /service (file missing)

O23 - Service: avast! NetAgent - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\AvAgent.exe" /ServiceStart (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswWebSv.exe" /service (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Servicio del iPod (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe[/i]

¿Podéis ayudarme?

Gracias

Véctor

Mensaje por **lucl** » 19 Feb 2007, 18:05

Hola vector, mira , teneis el avast y el panda no? o os quedan restos del panda que no habeis quitado? luego te he visto claves raras, pero creo que a esta le puedes hacer fix cheked

O4 - Startup: Internet.lnk = ?

y de todos modos ves pasando el elistara en modo seguro y luego peganos el log que te dejara en C: infosat.txt

http://www.zonavirus.com/descargas/elistara.asp

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

vector · Mensaje por **vector** » 19 Feb 2007, 18:22

OK. Cierto lo del Panda. Muchas gracias. Me pongo a ello.

Véctor 8)

vector · Mensaje por **vector** » 19 Feb 2007, 19:10

EL elistara:

Mon Feb 19 17:57:54 2007

EliStartPage v13.35 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\Documents and Settings\elmio\Favoritos\Ebay.url --> Eliminado (Fichero Complementario).

Eliminada Class, "{626251FC-4676-52FD-F14C-826289E57FA9}" -> C:\WINDOWS\yumra1.dll

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Feb 19 18:03:02 2007

EliStartPage v13.35 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Alwil Software\Avast4\ASWSXML.DLL --> Eliminado, Danger (Spyre)

C:\Archivos de programa\MensajeriaWeb\UNINST.EXE --> AutoExtraible

Sin embargo el problema persiste, no sé hasta qué punto debido a la falta del update. Me pondré a ello a ver.

Véctor 8)

Mensaje por **msc hotline sat** » 19 Feb 2007, 19:11

Y mira de actualizar los parches...

Y aparte de lo indicado por lucl, puedes eliminar tambien esta:

O2 - BHO: Class - {626251FC-4676-52FD-F14C-826289E57FA9} - C:\WINDOWS\yumra1.dll (file missing)

recordar: https://foros.zonavirus.com/viewtopic.php?f=5&t=45334

saludos

ms , 19-02-2007

vector · Mensaje por **vector** » 19 Feb 2007, 19:35

Perdón, MSC. Se me pasó ese post... y gracias. Miraré el update, of course ;)

Véctor 8)

Nuker · Mensaje por **Nuker** » 19 Feb 2007, 19:38

Te dejo los links:

[i]SP2[/i]:

http://www.microsoft.com/en/us/default.aspxdownloads/details.aspx?FamilyID=049c9dbe-3b8e-4f30-8245-9e368d3cdb5a&displaylang=es

[i]Windows Update[/i]:

https://support.microsoft.com/es-es/help/12373/windows-update-faq

Saludos...

vector · Mensaje por **vector** » 19 Feb 2007, 20:08

Gracias por los links.

Por cierto:

[quote]O2 - BHO: Class - {626251FC-4676-52FD-F14C-826289E57FA9} - C:\WINDOWS\yumra1.dll (file missing) [/quote]

Solucionó el problema. Muchas gracias.

Véctor 8)

Mensaje por **msc hotline sat** » 19 Feb 2007, 20:10

Y sobre todo lo del redireccionamiento del Google es cosa de un FLUSH ! Como te indicaba lucl, baja el ELISTARA y tras probarlo, posteanos el contenido del infosat.txt, pero dinos si se ha solucionado lo del redireccionamiento, pues podemos estar ante una nueva variante del ya conocido FLUSH, y eso no se arregla con HJT...

Nos importa mucho tu respuesta al respecto, pues puede pasar por alto el problema y seguir existiendo.

saludos

ms, 19-02-2007

vector · Mensaje por **vector** » 19 Feb 2007, 21:19

El redireccionamiento y el popup están solucionados. Cuando pasé el Elistara se deshizo de un trojan llamado Alexia, aunque luego hubo que tirar de hijackthis para el otro archivo. De todas formas, mañana cuando vea a este amigo y desde su ordenador os remito el infosat, prometido ;)

Véctor 8)

Mensaje por **lucl** » 19 Feb 2007, 21:38

y recuerda, ultima version del elistara :lol:

esperamos tus noticias, saludos :D

Mensaje por **msc hotline sat** » 21 Feb 2007, 08:27

Un poco raro que solo por el ALEXA redireccionara los links del google...

Mas bien se eliminaron claves del FLUSH aunque no se detectaran los ficheros que lo motivaran, bien por haberse borrado anteriormente o bien por no ser controlado todavía...

Veamos el infosat.txt tras pasar la ultima version del ELISTARA, como indica lucl

saludos

ms, 21-02-2007

vector · Mensaje por **vector** » 21 Feb 2007, 11:00

Enviado hoy 21 un día tarde :roll: (ayer los carnavales pudieron conmigo :wink: :? )

La versión del Listara es la 26022007, que creo es la última :?:

Véctor 8)

Mensaje por **msc hotline sat** » 21 Feb 2007, 11:46

Me dicen que han eliminado un infosat.txt tuyo llegado por correo... Ello debe copiarse y pegarse como respuesta al Tema en cuestion (a este, claro), y en el foro, No enviarlo porque no es fichero virico !!!

Postealo a continuacion, gracias.

saludos

ms, 21-02-2007

vector · Mensaje por **vector** » 21 Feb 2007, 12:13

Lo siento, pero me despistó la respuesta con este link

https://foros.zonavirus.com/viewtopic.php?f=5&t=45334

El infosat es el que posteé ya más arriba:

Mon Feb 19 17:57:54 2007

EliStartPage v13.35 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\Documents and Settings\elmio\Favoritos\Ebay.url --> Eliminado (Fichero Complementario).

Eliminada Class, "{626251FC-4676-52FD-F14C-826289E57FA9}" -> C:\WINDOWS\yumra1.dll

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mon Feb 19 18:03:02 2007

EliStartPage v13.35 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Alwil Software\Avast4\ASWSXML.DLL --> Eliminado, Danger (Spyre)

C:\Archivos de programa\MensajeriaWeb\UNINST.EXE --> AutoExtraible

Véctor 8)

Mensaje por **msc hotline sat** » 21 Feb 2007, 13:24

Gracias por el posteo del infosat. Y los envios al respecto son de muestras que se piden en el foro o de que piden las mismas utilidades, lo cual se hace en SATINFO, mientras que los logs de infosat, HJT, etc, los revisamos ONLINE en el foro.

Bien, la cuestion es que ademas del RELATED.HTM priopio del Alexa, se eliminaron claves como: Eliminada Class, "{626251FC-4676-52FD-F14C-826289E57FA9}" -> C:\WINDOWS\yumra1.dll que podía estar afectando a dicha redireccion del google

Pues lo celebramos, y dando por solucionado el Tema, proecdemos a cerrarlo

saludos

m, 21-02-2007

Mensaje por **msc hotline sat** » 23 Feb 2007, 19:24

A solicitud del autor del Tema, este se reabre, el explicará porqué

ms, 23-02-2007

vector · Mensaje por **vector** » 23 Feb 2007, 19:38

Tras una pausa en el problema, todo hacía ver que se acababa el tema pero parece que ha vuelto a aparecer. Especialmente el tema del redireccionamiento a webs relacionadas con el tema. El archivo llamado yumra1.dll una vez eliminado como arriba indicaron, reaparece (por si puede significar algo).

Incluso después de un fix checked con el hijackthis, reaparece. Al analizar con el elistara en a prueba de fallos no permite acceder a una carpeta llamada c:\windows\$NTUninstallKB833330$\Blastcln(2064) Desconozco si tendrá algo que ver.

El log del hijack.

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe

C:\Archivos de programa\Alwil Software\Avast4\aswServ.exe

C:\Archivos de programa\Alwil Software\Avast4\AvAgent.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\MensajeriaWeb\MensajeriaWeb.exe

C:\ARCHIV~1\ALWILS~1\Avast4\aswDisp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

C:\Archivos de programa\KeirNet\K9\K9.exe

C:\Archivos de programa\Alwil Software\Avast4\aswWebSv.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\Alwil Software\Avast4\aswMaiSv.exe

O:\FRAN\Anti-Bichos\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http:/182.168.0.1

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: Class - {626251FC-4676-52FD-F14C-826289E57FA9} - C:\WINDOWS\yumra1.dll (file missing)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar4.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar4.dll

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [iTunesHelper] C:\Archivos de programa\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Mensajeria Web] C:\Archivos de programa\MensajeriaWeb\MensajeriaWeb.exe 1

O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\aswDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - Startup: Launch K9.lnk = C:\Archivos de programa\KeirNet\K9\K9.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = elmio.local

O17 - HKLM\Software\..\Telephony: DomainName = elmio.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{BA87CED8-833E-4CC3-88D5-52FB627066E2}: NameServer = 192.168.0.1,80.58.32.97

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = elmio.local

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswMaiSv.exe" /service (file missing)

O23 - Service: avast! NetAgent - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\AvAgent.exe" /ServiceStart (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswWebSv.exe" /service (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Servicio del iPod (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Espero en breve poder pasar un infosat del Elistara en cuanto pueda ver a este amigo...

Gracias:

Véctor 8)

Mensaje por **lucl** » 23 Feb 2007, 19:42

Insistimos! Te falta el sp2 y parches posteriores que son muchos y criticos, procede a ello si no quieres seguir teniendo problemas de seguridad, saludos.

http://www.microsoft.com/en/us/default.aspxdownloads/details.aspx?FamilyID=049c9dbe-3b8e-4f30-8245-9e368d3cdb5a&displaylang=es

vector · Mensaje por **vector** » 28 Feb 2007, 00:05

Ok. Parece que todo se ha arreglado vía Service Pack y siguientes actualizaciones por lo que me han comentado. Siento el caos de este tema debido a venir de "recadero". Gracias. Creo que ahora sí será posible el cierre definitivo.

Un saludo:

Víctor