Creo que alguien controla mi cuenta (SOLUCIONADO)

JRM · Mensaje por **JRM** » 27 Mar 2007, 22:20

Hola!

Hace un tiempo entre a este foro con un problema en un ordenador. Bien, ahora tengo otro en una máquina diferente.

La cuestión es que ayer, en una conversación en el messenger aparecio una frase como si fuese dicha por mi pero que yo no habia escrito. Hoy deje mi ordenador encendido durante toda la mañana y al volver después de comer cual fue mi sorpresa que me habian cambiao el nick del messenger. No ha estado nadie en mi casa, por lo tanto ha tenido que ser desde la red. Y por último, mi antivirus, el panda, ha detectado intentos de intrusión y los "ha bloqueado". En el informe aparecen ciertas IPs y los puertos de mi ordenador por los cuales pretendían acceder.

Me gustaría saber si podría tratarse de un spyware, un keylogger o no se, algo de ese estilo como un troyano.

Muchas gracias por su atencion.

Saludos.

Nuker · Mensaje por **Nuker** » 28 Mar 2007, 03:39

Prueba Elistara, pasalo en Modo Seguro, al terminar te creara un log en UNidad C, con el nombre de infoSat.txt, copias contenido y pegas aqui. Ahora bien, mencionas tambien que algunas IP'S intentan acceder, prueba tambien Elitriip, lo usas igual que Elistara, en Modo Seguro. *El log de Elitriip estara adjuntado en el mismo que Elistara.

Elistara:
http://www.zonavirus.com/descargas/elistara.asp

Elitriip:
http://www.zonavirus.com/descargas/elitriip.asp

Modo Seguro:
http://www.zonavirus.com/articulos/como ... fallos.asp

---------------------

Y posteanos un log de HijackThis para ver tus procesos activos y programas en ejecucion. Lo pasas en Modo NORMAL, abres, le das en scan and save log file, copias contenido del bloc y lo pegas aqui.

HijackThis:
http://www.zonavirus.com/descargas/tren ... ckthis.asp

Saludos.

Mensaje por **msc hotline sat** » 28 Mar 2007, 07:32

A la espera de los informes solicitados por Nuker, solo decirte que ademas de todos los malwares hay los hackeos del MSN hechos por verdaderos especialistas, contra lo que un buen cortafuegos (preferiblemente por hardware) es , aparte de no usar el MSN :lol: , lo recomendado.

saludos

ms, 28-03-2007

JRM · Mensaje por **JRM** » 28 Mar 2007, 12:21

HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 11:23:19, on 28/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
c:\archivos de programa\panda software\panda titanium 2006 antivirus + antispyware\firewall\PNMSRV.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PavFnSvr.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\pavsrv51.exe
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\AVENGINE.EXE
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PsImSvc.exe
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\TPSrv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\apvxdwin.exe
C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\System32\hphmon05.exe
C:\HP\KBD\KBD.EXE
C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\PRESAR~1\Presario\XPHWWRP4\plugin\bin\PCHButton.exe
C:\WINDOWS\system32\rundll32.exe
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\WebProxy.exe
C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOCUME~1\PROPIE~1\CONFIG~1\Temp\Rar$EX00.516\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://qes9.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-qes9.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ono.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: 194.162.4.16 aserver.dechema.de
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HPHUPD05] c:\Archivos de programa\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [UpdateManager] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Acme.PCHButton] C:\ARCHIV~1\PRESAR~1\Presario\XPHWWRP4\plugin\bin\PCHButton.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Abrir en nueva ficha de fondo - res://C:\Archivos de programa\Windows Live Toolbar\Components\es-es\msntabres.dll.mui/229?04bd2a33d7cd490897dae07c8d95edae
O8 - Extra context menu item: Abrir en nueva ficha en primer plano - res://C:\Archivos de programa\Windows Live Toolbar\Components\es-es\msntabres.dll.mui/230?04bd2a33d7cd490897dae07c8d95edae
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1172249596687
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: avldr - C:\WINDOWS\SYSTEM32\avldr.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PavFnSvr.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\pavsrv51.exe
O23 - Service: Panda Network Manager (PNMSRV) - Panda Software - c:\archivos de programa\panda software\panda titanium 2006 antivirus + antispyware\firewall\PNMSRV.EXE
O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PsImSvc.exe
O23 - Service: Panda TPSrv (TPSrv) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\TPSrv.exe

Elistara y Elitriip:

Wed Mar 28 11:04:16 2007
EliStartPage v13.62 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Entrada Eliminada [HKLM\...\Run] "AlcxMonitor"="ALCXMNTR.EXE"
Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"
Eliminada Carpeta "%WinSys%\LogFiles"
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Wed Mar 28 11:04:31 2007
EliStartPage v13.62 (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\BIN\BITVIEW.EXE --> Eliminado, CommanderNET (TB)
C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PARSERFW.DLL --> Eliminado, FDoS-SpaBot
C:\WINDOWS\system32\IGFXHK.DLL --> Eliminado, MediaBack (BHO)

Wed Mar 28 11:15:16 2007
EliTriIP v3.40 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Acción Directa):

Wed Mar 28 11:15:20 2007
EliTriIP v3.40 (c)2007 S.G.H. / Satinfo S.L.
---------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Espero ansiosa su respuesta

Mensaje por **msc hotline sat** » 28 Mar 2007, 13:47

Vemos un posible falso positivo, que pasamos a mejorar, y lo avisamos para que restaure dicho fichero:

C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\PARSERFW.DLL --> Eliminado, FDoS-SpaBot

Hemos visto que en BitTorrent está disponible, si quiere descargarselo de nuevo (nosotros no utilizamos P2P)

Si no, puede reinstalar este Panda y en cualquier caso, si puede enviarnos dicho fichero cuando lo tenga, mejoraremos la cadena de deteccion para que no coincida con una de la DLL.

Paso a analizar el log del HJT :

Solo hay atipica esta clave del HOSTS:

O1 - Hosts: 194.162.4.16 aserver.dechema.de

que al querer entrar en la URL indicada, llevará a la IP de Ya,com:

84.77.20.50 ES Spain 29 Madrid Madrid 40.4000 -3.6833 Ya.com Internet Factory Ya.com Internet Factory

Pero si asi lo quiere, dejela, no hace ningun daño...

Comentenos si tras lo eliminado por el ELITRIIP, persiste alguna anomalia, gracias

saludos

ms, 28-03-2007

JRM · Mensaje por **JRM** » 28 Mar 2007, 23:29

Hola otra vez.

He intentado reinstalar el panda pero no me deja. El archivo ese no lo puedo descargar por el programa que me decian porque no lo tengo. Y otra cosa, el panda no se ha quejado de ese archivo, ¿es normal esto?

Bueno y en cuanto a la entrada esa del host aunque no sea maliciosa me gustaria eliminarla puesto que yo no la he escrito y nunca entro a ya.com.

Si se les ocurre algo más...

Gracias

Saludos

Mensaje por **msc hotline sat** » 29 Mar 2007, 19:51

Pues simplemente elimine esta clave:

Código: Seleccionar todo

O1 - Hosts: 194.162.4.16 aserver.dechema.de

recuerde: viewtopic.php?f=2&t=45334

saludos

ms, 29-03-2007

JRM · Mensaje por **JRM** » 29 Mar 2007, 23:56

Bien, he logrado reinstalar el antivirus. Ya tengo el archivo parserFW.dll y lo enviare como una muestra ¿verdad? Con un correo, con referencia...

De momento no he notado nada anómalo, pero tampoco he pasado tanto tiempo en el ordenador. Veremos a ver este fin de semana que ocurre.

Confimen si el envío del fichero lo hago por email.

Muchas gracias y hasta el lunes.

Mensaje por **msc hotline sat** » 30 Mar 2007, 12:05

Si, por mail como se indica en :

viewtopic.php?f=2&t=45334

y por favor, indicar FALSO POSITIVO, pues normalmente buscamos al reves

saludos

ms, 30-03-2007

JRM · Mensaje por **JRM** » 30 Mar 2007, 13:35

No se que ocurre con el servidor de correo. He intentado enviar 2 veces el archivo y parece como que al final no lo manda.
Si son tan amables de decirme si lo han recibido o no...

Saludos.

JRM · Mensaje por **JRM** » 30 Mar 2007, 13:43

Hola otra vez.

Enredando en el administrador de tareas he encontrado un proceso llamado WEBPROXY.EXE .No puedo cerrarlo porque dice algo como "La operacion no se pudo terminar. Uno de los archivos vinculados al sistema no funciona."

Yo tengo una red casera pero uso la conexion de redes de Windows. No utilizo proxy para nada. ¿Que significa esto entonces?

Gracias.

Mensaje por **msc hotline sat** » 30 Mar 2007, 14:14

Sí, se ha recibido y aunque no nos dé tiempo hoy, implementaremos su correccion en proxima version del ELISTARA 13.68

Y sobre lo del webproxy.exe es de Panda:

C:\Archivos de programa\Panda Software\Panda Titanium 2006 Antivirus + Antispyware\WebProxy.exe

Y ya con lo indicado y aclarado anteriormente, diganos si aun persiste algun problema o ya procedamos a dar por solucionado el Tema, gracias

saludos

ms, 30-03-2007

Mensaje por **msc hotline sat** » 02 Abr 2007, 13:23

Cambiadas las cadenas de control, se deja de identificar el falso positivo

A partir del ELISTARA 13.68 de hoy ya estará corregido

saludos y gracias

ms, 2-04-2007

JRM · Mensaje por **JRM** » 02 Abr 2007, 21:47

Hola!

Acabo de pasar la nueva versión del elistara y esta todo correcto. Parece que no hay nada anormal.

Muchas gracias por todo. Hacen un buen trabajo ;-)

Saludos.

Mensaje por **msc hotline sat** » 02 Abr 2007, 21:52

Gracias por comprobarlo y decirnoslo.

Y solucionado el problema, procedemos a cerrar el Tema

Si nos necesita de nuevo, ya sabe donde estamos

saludos

ms, 2-04-2007

Creo que alguien controla mi cuenta (SOLUCIONADO)

Creo que alguien controla mi cuenta (SOLUCIONADO)

Aquí están los logs