ayuda troyano monuri

tradismaker · Mensaje por **tradismaker** » 13 Oct 2006, 21:33

hola necesito ayuda con un troyano o algo asi, ke me ralentiza Y me da siempre aviso de infeccion, luego me cierra explorer y se reinicia, se llama monuri, ke debo hacer para limpiarlo.

gracias y un saludo

novatillo · Mensaje por **novatillo** » 14 Oct 2006, 02:13

Prueba con elistara y elitriip y tras lanzarlos y reiniciar posteas el contenido de C:/infosat.txt

ELISTARA

http://www.zonavirus.com/descargas/elistara.asp

ELITRIIP

http://www.zonavirus.com/descargas/elitriip.asp

Saludos.

Mensaje por **msc hotline sat** » 14 Oct 2006, 05:39

[quote]
se llama monuri
[/quote]

Diganos con qué antivirus lo ha detectado, por que no conocemos con este nombre a ningun malware

Tambien nombre del fichero donde lo encuentra, y posteenos log del HJT, gracias:

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, infornaremos

saludos

ms, 14-10-2006

tradismaker · Mensaje por **tradismaker** » 14 Oct 2006, 08:52

el caso es ke al arrancar me ha dicho ke tambien infectado por w32, pero el monuri, lo detecto el panda. este es el resultado tras pasar elistara y elitrip, no se si tengo ke pasarlos en modo seguro. gracias

Sat Oct 14 08:48:05 2006

EliStartPage v12.51 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "SPOOLSVV"="D:\WINDOWS\system32\spoolsvv.exe"

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.trendmicro.com

Linea Eliminada del HOSTS --> 127.0.0.1 rads.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 customer.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 us.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 updates.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.nai.com

Linea Eliminada del HOSTS --> 127.0.0.1 secure.nai.com

Linea Eliminada del HOSTS --> 127.0.0.1 dispatch.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 download.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.my-etrust.com

Linea Eliminada del HOSTS --> 127.0.0.1 mast.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 ca.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.ca.com

Linea Eliminada del HOSTS --> 127.0.0.1 networkassociates.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.networkassociates.com

Linea Eliminada del HOSTS --> 127.0.0.1 avp.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.kaspersky.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.avp.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads4.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads3.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads2.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 downloads1.kaspersky-labs.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.f-secure.com

Linea Eliminada del HOSTS --> 127.0.0.1 viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.viruslist.com

Linea Eliminada del HOSTS --> 127.0.0.1 liveupdate.symantecliveupdate.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.mcafee.com

Linea Eliminada del HOSTS --> 127.0.0.1 sophos.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.sophos.com

Linea Eliminada del HOSTS --> 127.0.0.1 securityresponse.symantec.com

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.symantec.com

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Eliminados Ficheros Temporales del IE

Sat Oct 14 08:50:56 2006

EliTriIP v2.60 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

Mensaje por **msc hotline sat** » 14 Oct 2006, 09:19

Tenias redirigidas en el HOSTS el acceso a las principales casas antivirus y se ha corregido, pero lo que se te pide es el log del HJT:

[quote]

Tambien nombre del fichero donde lo encuentra, y posteenos log del HJT, gracias:

HJT : (HiJackThis)

¿Como utilizar el Hijackthis ?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· Descargar Hijackthis

Tras analizarlo, infornaremos
[/quote]

aparte te faltan los parches de este año. Lanza un windowsupdate !!!

saludos

ms. 14-10-2006

tradismaker · Mensaje por **tradismaker** » 16 Oct 2006, 10:51

Logfile of HijackThis v1.99.1

Scan saved at 10:52:09, on 16/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\SYSTEM32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Archivos de programa\Internet Explorer\iexplore.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Archivos de programa\Archivos comunes\Logitech\QCDriver3\LVCOMS.EXE

D:\Archivos de programa\Java\j2re1.4.2_11\bin\jusched.exe

D:\WINDOWS\system32\rundll32.exe

D:\WINDOWS\system32\ctfmon.exe

D:\windows\system32\_mzu_stonedrv3.exe

D:\Archivos de programa\Terra\Kit Terra ADSL\dslmon.exe

D:\WINDOWS\system32\nvsvc32.exe

D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

D:\WINDOWS\system32\svchost.exe

D:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

D:\WINDOWS\msagent\AgentSvr.exe

D:\Archivos de programa\WinRAR\WinRAR.exe

D:\DOCUME~1\JUANCA~1\CONFIG~1\Temp\Rar$EX0k.f10\HijackThis.exe

D:\WINDOWS\system32\taskmgr.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.terra.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {412C01D0-853B-9268-BE5A-0BC89D7D8BE6} - D:\WINDOWS\system32\wdmyyoj.dll

O4 - HKLM\..\Run: [LVCOMS] D:\Archivos de programa\Archivos comunes\Logitech\QCDriver3\LVCOMS.EXE

O4 - HKLM\..\Run: [LogitechGalleryRepair] D:\Archivos de programa\Logitech\ImageStudio\ISStart.exe

O4 - HKLM\..\Run: [LogitechImageStudioTray] D:\Archivos de programa\Logitech\ImageStudio\LogiTray.exe

O4 - HKLM\..\Run: [QuickTime Task] "D:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Archivos de programa\Java\j2re1.4.2_11\bin\jusched.exe

O4 - HKLM\..\Run: [Telefonica] D:\Archivos de programa\Terra\KitAIM\InstaladoresUSB1.5\Comtrend2\Install.exe

O4 - HKLM\..\Run: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe

O4 - HKLM\..\Run: [riyugxf.dll] D:\WINDOWS\system32\rundll32.exe D:\WINDOWS\system32\riyugxf.dll,rtmfadb

O4 - HKLM\..\Run: [ms] D:\DOCUME~1\JUANCA~1\CONFIG~1\Temp\27831\gm.exe

O4 - HKLM\..\Run: [APVXDWIN] "D:\Archivos de programa\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [Explorer 2238] D:\WINDOWS\system32\dxvwmljm.exe

O4 - HKLM\..\RunServices: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe

O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [NBJ] "D:\Archivos de programa\Ahead\Nero BackItUp\NBJ.exe"

O4 - HKCU\..\Run: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe

O4 - Global Startup: Consola KIT ADSL.lnk = ?

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Archivos de programa\Java\j2re1.4.2_11\bin\npjpi142_11.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Archivos de programa\Java\j2re1.4.2_11\bin\npjpi142_11.dll

O12 - Plugin for .pdf: D:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O12 - Plugin for .spop: D:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1128699694593

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: winsys2freg - D:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - D:\WINDOWS\system32\kldpxs.dll

O21 - SSODL: EUfRCKzOnZQc - {0D4C17E7-A7E6-BD4D-60F5-697E503C0EC5} - D:\WINDOWS\system32\obx.dll

O21 - SSODL: DCOM Server 2238 - {2C1CD3D7-86AC-4068-93BC-A02304BB2238} - D:\WINDOWS\system32\dxvwmljm.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - D:\WINDOWS\SYSTEM32\pavsrv.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - D:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

es esto lo ke necesitan, el caso es ke ahora me deja sin barra de tareas, y sin ningun acceso y tengo ke ir a ctrl, alt, supr, para pasar a otra tarea.

Mensaje por **msc hotline sat** » 16 Oct 2006, 11:24

Pues todas estas claves son sospechosas...

Las de aplicaciones que no conozcas pueden ser malwares y en tal caso deberian eliminarse, pero mucho cuidado. Ante la duda, mas vale abstenerse

O2 - BHO: (no name) - {412C01D0-853B-9268-BE5A-0BC89D7D8BE6} - D:\WINDOWS\system32\wdmyyoj.dll ----> parece nombre aleatorio, muy probable malware

O4 - HKLM\..\Run: [Telefonica] D:\Archivos de programa\Terra\KitAIM\InstaladoresUSB1.5\Comtrend2\Install.exe ----> si realmete es de telefonica, dejarla estar

O4 - HKLM\..\Run: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe ---> malware 99 %

O4 - HKLM\..\Run: [riyugxf.dll] D:\WINDOWS\system32\rundll32.exe D:\WINDOWS\system32\riyugxf.dll,rtmfadb ----> parece nombre aleatorio, muy probable malware

O4 - HKLM\..\Run: [ms] D:\DOCUME~1\JUANCA~1\CONFIG~1\Temp\27831\gm.exe ---> lanza un exe desde una carpeta temporal, probablemente malware

O4 - HKLM\..\Run: [Explorer 2238] D:\WINDOWS\system32\dxvwmljm.exe ----> parece nombre aleatorio, muy probable malware

O4 - HKLM\..\RunServices: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe ---> malware 99%

O4 - HKCU\..\Run: [_mzu_stonedrv3] d:\windows\system32\_mzu_stonedrv3.exe ---> malware 99 %

O20 - Winlogon Notify: winsys2freg - D:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - D:\WINDOWS\system32\kldpxs.dll ----> parece nombre aleatorio, muy probable malware

O21 - SSODL: EUfRCKzOnZQc - {0D4C17E7-A7E6-BD4D-60F5-697E503C0EC5} - D:\WINDOWS\system32\obx.dll

O21 - SSODL: DCOM Server 2238 - {2C1CD3D7-86AC-4068-93BC-A02304BB2238} - D:\WINDOWS\system32\dxvwmljm.exe ----> parece nombre aleatorio, muy probable malware

Si quieres , envianos muestras de los ficheros que lanzan las que no conozcas y los analizaremos

Tennos informados en este Tema, gracias

saludos

ms, 16-10-2006