Spyware???

[drjuanse]

A los profesionales:

He tenido unos inconvenientes en los últimos días. Ya tuve unos problemas idénticos una vez así que obviamente deduje al instante que eran spyware.

Estoy 99% seguro que ingresaron al yo "tontamente" descargar un codec de videos.

Los síntomas eran el de lentalización de la pc, cambios en la página de inicio, etc, etc.

aSí que me puse a trabajar con el ad-aware.. éste me encontró los parásitos y los eliminé. No resultó ya que no lo hice en modo a prueba de errores. Luego lo habré hecho unas 2 veces más (ya en modo a prueba de errores) con el ad-aware y el spybro. Me eliminó algunos cookies y me marcaba algunos archivos del registro (local machine). Todo esto pero el mensaje globito en mi barra de tareas seguía apareciendo : CRITICAL SYSTEM ERROR... (ya conocido por muchos)

He leído que solicitan el log profiles del hijack this.. aquí les va:



Logfile of HijackThis v1.99.1

Scan saved at 06:26:09 p.m., on 25/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Archivos de programa\Spyware Doctor\sdhelp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Microsoft Encarta\Encarta 2006 Biblioteca Premium DVD\EDICT.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Winamp\winamp.exe

D:\Mis documentos\My Completed Downloads\HijackThis_1.99.1.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about-blank.in

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O1 - Hosts: 201.217.17.140 l2.juegosonline.com.py

O1 - Hosts: 201.217.17.140 l2testauthd.lineage2.com

O1 - Hosts: 201.217.17.140 l2authd.lineage2.com

O1 - Hosts: 201.217.17.140 nprotect.lineage2.com

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Complemento del Asistente para Internet de Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [E06EXLRD_223562] "C:\Archivos de programa\Microsoft Encarta\Encarta 2006 Biblioteca Premium DVD\EDICT.EXE" -m

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Clean Traces - C:\Archivos de programa\DAP\Privacy Package\dapcleanerie.htm

O8 - Extra context menu item: &Download with &DAP - C:\Archivos de programa\DAP\dapextie.htm

O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZCxdm451YYPY

O8 - Extra context menu item: Download &all with DAP - C:\Archivos de programa\DAP\dapextie2.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_07\bin\npjpi142_07.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_07\bin\npjpi142_07.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Archivos de programa\PartyPoker\PartyPoker\RunApp.exe

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Archivos de programa\PartyPoker\PartyPoker\RunApp.exe

O9 - Extra button: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)

O9 - Extra 'Tools' menuitem: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9DE0AE73-7648-4CB7-B67B-FB4308BBC733}: NameServer = 172.24.0.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: contrabandists - {dfa61db1-388e-4c87-8d56-540fa229bcb4} - C:\WINDOWS\system32\dpfwu.dll

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Archivos de programa\Spyware Doctor\sdhelp.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe



Espero una respuesta satisfactoria. Confío en ustedes.

Saludos desde Paraguay

[koga]

Pruebe descargando y ejecutando el Elistara:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Una vez terminado el proceso nos postea el contenido del archivo C:/Infosat.txt como respuesta a este tema y tb un nuevo log de HJT.



Saludos.

[drjuanse]

Wed Oct 25 23:13:04 2006

EliStartPage v12.58 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Página de Inicio de IE, "about-blank.in" --> Eliminada

Eliminada Carpeta "%Archivos de Programa%\FunWebProducts"

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-040 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Wed Oct 25 23:17:08 2006

EliStartPage v12.58 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\MSN Messenger Guiños\INSTALAR GUIñOS.EXE --> Eliminado, Guiños(msn)

C:\unzipped\wink001\AGREGAWINKSMUGGINS(http://WWW.GRAATIS.COM).EXE --> Eliminado, Guiños(msn)

C:\WINDOWS\system32\SUN CLOCK 6.SCR --> Eliminado, DriverLoad (Clicker.Delf.CN)



Wed Oct 25 23:21:12 2006

EliStartPage v12.58 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\Mis documentos\LIMEWIREWIN.EXE --> AutoExtraible

D:\Mis documentos\Codecs viejos\cofran\MDVDP12.EXE --> Eliminado, Guiños(msn)

D:\Mis documentos\JUANSE\SUNZIP65.EXE --> AutoExtraible



Wed Oct 25 23:21:58 2006

EliStartPage v12.58 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

D:\Mis documentos\LIMEWIREWIN.EXE --> AutoExtraible

D:\Mis documentos\JUANSE\SUNZIP65.EXE --> AutoExtraible

[koga]

Elistara elimino el molesto guiños msn que seguramente cambiaba la pagina de inicio por una no deseada (viejo conocido mio...)

Ahora de todas formas descargue Elitriip y ejecutelo al igual que elistara y postea nuevamente el contenido del archivo C:/Infosat.txt,



ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp







De persistir el problema ejecute nuevamente el hijackthis y copia un nuevo log.

Ademas es urgente que realice un windows update porque le faltan parches de seguridad!







Saludos.

[drjuanse]

Thu Oct 26 01:03:29 2006

EliTriIP v2.65 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

D:\Ragnarok\RO\Parche RO JOPY 01-06-06.exe --> Eliminado, Bifrose (dropper)



Con respecto a los parches, por a o b motivo el windows update estaba desactivado. Ya lo activé y las actualizaciones ya están en marcha.



Como el problema persiste mando el log de hijack:



Logfile of HijackThis v1.99.1

Scan saved at 02:33:10 a.m., on 26/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Microsoft Encarta\Encarta 2006 Biblioteca Premium DVD\EDICT.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Ares\Ares.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Archivos de programa\Spyware Doctor\sdhelp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\DAP\DAP.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

D:\Mis documentos\My Completed Downloads\HijackThis_1.99.1.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com.ar

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O1 - Hosts: 201.217.17.140 l2.juegosonline.com.py

O1 - Hosts: 201.217.17.140 l2testauthd.lineage2.com

O1 - Hosts: 201.217.17.140 l2authd.lineage2.com

O1 - Hosts: 201.217.17.140 nprotect.lineage2.com

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Complemento del Asistente para Internet de Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKCU\..\Run: [E06EXLRD_223562] "C:\Archivos de programa\Microsoft Encarta\Encarta 2006 Biblioteca Premium DVD\EDICT.EXE" -m

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O8 - Extra context menu item: &Clean Traces - C:\Archivos de programa\DAP\Privacy Package\dapcleanerie.htm

O8 - Extra context menu item: &Download with &DAP - C:\Archivos de programa\DAP\dapextie.htm

O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZCxdm451YYPY

O8 - Extra context menu item: Download &all with DAP - C:\Archivos de programa\DAP\dapextie2.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_07\bin\npjpi142_07.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_07\bin\npjpi142_07.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Archivos de programa\PartyPoker\PartyPoker\RunApp.exe

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Archivos de programa\PartyPoker\PartyPoker\RunApp.exe

O9 - Extra button: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)

O9 - Extra 'Tools' menuitem: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9DE0AE73-7648-4CB7-B67B-FB4308BBC733}: NameServer = 172.24.0.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: contrabandists - {dfa61db1-388e-4c87-8d56-540fa229bcb4} - C:\WINDOWS\system32\dpfwu.dll

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Archivos de programa\Spyware Doctor\sdhelp.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe



Me parece que estos parásitos no tienen curaaa!! jaja

Saludos

[drjuanse]

He leído también de personas que se preguntan del porqué de la aparición en los procesos del programa MDM.exe.. Éste se inicia al iniciarse mi pc.

Escuché de comentarios que si el proceso no viene del system e sporq es un troyano.

En el administrador de tareas me marca que proviene del sistema, pero la verdad que nunca antes aparecía el proceso del depurador.. ¿tiene algo que ver el mdm.exe?

[koga]

Pues intentemos otra cosa...
Inicie en modo seguro con funciones de red y ejecute el siguiente antivirus online:

Antivirus Online

Y nos comenta los como le fue.

Saludos.

P.D: Respecto a lo del proceso indicado parece ser normal en este caso.

[koga]

Recuerde desactivar la restauracion de sistema antes de gacer el escaneo online...



Saludos.

[koga]

Bueno aparte de lo ya dicho lo unico que veo extraño en su log es esta entrada:

O21 - SSODL: contrabandists - {dfa61db1-388e-4c87-8d56-540fa229bcb4} - C:\WINDOWS\system32\dpfwu.dll

De la cual se envió muestras ayer miércoles en un caso similar, por lo cual la herramienta debería salir hoy para su eliminación, ademas le aconsejaría desintalar el DAP que es fuente de bastantes bichos.

Inicie en mdo seguro desactive el restaurar sistema e lanza el hijackthis y le da fix a la entrada antes mencionada, luego reinicia y nos comenta los resultados.

Saludos.

[msc hotline sat]

No se ha recibido aun la muestra en cuestión, si lo tienes, envíanoslo pues el otro forero igual está ausente...

C:\WINDOWS\system32\dpfwu.


Todas las muestras que pedimos al respecto, nos las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF <nick que usa en el foro>" y asi podremos informarle si hay alguna incidencia sobre el particular, gracias.


Tras recibirlas, las analizaremos e implementaremos su control y eliminación, si procede, en nuestras utilidades, de lo cual informaremos en el foro, como siempre.

saludos
ms, 26-10-2006

[koga]

Por lo que pude ver abrio otro tema con otro problema y este estaria solucionado, si fuese asi confirmelo para darlo por solucionado y y puedan cerrarlo, solo pedirle un favor, si todavia esta este archivo en su computadora envie una muestra, es muy importante para agregarla a las utilidades que ayudan a tanta gente,

C:\WINDOWS\system32\dpfwu.dll

Se recuerda:
Todas las muestras se piden al respecto, las puede enviar a zonavirus@satinfo.es anexadas a un mail en cuyo texto indique como referencia "REF <nick que usa en el foro>" y asi podran informarle si hay alguna incidencia sobre el particular, gracias.


Tras recibirlas, las analizaran e implementaran su control y eliminación, si procede, en las utilidades de la pagina , de lo cual se informara en el foro, como siempre.

Para que el envio no sea interceptado por los antivirus, desactivando el antivirus residente o arrancando en modo seguro, empaquetar el fichero infectado en un ZIP o RAR con password "VIRUS" y asi se encriptará de manera que nadie lo detecte.



Saludos y gracias de antemano.

[msc hotline sat]

Y SE PROSIGUE AQUÍ LO INICIADO `POR EL MISMO FORERO EN PARALELO EN:

viewtopic.php?f=5&t=14325

ms