Secuestro de Google (SOLUCIONADO)

[Nuker]

Buenas Noches amigos, tengo un problema con el buscador hago una busqueda y me abre una pagina igual de google pero con una busqueda que yo no busque. Me sale cada vez que me meto a alguna pagina o busco algo , aveces le doy buscar y me regresa al mismo lugar. Aqui les dejo mi Log. Gracias



Logfile of HijackThis v1.99.1

Scan saved at 10:02:45 p.m., on 14/11/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\acs.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\SiteClient\clisvc.exe

C:\SiteServer\svrsvc.exe

C:\WINDOWS\Explorer.EXE

C:\SiteClient\SiteCli.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe

C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\SMC\SMCWPCI-G 54Mbps Wireless PCI adapter\Monitor.exe

C:\WINDOWS\system32\sistray.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\BitTorrent\bittorrent.exe

C:\Archivos de programa\Archivos comunes\{0C6545EA-08DF-3082-0519-050525040034}\Update.exe

C:\ARCHIVOS DE PROGRAMA\VIROBOT NT\VRMONNT.EXE

C:\ARCHIVOS DE PROGRAMA\VIROBOT NT\_VR32W.EXE

C:\Archivos de programa\ViRobot NT\vrmonsvc.exe

C:\WINDOWS\system32\mmc.exe

C:\WINDOWS\system32\DfrgNtfs.exe

C:\Archivos de programa\Internet Explorer\Iexplore.exe

C:\Documents and Settings\usuario\Configuración local\Temp\wzfbbc\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {73364D99-1240-4dff-B12A-67E448373148} - C:\WINDOWS\System32\ipv6mons.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O3 - Toolbar: T1msn - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SiteClient] C:\SiteClient\SiteCli.exe

O4 - HKLM\..\Run: [InitClient] C:\SiteClient\InitCli.exe

O4 - HKLM\..\Run: [Vrmon] C:\Archivos de programa\ViRobot NT\vrmonnt.exe Main

O4 - HKLM\..\Run: [VrBootScan] C:\Archivos de programa\ViRobot NT\VRBScan.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [VrSchedule] C:\Archivos de programa\ViRobot NT\Vrres.exe

O4 - HKLM\..\Run: [Error Nuker] C:\Archivos de programa\Error Nuker\bin\ErrorNuker.exe autostart

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" --force_start_minimized

O4 - Startup: Reboot.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: SMCWPCI-G 54Mbps Wireless PCI adapter.lnk = C:\Archivos de programa\SMC\SMCWPCI-G 54Mbps Wireless PCI adapter\Monitor.exe

O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163113485340

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: winbjs32 - C:\WINDOWS\SYSTEM32\winbjs32.dll

O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: SiteClient Service for VMS (SiteClientService) - Unknown owner - C:\SiteClient\clisvc.exe

O23 - Service: SiteServer Service for VMS (SiteServerService) - Unknown owner - C:\SiteServer\svrsvc.exe

O23 - Service: ViRobot Expert Monitoring (vrmonsvc) - HAURI - C:\Archivos de programa\ViRobot NT\vrmonsvc.exe

[Nuker]

El problema es un troyano WinLogon (WINBJS32.DLL)



O20 - Winlogon Notify: winbjs32 - C:\WINDOWS\SYSTEM32\winbjs32.dll



Les envio muestra de este fichero o ke hago ?

[msc hotline sat]

Pruebe el ELISTARA pero si quiere enviarnos la muestra a priori, hagalo:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras lanzarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 15-11-2006

[Nuker]

Pase elistara y no me funciona me sale alerta del virus que les envie de muestra pero no me deja un log. Solo me limpia historial etc.



Espero su respuesta de la muestra enviada.

[msc hotline sat]

Pues mañana, cuando volvamos al trabajo, la analizaremos



(Aquí ya son las 19h30' y en SATINFO el Dpto tecnico cierra a las 18h30', otra cosa son los comodines...)



saludos



ms, 15-11-2006

[koga]

Por lo que veo tiene instalado el messenger plus 3

:? :? :?

Le aconsejaria que como primer paso lo desinstale, si ya paso algun antispyware va a necesitar instalarlo nuevamente para luego desinstalarlo para borrar toda la basura que deja ese programa.



Una vez hecho eso nos postea un nuevo log de hijackthis y continuaremos con la limpieza.





Saludos.

[Nuker]

Listo, no sabia que la extensión de msn (plus) fuera tan malo, y eso que no instale ni elegi ayudar al patrocinador.



Aqui esta el Log (otro problema me di cuenta de que tengo el 888 toolbar)



Logfile of HijackThis v1.99.1

Scan saved at 07:52:09 p.m., on 15/11/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\acs.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\SiteClient\clisvc.exe

C:\SiteServer\svrsvc.exe

C:\WINDOWS\system32\sxserv101.exe

C:\WINDOWS\Explorer.EXE

C:\SiteClient\SiteCli.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\SMC\SMCWPCI-G 54Mbps Wireless PCI adapter\Monitor.exe

C:\WINDOWS\system32\sistray.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\QuickTime\QuickTimePlayer.exe

C:\Archivos de programa\Archivos comunes\{0C6545EA-08DF-3082-0519-050525040034}\Update.exe

C:\Archivos de programa\ViRobot NT\vrmonsvc.exe

C:\Archivos de programa\ViRobot NT\VRMONNT.EXE

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Spybot - Search & Destroy\SpybotSD.exe

C:\Documents and Settings\usuario\Configuración local\Temp\wz566b\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = http://www.google.com

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {73364D99-1240-4dff-B12A-67E448373148} - C:\WINDOWS\System32\ipv6mons.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O2 - BHO: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Archivos de programa\Archivos comunes\{3C6545EA-08DF-3082-0519-050525040034}\888.dll

O3 - Toolbar: T1msn - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.5000.1021\es-mx\msntb.dll

O3 - Toolbar: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Archivos de programa\Archivos comunes\{3C6545EA-08DF-3082-0519-050525040034}\888.dll

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SiteClient] C:\SiteClient\SiteCli.exe

O4 - HKLM\..\Run: [InitClient] C:\SiteClient\InitCli.exe

O4 - HKLM\..\Run: [Vrmon] C:\Archivos de programa\ViRobot NT\vrmonnt.exe Main

O4 - HKLM\..\Run: [VrBootScan] C:\Archivos de programa\ViRobot NT\VRBScan.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [VrSchedule] C:\Archivos de programa\ViRobot NT\Vrres.exe

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\usuario\Mis documentos\ELISTARA.25112006.EXE

O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\usuario\CONFIG~1\Temp\MsgPlusUninst.bat"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" --force_start_minimized

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: SMCWPCI-G 54Mbps Wireless PCI adapter.lnk = C:\Archivos de programa\SMC\SMCWPCI-G 54Mbps Wireless PCI adapter\Monitor.exe

O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163113485340

O20 - Winlogon Notify: winbjs32 - C:\WINDOWS\SYSTEM32\winbjs32.dll

O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: SiteClient Service for VMS (SiteClientService) - Unknown owner - C:\SiteClient\clisvc.exe

O23 - Service: SiteServer Service for VMS (SiteServerService) - Unknown owner - C:\SiteServer\svrsvc.exe

O23 - Service: SX Service (SXServ) - Unknown owner - C:\WINDOWS\system32\sxserv101.exe

O23 - Service: ViRobot Expert Monitoring (vrmonsvc) - HAURI - C:\Archivos de programa\ViRobot NT\vrmonsvc.exe



Gracias

[koga]

Asi es, trae bastantes parasitos, de hecho yo no me fio del messenger plus,.

Como bien dice tiene la dichosa barra,

Inicie en modo seguro ejecute el hijackthis, marque estas entradas y les da fix checked,



O2 - BHO: (no name) - {73364D99-1240-4dff-B12A-67E448373148} - C:\WINDOWS\System32\ipv6mons.dll

[b](Variant of the Troj/Cimuz-AJ troja)[/b]



O2 - BHO: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Archivos de programa\Archivos comunes\{3C6545EA-08DF-3082-0519-050525040034}\888.dll

[b](FreeProd/Toolbar888 parasite, a MaxSearch/MaxiFiles adware variant)[/b]



O3 - Toolbar: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Archivos de programa\Archivos comunes\{3C6545EA-08DF-3082-0519-050525040034}\888.dll



O23 - Service: SiteServer Service for VMS (SiteServerService) - Unknown owner - C:\SiteServer\svrsvc.exe



O23 - Service: SX Service (SXServ) - Unknown owner - C:\WINDOWS\system32\sxserv101.exe

[b](Added by the Windir_SXS TROJAN!)[/b]



Luego reinica y nos comenta los resultados mientras esperamos el analisis de la entrada 020,



Saludos.

[msc hotline sat]

Recibida muestra enviada, resulta ser una variante del Backdoor CVT que será controlada con la version de hoy del ELISTARA



esta noche descarga la v 12.73 y la pruebas



saludos



ms, 16-11-2006

161106

[Nuker]

Al fin se soluciono la lentitud de Internet, y las paginas generadas (about:blank) por este troyano winbjs32.dll

Pase EliStarA en modo seguro y se soluciono. Gracias Msc y equipo de Zona Virus por su ayuda.





Thu Nov 16 19:22:15 2006

EliStartPage v12.73 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\LimeWire\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\VideoraiPodConverter\UNINST.EXE --> AutoExtraible

[b]C:\WINDOWS\system32\WINBJS32.DLL.VIR.VIR --> Eliminado, BackDoor-CVT (notify)[/b]

[msc hotline sat]

Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo.



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 17-11-2006