VIRUS DNSCHANGER.IN

Racsoa · Mensaje por **Racsoa** » 05 Mar 2007, 17:37

Buenas tardes.

Necesito su ayuda urgente.

Tengo el Kaspersky 6.0 actualizado y me pilla el virus TOJAN.WIN32.DNSCHANGER.IN en c/windows/system32/kdahk.exe/RPCrypt/RPCrypt

Me dice que si quiero desinfectarlo necesita reiniciarse el ordenados. Pues nada , lo he hecho 3 veces y sigue.

He iniciado el ordenador en modo seguro con funciones de red desactivando restaurar sistema y he pasado el Spybot y la utilidad Elistara con la EliNotif.dll y nada de nada.

Me esto volviendo loco.

:shock: :shock: :shock: :shock:

Mensaje por **msc hotline sat** » 05 Mar 2007, 17:46

Pues tranquilo que no va a ser, pues sino, despues de 275.000, nosotros ya lo estaríamos del todo :lol:

Envienos copia de los ficheros que detecta infectados, siguiendo estas instrucciones:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y tras recibirlas las analizaremos e informaremos

saludos

ms, 5-03-2007

Racsoa · Mensaje por **Racsoa** » 05 Mar 2007, 18:16

Pues el tema se complica, no encuentro el dichoso fichero en la ruta especificada y tengo marcada la opcion de mostrar ficheros ocultos

Mensaje por **msc hotline sat** » 05 Mar 2007, 18:53

Pues arranque en modo seguro y lance el HJT, y luego nos postea el contenido del log resultante:

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, informaremos

saludos

ms, 5-03-2007

Racsoa · Mensaje por **Racsoa** » 07 Mar 2007, 12:38

Perdon por el retraso, estuve de viaje.

Aqui os lo pego

Logfile of HijackThis v1.99.1

Scan saved at 11:53:22, on 07/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\FlashGet\flashget.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\Oscar.TIF\CONFIG~1\Temp\Rar$EX00.753\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O1 - Hosts: 217.14.42.3 galerias.sexole.com

O1 - Hosts: 195.78.228.204 http://www.xonsuns.com

O1 - Hosts: 212.170.238.66 http://www.20minutos.es

O1 - Hosts: 217.76.130.213 http://www.festimad.es

O1 - Hosts: 216.17.103.7 oink.elrellano.com

O1 - Hosts: 202.58.5.50 image.game.coden.ntt.com

O1 - Hosts: 212.170.237.10 http://www.europapress.es

O1 - Hosts: 213.186.55.235 http://www.escolar.net

O1 - Hosts: 69.94.66.153 http://www.adhaiku.com

O1 - Hosts: 64.237.40.185 http://www.rubytooth.com

O1 - Hosts: 65.54.162.249 by108w.bay108.mail.live.com

O1 - Hosts: 209.200.152.121 http://www.clubdicecasino.com

O1 - Hosts: 216.227.216.93 http://www.auslogics.com

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Archivos de programa\FlashGet\jccatch.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\MANTEN~1\SPYWARE\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Archivos de programa\FlashGet\getflash.dll

O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [IntelliPoint] "C:\Archivos de programa\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [kav] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"

O4 - HKLM\..\Run: [Babylon Client] C:\Archivos de programa\Babylon\Babylon-Pro\Babylon.exe -AutoStart

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\MANTENIMIENTO\UTILIDADES\TuneUp 2007\MemOptimizer.exe" autostart

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: &Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: &Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Translate with &Babylon - res://C:\Archivos de programa\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O16 - DPF: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} (Microsoft VM) - http://www.66.com/route66/images/website/downloads/msjavx86.exe

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://creative.com/su/ocx/15015/CTSUEng.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {AC2CD8BB-8E60-45B4-B415-1EB1C04E7753} (SAFELAYER FormSign Control) - https://www.sabadellatlantico.com/neti/java/formSign001.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://creative.com/su/ocx/15016/CTPID.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O16 - DPF: {F9463571-87CB-4A90-A1AC-2284B7F5AF4E} (Persits Software XEncrypt) - https://www.firmasonline.com/1Firmas/firmar/aspencrypt.ocx

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = TIF.ES

O17 - HKLM\Software\..\Telephony: DomainName = TIF.ES

O17 - HKLM\System\CCS\Services\Tcpip\..\{F64FFCA2-D60B-4CF0-8A3E-A78C5B8460E1}: NameServer = 85.255.113.109,85.255.112.141

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.109 85.255.112.141

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\msgrapp.8.1.0178.00.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\msgrapp.8.1.0178.00.dll

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O20 - Winlogon Notify: Satinfo - H:\Programas\ANTIVIRUS\EliNotif.dll (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\MANTENIMIENTO\P2P\Ares\chatServer.exe

O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\ARCHIV~1\SpeedBit Video Accelerator\VideoAcceleratorEngine.exe

Mensaje por **msc hotline sat** » 07 Mar 2007, 14:13

Eliminar estas claves:

O1 - Hosts: 217.14.42.3 galerias.sexole.com

O1 - Hosts: 195.78.228.204 http://www.xonsuns.com

O1 - Hosts: 212.170.238.66 http://www.20minutos.es

O1 - Hosts: 217.76.130.213 http://www.festimad.es

O1 - Hosts: 216.17.103.7 oink.elrellano.com

O1 - Hosts: 202.58.5.50 image.game.coden.ntt.com

O1 - Hosts: 212.170.237.10 http://www.europapress.es

O1 - Hosts: 213.186.55.235 http://www.escolar.net

O1 - Hosts: 69.94.66.153 http://www.adhaiku.com

O1 - Hosts: 64.237.40.185 http://www.rubytooth.com

O1 - Hosts: 65.54.162.249 by108w.bay108.mail.live.com

O1 - Hosts: 209.200.152.121 http://www.clubdicecasino.com

O1 - Hosts: 216.227.216.93 http://www.auslogics.com

O20 - Winlogon Notify: Satinfo - H:\Programas\ANTIVIRUS\EliNotif.dll (file missing)

__________

DNS SERVER MALICIOUS OF INHOSTER FROM UKRAINA:

85.255.113.109 UA Ukraine 07 Kharkivs\'ka Oblast\' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

85.255.112.141 UA Ukraine 07 Kharkivs\'ka Oblast\' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Tienes como servidores de DNS unos de UKRAINA considerados maliciosos:

Tras informarte con tu ISP de cuales te recomiendan, puedes probar cambiarlos con CONFGDNS.EXE

CONFGDNS.EXE

http://www.zonavirus.com/descargas/confgdns.asp

Y tras probar el CONFGDNS e instalar los que le indique su ISP, quedaran otras claves con la indicacion del los de Ukraina, vea que el primer O17 será el nuevo que ha puesto, elimine las claves O17 restantes

______________________________________

saludos

ms, 7-03-2007

Racsoa · Mensaje por **Racsoa** » 07 Mar 2007, 17:12

Una vez seguido sus pasos me queda esto y me sigue detectando el fichero el Kaspersky

Logfile of HijackThis v1.99.1

Scan saved at 16:26:00, on 07/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\ARCHIV~1\SpeedBit Video Accelerator\VideoAcceleratorEngine.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Microsoft IntelliPoint\point32.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\MANTENIMIENTO\UTILIDADES\TuneUp 2007\MemOptimizer.exe

C:\WINDOWS\system32\ctfmon.exe

C:\ARCHIV~1\SpeedBit Video Accelerator\VideoAccelerator.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Outlook Express\msimn.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\Oscar.TIF\CONFIG~1\Temp\Rar$EX16.901\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Archivos de programa\FlashGet\jccatch.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\MANTEN~1\SPYWARE\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Archivos de programa\FlashGet\getflash.dll

O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [IntelliPoint] "C:\Archivos de programa\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [kav] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\MANTENIMIENTO\UTILIDADES\TuneUp 2007\MemOptimizer.exe" autostart

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: &Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm

O8 - Extra context menu item: &Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Translate with &Babylon - res://C:\Archivos de programa\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Archivos de programa\FlashGet\FlashGet.exe

O16 - DPF: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} (Microsoft VM) - http://www.66.com/route66/images/website/downloads/msjavx86.exe

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://creative.com/su/ocx/15015/CTSUEng.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {AC2CD8BB-8E60-45B4-B415-1EB1C04E7753} (SAFELAYER FormSign Control) - https://www.sabadellatlantico.com/neti/java/formSign001.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://creative.com/su/ocx/15016/CTPID.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O16 - DPF: {F9463571-87CB-4A90-A1AC-2284B7F5AF4E} (Persits Software XEncrypt) - https://www.firmasonline.com/1Firmas/firmar/aspencrypt.ocx

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = TIF.ES

O17 - HKLM\Software\..\Telephony: DomainName = TIF.ES

O17 - HKLM\System\CCS\Services\Tcpip\..\{F64FFCA2-D60B-4CF0-8A3E-A78C5B8460E1}: NameServer = 195.235.113.3,195.235.96.90

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\msgrapp.8.1.0178.00.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\msgrapp.8.1.0178.00.dll

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\MANTENIMIENTO\P2P\Ares\chatServer.exe

O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\ARCHIV~1\SpeedBit Video Accelerator\VideoAcceleratorEngine.exe

Mensaje por **msc hotline sat** » 07 Mar 2007, 18:14

Log limpio

y si Kaspersky le detecta un fichero infectado, envienoslo, para lo cual tenga en cienta dos medidas, arrancar en modo seguro para localizarlo y configurar windows para ver ficheros ocultos y demas:

https://foros.zonavirus.com/viewtopic.php?f=5&t=13245

Lo analizaremos e infomaremos

saludos

ms, 7-03-2007