WinAntivirus Pro 2006 sin solucion...

karmaggedon · Mensaje por **karmaggedon** » 10 May 2007, 07:05

Holas, como veran mi "tema" es bastante conocido, pero por lo mismo, realize paso a paso las respuesta y soluciones expuestas en cada post sobre este "problema", pero no hay caso, despues de unas horas, o al otro dia, la famosa pantalla que aveces sale como "WinAntivirusPro 2006" ; "Error Safe" ; "System Doctor 2006" etc.. sale una y otra vez..

Tengo instalado WINXP SP2 actualizado y AVG Antivirus + Spybot Search & Destroy.

Cualquier ayuda, se agradeceria.

Saludos

PD:Adjunto imagenes al final del Post.

--------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 23:36:14, on 09/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

C:\WINDOWS\system32\ctfmon.exe

C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

C:\MATLAB6p5\webserver\bin\win32\matlabserver.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\msiexec.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\karmaggedon\Escritorio\HiJackThis_v2\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.entelchile.net/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: ClickCatcher MSIE handler - {16664845-0E00-11D2-8059-000000000000} - C:\Archivos de programa\Archivos comunes\ReGet Shared\Catcher.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {5e29ea6f-cfbb-44b7-b579-21eba799e58b} - C:\WINDOWS\system32\kbdtif.dll

O2 - BHO: (no name) - {D651AFF4-9590-424d-BD1E-8E33E090DFB3} - C:\WINDOWS\system32\tmp9.tmp.dll

O3 - Toolbar: ReGet Bar - {17939A30-18E2-471E-9D3A-56DD725F1215} - C:\Archivos de programa\ReGetDx\iebar.dll

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

O4 - HKLM\..\Run: [WindowsService] rundll32.exe "C:\WINDOWS\ssttur.dll",realset

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\ARCHIV~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: Descargar con &ReGet Deluxe - C:\Archivos de programa\Archivos comunes\ReGet Shared\CC_Link.htm

O8 - Extra context menu item: Descargar todo con &ReGet Deluxe - C:\Archivos de programa\Archivos comunes\ReGet Shared\CC_All.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1175898959746

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1178573929850

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O20 - Winlogon Notify: kbdtif - C:\WINDOWS\SYSTEM32\kbdtif.dll

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: MATLAB Server (matlabserver) - Unknown owner - C:\MATLAB6p5\webserver\bin\win32\matlabserver.exe

O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\Archivos comunes\PCSuite\Services\ServiceLayer.exe

O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--

End of file - 6827 bytes

--------------------------------------------------------------------------

Por si acaso, Elistara LOGFILE:

Wed May 09 23:39:39 2007

EliStartPage v13.90 (c)2007 S.G.H. / Satinfo S.L.

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\KBDTIF]

Por favor, envienos una muestra del fichero

C:\WinLogon\KBDTIF.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\SSTTUR.DLL.Muestra EliStartPage v13.90

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SSTTUR.DLL --> Renombrado a .VIR

Entrada Eliminada [HKLM\...\Run] "WindowsService"="rundll32.exe "C:\WINDOWS\ssttur.dll",realset"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Wed May 09 23:40:30 2007

EliStartPage v13.90 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

--------------------------------------------------------------------------

[url=http://img518.imageshack.us/my.php?image=spyware1nl4.jpg]

[img]http://img518.imageshack.us/img518/2391/spyware1nl4.th.jpg[/img][/url]

[url=http://img171.imageshack.us/my.php?image=spyware2fl0.jpg]

[img]http://img171.imageshack.us/img171/5253/spyware2fl0.th.jpg[/img][/url]

[url=http://img245.imageshack.us/my.php?image=spyware3pk6.jpg]

[img]http://img245.imageshack.us/img245/9830/spyware3pk6.th.jpg[/img][/url]

[url=http://img171.imageshack.us/my.php?image=spyware4qs4.jpg]

[img]http://img171.imageshack.us/img171/2623/spyware4qs4.th.jpg[/img][/url]

Mensaje por **msc hotline sat** » 10 May 2007, 07:17

Has enviado ya las muestras que se te pide que envies en el INFOSAT.TXT ???

Como sea que en el log del HJT se ven estas claves sospechosas, aparte de los dos que ya te pediamos, envianos los otros dos que se lanzan en estas claves, o los de las cuatro si aun no has enviado las que te pediamos:

O2 - BHO: (no name) - {5e29ea6f-cfbb-44b7-b579-21eba799e58b} - C:\WINDOWS\system32\kbdtif.dll

O2 - BHO: (no name) - {D651AFF4-9590-424d-BD1E-8E33E090DFB3} - C:\WINDOWS\system32\tmp9.tmp.dll

O4 - HKLM\..\Run: [WindowsService] rundll32.exe "C:\WINDOWS\ssttur.dll",realset

O20 - Winlogon Notify: kbdtif - C:\WINDOWS\SYSTEM32\kbdtif.dll

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Tras analizarlas, implementaremos en nuestras utilidades el control y la eliminacion de las que procedan e informaremos al respecto

saludos

ms, 10-05-2007

Mensaje por **msc hotline sat** » 10 May 2007, 14:22

Recibidas muestras de nuevos troyanos , pasamos a controlarlos con el ELISTARA de hoy 13.93 como COMHOOK

Pero además vemos un AUTORUN.INF de E: que llama a un SXS.EXE de dicha unidad

Por favor envienos muestra de este fichero para analizar, por ser sospechoso de virus de pendrive.

saludos

ms, 10-05-2007

karmaggedon · Mensaje por **karmaggedon** » 14 May 2007, 01:43

Holas, hasta el momento no ha aparecido el famoso "WinAntivirus Pro 2006" y similares, espero que siga asi.

Adjunto los 2 ultimos escaneos realizados con Elistara y el ultimo con HJT.

No pude encontrar el SXS.exe, asique por ende no pude enviarlo. Si envie unas muestras de los escaneos anteriores.

Espero que no siga apareciendo el famoso C:\WINDOWS\SYSTEM32\KBDTIF.DLL, porque era el que no podia borrar y que tampoco lo pude encontrar para enviarlo como muestra.

Saludos y gracias nuevamente.

ULTIMOS 2 ESCANEOS CON ELISTARA

-----------------------------------------------------------

Sun May 13 16:11:39 2007

EliStartPage v13.94 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\KBDTIF]

Acceso Denegado al fichero

C:\WINDOWS\SYSTEM32\KBDTIF.DLL

Por favor, envienos una muestra del fichero

que podra copiar arrancando en Consola de Recuperación.

Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sun May 13 18:38:32 2007

EliStartPage v13.94 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Sun May 13 18:38:33 2007

EliStartPage v13.94 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

-----------------------------------------------------------

ULTIMO ESCANEO CON HJT

Logfile of HijackThis v1.99.1

Scan saved at 18:48:43, on 13/5/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\Notepad.exe

C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.entelchile.net

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: ClickCatcher MSIE handler - {16664845-0E00-11D2-8059-000000000000} - C:\Archivos de programa\Archivos comunes\ReGet Shared\Catcher.dll

O2 - BHO: (no name) - {5e29ea6f-cfbb-44b7-b579-21eba799e58b} - C:\WINDOWS\system32\kbdtif.dll (file missing)

O3 - Toolbar: ReGet Bar - {17939A30-18E2-471E-9D3A-56DD725F1215} - C:\Archivos de programa\ReGetDx\iebar.dll

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1175898959746

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1178573929850

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: kbdtif - kbdtif.dll (file missing)

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

O23 - Service: MATLAB Server (matlabserver) - Unknown owner - C:\MATLAB6p5\webserver\bin\win32\matlabserver.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\Archivos comunes\PCSuite\Services\ServiceLayer.exe

karmaggedon · Mensaje por **karmaggedon** » 14 May 2007, 01:50

Algo que se me olvidaba, quedaron 2 carpetas:

C:\Muestras\MLIHEF.DLL.Muestra EliStartPage v13.90

C:\Muestras\SSTTUR.DLL.Muestra EliStartPage v13.90

C:\Muestras\

XXVTQN.DLL.Muestra EliStartPage v13.94

C:\WinLogon (pero que esta vacia, a simple vista)

las elimino?

Gracias.

Mensaje por **msc hotline sat** » 14 May 2007, 14:45

No, deberan ser eliminadas por la utilidades, y mientras no lo hayan sido, han de analizarse, para lo que nos las puede enviar segun :

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 14.05-2007

Mensaje por **msc hotline sat** » 15 May 2007, 12:42

Pues BINGO !

Una nueva variante de la familia de VUNDO 7 se ha detectado en las 3 DLL de distinto nombre, que pedía muestras el ELISTARA.

Estamos implementando su control y eliminacion en la nueva version de hoy del ELISTARA 13.97, que estará disponible a partir de las 20 h GMT

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 15-05-2007

Mensaje por **msc hotline sat** » 15 May 2007, 20:57

Ya puedes probar las nuevas versiones, pero como que hemos visto que tienes el mismo fichero que emarcia aunque no te quejaras, ademas del ELISTARA, baja el ELINOTIF en la misma carpeta y procede:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Descargar los dos en una misma carpeta y probar el ELISTARA, tras lo cual reiniciar para terminar la eliminacion y luego postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 15-05-2007