infectado por win32.hidrag

[mikevta]

corri el antivirus virobot de hauri, y me detecto el win32.hidrag los limpia los archivos, pero es una constante que el virus sigue ahi, corri el hijackthis y este es el resultado :

Logfile of HijackThis v1.99.1
Scan saved at 12:44:15 p.m., on 25/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

Código: Seleccionar todo

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\mikevta\Escritorio\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com.mx/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATIPTA] "C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [startkey] C:\WINDOWS\system32\server.exe
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [TempRemove] "C:\Archivos de programa\Crystal Ball\CB Predictor\terminator.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Vrmon] C:\Archivos de programa\Hauri\Common\Base\VRMONNT.EXE
O4 - HKLM\..\Run: [VrSchedule] C:\Archivos de programa\Hauri\ViRobot Desktop 5.0\AntiVirus\hrres.exe
O4 - HKLM\..\Run: [HEProtect] C:\Archivos de programa\Hauri\ViRobot Desktop 5.0\AntiSpam\HSockPE.exe
O4 - HKLM\..\Run: [DetectaFirewallContPAQ] "C:\Archivos de programa\Compacw\Servidor de Licencias\ContPAQ\DetectaFirewall.exe" /boot
O4 - HKLM\..\Run: [TrojanScanner] C:\Archivos de programa\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [startkey] C:\WINDOWS\system32\server.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Inicio rápido de HP Photosmart Premier.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: SpySubtract.lnk = C:\program files\InterMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open in new background tab - res://C:\Archivos de programa\Windows Live Toolbar\Components\en-us\msntabres.dll.mui/229?d686f773489041d1a8c86092603a88fe
O8 - Extra context menu item: Open in new foreground tab - res://C:\Archivos de programa\Windows Live Toolbar\Components\en-us\msntabres.dll.mui/230?d686f773489041d1a8c86092603a88fe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=58813
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6B75345B-AA36-438A-BBE6-4078B4C6984D} (HpProductDetection Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection.cab
O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: Servidor de Licencias Compac - ContPAQ (AppKeyLicenseServer_ContPAQ) - Unknown owner - C:\Archivos de programa\Compacw\Servidor de Licencias\ContPAQ\AppKeyLicenseServerContPAQ.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Hauri Common Service (hsvcmod) - Unknown owner - C:\Archivos de programa\Hauri\Common\hsvcmod.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Hauri Firewall (vrfwsvc) - HAURI - C:\Archivos de programa\Hauri\ViRobot Desktop 5.0\PCFirewall\vrfwsvc.exe
O23 - Service: ViRobot Desktop Monitoring (vrmonsvc) - HAURI - C:\Archivos de programa\Hauri\Common\Base\vrmonsvc.exe

espero alguien pueda ayudarme

gracias
atte miguel

[msc hotline sat]

Envianos este fichero para analizar:

C:\WINDOWS\system32\server.exe y lo renombras a extension .VIR

Tras ello reinicia y elimina estas claves:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [startkey] C:\WINDOWS\system32\server.exe
O4 - HKCU\..\Run: [startkey] C:\WINDOWS\system32\server.exe

-> Para ello recordar: viewtopic.php?f=2&t=45334

y este win32.hidrag donde te lo detecta ???

si es el dicho server, espero que con lo indicado quedará solucionado

saludos
ms, 25-08-2007

[msc hotline sat]

Visto que algunos llaman HIDRAG al que conocemos por Jeefo

saludos
ms, 25-08-2007

[msc hotline sat]

y finalmente, al ver que un server.exe ya es controlado como BIFROSE por nuestro ELITRIIP

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos
ms, 25-08-2007

[Nelson Ayala]

Hola mikevta: Evidentemente te han metido un Troyano(server.exe) y desde ese servidor pueden querer controlar tu pc, la diercción ya la tienes, entonces anda a inicio>ejecutar escribe regedit entra al regitro y revisa los programas que parten al incio, lo mejor es eliminarlo del registro para que no vuelva a aparecer. Sigue esta ruta en el registro.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

y ahí veras si tienes alojado el Troyano.

Busca el archivo siguiendo la ruta que posteas y elimínalo, sino lo ves,activa la opción VER CARPETAS OCULTAS. espero te ayude en algo.



Saludos.

[msc hotline sat]

Nelson: En este foro no aconsejamos utilizar el REGEDIT para evitar problemas ante el uso de dicha utilidad por usuarios no experimentados.

Por favor, evita volver a sugerir utilizar el REGEDIT en lo posible !

Por algo hacemos las utilidades !!!

saludos.
ms, 26-08-2007

[Nelson Ayala]

Gracias por el consejo Administrador, no sabía lo de no utilizar el Regedit, he quedado en conocimiento, gracias.

Saludos.

[msc hotline sat]

Por esto me he dirigido a tí al respecto, porque me consta que quieres hacer las cosas bien hechas.

saludos
ms, 26-08-2007

[mikevta]

ya hice lo que me pediste del win32.hidrag te mando el archivo server.vir que renombre

[msc hotline sat]

Muy bien, pero si provaste alguna de nuestras utilidades, posteanos el contenido de c;\infosat.txt, con un copiar y pegar, para que veamos el resultado del proceso, gracias

saludos
ms, 31-08-2007