se me pega el pc (SOLUCIONADO)

petazo · Mensaje por **petazo** » 13 Sep 2007, 19:34

no se que paso ahora, pero se me pega el pc y me sale una propaganda.... esta es la pagina http://www.winantiviruspro.com/pages/newcontent/?aid=ffnm_ku_wavffna_kw&affid=ffnm_67605_42F392205F6611DCB359F67605FDFFFF_D1B3F5DD297D44FBA1C8E3074FE29BC8&lid=virus+nav%3E&rff=https://foros.zonavirus.com/viewtopic.php?p=113010#113010

aki va mi HJ

Logfile of HijackThis v1.99.1

Scan saved at 13:33:57, on 13-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\dsfyrymp.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\Archivos de programa\sXe Injected\sXe Injected.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\Archivos de programa\Winamp\winamp.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKLM\..\Run: [SystemOptimizer] rundll32.exe "C:\WINDOWS\system32\ucnhlxjo.dll",forkonce

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: DomainService - - C:\WINDOWS\system32\dsfyrymp.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

ojala encuentren algo.......

gracias :)

Mensaje por **msc hotline sat** » 13 Sep 2007, 19:41

Prueba el ELISTARA:

~~[b]~~ ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

y aparte, si no detecta nada en estos ficheros, envianoslos para analizar:

ucnhlxjo.dll

dsfyrymp.exe

posiblemente esten en la carpeta de sistema

y para ello:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

saludos

ms, 13-09-2007

petazo · Mensaje por **petazo** » 13 Sep 2007, 20:00

ya... pase elistara y me dijo esto

Thu Sep 13 13:40:25 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MLJHIJJ] -> C:\WINDOWS\SYSTEM32\mljhijj.dll

Entrada Eliminada [HKLM\...\Run] "SystemOptimizer"="rundll32.exe "C:\WINDOWS\system32\ucnhlxjo.dll",forkonce" (Vundo)

Por favor, envienos una muestra del fichero

C:\Muestras\MLJHIJJ.DLL.Muestra EliStartPage v14.60

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\MLJHIJJ.DLL --> Acceso Denegado.

Por favor, envienos una muestra del fichero

C:\Muestras\UCNHLXJO.DLL.Muestra EliStartPage v14.60

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\UCNHLXJO.DLL --> Renombrado a .VIR

Eliminado Servicio, "DomainService"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Sep 13 13:41:50 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

Thu Sep 13 13:55:48 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MLJHIJJ] -> C:\WINDOWS\SYSTEM32\mljhijj.dll

Por favor, envienos una muestra del fichero

C:\Muestras\MLJHIJJ.DLL.Muestra EliStartPage v14.60

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\MLJHIJJ.DLL --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

No Detectada Utilidad "ELINOTIF.DLL" (Necesaria para la Limpieza)

¿es necesatrio bajar ese achivo DLL?¿de donde lo bajo?

ahora les voy a mandar los dos archivos que me pidio que mandara el elistara.

gracias :)

Mensaje por **lucl** » 13 Sep 2007, 20:42

Bajatela de aqui

http://www.zonavirus.com/descargas/elinotif.asp

ponla en una misma carpeta con elistara y ejecuta elistara, reinicia y nos pegas el log nuevo, saludos

petazo · Mensaje por **petazo** » 13 Sep 2007, 21:39

esto salio

Thu Sep 13 15:26:55 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Key Eliminada [WinLogon\Notify\MLJHIJJ] -> C:\WINDOWS\SYSTEM32\mljhijj.dll

Por favor, envienos una muestra del fichero

C:\Muestras\MLJHIJJ.DLL.Muestra EliStartPage v14.60

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\MLJHIJJ.DLL --> Acceso Denegado.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Sep 13 15:27:31 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Instalada Utilidad "ELINOTIF.DLL"

pero al cerrar el programa me salio esto:"sistema infectado por Downloader.ConHook"

me asusta esto.... :(

petazo · Mensaje por **petazo** » 13 Sep 2007, 21:49

pase elitrip por si las moscas y me tiro este log

Thu Sep 13 15:44:03 2007

EliTriIP v3.85 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Thu Sep 13 15:44:04 2007

EliTriIP v3.85 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

petazo · Mensaje por **petazo** » 13 Sep 2007, 22:05

depues del reset del pc ajecute nuevamente elistara y me dijo esto

EliNotify v1.7.09.05 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

Detectado DownLoader.ConHook

C:\WINDOWS\SYSTEM32\mljhijj.dll -> Eliminado.

Elininada KEY "Winlogon\Notify\MLJHIJJ"

Desinstalado EliNotif.dll

Thu Sep 13 15:54:19 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Sep 13 15:54:39 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

... no se q mas :s

Mensaje por **lucl** » 13 Sep 2007, 22:14

que pongas de nuevo elinotif y elistara juntos en una misma carpeta, ejecutes elistara, cuando termine reinicies el pc sin quitar elinotif de la carpeta y veremos que pasa, saludos

petazo · Mensaje por **petazo** » 13 Sep 2007, 23:05

elinotif nunca lo saque de la carpeta en q tengo el elistara...

se desintalo solo :S

petazo · Mensaje por **petazo** » 14 Sep 2007, 04:03

mejoro un poco la cosa, pero aun me salen mensages inesperados y propaganda.

les tiro mi HJ por si sirve.

Logfile of HijackThis v1.99.1

Scan saved at 22:03:26, on 13-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\qyaoyeem.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\Archivos de programa\Winamp\winamp.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKLM\..\Run: [SystemOptimizer] rundll32.exe "C:\WINDOWS\system32\evbfwgwi.dll",forkonce

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: DomainService - - C:\WINDOWS\system32\qyaoyeem.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

cualquier cosa q encuentre porfa... se agradece :)

petazo · Mensaje por **petazo** » 14 Sep 2007, 08:00

he ´pasado nuevamente el elistara, pero el problema me lo soluciona momentaneamente. me dice q hay un troyano y q debo reiniciar para q se borre del sistema, pero luego de reiniciar y terminar de pasar el elistara vuelve el drama en unos 15 a 20 min despues.

aki ta el log de la ultima vez del elistara:

Fri Sep 14 01:40:43 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "SystemOptimizer"="rundll32.exe "C:\WINDOWS\system32\evbfwgwi.dll",forkonce" (Vundo)

Por favor, envienos una muestra del fichero

C:\Muestras\EVBFWGWI.DLL.Muestra EliStartPage v14.60

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\EVBFWGWI.DLL --> Renombrado a .VIR

Eliminado Servicio, "DomainService"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 14 01:43:54 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 14 01:44:14 2007

EliStartPage v14.60 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

el fichero se los mandaré ahora

pase elitrip y me tiro esto

Fri Sep 14 02:06:45 2007

EliTriIP v3.85 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Fri Sep 14 02:06:47 2007

EliTriIP v3.85 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

estoy totalmente iontrigado... no se q hacer... :s

Mensaje por **lucl** » 14 Sep 2007, 08:35

Pues esperar que te analicemos las muestras para decirte algo, a lo largo de la mañana sera, tranqui, estate atento al post, saludos

Mensaje por **msc hotline sat** » 14 Sep 2007, 10:55

Como que el ELISTARA ya ha movido a c:\muestras o renombrado a .VIR los ficheros sospechosos, si aun asi persiste el problema, hay algo mas, que mientras se reciben y analizan las muestras, trataremos de encontrar.

Para ello lanza el HJT y posteanos el log resultante:

~~[b]~~

[color=yellow]HJT : (HiJackThis)[/color][/b]

[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y ubicarlo en una carpeta propia C:\HijackThis\

Ejecútarlo y presionar el botón "~~[b]~~Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp]~~[b]~~Descargar Hijackthis[/b][/url]

Tras analizarlo, informaremos

saludos

ms, 14-09-2007

Mensaje por **msc hotline sat** » 14 Sep 2007, 11:06

Como que he visto que ya habia posteado un log anterior, aunque no se habia pasado el ELISTARA, veo otro fichero sospechoso, aparte del solicitado

C:\WINDOWS\system32\qyaoyeem.exe

y mientras analizaba y escribia me indican que se han recibido otras muestras suyas ???, aparte de la pedida anteriormente y la ahora indicada, que son

mljhijj.dll que parece ser un CONHOOK

ucnhlxjo.dll que parece ser un VUNDO 8

Que eran muestras solicitadas por la version 14.60 y ya controlamos con el actual ELISTARA, (mas el ELINOTIF) pero vea de enviarnos las otras dos muestras para limpiarlo todo.

saludos

ms, 14-09-2007

petazo · Mensaje por **petazo** » 15 Sep 2007, 03:11

entonces voy a hacer todo en este orden

1° voy a bajar el elistara denuevo y los pasare en mi sistema con elinotif

2°pasare el elitrip

3°pasare el hj

4 posteare todos los logs

5°si los programas me dicen q tengo q enviar algun archivo se los enviare luego de postear los logs

6°uds me daran alguna respuesta xD

gracias :) de verdadf son muy amables :)

petazo · Mensaje por **petazo** » 15 Sep 2007, 04:56

Fri Sep 14 21:14:41 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 14 21:14:49 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Muestras\EVBFWGWI.DLL.MUESTRA ELISTARTPAGE V14.60 --> Eliminado, Vundo8

C:\Muestras\MLJHIJJ.DLL.MUESTRA ELISTARTPAGE V14.60 --> Eliminado, DownLoader.ConHook(notify)

C:\Muestras\UCNHLXJO.DLL.MUESTRA ELISTARTPAGE V14.60 --> Eliminado, Vundo8

C:\WINDOWS\system32\DSFYRYMP.EXE --> Eliminado, FotoMoto

C:\WINDOWS\system32\EVBFWGWI.DLL.VIR --> Eliminado, Vundo8

C:\WINDOWS\system32\LKRYXSQH.EXE --> Eliminado, FotoMoto

C:\WINDOWS\system32\MOKSTKYC.EXE --> Acceso Denegado, FotoMoto

C:\WINDOWS\system32\QYAOYEEM.EXE --> Eliminado, FotoMoto

C:\WINDOWS\system32\UCNHLXJO.DLL.VIR --> Eliminado, Vundo8

C:\WINDOWS\system32\YVFUAAPJ.EXE --> Eliminado, FotoMoto

Fri Sep 14 22:34:04 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Sep 14 22:34:13 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\MOKSTKYC.EXE.VIR --> Acceso Denegado, FotoMoto

Fri Sep 14 22:48:54 2007

EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM\SERVICES.EXE --> Eliminado

Fri Sep 14 22:49:01 2007

EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\Usuario del equipo\Mis documentos\Mis archivos recibidos\IMG0024.zip --> Eliminado, SdBot(msn)

C:\WINDOWS\IMG0024.zip --> Eliminado, SdBot(msn)

al terminar de pasar elitrip y elistara me dijo q tenia q reiniciar para terminar la limpieza, reinicie y ese fue el og que salio, pero la verdad no creo q haya eliminado algo, ya que antes me habia dicho lo mismo el elistara y no paso nada.

tampoco me dijieron q enviara algo asi q obviamente no envie nada xD

aki va el log del HJ

Logfile of HijackThis v1.99.1

Scan saved at 22:45:06, on 14-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\WINDOWS\system32\mokstkyc.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Archivos de programa\sXe Injected\sXe Injected.exe

C:\Archivos de programa\Winamp\winamp.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\ELISTARA.24092007.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

ya... espero su respuesta

gracias :)

Mensaje por **msc hotline sat** » 15 Sep 2007, 06:18

Pues dese cuenta que entre el ELISTARA y el ELITRIIP han detectado y eliminado varios virus y troyanos, desde variante del temible VUNDO 8 hasta el novisimo SDBOT del img_0024.zip llegado por MSN

A la vista de todo ello y del log de HJT solo vemos un fichero que se resiste:

C:\WINDOWS\system32\MOKSTKYC.EXE --> Acceso Denegado, FotoMoto

Para eliminarlo debe arrancar con el CD de instalacion de windows, acceder a la consola de recuperacion y desde DOS eliminarlo con DELETE

Es muy facil si conoció el MSDOS, sino diganoslo y le indicaremos los pasos.

saludos

ms, 15-09-2007

petazo · Mensaje por **petazo** » 15 Sep 2007, 17:47

para mayor seguridad prefiero q me indiques los pasos desde arrancar con el CD de wimdows ... no me quiero mandar nada del pc :P

gracvias denuevo, 1 y mil veces :)

petazo · Mensaje por **petazo** » 15 Sep 2007, 18:20

de todas formas mande a revisdar denuevo al elistara y elotrip y me salio esto:

Sat Sep 15 12:04:06 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Sat Sep 15 12:04:15 2007

EliStartPage v14.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\MOKSTKYC.EXE.VIR.VIR --> Eliminado, FotoMoto

Sat Sep 15 12:14:47 2007

EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Sat Sep 15 12:14:48 2007

EliTriIP v3.88 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

y despues otro HJ:

Logfile of HijackThis v1.99.1

Scan saved at 12:20:10, on 15-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\Archivos de programa\sXe Injected\sXe Injected.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\Archivos de programa\Winamp\winamp.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

si encuentran algo.,... aganlo saber :P

petazo · Mensaje por **petazo** » 15 Sep 2007, 18:23

me fije en el log del HJ y hay un par de (file missing) :O

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

los borro???

y esto q es?

O11 - Options group: [INTERNATIONAL] International*

Mensaje por **msc hotline sat** » 15 Sep 2007, 19:35

No, ello no significa que no estén, sino solo que no son visibles, por estar ocultos, o tener atributos de sistema, o no estar en la ruta indicada, pero no siempre deben eliminarse los FILE MISSING, solo cuando se sepa que son maliciosos, y esta vez no lo son.

saludos

ms, 15-09-2007

petazo · Mensaje por **petazo** » 18 Sep 2007, 20:31

amigos mios...

pensaba q el prblema estaba resuelto, pero por las dudas baje el ultimo elistara y lo pase y esto salio

[img]http://img102.imageshack.us/img102/705/dibujoth0.jpg[/img]

luego de reiniciar salio esto

[img]http://img221.imageshack.us/img221/5586/dibujo2bb1.jpg[/img]

aki va el log del elistara

Tue Sep 18 13:59:15 2007

EliStartPage v14.66 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "SystemOptimizer"="rundll32.exe "C:\WINDOWS\system32\rseojtfl.dll",forkonce" (Vundo)

C:\WINDOWS\SYSTEM32\RSEOJTFL.DLL --> Vundo8 Renombrado a .VIR

Eliminado Servicio, "DomainService"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Sep 18 13:59:57 2007

EliStartPage v14.66 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Muestras\LLGDHLGL.DLL.MUESTRA ELISTARTPAGE V14.64 --> Eliminado, Vundo8

C:\WINDOWS\system32\GSYWNUJW.EXE --> Eliminado, FotoMoto

C:\WINDOWS\system32\HGUKJBMA.EXE --> Acceso Denegado, FotoMoto

C:\WINDOWS\system32\LLGDHLGL.DLL.VIR --> Eliminado, Vundo8

C:\WINDOWS\system32\PNTVSMAR.EXE --> Eliminado, FotoMoto

C:\WINDOWS\system32\RSEOJTFL.DLL.VIR --> Acceso Denegado, Vundo8

por si vrn algo aki va el HJ

Logfile of HijackThis v1.99.1

Scan saved at 14:34:44, on 18-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\hgukjbma.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\Archivos de programa\sXe Injected\sXe Injected.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\ELISTARA.28092007.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

espero ayudarlos para q de una vez por todos se limpie mi pc

gracias :)

Mensaje por **msc hotline sat** » 19 Sep 2007, 06:24

Pues envienos muestra de este fichero sospechoso para analizar:

C:\WINDOWS\system32\hgukjbma.exe

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y en este momento tenía pendiente reiniciar el ordenador para terminar el proceso del ELISTARA, segun vemos en una clave RUN ONCE, por lo que podrá postearnos el contenido del c:\infosat.txt que debe haber generado dicho proceso, ya que el que nos ha posteado es anterior al mismo, como se ve por los informes del HJT y del infosat, gracias

saludos

ms, 19-09-2007

Nota: Vemos que se no pudo eliminar estos dos ficheros, pero veremos si es porque estaban en uso y tras reiniciar se logró...

C:\WINDOWS\system32\HGUKJBMA.EXE --> Acceso Denegado, FotoMoto

C:\WINDOWS\system32\RSEOJTFL.DLL.VIR --> Acceso Denegado, Vundo8

ms.

petazo · Mensaje por **petazo** » 19 Sep 2007, 16:28

ok. mañana madare el fichero solicitado, pero insisto en que si reinicie y no se borra todo. al parecer hay algo q hace q quede, porque apenas termine de revisar con elistara depues de reiniciar se me abrio una ventana de propaganda.

como dato te puedo decir q ocupo firefox, y se me ha hecho tan molesto q empeze a cupar internet explorer y tambien me salen las molestosas ventanitas.

eso.... mañana les mandaré el fichero.

gracias por la atencion

Mensaje por **msc hotline sat** » 19 Sep 2007, 16:56

Sí, mejor dejar solo el I.E. pues el firefox no está soportado por nuestras utilidades ni por nosotros.

saludos

ms, 19-09-2007

petazo · Mensaje por **petazo** » 20 Sep 2007, 07:19

Thu Sep 20 00:59:28 2007

EliStartPage v14.66 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Sep 20 00:59:47 2007

EliStartPage v14.66 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\HGUKJBMA.EXE.VIR --> Eliminado, FotoMoto

C:\WINDOWS\system32\RSEOJTFL.DLL.VIR.VIR --> Eliminado, Vundo8

aki esta el log despues de reiniciar, y si, borro algunas cosas y el fichero q me pidieron tambien lo borro, pero las ventanas no dejan de aparecer. asi que no se que puede ser. les envio denuevo el HJ

Logfile of HijackThis v1.99.1

Scan saved at 1:18:16, on 20-09-2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\CAP4RSK.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe

C:\Archivos de programa\sXe Injected\sXe Injected.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe

C:\ARCHIV~1\MI3AA1~1\rapimgr.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\Archivos de programa\Winamp\winamp.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\xjheysei.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Documents and Settings\Usuario del equipo\Escritorio\para los spywares\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sXe Injected] C:\Archivos de programa\sXe Injected\sXe Injected.exe

O4 - HKLM\..\Run: [SystemOptimizer] rundll32.exe "C:\WINDOWS\system32\poymddqu.dll",forkonce

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOCUME~1\USUARI~1\CONFIG~1\Temp\Rar$EX00.031\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - Global Startup: Microsoft Find Fast.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Global Startup: Ventana de estado de Canon LBP3200.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP4LAK.EXE

O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-CL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownload/dist/hgstart/HGPlugin9USA.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: DomainService - - C:\WINDOWS\system32\xjheysei.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

otro dato: empece a usar IE y igual me aparecen las ventanitas.

Mensaje por **msc hotline sat** » 20 Sep 2007, 07:25

Bueno, con el I,E, sabemos donde se pueden ocultar:

Elimina esta clave:

O4 - HKLM\..\Run: [SystemOptimizer] rundll32.exe "C:\WINDOWS\system32\poymddqu.dll",forkonce

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

y envianos este fichero, que es malware, para analizar y asi poder controlarlo en proximas versiones de nuestras utilidades:

C:\WINDOWS\system32\poymddqu.dll

y tambien este, aunque solo es sospechoso...

C:\WINDOWS\system32\xjheysei.exe

Y tras analizarlos, informaremos

saludos

ms, 20-09-2007

petazo · Mensaje por **petazo** » 20 Sep 2007, 07:41

enviados. :)

Mensaje por **msc hotline sat** » 20 Sep 2007, 10:14

No lo enviaste a la cuenta de zonavirus ...

Por suerte buscando muestras urgentes de un cliente me han comentado los varios de hoy y me ha sonado lo de Petazo, pero sino habria ido al montón, sin conocimiento de que fuera de este foro

siempre recordar:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Bueno, se han rescatado y a primera vista se ve que los dos son malwares, por la estructura el primero es un Conhook o variante del Vundo y el segundo es de la familia FotoMoto, los cuales monitorizaremos e implementaremos su control y eliminacion en el ELISTARA 14.68 de hoy, que estará disponible en esta web a partir de las 19 h GMT para pruebas de evaluacion en el foro de zonavirus

saludos

ms, 20-09-2007

Nota: Miemtras, de entrada, renombre dichos ficheros a extension .VIR y asi no se pondrán en uso tras reiniciar el ordenador. ms.

Mensaje por **msc hotline sat** » 20 Sep 2007, 10:29

Al entrar en proceso, me informan que el FOTOMOTO del fichero xjheysei.exe ya es detectado y controlado con la actual version del ELISTARA 14.67 ya disponible ...

saludos

ms, 20-09-2007