Virus (SOLUCIONADO)

[waw]

Buenas, este es mi primer post asique si me faltan datos por poner os agradeceria que me dijeseis para informaros de mi problema mas detalladamente, desde hace.. unos 3 o 4 dias que la barra del menu de inicio se me pone en modo antiguo (lo contrario del modo XP que suele tener casi todo el mundo) y cuando se me pone este modo tb se me quita el sonido, me salen mensajes de alerta del avast diciendo que se ha notado un spam de envios de mensaje en el correo, una vez cada 2 horas o cosa asi se me abre una pagina sola pero aleatoria, y tambien esto: http://img688.imageshack.us/i/avastv.jpg/ para mas informacion... uso avast 4.8 home, he pasado el spybot search & destroy, el spyware doctor, y los 2 me detectan virus lows y me los eliminan pero el problema persiste, y con el avast he pasado el escaneo ese de que cuando reinicias te sale la pantalla azul y te los localiza y nada.. el problema persiste, si hay alguna solucion... mejor que mejor, si no tendria que recurrir a la restauracion del sistema y .. :S

[msc hotline sat]

Pues prueba el ELISTARA y nos posteas el informe resultante:


[quote="para DESCARGAR el ELISTARA, msc"]



http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado

del proceso [/quote]



Y si en el informe no se detectara nada ni pidiera muestra para analizar, posteanos el log generado por el SPROCES :




[quote="msc"]
[b]SPROCES.EXE[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT [/quote]
lo analizaremos e informaremos al respecto.



saludos



ms, 26-3-2011

[waw]

Ante todo, muchisimas gracias por la respuesta.



Este es el informe de EliStarA:

(26-3-2011 10:27:21 (GMT))

EliStartPage v22.89 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 25 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Restaurado "Userinit"

[Userinit anterior] = "C:\WINDOWS\system32\userinit.exe,"

[Userinit actual] = "C:\WINDOWS\SYSTEM32\Userinit.exe,"

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Por favor, envienos el INFOSAT.TXT y una muestra del fichero

C:\Muestras\ASKBAR.DLL.Muestra EliStartPage v22.89

a "virus@satinfo.es". Gracias.

C:\PROGRAM FILES\ASKBARDIS\BAR\BIN\ASKBAR.DLL --> Renombrado a .VIR

Entrada Eliminada [HKCU\...\Run] "NSIXAMO"="rundll32.exe "C:\WINDOWS\ldhcnd.dll",Startup"

Eliminada Class, "{0702A2B6-13AA-4090-9E01-BCDC85DD933F}" -> C:\Program Files\AskBarDis\bar\bin\askBar.dll

Eliminada Class, "{201F27D4-3704-41D6-89C1-AA35E39143ED}" -> C:\Program Files\AskBarDis\bar\bin\askBar.dll

Eliminada Class, "{3041D03E-FD4B-44E0-B742-2D9B88305F98}" -> C:\Program Files\AskBarDis\bar\bin\askBar.dll

Eliminada Class, "{622FD888-4E91-4D68-84D4-7262FD0811BF}" -> C:\Program Files\AskBarDis\bar\bin\askBar.dll

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Restaurado fichero de Configuración del IE, (IERESET.INF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado HOSTS no Standar.

Restaurado HOSTS por el Original.

Detectada Posible Infección del MBR con Técnicas Stealth.

Reinicie para Completar la Limpieza.



(26-3-2011 10:37:21 (GMT))

EliStartPage v22.89 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 25 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Program Files\BS_Player\TBBS_2.DLL --> Eliminado, TBConduit(tb)

C:\Program Files\BS_Player\TBBS_P.DLL --> Eliminado, TBConduit(tb)

C:\Program Files\ConduitEngine\CONDUITENGINE.DLL --> Eliminado, TBConduit(tb)

C:\Program Files\Realtek\Audio\Drivers\WDM\ALCMTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 11614

Nº Total de Ficheros: 138252

Nº de Ficheros Analizados: 27815

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4



y lo deje explorando y ahora que he llegado se me ha vuelto a poner el windows clasico solo, asique procedo a pasar el SPROCES



EDIT: aqui lo tienes ^^



(26-3-2011 12:16:02 GMT)

SProces v5.2 (c)2010 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) NO Instalado.

Internet Explorer: (v8.0.6001.18702) 0

Nombre Equipo: CHANGEME1

Nombre Usuario: Soni



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\NVSVC32.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASWUPDSV.EXE

C:\PROGRAM FILES\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRA~1\ALWILS~1\AVAST4\ASHDISP.EXE

C:\PROGRAM FILES\DIVX\DIVX PLUS WEB PLAYER\DDMSERVICE.EXE

C:\PROGRAM FILES\ITUNES\ITUNESHELPER.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\PROGRAM FILES\MICROSOFT INTELLIPOINT\IPOINT.EXE

C:\PROGRAM FILES\COMMON FILES\REAL\UPDATE_OB\REALSCHED.EXE

C:\PROGRAM FILES\WINDOWS LIVE\MESSENGER\MSNMSGR.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\PROGRAM FILES\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE

C:\PROGRAM FILES\COMMON FILES\APPLE\MOBILE DEVICE SUPPORT\APPLEMOBILEDEVICESERVICE.EXE

C:\PROGRAM FILES\BONJOUR\MDNSRESPONDER.EXE

C:\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.EXE

C:\PROGRAM FILES\LOGMEIN HAMACHI\HAMACHI-2.EXE

C:\PROGRAM FILES\JAVA\JRE6\BIN\JQS.EXE

C:\PROGRAM FILES\COMMON FILES\NERO\NERO BACKITUP 4\NBSERVICE.EXE

C:\PROGRAM FILES\MICROSOFT APPLICATION VIRTUALIZATION CLIENT\SFTVSA.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\PROGRAM FILES\XOBNI\XOBNISERVICE.EXE

C:\PROGRAM FILES\MICROSOFT APPLICATION VIRTUALIZATION CLIENT\SFTLIST.EXE

C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\VIRTUALIZATION HANDLER\CVHSVC.EXE

C:\WINDOWS\SYSTEM32\WSCNTFY.EXE

C:\PROGRAM FILES\IPOD\BIN\IPODSERVICE.EXE

C:\PROGRAM FILES\MOZILLA FIREFOX\PLUGIN-CONTAINER.EXE

C:\DOCUMENTS AND SETTINGS\SONI\DESKTOP\SFBOT_V2.0.1_WIN\SFBOT.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\DOCUMENTS AND SETTINGS\SONI\MY DOCUMENTS\DESCARGAS\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local (0)

R3 - URLSearchHook: BS Player Toolbar - {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - C:\Program Files\BS_Player\prxtbBS_0.dll

O2 - BHO: (no name) - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - (no file)

O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll

O2 - BHO: Increase performance and video formats for your HTML5 <video> - {326E768D-4182-46FD-9C16-1449A49795F4} - C:\Program Files\DivX\DivX Plus Web Player\npdivx32.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Use the DivX Plus Web Player to watch web videos with less interruptions and smoother playback on supported sites - {593DDEC6-7468-4cdd-90E1-42DADAA222E9} - C:\Program Files\DivX\DivX Plus Web Player\npdivx32.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: MegaIEMn - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: BS Player - {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - C:\Program Files\BS_Player\prxtbBS_0.dll

O3 - Toolbar: BS Player Toolbar - {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - C:\Program Files\BS_Player\prxtbBS_0.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll

O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Policies\Explorer\Run: [windowsupdtt] C:\windowsupdtt\windowsupdtt.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [DivX Download Manager] "C:\Program Files\DivX\DivX Plus Web Player\DDmService.exe" start

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [IntelliPoint] "c:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\Soni\My Documents\Descargas\EliStarA.exe

O4 - HKLM\..\Policies\Explorer\Run: [windowsupdtt] C:\windowsupdtt\windowsupdtt.exe

O4 - HKUS\.DEFAULT\..\Run: [AMService] C:\WINDOWS\TEMP\ypwn\setup.exe

O4 - HKUS\.DEFAULT\..\RunOnce: [IE8] rundll32 advpack.dll,LaunchINFSection IE8.INF,FirstUserStart

O4 - HKUS\.DEFAULT\..\RunOnce: [ShowDeskFix] regsvr32 /s /n /i:u shell32

O4 - HKUS\S-1-5-19\..\RunOnce: [IE8] rundll32 advpack.dll,LaunchINFSection IE8.INF,FirstUserStart

O4 - HKUS\S-1-5-19\..\RunOnce: [ShowDeskFix] regsvr32 /s /n /i:u shell32

O4 - HKUS\S-1-5-20\..\RunOnce: [IE8] rundll32 advpack.dll,LaunchINFSection IE8.INF,FirstUserStart

O4 - HKUS\S-1-5-20\..\RunOnce: [ShowDeskFix] regsvr32 /s /n /i:u shell32

O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm

O8 - Extra context menu item: Download Link Using Mega Manager... - C:\Program Files\Megaupload\Mega Manager\mm_file.htm

O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office12\EXCEL.EXE/3000

O9 - Extra button: Agregar entrada - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\Office12\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe (file missing)

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: C:\PROGRAM FILES\BONJOUR\MDNSNSP.DLL

O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab

O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab56986.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/es/uno1/GAME_UNO1.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.6.0_17) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} (Java Plug-in 1.6.0_17) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_17) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Program Files\Windows Live\Mail\mailcomm.dll

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------

WinSys\Drivers\dmboot.sys (de 799744 bytes) () Microsoft Corp., Veritas Software

WinSys\Drivers\ESLWireACD.sys (de 841912 bytes) () <Turtle Entertainment>

WinSys\Drivers\mrxsmb.sys (de 455680 bytes) () Microsoft Corporation

WinSys\Drivers\ntfs.sys (de 574976 bytes) () Microsoft Corporation

WinSys\Drivers\nvnrm.sys (de 895744 bytes) () NVIDIA Corporation

WinSys\Drivers\Sftfsxp.sys (de 554344 bytes) () Microsoft Corporation

WinSys\Drivers\sptd.sys (de 691696 bytes) ()

WinSys\Drivers\wdf01000.sys (de 492000 bytes) () Microsoft Corporation



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: AMService - Unknown owner - C:\WINDOWS\TEMP\ypwn\setup.exe (file missing)

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

O23 - Service: aswFsBlk - ALWIL Software - C:\WINDOWS\SYSTEM32\DRIVERS\aswFsBlk.sys

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: Bonjour Service - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: ESLWireAC - <Turtle Entertainment> - C:\WINDOWS\system32\drivers\ESLWireACD.sys

*O23 - Service: LogMeIn Hamachi 2.0 Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - C:\Program Files\LogMeIn Hamachi\hamachi-2.exe

O23 - Service: IO.DLL Driver (io.sys) - Unknown owner - C:\WINDOWS\system32\drivers\io.sys

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Unknown owner - C:\Program Files\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.con (file missing)

O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe

O23 - Service: NetGroup Packet Filter Driver (NPF) - CACE Technologies, Inc. - C:\WINDOWS\SYSTEM32\drivers\npf.sys

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: XobniService - Xobni Corporation - C:\Program Files\Xobni\XobniService.exe



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: Ambfilt - Creative - C:\WINDOWS\SYSTEM32\drivers\Ambfilt.sys

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: cpuz132 - Unknown owner - C:\DOCUME~1\Soni\LOCALS~1\Temp\cpuz132\cpuz132_x32.sys (file missing)

**O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - Microsoft Corp., Veritas Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: ElbyCDFL - SlySoft, Inc. - C:\WINDOWS\SYSTEM32\Drivers\ElbyCDFL.sys

O23 - Service: ESLvnic Virtual Network 32 Bit (ESLvnic1) - Turtle Entertainment GmbH - C:\WINDOWS\SYSTEM32\DRIVERS\ESLvnic.sys

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: GEAR ASPI Filter Driver (GEARAspiWDM) - GEAR Software Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\GEARAspiWDM.sys

O23 - Service: Hamachi Network Interface (hamachi) - LogMeIn, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\hamachi.sys

O23 - Service: Microsoft UAA Bus Driver for High Definition Audio (HDAudBus) - Windows (R) Server 2003 DDK provider - C:\WINDOWS\SYSTEM32\DRIVERS\HDAudBus.sys

O23 - Service: USB to IEEE-1284.4 Translation Driver HPZius12 (HPZius12) - HP - C:\WINDOWS\SYSTEM32\DRIVERS\HPZius12.sys

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service for Realtek HD Audio (WDM) (IntcAzAudAddService) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\RtkHDAud.sys

O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Monfilt - Creative Technology Ltd. - C:\WINDOWS\SYSTEM32\drivers\Monfilt.sys

O23 - Service: Nokia USB Phone Parent (nmwcd) - Nokia - C:\WINDOWS\SYSTEM32\drivers\ccdcmb.sys

O23 - Service: Nokia USB Generic (nmwcdc) - Nokia - C:\WINDOWS\SYSTEM32\drivers\ccdcmbo.sys

O23 - Service: nProtect GameGuard Service (npggsvc) - INCA Internet Co., Ltd. - C:\WINDOWS\system32\GameMon.des

O23 - Service: nv - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\nv4_mini.sys

O23 - Service: NVIDIA nForce Networking Controller Driver (NVENETFD) - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\NVENETFD.sys

O23 - Service: NVIDIA Network Bus Enumerator (nvnetbus) - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\nvnetbus.sys

O23 - Service: PCCS Mode Change Filter Driver (pccsmcfd) - Nokia - C:\WINDOWS\SYSTEM32\DRIVERS\pccsmcfd.sys

O23 - Service: PORTIO - Unknown owner - C:\Documents and Settings\Soni\Desktop\JungleFlasher.0.1.69.Beta\JungleFlasher v0.1.69 Beta (75)\portio32.sys (file missing)

O23 - Service: Direct Parallel Link Driver (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: rak - Unknown owner - C:\WINDOWS\system32\rakion.sys

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: SANDRA - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2010.SP1a\WNt500x86\Sandra.sys

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2010.SP1a\RpcAgentSrv.exe

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys

O23 - Service: ServiceLayer - Nokia - C:\Program Files\Nokia\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Intel (R) System Management BIOS Service (SMBios) - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\SMBios.sys

O23 - Service: TAP-Win32 Adapter V9 (tap0901) - The OpenVPN Project - C:\WINDOWS\SYSTEM32\DRIVERS\tap0901.sys

O23 - Service: upperdev - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\usbser_lowerflt.sys (file missing)

O23 - Service: Apple Mobile USB Driver (USBAAPL) - Apple, Inc. - C:\WINDOWS\SYSTEM32\Drivers\usbaapl.sys

O23 - Service: UsbserFilt - Windows (R) Codename Longhorn DDK provider - C:\WINDOWS\SYSTEM32\DRIVERS\usbser_lowerfltj.sys

O23 - Service: VIA USB Host Controller Lower Filter (vulfnths) - VIA Technologies, Inc. - C:\WINDOWS\System32\Drivers\vulfnth.sys

O23 - Service: VIA USB Roothub Lower Filter (vulfntrs) - VIA Technologies, Inc. - C:\WINDOWS\System32\Drivers\vulfntr.sys

O23 - Service: XDva296 - Unknown owner - C:\WINDOWS\system32\XDva296.sys (file missing)



Listado de Servicios (Deshabilitados):

--------------------------------------

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys



54 Servicios.

14 de Carga Automatica.

39 de Carga Manual.

1 Deshabilitados.

[msc hotline sat]

De entrada vemos que le faltan parches a su sistema operativo, sin los cuales peligra la seguridad:



Parche MS08-067 (Servicio Servidor) NO Instalado.



Lance un windowsupdate e instale los que encuentre a faltar.





Aparte, el ELISTARA pide que nos envie muestras para analizar:







y con ellas envienos tambien estos otros sospechosos:



C:\Program Files\ConduitEngine\prxConduitEngine.dll



C:\windowsupdtt\windowsupdtt.exe



C:\WINDOWS\TEMP\ypwn\setup.exe



C:\WINDOWS\system32\drivers\io.sys





C:\windows\system32\Drivers\ESLWireACD.sys



(este ultimo puede ser un Bubnix, es muy importante ver si accede a él para poder enviarnoslo o no, comentenoslo si no puede)





para ello, recordar:





>[b]ENVIO DE MUESTRAS Y ELIMINACIÓN DE CLAVES - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlo/s, lo/s analizaremos e implementaremos su control y eliminación, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 26-3-2011

[waw]

Vale, he instalado el Parche MS08-067, no he "lanzado una windows update" porque no se muy bien a que te refieres, te he enviado muestras (Si es que lo he hecho bien...) de prxConduitEngine.dll, io.sys y ESLWireACD.sys (Si que he podido acceder, puede que este archivo te parezca peligroso porque es un anticheats para un juego, pero puede que sea peligroso tambien), de windowsupdtt.exe y ypwn\setup.exe no los he podido encontrar, seguramente porque he pasado algunos anti-spyware's y puede que lo hayan borrado, gracias :)



EDIT: joe, parezco nuevo en esto, te los he enviado sin password :S lo siento, te lo vuelvo a enviar con la password "virus" sin comillas, por si acaso, como dicen en el tutorial que pasaste :)

[msc hotline sat]

Sí, lo del password en los empaquetados es para que los antivirus de la RED no lo detecten y nos llegue para analizar, sino puede llegarnos a cero bytes o ya ni llegarnos por ser interceptado por ellos.



Y lo del windowsupdate es la manera como Microsoft revisa los parches que tienes instalados e instala los que te faltan, segun sistema y lenguaje, y ello ya hemos dicho muchas veces que se obtiene pulsando en Herramientas del INTERNET EXPLORER y allí entando en la pestaña de WINDOWSUPDATE-



Mañana, cuando volvamos al trabajo en SATINFO, espero que encontraremos las muestras enviadas y tras analizarlas, informaremos.



De todas formas el ELISTARA hizo cambios, dinos si tras reiniciar persisten las anomalias, gracias



saludos



ms, 27-3-2011

[waw]

las muestras las envie ya... corrigeme si me equivoco porque las envie con el tema que he creado yo le doy a envio muestras y ahi lo examino y pongo el correo y ya! y ahora hago el windows update :) pero desde ayer que no me suele pasar ninguna anomalia de las que me pasaban... ni se me vuelve clasico el windows ni me salen alertas de correo, lo unico que alguna que otra vez se me abre una pestaña asi porque asi ..



EDIT: al hacer el windows update me sale esto



Internet Explorer cannot display the webpage



What you can try:

Diagnose Connection Problems

[msc hotline sat]

Bueno, el ELISTARA ya hizo faena...



y si ya has instalado el MS08-067, el ELISTARA ya no lo encontrará a faltar.



De todas formas, mira si puede navegar a www.microsoft.com , pues es raro lo que dices del windowsupdate



y dinos si accediste al sospechoso de BUBNIX y pudiste enviarnoslo:



C:\windows\system32\Drivers\ESLWireACD.sys



(este ultimo puede ser un Bubnix, es muy importante ver si accede a él para poder enviarnoslo o no, comentenoslo si no puede)





Sino es que puede ser que tengas un Rootkit BUBNIX... En tal caso deberás arrancar con el CD de instalacion, pulsar R para acceder a la Consola de recuperacion, y una vez alli acceder a dicha carpeta C:\windows\system32\Drivers entrando:



CD  \windows\system32\Drivers



y una vez alli anadir .VIR a dicho fichero con



REN   ESLWireACD.sys   ESLWireACD.sys.VIR



y tras reiniciar, mira de enviarnoslo para analizar, que ahora ya no estará en memoria y podrás hacerlo.



saludos



ms, 27-3-2011

[waw]

con "ver si puedo acceder a él" te refieres a si puedo comprimirlo y enviartelo? si es asi, si, ya te lo envie.

si con ver sip uedo acceder a el no te refieres a eso, especificamelo y hago lo que me dijiste, porfavor :)



puedo navegar perfectamente por microsoft.com menos en algunos apartados por ejemplo el de security-> microsoft updates

parece ser que todo lo que tiene que ver con updates no me deja :S

[msc hotline sat]

Entonces no es el BUBNIX, ya que en tal caso no hubieras podido hacerlo. En cualquier caso lo analizaremos e informaremos



Y lo de que no puedes acceder a los sitios de seguridad de Microsoft, es propio de algunos malwares.



Y ellos podrían haber modificado el HOSTS, y aunque el ELISTARA lo hubiera intentado corregir, es posible que lo hubiera vuelto a generar, igual que vemos que el MBR parece tener anomalias (tecnicas Stealth), con las que ocultar lo que realmente hay:



[b][i]Detectado HOSTS no Standar.

Restaurado HOSTS por el Original.

Detectada Posible Infección del MBR con Técnicas Stealth.

Reinicie para Completar la Limpieza.[/i][/b]



Vuelve a lanzar el ELISTARA y posteanos de nuevo el infosat, a ver que vemos que detecta ahora, gracias



saludos



ms, 27-3-2011

[waw]

Efectivamente, cuando abro el elistara me pone "Detectada posible infección del MBR con Técnicas Stealth, ahora edito con el informe!



Informe:

(27-3-2011 19:14:50 (GMT))

EliStartPage v22.89 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 25 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 11702

Nº Total de Ficheros: 139724

Nº de Ficheros Analizados: 28052

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





solo me ponia esto :S

[msc hotline sat]

Sí, este es el informe de exploracion, en el anterior a este, que debía ser el de analisis por accion directa, lo debía decir.



Entonces tiene el MBR con un posible RootKit



Arranque con el CD de instalacion, pulse R para entrar en Consola de Recuperaiucon y una vez alli lance FIXMBR <enter>



Con ello sobreescribirá el MBR librandose del malware que en él haya.



Y tras reiniciar, nos cuenta el resultado, gracias



saludos



ms, 28-3-2011

[waw]

sabes que pasa? que cuando inicio el pc con la grabadora (DVR-111DBK, por si acaso ^^) CONECTADA el pc me va como a 10 minutos por cada accion SIN EXAGERAR por ejemplo le doy a inicio y en 5/6 mins se abre, y cuando intento arrancar el pc desde el CD para que no haga falta entrar en windows no puedo porque mi teclado es via USB y no empieza a funcionar hasta que windows arranca o al meterme en las opciones de bios, asique.. 2 dudas:



Hay alguna manera de hacer que mi teclado usb arranque antes que me ponga lo de "Si quieres iniciar desde el cd pulsa cualquier tecla"



Hay alguna manera de entrar en la consola de recuperacion sin el cd?



Si veo que no hay ninguna posibilidad intentare pedir un teclado prestado a alguien, pero no conozco a mucha gente que siga usando el teclado via PS/2 pero bueno.. :S

[msc hotline sat]

No, debes arrancar desde otro medio que no sea el Disco duro, para no poner lo que haya en el MBR en memoris.



Y creo que con teclados USB es un tostón, pero paciencia que solo es una vez !



saludos



ms, 28-3-2011

[waw]

Perdon por tardar (hasta que consegui un teclado de ps/2 :oops: ) ahora el elistara NO me dice nada al iniciarlo como lo que te dije antes de las tecnicas stealth.



Te paso el informe nuevo por si acaso :) analizaste el eslwyreacd.sys?



(28-3-2011 22:10:23 (GMT))

EliStartPage v22.89 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 25 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE



(28-3-2011 22:23:45 (GMT))

EliStartPage v22.89 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 25 de Marzo del 2011)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 11707

Nº Total de Ficheros: 140160

Nº de Ficheros Analizados: 28090

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[msc hotline sat]

Pues mucho mejor !



Y recibidos los ficheros pedidos, no se detectan en ellos rutinas viricas conocidas



Dinos si ahora aun persiste alguna anomalia, gracias



saludos



ms, 29-3-2011

[waw]

Parece ser que ya esta arreglado, mil gracias^^

[msc hotline sat]

Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 30-3-2011