Hijackthis (solucionado)

fircsix · Mensaje por **fircsix** » 11 Dic 2004, 04:07

He tenido problemas con distintos tipos de spywares. Los sintomas son:

ToolBars cuando abro internet

Cuando abro una pagina me aparecen publicidades (incluso en esta)

Mi firewall avisa muy seguido de escaneo de puertos o cambio de identidad

Ventanas de errores de windows

He pasado Adware SE y el Spybot S&D en modo seguro y me encontraron lo normal (Adware 9 y Spybot ninguno) pero cuando pase el hijackthis me aparecieron entradas que me parecieron sospechosas. Aqui les dejo las entradas que me parecen sospechosas a ver que opinan y el log completo.

Entradas sospechosas

O2 - BHO: (no name) - {6BAFD268-4270-0839-9DE1-FCC0792327B2} - C:\WINDOWS\APPLICATION DATA\INTRANEWLOUD\SHOW SCR.EXE

O4 - HKCU\..\Run: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

O4 - HKLM\..\Run: [Intra Dumb Dog Atom] C:\WINDOWS\All Users\Application Data\FUNK MAGS INTRA DUMB\PileArmy.exe

O4 - HKCU\..\RunServices: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by23fd.bay23.hotmail.msn.com/resources/MsnPUpld.cab

Log del hijackthis

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\LIMPIAR\HIJACKTHIS.EXE

C:\WINDOWS\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://hhkdbmbdjxo.com/7613LtK3_NKXZBZQIpSLsLcugbgdEd08hUDBWVN1xmhceRxyIXBlBaCXVzfEp0HY.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\ARCHIVOS DE PROGRAMA\MSN APPS\MSN TOOLBAR\01.02.3000.1001\ES\MSNTB.DLL

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\ARCHIVOS DE PROGRAMA\MSN APPS\ST\01.02.3000.1002\EN-XU\STMAIN.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O2 - BHO: (no name) - {6BAFD268-4270-0839-9DE1-FCC0792327B2} - C:\WINDOWS\APPLICATION DATA\INTRANEWLOUD\SHOW SCR.EXE

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\ARCHIVOS DE PROGRAMA\MSN APPS\MSN TOOLBAR\01.02.3000.1001\ES\MSNTB.DLL

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Norton CrashGuard Monitor] "C:\ARCHIVOS DE PROGRAMA\NORTON SYSTEMWORKS\NORTON CRASHGUARD\CGMenu.EXE"

O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Apvxdwin.exe" /s

O4 - HKLM\..\Run: [Intra Dumb Dog Atom] C:\WINDOWS\All Users\Application Data\FUNK MAGS INTRA DUMB\PileArmy.exe

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [SymTray - Norton SystemWorks] C:\Archivos de programa\Archivos comunes\Symantec Shared\SymTray.exe "Norton SystemWorks"

O4 - HKLM\..\RunServices: [PANDASCHEDULER] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Pavsched.exe"

O4 - HKLM\..\RunServices: [PAVFIRES] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\Pavfires.exe"

O4 - HKCU\..\Run: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

O4 - HKCU\..\RunServices: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Startup: Smart Sweep-Internet Sweep de CleanSweep.lnk = C:\Archivos de programa\Norton SystemWorks\Norton CleanSweep\csinsm32.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\OFFICE10\EXCEL.EXE/3000

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.1_02) -

O16 - DPF: {CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_02) -

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by23fd.bay23.hotmail.msn.com/resources/MsnPUpld.cab

Si ven que debo sacar o agregar entradas a la lista avisenme. Gracias de antemano

Saludos.

fircsix

fircsix · Mensaje por **fircsix** » 11 Dic 2004, 23:56

He estado sacando info y me di cuenta que estas entradas eran las del spyware

O2 - BHO: (no name) - {6BAFD268-4270-0839-9DE1-FCC0792327B2} - C:\WINDOWS\APPLICATION DATA\INTRANEWLOUD\SHOW SCR.EXE

O4 - HKCU\..\Run: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

O4 - HKLM\..\Run: [Intra Dumb Dog Atom] C:\WINDOWS\All Users\Application Data\FUNK MAGS INTRA DUMB\PileArmy.exe

O4 - HKCU\..\RunServices: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

Pues bien las he eliminado, he pasado los programas AntiSpyware y he borrado las carpetas donde residen todo en modo seguro pero luego de un tiempo todo vuelve a aparecer incluso estas entradas excepto esta

O4 - HKCU\..\RunServices: [Vgasoftware] C:\WINDOWS\APPLIC~1\MESSTH~1\dupe peak.exe

Si tienen alguna idea o sugerencia escribanla. Gracias

PD: Aqui les dejo el log del hijackthis SIN las entradas borradas a ver si notan algo que este fuera de lugar.

Logfile of HijackThis v1.98.2

Scan saved at 08:07:30 p.m., on 11/12/2004

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\SYMANTEC SHARED\SYMTRAY.EXE

C:\ARCHIVOS DE PROGRAMA\PANDA SOFTWARE\PANDA ANTIVIRUS PLATINUM\FIREWALL\PAVFIRES.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\ARCHIVOS DE PROGRAMA\NORTON SYSTEMWORKS\NORTON CRASHGUARD\CGMENU.EXE

C:\ARCHIVOS DE PROGRAMA\PANDA SOFTWARE\PANDA ANTIVIRUS PLATINUM\APVXDWIN.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\ARCHIVOS DE PROGRAMA\NORTON SYSTEMWORKS\NORTON CLEANSWEEP\CSINSM32.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\Archivos de programa\Norton SystemWorks\Norton CleanSweep\Monwow.exe

C:\ARCHIVOS DE PROGRAMA\MSN APPS\UPDATER\01.02.3000.1001\ES\MSNAPPAU.EXE

C:\LIMPIAR\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gorxrxfhqqshjdtfevjoinm.com/fPTg9gdA3cO_piCPIVHzucI29LafXtoDrVZhn1vhKZG0LBxzlKM7y4txFmLshzVk.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\ARCHIVOS DE PROGRAMA\MSN APPS\MSN TOOLBAR\01.02.3000.1001\ES\MSNTB.DLL

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\ARCHIVOS DE PROGRAMA\MSN APPS\ST\01.02.3000.1002\EN-XU\STMAIN.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Norton CrashGuard Monitor] "C:\ARCHIVOS DE PROGRAMA\NORTON SYSTEMWORKS\NORTON CRASHGUARD\CGMenu.EXE"

O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Apvxdwin.exe" /s

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [SymTray - Norton SystemWorks] C:\Archivos de programa\Archivos comunes\Symantec Shared\SymTray.exe "Norton SystemWorks"

O4 - HKLM\..\RunServices: [PANDASCHEDULER] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Pavsched.exe"

O4 - HKLM\..\RunServices: [PAVFIRES] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\Pavfires.exe"

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Startup: Smart Sweep-Internet Sweep de CleanSweep.lnk = C:\Archivos de programa\Norton SystemWorks\Norton CleanSweep\csinsm32.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\OFFICE10\EXCEL.EXE/3000

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.1_02) -

O16 - DPF: {CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_02) -

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by23fd.bay23.hotmail.msn.com/resources/MsnPUpld.cab

Mensaje por **maura63** » 13 Dic 2004, 16:51

Elimina en modo seguro y desactivando restaurar sistema esta entrada con hijackthis.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gorxrxfhqqshjdtfevjoinm.com/fPTg9gdA3cO_piCPIVHzucI29LafXtoDrVZhn1vhKZG0LBxzlKM7y4txFmLshzVk.html

Saludos

maura63

fircsix · Mensaje por **fircsix** » 13 Dic 2004, 18:38

Bueno lo he hecho de nuevo pero ahora he borrado tambien la entrada que me menciono Maura y parece que no lo tengo mas pero no sabria decirlo con seguridad hasta que no encienda la pc en otro momento. Gracias por su ayuda.

Saludos.

fircsix

Mensaje por **maura63** » 13 Dic 2004, 18:43

Pues nos contestas para poder dar el tema como solucionado.

Saludos

maura63

fircsix · Mensaje por **fircsix** » 13 Dic 2004, 20:01

He leido el problema de los procesos de iexplorer de eatheril y yo tambien tengo el mismo problema y por lo que veo tambien viene de parte del msn plus 3 y eso que parece que yo ya lo he eliminado pero los procesos me siguewn apareciendo.

Saludos.

fircsix

Mensaje por **maura63** » 13 Dic 2004, 23:26

fircsix......eres un nido de bichos...........

Saludos

maura63

fircsix · Mensaje por **fircsix** » 13 Dic 2004, 23:32

BUENAS NOTICIAS!!! ~~[b]~~parece[/b] que he podido eliminar el molesto malware. Acabo de encender la pc y no me aparecio de nuevo!!!! pero me temo que lo de los procesos iexplorer me sigue saliendo :? . Vamos sigamos probando que ya falta poco. :lol: :lol:

Saludos.

fircsix

fircsix · Mensaje por **fircsix** » 14 Dic 2004, 01:04

Otro dato importante es que la entrada que maura me indico que eliminara:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gorxrxfhqqshjdtfevjoinm.com/fPTg9gdA3cO_piCPIVHzucI29LafXtoDrVZhn1vhKZG0LBxzlKM7y4txFmLshzVk.html

Me volvio a aparecer asi que la elimine de nuevo pero supongo que luego aparecera de nuevo asi que si se les ocurre algo mas avisenme.

Saludos.

fircsix

fircsix · Mensaje por **fircsix** » 14 Dic 2004, 04:11

MUY MALAS NOTICIAS: recien cuando empece a usar la pc me aparecieron como siempre los procesos de iexplorer solo que hubo una gran diferencia ~~[b]~~no pude finalizar dos de ellos[/b] les ponia finalizar tarea y no se cerraban, el firewall de panda... bien gracias y entonces... adivinen que??? volvio y delante de mis propios ojos!!! :evil: :evil: ~~[b]~~TODO DE NUEVO LOS ICONOS, LOS FAVORITOS, LOS TOOLBARS, LA PAGINA DE INICIO, TOOOODOOOO[/b] :evil: . Tambien las entradas en el hijackthis, los 88 malwares, las 103 entradas de CoolWebSearch, las carpetas en C:/Windows/Application Data y C:/Windows/All Users/ Application Data. Volvi a hacer todo de nuevo en modo seguro deshabilitando restaurar sistema y aqui estoy pero pese a todo soy paciente y se que voy a conseguir terminar con este problema. Tendria que probar con una nueva utilidad ya que todas estas (Ad-Ware SE, Spybot S&D, HijackThis, CWShredeer) no me han dado resultados. Solo me resuelven el problema de forma temporal y liego vuelve :x . Pero ahi que llegar al fondo del asunto porque sino de donde saldrian todos esos procesos de iexplore???

Bueno, en fin, si a algunos de ustedes se le ocurre alguna solucion para este ~~[b]~~gran problema[/b] ruego que la publiquen.

Saludos.

fircsix

Mensaje por **maura63** » 14 Dic 2004, 09:55

Por cierto..... Has comprobado via windows update que no te falte ninguna actualizacion del sistema :?: :?:

Aunque si puedes cambia el sistema operativo, usas ME y queda obsoleto, muchos agujeros no son ya reportados por microsoft.

Si puedes hazlo.

Saludos

maura63

fircsix · Mensaje por **fircsix** » 14 Dic 2004, 14:59

Pues si tuve que actualizar el IE y otras pocas actualizaciones criticas. Es que a mi no me funciona directo via update por eso hago las actualizaciones manualmente desde el centro de descarga. Bueno ahora que estoy actualizado veo lo si vuelven los procesos de iexplorer (por ahora solo aparecio ~~[b]~~uno[/b] :) ).

Saludos.

fircsix

fircsix · Mensaje por **fircsix** » 14 Dic 2004, 16:29

No no hay caso volvio Y EN TIEMPO RECORD bueno de cualquier forma aqui les pongo los archivos que provienen del malware

La carpeta Funk Mags Intra Dumb que contiene: BuildArmyVc,

internetatom.exe y loud trust spam

La carpeta intranewloud que no contiene nada :?

La carpeta Mess The Hold que contiene: dupe peak.exe, geulvqwg.exe y Lies ping once spam.exe.

Espero que esto sirva de algo.

Saludos.

fircsix

fircsix · Mensaje por **fircsix** » 16 Dic 2004, 03:44

Bueno parece que no aparecio mas el malware. Las 3 carpetas que describi en el post anterior las mande a la papelera pero no las elimine y no me volvio a aparecer. :D :D

Si ocurre de nuevo ya saben que lo posteare. :wink:

Saludos.

fircsix

Mensaje por **msc hotline sat** » 16 Dic 2004, 10:48

Pues solucionado el problema, cerramos el Tema

saludos

ms, 15-12-2004