Problemas con Wurldmedia (TERMINADO)

BigKahuna · Mensaje por **BigKahuna** » 23 Nov 2005, 15:55

Buenas, ayer postee esto https://foros.zonavirus.com/viewtopic.php?t=9430

(no respondo ahi porq esta cerrado)

Pues sigo con el mismo problema, el ad-aware las elimina pero vuelven a aparecer, y si lo hago manualmente, igual.

Alguna sugerencia?

Gracias

Mensaje por **maura63** » 23 Nov 2005, 16:05

Como nos distes a entender que lo habias solucionado..... :lol:

Bajar :

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

Saludos

maura63

BigKahuna · Mensaje por **BigKahuna** » 23 Nov 2005, 16:35

Si, culpa mia, pense q se soluciono... :)

Aqui te pego esto, yo no me entero mucho de esto pero es el ordenador de mi novia y lo cogi hace poco y tendra de todo ...

Logfile of HijackThis v1.99.1

Scan saved at 16:14:19, on 23.11.2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Sygate\SPF\smc.exe

C:\WINDOWS\System32\RunDll32.exe

C:\Programme\Stardock\Object Desktop\WindowBlinds\wbload.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Programme\SysMetrix\SysMetrix.exe

C:\Programme\ATI Technologies\ATI.ACE\cli.exe

C:\Programme\Winamp\winampa.exe

C:\Programme\Babylon\Babylon.exe

C:\Programme\MSN Messenger\msnmsgr.exe

C:\Programme\Skype\Phone\Skype.exe

C:\Programme\ATI Technologies\ATI.ACE\CLI.exe

C:\WINDOWS\system32\RAMASST.exe

C:\Programme\Google\Gmail Notifier\gnotify.exe

C:\Programme\Yahoo!\Messenger\ymsgr_tray.exe

C:\WINDOWS\System32\DVDRAMSV.exe

C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe

C:\WINDOWS\System32\mgabg.exe

C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\Programme\ATI Technologies\ATI.ACE\cli.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Far\Far.exe

C:\HijackThis\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: TChkBHO Class - {ACC1046E-0CC3-493F-85B8-CBD45ECE04A1} - C:\WINDOWS\system32\nkxiso.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SysMetrix] C:\Programme\SysMetrix\SysMetrix.exe

O4 - HKLM\..\Run: [KAVPersonal50] C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [Babylon Client] C:\Programme\Babylon\Babylon.exe -AutoStart

O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Programme\Yahoo!\Messenger\ypager.exe" -quiet

O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [YAAC] C:\Programme\Tools&More\YAAC\YAAC.exe /AUTOSTART

O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - Startup: Gmail Notifier.lnk = C:\Programme\Google\Gmail Notifier\gnotify.exe

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Microsoft Office.lnk = F:\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE

O12 - Plugin for .mov: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll

O12 - Plugin for .mp3: C:\Programme\Internet Explorer\PLUGINS\npqtplugin4.dll

O12 - Plugin for .mpg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{E847B243-30C0-4CF9-B8DD-98A0836E74AA}: NameServer = 212.7.148.65 212.7.148.97

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: FolderGuard - F:\Folder Guard\FGuard32.dll

O20 - Winlogon Notify: MCPClient - C:\PROGRA~1\GEMEIN~1\Stardock\mcpstub.dll

O20 - Winlogon Notify: WB - C:\PROGRA~1\Stardock\OBJECT~1\WindowBlinds\fastload.dll

O21 - SSODL: IconPackager Repair - {1799460C-0BC8-4865-B9DF-4A36CD703FF0} - C:\Programme\Stardock\Object Desktop\IconPackager\iprepair.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Crypkey License - Unknown owner - crypserv.exe (file missing)

O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\System32\DVDRAMSV.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: MGABGEXE - Matrox Graphics Inc. - C:\WINDOWS\System32\mgabg.exe

O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Muchas gracias

Mensaje por **msc hotline sat** » 23 Nov 2005, 16:38

Además de postearnos el log del HJT como indica Maura53, mira si con Inicio -> Buscar encuentras algun fichero wurldmedia.* y si es un reg o un bat, nos lo pegas en tu proximo post, pues tienes un wurldmedia.reg que alguna aplicacion lo ejecute y tenga por mision crear estas clabes, las volvería a crear y es posible que ello no se vea en el HJT.

saludos

ms, 23.11.2005

Mensaje por **maura63** » 23 Nov 2005, 16:43

Tambien comentarte que debes actualizar te faltan parches + sp2 y otros posteriores.

Platform: Windows [color=red]XP SP1 [/color](WinNT 5.01.2600)

MSIE: Internet [color=red]Explorer v6.00 SP1 [/color](6.00.2800.1106)

Saludos

maura63

BigKahuna · Mensaje por **BigKahuna** » 23 Nov 2005, 20:51

La actualizacion va en camino, pero he buscado usando todas la claves q se me acurrian en mi pc y no encontre nada relacionado con el wurldmedia

Gracias

Mensaje por **msc hotline sat** » 24 Nov 2005, 07:58

Pues ahí tienes la informacion de symantec al respecto, donde te indican el proceso de eliminacion manual ...

http://securityresponse.symantec.com/avcenter/venc/data/adware.wurldmedia.html

Si tienes problemas con ello, dinos si tienes lo ficheros que alli indican utiliza, y en tal caso si nos los envias, podríamos analizarlos e implementar su eliminacion en el ELISTARA

comentanos tus progresos, gracias

saludos

ms, 24-11-2005

BigKahuna · Mensaje por **BigKahuna** » 25 Nov 2005, 17:09

Saludos de nuevo.

He segiuido los pasos de las pagina q pegaste y en mi ordenador, no hay ninguno de los archivos que alli se citan, ni las ineas de registro, solo una la de FENX, q la elimino pero vuelve a aparecer. De verdad q siento la paliza q les estoy dando pero esq no hay manera...

Gracias

Mensaje por **maura63** » 25 Nov 2005, 17:18

Descarga y pasas esta utilidad

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

creara un archivo txt en C Satinfo copianos el resultado.

Saludos

maura63

BigKahuna · Mensaje por **BigKahuna** » 25 Nov 2005, 19:16

Fri Nov 25 19:15:01 2005

EliStartPage v10.62 (c)2005 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones:

[WinLogon\Notify\MCPCLIENT]

Por favor, envienos una muestra del fichero

C:\PROGRA~1\GEMEIN~1\STARDOCK\MCPSTUB.DLL

a "virus@satinfo.es". Gracias.

[WinLogon\Notify\WB]

Por favor, envienos una muestra del fichero

C:\PROGRA~1\STARDOCK\OBJECT~1\WINDOWBLINDS\FASTLOAD.DLL

a "virus@satinfo.es". Gracias.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Mensaje por **maura63** » 25 Nov 2005, 19:58

Debes enviar a zonavirus@satinfo.es una muestra de

MCPSTUB.DLL y FASTLOAD.DLL

Mira si puedes encontrarlas dentro de tu pc las copias a un diskette y las envias mediante e:mail a la direccion indicada y pones como referencia REFMCPSTUB.

Las procesaran el lunes, hoy ya es viernes noche, y te informaran en este mismo post del resultado y que aplicar al respecto.

Saludos

maura63

BigKahuna · Mensaje por **BigKahuna** » 25 Nov 2005, 23:06

Los encontre y los he enviado, muchas gracias

Mensaje por **msc hotline sat** » 26 Nov 2005, 09:00

Como que estas usando la version 10.62 del ELISTARA, descarga la actual 10.66 ya que cada día implementamos nuevas variantes de estos malwares que se instalan en el 020-Winlogon notify, y puede ser que ya lo conozcamos.

Si no, lo implementareremos en la siguiente version a partir de cuando recibamos las muestras, probablemente el mismo lunes, cuando volvamos al trabajo en SATINFO.

saludos

ms, 26-11-2005

BigKahuna · Mensaje por **BigKahuna** » 26 Nov 2005, 19:56

Pase el ultimo pero me dice lo mismo

Gracias de todas formas

Mensaje por **msc hotline sat** » 26 Nov 2005, 20:24

Bueno, a primera hora del lunes se estudiarán los ficheros que has enviados y obraremos en consecuencia.

Si tuvieras mucha prisa ya sabemos como eliminar el problema manualmente, arrancando con el CD de instalacion con CONSOLA DE RECUPERACION, y en este modo eliminar los ficheros (que previamente debes haber dejado sin atributos accediendo a ellos normalmente) y una vez eliminados, arandando normal y lanzando el HJT, al no estar en uso podrñas eliminar las claves sin problemas , pero manualmente es pesado y vamos implementando en el ELISTARA las muestras recibidas, y arrancando en modo seguro, eliminamos malwares y claves.

saludos

ms, 26-11-2005

BigKahuna · Mensaje por **BigKahuna** » 26 Nov 2005, 22:05

No, prisa no tengo, solo q no se cuanto mal me hace esos malware. No obstante voy a intentarlo como dices para mas q nada aprender un poco con la practica.

Gracias por todo y siento el dolor de cabeza q les haya podido causar :)

Mensaje por **maura63** » 27 Nov 2005, 10:43

Pues mañana te contestaran.

Y lo que hacen esos malwares, adware o spy ademas de incordiar, es espiar, ofrecer publicidad y sacarte de tus casillas por los problemas que dan.

Saludos

maura63

Mensaje por **msc hotline sat** » 28 Nov 2005, 12:55

Recibidas las muestras, una vez analizadas han resultado ser DLL de un fabricante de utilidades para el XP y el VISTA, si bien las utiliza desde una clave de WinLogon/Notify como todos los Look2Me y otros "de moda", por lo cual el ELISTARA Los consideró sospechosos y pidió muestra.

Se excluye la deteccion de estas dos DLL a partir de la proxima version del ELISTARA.

El fabricante en cuestion, con el GOOGLE , resulta ser de:

[code]
Stardock Corporation - Innovation on demand - [ Traduzca esta página ]
Stardock brings you innovation on demand with tools for Windows XP/Vista Themes,
skins, icons, desktop enhancements and strategy games!
www.stardock.com/ - 32k - 26 Nov 2005 - En caché - Páginas similares
[/code]

Grcias por la colaboracion.

saludos

ms, 28-11-2005

BigKahuna · Mensaje por **BigKahuna** » 28 Nov 2005, 14:51

Gracias por la ayuda, en vista de no poder eliminar os malwares y de q no puedo acceder al modo a prueba de fallos supongo q reinstalare todo, q me da q le ace falta.

Ayudais mucho señores, ese se agradese mucho

Mensaje por **msc hotline sat** » 28 Nov 2005, 18:55

Gracias por sus comentarios, y por lo indicado consoderamos terminado este tema t procedemos a cerrarlo

saludos

ms, 28-11-2005