Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA (Solucionado)

Buscar

		Foro de Spyware » Spyware - Adware - Hijackers - Malwares » Temas Solucionados
Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA (Solucionado)

Para evitar Virus, Spyware y ventanas emergentes, en InfoSpyware recomendamos navegar con: FIREFOX

Temas Solucionados Casos de HijackThis y Malwares resueltos.
(Solo lectura)

Herramientas

post #1 (permalink)

23/01/08, 16:47:08

Rasol07

Usuario

Registrado: jul 2006

Ubicación: Chili

Mensajes: 23

Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA (Solucionado)

Estimados, como coloqué en un post anterior, al parecer me atacó el Vundo, este me desactiva el antivirus (NOD32), mató messenger, Acrobat, y etc´s.

Todo comenzó con un archivo Geebx.dll en c:/windows/system32/, imposible de eliminar de forma manual, leyendo en el foro, apliké HijackThis, y VundoFix, se supone que lo eliminó, pero al otro dia al endender mi portatil... Nuevamente me atacó (eso que había reinstalado el NOD32), ahora me creó otros dll, (ljjjhfe.dll y etcs).

Ahora corrí el ComboFix, y aquí os dejo el repoprte. Será que ahora si murió el bicho???

Por favor necesito HELP, ya que es el compu del trabajo

:

ComboFix 08-01-23.1 - RSxx 2008-01-23 15:29:50.1 - NTFSx86 NETWORK
Microsoft Windows XP Professional 5.1.2600.2.1252.34.3082.18.347 [GMT -3:00]
Se ejecuta desde: C:\Documents and Settings\RSxx\Escritorio\ComboFix.exe

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.
ADS - svchost.exe: deleted 68 bytes in 1 streams.
ADS - ntoskrnl.exe: deleted 36 bytes in 1 streams.
ADS - explorer.exe: deleted 100 bytes in 1 streams.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat
C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat
C:\WINDOWS\msettings.ini
C:\WINDOWS\system32\ctfmon .exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\ljjjhfe.dll
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\qqtss.ini
C:\WINDOWS\system32\qqtss.ini2
C:\WINDOWS\system32\sstqq.dll
C:\WINDOWS\system32\sstqq.exe

Código:

 <pre>
C:\WINDOWS\system32\ctfmon .exe ---> QooBox
</pre>

.
----- BITS: Possible infected sites -----

hxxp://javadl.sun.com
.
(((((((((((((((((( Archivos creados desde 2007-12-23 - 2008-01-23 )))))))))))))))))))))))))))))))))
.

2008-01-22 23:51 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\Nircmd.exe
2008-01-22 23:18 . 2008-01-22 23:18 298,104 --a------ C:\WINDOWS\system32\imon.dll
2008-01-22 23:15 . 2008-01-22 23:18 15,424 --a------ C:\WINDOWS\system32\drivers\nod32drv.sys
2008-01-22 23:13 . 2008-01-22 23:13 <DIR> d-------- C:\WINDOWS\system32\Sounds
2008-01-22 23:13 . 2008-01-22 23:13 <DIR> d-------- C:\Archivos de programa\My Company Name
2008-01-22 23:13 . 2008-01-22 23:18 512,096 --a------ C:\WINDOWS\system32\drivers\amon.sys
2008-01-21 23:11 . 2008-01-21 23:50 <DIR> d-------- C:\VundoFix Backups
2008-01-21 23:04 . 2008-01-21 23:09 <DIR> d-------- C:\Archivos de programa\DelPSGuard
2008-01-21 22:41 . 2008-01-21 22:41 15,360 --a------ C:\WINDOWS\system32\ctfmon.exe.tmp.000
2008-01-21 20:50 . 2008-01-21 21:11 4,357,101,568 --a------ C:\SIMPSONS_FILM_FESTIVAL.ISO
2008-01-21 15:22 . 2008-01-21 15:22 <DIR> d-------- C:\Archivos de programa\Lavasoft
2008-01-21 15:18 . 2008-01-21 15:18 <DIR> d-------- C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
2008-01-21 12:06 . 2008-01-21 12:06 <DIR> d-------- C:\Archivos de programa\FileASSASSIN
2008-01-21 11:49 . 2008-01-21 11:49 <DIR> d-------- C:\Archivos de programa\Trend Micro
2008-01-21 08:34 . 2008-01-21 08:34 <DIR> d--h----- C:\WINDOWS\$hf_mig$
2008-01-21 08:12 . 2007-07-30 19:19 43,352 --a------ C:\WINDOWS\system32\wups2.dll
2008-01-21 08:12 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui
2008-01-21 08:12 . 2007-07-30 19:18 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui
2008-01-21 08:12 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui
2008-01-21 08:12 . 2007-07-30 19:18 20,824 --a------ C:\WINDOWS\system32\wuaueng.dll.mui
2008-01-21 07:33 . 2008-01-21 15:11 163 --a------ C:\WINDOWS\wininit.ini
2008-01-19 17:40 . 2008-01-19 17:41 <DIR> d-------- C:\Archivos de programa\MagicISO
2008-01-19 17:36 . 2008-01-19 17:36 32,764 --a------ C:\WINDOWS\17PHolmes922.exe

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-01-21 11:49 --------- d-----w C:\Archivos de programa\MSN Messenger
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 03:54 16248320 C:\WINDOWS\RTHDCPL.exe]
"Acrobat Assistant 7.0"="C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\SYSTEM32\CTFMON.EXE" [ ]

S3 k510bus;Sony Ericsson K510 Driver driver (WDM);C:\WINDOWS\system32\DRIVERS\k510bus.sys [2007-09-05 21:32]
S3 k510mdfl;Sony Ericsson K510 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\k510mdfl.sys [2007-09-05 21:32]
S3 k510mdm;Sony Ericsson K510 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\k510mdm.sys [2007-09-05 21:32]
S3 k510mgmt;Sony Ericsson K510 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\k510mgmt.sys [2007-09-05 21:32]
S3 k510obex;Sony Ericsson K510 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\k510obex.sys [2007-09-05 21:32]
S3 PAC207;VideoCAM GF112;C:\WINDOWS\system32\DRIVERS\pfc027.sys [2005-04-08 11:46]

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\Setup.exe -auto

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{8eaecaba-a4e2-11dc-b648-0016d45be289}]
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL xupalo.exe

.
Contenido de carpeta 'Tareas Programadas'
"2008-01-19 12:00:00 C:\WINDOWS\Tasks\At10.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 13:00:00 C:\WINDOWS\Tasks\At11.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 14:00:00 C:\WINDOWS\Tasks\At12.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-21 15:00:00 C:\WINDOWS\Tasks\At13.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-20 16:00:00 C:\WINDOWS\Tasks\At14.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-23 17:00:00 C:\WINDOWS\Tasks\At15.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-23 18:00:00 C:\WINDOWS\Tasks\At16.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-21 19:00:00 C:\WINDOWS\Tasks\At17.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 20:00:00 C:\WINDOWS\Tasks\At18.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 21:00:00 C:\WINDOWS\Tasks\At19.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 22:00:00 C:\WINDOWS\Tasks\At20.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-21 23:00:00 C:\WINDOWS\Tasks\At21.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-22 00:00:00 C:\WINDOWS\Tasks\At22.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-22 01:00:00 C:\WINDOWS\Tasks\At23.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-23 02:00:03 C:\WINDOWS\Tasks\At24.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-22 03:00:00 C:\WINDOWS\Tasks\At25.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 04:00:00 C:\WINDOWS\Tasks\At26.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 05:00:00 C:\WINDOWS\Tasks\At27.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 06:00:00 C:\WINDOWS\Tasks\At28.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 07:00:00 C:\WINDOWS\Tasks\At29.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 05:00:00 C:\WINDOWS\Tasks\At3.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 08:00:00 C:\WINDOWS\Tasks\At30.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 09:00:00 C:\WINDOWS\Tasks\At31.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 10:00:00 C:\WINDOWS\Tasks\At32.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 11:00:00 C:\WINDOWS\Tasks\At33.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 12:00:00 C:\WINDOWS\Tasks\At34.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 13:00:00 C:\WINDOWS\Tasks\At35.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 14:00:00 C:\WINDOWS\Tasks\At36.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-21 15:00:00 C:\WINDOWS\Tasks\At37.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-20 16:00:00 C:\WINDOWS\Tasks\At38.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-23 17:00:00 C:\WINDOWS\Tasks\At39.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 06:00:00 C:\WINDOWS\Tasks\At4.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-23 18:00:00 C:\WINDOWS\Tasks\At40.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-21 19:00:00 C:\WINDOWS\Tasks\At41.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 20:00:00 C:\WINDOWS\Tasks\At42.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 21:00:00 C:\WINDOWS\Tasks\At43.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 22:00:00 C:\WINDOWS\Tasks\At44.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-21 23:00:00 C:\WINDOWS\Tasks\At45.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-22 00:00:00 C:\WINDOWS\Tasks\At46.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-22 01:00:00 C:\WINDOWS\Tasks\At47.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-23 02:00:04 C:\WINDOWS\Tasks\At48.job"
- C:\WINDOWS\system32\7c55pC8t.exe
"2008-01-19 07:00:00 C:\WINDOWS\Tasks\At5.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 08:00:00 C:\WINDOWS\Tasks\At6.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 09:00:00 C:\WINDOWS\Tasks\At7.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 10:00:00 C:\WINDOWS\Tasks\At8.job"
- C:\WINDOWS\system32\0A877kT4.exe
"2008-01-19 11:00:00 C:\WINDOWS\Tasks\At9.job"
- C:\WINDOWS\system32\0A877kT4.exe
.
************************************************** ************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-23 15:34:21
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

el escaneo se completo con exito
archivos ocultos: 0

************************************************** ************************
.
--------------------- DLLs cargados bajo los procesos en ejecución ---------------------

PROCESS: C:\WINDOWS\system32\lsass.exe [5.01.2600.2180]
-> C:\Archivos de programa\Eset\pr_imon.dll

PROCESS: C:\WINDOWS\Explorer.EXE [6.00.2900.2180]
-> C:\Archivos de programa\Eset\pr_imon.dll
.
Tiempo completado: 2008-01-23 15:36:33 - machine was rebooted [RSxx]
ComboFix-quarantined-files.txt 2008-01-23 18:36:24

post #2 (permalink)

24/01/08, 16:11:02

GPastor

FS-Admin

Registrado: mar 2005

Ubicación: Callao - Perú

Mensajes: 16.800

Re: Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA

Hola te doy la bienvenida al foro, lee las Políticas del Foro

Cita:

3) No abrir nuevos temas, Ni repetir un mensaje hasta que no se de por "solucionado" (o terminado) uno que ya tenga abierto. Para terminar un tema simplemente tiene que comentarnos los resultados. De lo contrario su nuevo mensaje será cerrado o eliminado.

Tu otro tema quedó inútil por lo siguiente:

Cita:

5) Si ya creaste un tema y aún no has recibido respuesta, evita responderte a ti mismo, ya que si no tu mensaje NO aparecerá con cero respuestas, lo que nos hará pensar que ya esta siendo atendido por otro Moderador, con lo cual ese mensaje pasará desapercibido y puede que nunca recibas respuesta. Si quieres añadir algo a ese mensaje usa el botón "Editar" en lugar del botón "Responder".

Nunca debes utilizar el ComboFix si alguien del Staff de Forospyware así te lo haya pedido, esta herramienta debe manejarse con mucho cuidado sino sería perjudicial para el sistema.

Sigue estos pasos:

1.-Abrir el Notepad

Clic en INICIO > EJECUTAR >
Y ahí pones notepad.exe y ACEPTAR

2.- Ahora copia y pega este código dentro del Notepad

Código HTML:

KillAll::

File::
C:\WINDOWS\Tasks\At10.job
C:\WINDOWS\system32\0A877kT4.exe
C:\WINDOWS\Tasks\At11.job
C:\WINDOWS\Tasks\At12.job
C:\WINDOWS\Tasks\At13.job
C:\WINDOWS\Tasks\At14.job
C:\WINDOWS\Tasks\At15.job
C:\WINDOWS\Tasks\At16.job
C:\WINDOWS\Tasks\At17.job
C:\WINDOWS\Tasks\At18.job
C:\WINDOWS\Tasks\At19.job
C:\WINDOWS\Tasks\At20.job
C:\WINDOWS\Tasks\At21.job
C:\WINDOWS\Tasks\At22.job
C:\WINDOWS\Tasks\At23.job
C:\WINDOWS\Tasks\At24.job
C:\WINDOWS\Tasks\At25.job
C:\WINDOWS\system32\7c55pC8t.exe
C:\WINDOWS\Tasks\At26.job
C:\WINDOWS\Tasks\At27.job
C:\WINDOWS\Tasks\At28.job
C:\WINDOWS\Tasks\At29.job
C:\WINDOWS\Tasks\At3.job
C:\WINDOWS\Tasks\At30.job
C:\WINDOWS\Tasks\At31.job
C:\WINDOWS\Tasks\At32.job
C:\WINDOWS\Tasks\At33.job
C:\WINDOWS\Tasks\At34.job
C:\WINDOWS\Tasks\At35.job
C:\WINDOWS\Tasks\At36.job
C:\WINDOWS\Tasks\At37.job
C:\WINDOWS\Tasks\At38.job
C:\WINDOWS\Tasks\At39.job
C:\WINDOWS\Tasks\At4.job
C:\WINDOWS\Tasks\At40.job
C:\WINDOWS\Tasks\At41.job
C:\WINDOWS\Tasks\At42.job
C:\WINDOWS\Tasks\At43.job
C:\WINDOWS\Tasks\At44.job
C:\WINDOWS\Tasks\At45.job
C:\WINDOWS\Tasks\At46.job
C:\WINDOWS\Tasks\At47.job
C:\WINDOWS\Tasks\At48.job
C:\WINDOWS\Tasks\At5.job
C:\WINDOWS\Tasks\At6.job
C:\WINDOWS\Tasks\At7.job
C:\WINDOWS\Tasks\At8.job
C:\WINDOWS\Tasks\At9.job

RenV::
C:\WINDOWS\system32\ctfmon .exe

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8eaecaba-a4e2-11dc-b648-0016d45be289}]

3.- Graba este archivo con el nombre CFScript.txt

4.- Arrastrar y soltar el archivo CFScript.txt dentro del archivo ComboFix.exe como lo muestra la animación de abajo. Esto activara ComboFix nuevamente.

Reinicia y nos cuentas los resultados. junto con un nuevo reporte de ComboFix y uno de Hijackthis.

Saludos

Novedades del Foro | Antivirus Online | Eliminar Malwares | Políticas del Foro | Blog

* Ayúdanos haciendo una DONACIÓN para poder seguir Ayudando.
* Para evitar Virus y Spywares al navegar por internet, USE FIREFOX !!
* No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

post #3 (permalink)

25/01/08, 09:03:53

Rasol07

Usuario

Registrado: jul 2006

Ubicación: Chili

Mensajes: 23

Re: Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA

Estimado GPastor, primero gracias por tus saludos y repuesta, segundo, pido las disculpas por saltarme los procedimientos del foro (sorry, pero soy inexperto).

Al parecer el problema fué solucionado, gracias.

Log del Combo FIX:

ComboFix 08-01-23.2 - RSolar 2008-01-25 9:03:11.3 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.34.3082.18.219 [GMT -3:00]
Se ejecuta desde: C:\Documents and Settings\RSolar\Escritorio\ComboFix.exe

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.

(((((((((((((((((( Archivos creados desde 2007-12-25 - 2008-01-25 )))))))))))))))))))))))))))))))))
.

2008-01-23 23:22 . 2008-01-23 23:22 <DIR> d-------- C:\Archivos de programa\WinSnap
2008-01-23 23:22 . 2007-03-28 19:42 29,704 --a------ C:\WINDOWS\system32\uxtuneup.dll
2008-01-23 23:21 . 2008-01-23 23:22 <DIR> d-------- C:\Archivos de programa\TuneUp Utilities 2007
2008-01-23 23:21 . 2008-01-23 23:21 512,096 --a------ C:\WINDOWS\system32\drivers\amon.sys
2008-01-23 23:21 . 2008-01-23 23:21 298,104 --a------ C:\WINDOWS\system32\imon.dll
2008-01-23 23:21 . 2008-01-23 23:21 15,424 --a------ C:\WINDOWS\system32\drivers\nod32drv.sys
2008-01-23 23:10 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\Nircmd.exe
2008-01-22 23:13 . 2008-01-22 23:13 <DIR> d-------- C:\WINDOWS\system32\Sounds
2008-01-22 23:13 . 2008-01-22 23:13 <DIR> d-------- C:\Archivos de programa\My Company Name
2008-01-21 23:11 . 2008-01-21 23:50 <DIR> d-------- C:\VundoFix Backups
2008-01-21 23:04 . 2008-01-21 23:09 <DIR> d-------- C:\Archivos de programa\DelPSGuard
2008-01-21 22:41 . 2008-01-21 22:41 15,360 --a------ C:\WINDOWS\system32\ctfmon.exe.tmp.000
2008-01-21 20:50 . 2008-01-21 21:11 4,357,101,568 --a------ C:\SIMPSONS_FILM_FESTIVAL.ISO
2008-01-21 15:22 . 2008-01-21 15:22 <DIR> d-------- C:\Archivos de programa\Lavasoft
2008-01-21 15:18 . 2008-01-23 23:21 <DIR> d-------- C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
2008-01-21 12:06 . 2008-01-21 12:06 <DIR> d-------- C:\Archivos de programa\FileASSASSIN
2008-01-21 11:49 . 2008-01-21 11:49 <DIR> d-------- C:\Archivos de programa\Trend Micro
2008-01-21 08:34 . 2008-01-21 08:34 <DIR> d--h----- C:\WINDOWS\$hf_mig$
2008-01-21 08:12 . 2007-07-30 19:19 43,352 --a------ C:\WINDOWS\system32\wups2.dll
2008-01-21 08:12 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui
2008-01-21 08:12 . 2007-07-30 19:18 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui
2008-01-21 08:12 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui
2008-01-21 08:12 . 2007-07-30 19:18 20,824 --a------ C:\WINDOWS\system32\wuaueng.dll.mui
2008-01-21 07:33 . 2008-01-21 15:11 163 --a------ C:\WINDOWS\wininit.ini
2008-01-19 17:40 . 2008-01-19 17:41 <DIR> d-------- C:\Archivos de programa\MagicISO
2008-01-19 17:36 . 2008-01-19 17:36 32,764 --a------ C:\WINDOWS\17PHolmes922.exe

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-01-24 02:02 --------- d-----w C:\Archivos de programa\MSN Messenger
2008-01-24 02:00 --------- d-----w C:\Archivos de programa\Elaborate Bytes
2008-01-24 01:56 --------- d-----w C:\Archivos de programa\Archivos comunes\Adobe
2007-12-14 14:32 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe
.

((((((((((((((((((((((((((((( snapshot_2008-01-23_23.12.26,64 )))))))))))))))))))))))))))))))))))))))))
.
+ 2002-03-19 20:30:00 141,824 ----a-w C:\WINDOWS\system32\msvdm.dll
- 2008-01-24 01:44:33 63,972 ----a-w C:\WINDOWS\system32\perfc009.dat
+ 2008-01-25 12:05:08 63,972 ----a-w C:\WINDOWS\system32\perfc009.dat
- 2008-01-24 01:44:33 83,486 ----a-w C:\WINDOWS\system32\perfc00A.dat
+ 2008-01-25 12:05:08 83,486 ----a-w C:\WINDOWS\system32\perfc00A.dat
- 2008-01-24 01:44:33 404,944 ----a-w C:\WINDOWS\system32\perfh009.dat
+ 2008-01-25 12:05:08 404,944 ----a-w C:\WINDOWS\system32\perfh009.dat
- 2008-01-24 01:44:33 467,882 ----a-w C:\WINDOWS\system32\perfh00A.dat
+ 2008-01-25 12:05:08 467,882 ----a-w C:\WINDOWS\system32\perfh00A.dat
+ 2002-03-19 20:30:00 21,504 ----a-w C:\WINDOWS\system32\phototoys.dll
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [ ]
"msnmsgr"="C:\Archivos de programa\MSN Messenger\msnmsgr.exe" [2007-01-19 12:55 5674352]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 03:54 16248320 C:\WINDOWS\RTHDCPL.exe]
"nod32kui"="C:\Archivos de programa\Eset\nod32kui.exe" [2008-01-23 23:21 949376]
"UnlockerAssistant"="C:\Archivos de programa\Unlocker\UnlockerAssistant.exe" [2006-09-07 14:19 15872]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\SYSTEM32\CTFMON.EXE" [ ]

R2 UxTuneUp;TuneUp Ampliación del thema;C:\WINDOWS\System32\svchost.exe [2004-08-19 10:43]
S3 k510bus;Sony Ericsson K510 Driver driver (WDM);C:\WINDOWS\system32\DRIVERS\k510bus.sys [2007-09-05 21:32]
S3 k510mdfl;Sony Ericsson K510 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\k510mdfl.sys [2007-09-05 21:32]
S3 k510mdm;Sony Ericsson K510 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\k510mdm.sys [2007-09-05 21:32]
S3 k510mgmt;Sony Ericsson K510 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\k510mgmt.sys [2007-09-05 21:32]
S3 k510obex;Sony Ericsson K510 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\k510obex.sys [2007-09-05 21:32]
S3 PAC207;VideoCAM GF112;C:\WINDOWS\system32\DRIVERS\pfc027.sys [2005-04-08 11:46]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\Setup.exe -auto

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{8eaecaba-a4e2-11dc-b648-0016d45be289}]
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL xupalo.exe

.
Contenido de carpeta 'Tareas Programadas'
"2008-01-24 02:22:05 C:\WINDOWS\Tasks\Mantenimiento con 1 clic.job"
- C:\Archivos de programa\TuneUp Utilities 2007\SystemOptimizer.exe
.
************************************************** ************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-25 09:05:11
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

el escaneo se completo con exito
archivos ocultos: 0

************************************************** ************************
.
--------------------- DLLs cargados bajo los procesos en ejecución ---------------------

PROCESS: C:\WINDOWS\system32\lsass.exe [5.01.2600.2180]
-> C:\Archivos de programa\Eset\pr_imon.dll

PROCESS: C:\WINDOWS\explorer.exe [6.00.2900.2180]
-> C:\Archivos de programa\Unlocker\UnlockerHook.dll
-> C:\Archivos de programa\Eset\pr_imon.dll
.

post #4 (permalink)

25/01/08, 09:04:59

Rasol07

Usuario

Registrado: jul 2006

Ubicación: Chili

Mensajes: 23

Re: Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA

Log del HiJack This:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:02, on 2008-01-25
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\Unlocker\UnlockerAssistant.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\DOCUME~1\RSolar\CONFIG~1\Temp\RtkBtMnt.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\SYSTEM32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\SYSTEM32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\SYSTEM32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\SYSTEM32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe (file missing)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.mail.live.com/mail/w1/resources/MSNPUpld.cab
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://cp.correos.cl/correos_cp/soporte_web/consulta_web/versionphp2006/pagina_interior/codigo_postal/consulta_web/cab_mapg/mgaxctrl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1200913794281
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - F:\WINDOWS\system32\mnmsrvc.exe (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - F:\WINDOWS\system32\sessmgr.exe (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe
O24 - Desktop Component 0: (no name) - http://www.simpsonsmovie.com/content/icons/msn_quimby_us.jpg

--
End of file - 5358 bytes

Nuevamente MUY AGRADECIDO

post #5 (permalink)

25/01/08, 10:20:19

GPastor

FS-Admin

Registrado: mar 2005

Ubicación: Callao - Perú

Mensajes: 16.800

Re: Ayuda con VUNDO..., lo eliminé y regresó... AYUDAAAAAA

El log de Hijackthis está limpio y ComboFix ya se encargó de eliminar los archivos de malwares encontrados en tu PC, por lo que si todo esta funcionado bien, damos por terminado el tema.

Para terminar solo te quedaría quitar CF de la siguiente manera:

Ir a Inicio > Ejecutar
Escribir lo siguiente: ComboFix /u como muestra la imagen debajo:

Esto realizara las siguientes tareas:

Se borraran:
- ComboFix: sus archivos y carpetas.
- VundoFix: copias de seguridad (si está presente)
- La carpeta C:\Deckard (si está presente)
- La carpeta C: _OtMoveIt (si está presente)
Restablece la configuración del reloj.
Ocultar extensiones de archivo (si es necesario.)
Oculta los archivos que estaban ocultos
Reactiva el "Restaurar Sistema"

Para evitar este tipo de infecciones te recomiendo usar un navegador mas seguro como Firefox

Saludos

« Tema Anterior | Próximo Tema »

Herramientas
Mostrar Versión Imprimible Enviar por Correo

Reglas del foro
No puedes crear nuevos temas No puedes responder temas No puedes subir adjuntos No puedes editar tus mensajes BB code is activado Las caritas están activado Código [IMG] está activado Código HTML está desactivado Trackbacks are desactivado Pingbacks are desactivado Refbacks are desactivado

Ir a

Temas Similares

Tema	Autor	Foro	Respuestas	Último mensaje
Ayuda Con Virus (Solucionado)	pinkymalabares	Temas Solucionados	20	13/07/07 13:08:11
ayuda con DIALER MALIGNO (solucionado)	D-terminal	Temas Solucionados	7	21/11/06 12:05:48
no me deja conectarme IE6	Oliverastro	Foro Oficial de HijackThis en español	9	23/02/06 12:19:07
Mi Log File, Como Restaurar El Fondo De Mi Escritorio Y Quitar El Letrero De Warning!	KOCHOLATA	Foro Oficial de HijackThis en español	1	15/02/06 12:12:17
Ayuda con el log de hijackthis (solucionado)	LaNegru87	Temas Solucionados	3	23/11/05 00:39:17

Todas las horas son GMT -4. La hora es 18:31:46.

InfoSpyware es miembro de ASAP - Alliance of Security Analysis Professionals