Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola, soy dueño de un cyber de 20 maquinas las cuales estan hace 3 años protegidas solo con deep freeze y he tenido muy buen resultado, pero hace unos dias que al querer actualizar un juego note que no podia desbloquear del df, siguiendo los este post

http://www.forospyware.com/t139250.html

solucione el problema pero tambien note que luego de correr el ComboFix crean un script con para borrar ciertas entradas o archivos como puedo identificar estos archivos, a continuacion pongo el log del CF desde ya muchisimas gracias



ComboFix 09-03-23.01 - Puesto 9 2009-03-24 11:29:06.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.3082.18.1023.680 [GMT -3:00]
Running from: c:\documents and settings\Puesto 9\Escritorio\ComboFix.exe
* Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\autorun.inf
C:\cv22.cmd
C:\em8tqm.cmd
c:\windows\system32\logondll.dll
c:\windows\system32\nmdfgds1.dll
c:\windows\ufdata2000.log
D:\Autorun.inf
D:\cv22.cmd
D:\em8tqm.cmd
E:\Autorun.inf
E:\em8tqm.cmd

.
((((((((((((((((((((((((( Files Created from 2009-02-24 to 2009-03-24 )))))))))))))))))))))))))))))))
.

2009-03-24 10:53 . 2009-03-24 10:56 <DIR> d-------- c:\documents and settings\Puesto 9\Datos de programa\SUPERAntiSpyware.com
2009-03-24 10:53 . 2009-03-24 10:53 <DIR> d-------- c:\documents and settings\All Users\Datos de programa\SUPERAntiSpyware.com
2009-03-24 10:53 . 2009-03-24 10:56 <DIR> d-------- c:\archivos de programa\SUPERAntiSpyware
2009-03-16 07:07 . 2009-03-16 07:12 978 --a------ c:\windows\eReg.dat
2009-03-16 06:52 . 2004-08-03 23:08 31,616 --a------ c:\windows\system32\drivers\usbccgp.sys
2009-03-16 06:52 . 2004-08-03 23:08 31,616 --a--c--- c:\windows\system32\dllcache\usbccgp.sys
2009-03-16 06:52 . 2004-08-19 15:42 21,504 --a------ c:\windows\system32\hidserv.dll
2009-03-16 06:52 . 2004-08-19 15:42 21,504 --a--c--- c:\windows\system32\dllcache\hidserv.dll
2009-03-16 06:52 . 2004-08-19 15:28 14,976 --a------ c:\windows\system32\drivers\kbdhid.sys
2009-03-16 06:52 . 2004-08-19 15:28 14,976 --a--c--- c:\windows\system32\dllcache\kbdhid.sys
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> d--h----- c:\documents and settings\Administrador\Reciente
2009-02-25 08:22 . 2009-01-02 10:33 <DIR> d--h----- c:\documents and settings\Administrador\Plantillas
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> d-------- c:\documents and settings\Administrador\Mis documentos
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> dr------- c:\documents and settings\Administrador\Menú Inicio
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> d--h----- c:\documents and settings\Administrador\Impresoras
2009-02-25 08:22 . 2009-02-25 08:22 <DIR> d-------- c:\documents and settings\Administrador\Favoritos
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> d-------- c:\documents and settings\Administrador\Escritorio
2009-02-25 08:22 . 2009-01-02 06:26 <DIR> d--h----- c:\documents and settings\Administrador\Entorno de red
2009-02-25 08:22 . 2009-02-25 08:22 <DIR> dr-h----- c:\documents and settings\Administrador\Datos de programa
2009-02-25 08:22 . 2009-03-24 11:30 <DIR> d--h----- c:\documents and settings\Administrador\Configuración local
2009-02-25 08:22 . 2009-02-25 08:22 <DIR> d-------- c:\documents and settings\Administrador
2009-02-25 08:18 . 2009-02-25 08:24 <DIR> d-------- c:\archivos de programa\EsetOnlineScanner

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))) ))
.
2009-03-24 13:56 --------- d-----w c:\archivos de programa\Archivos comunes\Wise Installation Wizard
2009-03-16 10:13 12,400 ----a-w c:\windows\system32\drivers\secdrv.sys
2009-03-16 10:07 --------- d--h--w c:\archivos de programa\InstallShield Installation Information
2009-02-18 17:21 --------- d-----w c:\archivos de programa\HyperTechnologies
2009-02-18 17:07 --------- d-----w c:\archivos de programa\Lineage II
2009-02-18 14:20 --------- d-----w c:\documents and settings\Puesto 9\Datos de programa\GanymedeNet
2009-02-17 17:07 151,594 ----a-w c:\windows\system32\imagens1234.exe
2009-02-16 20:04 --------- d-----w c:\documents and settings\Puesto 9\Datos de programa\teamspeak2
2009-02-16 20:02 --------- d-----w c:\archivos de programa\L2Informer
2009-02-14 18:47 --------- d-----w c:\archivos de programa\MuPirata
2009-02-14 18:04 --------- d-----w c:\documents and settings\Puesto 9\Datos de programa\Ventrilo
2009-02-14 18:03 --------- d-----w c:\archivos de programa\Ventrilo
2009-01-03 16:52 98,304 ----a-w c:\windows\system32\CmdLineExt.dll
2009-01-03 16:30 66,872 ----a-w c:\windows\system32\PnkBstrA.exe
2009-01-03 16:30 183,112 ----a-w c:\windows\system32\PnkBstrB.exe
2006-08-13 02:14 74,401 ----a-w c:\archivos de programa\fondo-bloqueado.jpg
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"DAEMON Tools"="c:\archivos de programa\DAEMON Tools\daemon.exe" [2007-08-16 167368]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"SUPERAntiSpyware"="e:\archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2009-02-17 1830128]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-10-07 13574144]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-19 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\policies\explorer]
"RestrictRun"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\curr entversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "e:\archivos de programa\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2008-12-22 11:05 356352 e:\archivos de programa\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
--a------ 2007-10-10 19:51 39792 c:\archivos de programa\Adobe\Reader 8.0\Reader\Reader_SL.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
--a------ 2004-08-19 15:42 15360 c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
--a------ 2006-10-27 00:47 31016 c:\archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon]
--a------ 2008-10-07 13:33 13574144 c:\windows\system32\nvcpl.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
--a------ 2008-10-07 13:33 86016 c:\windows\system32\nvmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMAX]
--a------ 2005-09-07 15:35 716800 c:\archivos de programa\Analog Devices\SoundMAX\SMax4.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMAXPnP]
--a------ 2005-05-20 09:11 925696 c:\archivos de programa\Analog Devices\Core\smax4pnp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Yahoo! Pager]
--a------ 2006-11-30 21:49 4662776 c:\archiv~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\High Definition Audio Property Page Shortcut]
--------- 2004-10-27 15:21 61952 c:\windows\system32\HdAShCut.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
--a------ 2008-10-07 13:33 1630208 c:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Archivos de programa\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Archivos de programa\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe"=
"c:\\Archivos de programa\\MSN Messenger\\livecall.exe"=
"c:\\Archivos de programa\\Yahoo!\\Messenger\\YahooMessenger.exe"=
"c:\\Archivos de programa\\Yahoo!\\Messenger\\YServer.exe"=
"c:\\Archivos de programa\\Bonjour\\mDNSResponder.exe"=
"c:\\WINDOWS\\cp40.exe"=
"d:\\Archivos de programa\\MOHAA\\MOHAA.exe"=
"d:\\Archivos de programa\\EA GAMES\\La Batalla por la Tierra Media(tm)\\game.dat"=
"d:\\Archivos de programa\\Electronic Arts\\La Batalla por la Tierra Media II\\game.dat"=
"d:\\Archivos de programa\\Electronic Arts\\El Resurgir del Rey Brujo\\game.dat"=
"d:\\Archivos de programa\\Microsoft Games\\Age of Empires II\\age2_x1\\age2_x1.exe"=
"d:\\Archivos de programa\\Microsoft Games\\Rise Of Legends\\legends.exe"=
"d:\\Archivos de programa\\Microsoft Games\\Age of Mythology\\aomx.exe"=
"d:\\Archivos de programa\\Microsoft Games\\Age of Empires III\\age3.exe"=
"d:\\Archivos de programa\\Half-Life\\hl.exe"=
"d:\\Archivos de programa\\Valve\\hltv.exe"=
"d:\\Archivos de programa\\EA GAMES\\Battlefield 2\\BF2.exe"=
"d:\\Archivos de programa\\EA GAMES\\Battlefield 2\\BF2_EuroForce_ArmoredFury.exe"=
"d:\\Archivos de programa\\Activision\\Call of Duty 2\\CoD2MP_s.exe"=
"d:\\Archivos de programa\\Valve\\hl.exe"=

R0 DepFrzHi;DepFrzHi;c:\windows\system32\drivers\DepF rzHi.sys [2002-08-26 12288]
R0 DepFrzLo;DepFrzLo;c:\windows\system32\drivers\DepF rzLo.sys [2002-08-26 52709]
R2 DFServEx;DFServEx;c:\archivos de programa\HyperTechnologies\Deep Freeze\DFServEx.exe [2002-08-26 288256]
S1 SASDIFSV;SASDIFSV;e:\archivos de programa\SUPERAntiSpyware\sasdifsv.sys [2009-02-17 8944]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2005-08-02 32512]

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{626c509e-d8da-11dd-bcf4-0015f2bd4be0}]
\Shell\Auto\command - G:\fun.xls.exe
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL fun.xls.exe

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{d1503487-d8d4-11dd-bcf1-fce0414af5fd}]
\Shell\AutoRun\command - H:\cv22.cmd
\Shell\open\Command - H:\cv22.cmd
.
- - - - ORPHANS REMOVED - - - -

MSConfigStartUp-explorer - c:\windows\explore.exe
MSConfigStartUp-IMJPMIG8 - msime82.exe
MSConfigStartUp-MsServer - msfun80.exe


.
------- Supplementary Scan -------
.
uStart Page = about:blank
uInternet Settings,ProxyOverride = *.local
TCP: {DC7C4987-886C-4CC5-8469-A5F789A0B016} = 192.168.0.133,200.69.128.1
DPF: {A9ED6AA2-D9D4-4D71-9586-E293E2E3580B} - hxxp://cached.gamedesire.com/g_bin/eng/marbles_2_0_0_32.cab
FF - ProfilePath -
.

************************************************** ************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-24 11:30:15
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

************************************************** ************************
.
Completion time: 2009-03-24 11:31:24
ComboFix-quarantined-files.txt 2009-03-24 14:31:09

Pre-Run: 12.120.219.648 bytes libres
Post-Run: 12,119,007,232 bytes libres

Current=1 Default=1 Failed=0 LastKnownGood=4 Sets=1,2,3,4
172

Hola, no se recomienda el uso de ComboFix sin el asesoramiento de un miembro del staff de Infospyware, hay un anuncio sobre eso:

En todo caso tu reporte muestra que CF ya se encargó de eliminar las infecciones, coméntanos si hay algún problema con el funcionamiento del sistema.

Hola GPastor, lo que pasa que era eso o formatear las pc. de todos modos mi problema continua ya que en las primeras dos maquinas todo funciono bien pero en las demas el CF reiniciaba la maquina la cual estaba con deep freeze y volvia todo al principio. Las dos maquinas en las que se soluciono el problema funcionan perfecto, y tengo otro problema cuento con 3 conecciones de internet las cuales utilizo segun el juego que los usuarios usen o no, y se me caian los routers continuamente y por el titilar del las luces era por la cantidad de trafico como me aconcejas que proceda. vuelvo a dar gracias de antemano

Si se trata de un cyber entonces lo recomendable es cortar de raiz el problema.

Si tus máquinas tienen la misma característica entonces formatea una de ellas y create una imagen con programas tipo Norton Ghost de manera que puedas copiar esa imagen en las demás máquinas y no pierdas mucho tiempo en formatear las demás.