Después de tener problemas com mi nuevo ordenador DELL, los problemas pueden estar lligados al tema de este foro. A ver si me hecháis una mano. Gracias

Os pego aquí mi .LOG.

Sintomas:
1 - Imposibilidad de editar el registro: "algun administrador lo ha desautorizado" Je! Yo soy el único administrador!

2 - Imposibilidad de desinstalar el Norton Ghost 10.0.

3 - Imposibilidad de realizar un escaneo con mi antivirtus McAfee. Se cierra la consola del Scan inmediatamente depués de abrirse.

4 - Se cierra cualquier ventada (o busqueda en google) con las palabras "antivirus", "online" y similares. Otras ventanas diferentes permanecen abiertas.

Me huele que algun "objeto executable no identificado" me está incordiando. Parece sospechoso el "BAE.dll", aunque no cre que sea lo único que molesta. He leido por ahí que, mejor quitarlo. ¿Me indicais cómo?

Muchas gracias y saludos.

----------------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 16:48:17, on 06/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\Explorer.EXE
C:\windows\system\spof.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Archivos de programa\Dell\Media Experience\DMXLauncher.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Office Mouse\moffice.exe
C:\WINDOWS\system\motaba.exe
C:\Archivos de programa\Office Mouse\MOUSE32A.DAT
C:\ARCHIV~1\MOZILL~1\FIREFOX.EXE
D:\Usuaris\Pep\Temp\dadAA\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://support.euro.dell.com/segment.asp?country=es&language=es
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://support.euro.dell.com/segment.asp?country=es&language=es
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Page_URL = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://es.mcafee.com/root/redirects/support.asp?affid=105-103
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Archivos de programa\BAE\BAE.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [DMXLauncher] C:\Archivos de programa\Dell\Media Experience\DMXLauncher.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [MSKDetectorExe] C:\Archivos de programa\McAfee\SpamKiller\MSKDetct.exe /uninstall
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe"
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Archivos de programa\Office Mouse\moffice.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe
O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system\motaba.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{0ED9A213-9872-4E9D-A0D2-90A2A077E1F8}: NameServer = 80.58.61.250,80.58.61.254
O17 - HKLM\System\CS1\Services\Tcpip\..\{0ED9A213-9872-4E9D-A0D2-90A2A077E1F8}: NameServer = 80.58.61.250,80.58.61.254
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Archivos de programa\Intel\PROSetWired\NCS\Sync\NetSvc.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Archivos de programa\Norton Ghost\Agent\VProSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Hola te doy la bienvenida al foro, no te olvides de pasar por WindowsUpdate periódicamente para tener actualizado el sistema, luego sigue estos pasos:

1.- Apaga el "Restaurar Sistema"

2.- Activa la opción Ver Archivos Ocultos

3.- Reinicia en Modo a Prueba de Fallos

4.- Cierra todos los programas, ejecuta HijackThis y dale "Fix Cheked" a estas entradas:

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system\motaba.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1

5.- Sin reiniciar, busca y elimina estos archivos, si no se dejan eliminar descarga el programa "Killbox" y sigue las indicaciones del mensaje, copia y pega los archivos para que los elimine al reiniciar.

C:\WINDOWS\system\motaba.exe

C:\windows\system\spof.exe

6.- Pasa el Disk Cleaner para limpiar cookies y temporales

7.- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

8.- Pasa el Ad-Aware SE actualizado e instala SpywareBlaster

9.- Reinicia la maquina y realiza un escaneo con Ewido Online, luego pega otro log de Hijackthis y nos cuentas como te fue.

10.- Deshaz los pasos 1 y 2.

De preferencia imprime las indicaciones para que se te haga mas facil seguirlas.

Saludos

Bueno,

Con tranquillidad he ejecutado las instrucciones, pero intentando hacer pequeñas variantes me apartaba del procedimiento.

He realizado el proceso hasta TRES veces y finalmente casi todo ha funcionado como era de esperar.

Abajo les dejo el .LOG actual.

Problemas pendientes:

EL ADMINISTRADOR DE TAREAS NO SE ACTIVA. El resto de síntomas del problema han desparecido, los ficheros relacionados al motaba han desaparecido también. Solo resta el problema con el administrador de tareas.

Leiendo miles de cosas por este foro recuerdo haber leido alguien que menionaba esta situación pero ahora no consigui dar con ello. Échenme una mano, o mejor, un link.

En cuanto a la reparación indicar que:

1 - En paso 3 "Reiniciar en Modo a Prueba de Fallos" se deberia indicar si es o no "Con funciones de red" puesto que más adelante se pide pasar el Add-Aware "actualizado".

2 - En paso 5 "Sin reiniciar ...usar Killbox", se deberia dejar claro que los fichero seran borrados más tarde sin que sea preciso reinicar AHORA. La duda viene de que Killbox elimina los ficheros al reiniciar y parece que se sugiere tal reinicio en este momento.

3 - En paso 6 "Disk Cleaner", Cuando la máquina tiene más cuentas de usuario, debe aclararse si hay que limpiar los temporales propios o los de todos los demás usuarios. Entiendo que debe extenderse a todos los usuarios.

4 - Paso 8, "SpywareBlaster". ¿Sirve el Zone Alarm?

El .LOG de Hijackthis lo pueden ver al final de este mensaje. De momento no podriamos dar el tema cerrado, pendiente de la resolución del Administrador de tareas.

5 - Finalmente decirles que ahora mismo, unos tres dias después de la infeccción y del trabajo de desinfección, McAfee me notifica que ha encontrado un troyano: "MicrosoftMSN.htm".

Les reporto el .LOG del ViruScan puesto que "curiosamente" tiene anotaciones relativas a este troyano desde el momento de la infección (spof.exe tenia fecha 05/09 14:05), anotaciones que se van repitiendo con regularidad mientras dura la infección, pero sospechosamente McAfee se mantuvo "callado". Solamente al finalizar el trabajo de desinfección McAfee reaccionó.

(Por privacidad, he ocultado el nombre de los usuarios)

-------------------------------------------
LOG VIRUSCAN


05/09/2006 0:54:37 Estadísticas:
05/09/2006 0:54:37 Archivos analizados: 2395
05/09/2006 0:54:37 Archivos infectados: 0
05/09/2006 0:54:37 Archivos limpiados: 0
05/09/2006 0:54:37 Archivos eliminados: 0
05/09/2006 0:54:37 Archivos migrados: 0

05/09/2006 14:09:36 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 14:13:29 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

05/09/2006 14:22:06 Estadísticas:
05/09/2006 14:22:06 Archivos analizados: 3188
05/09/2006 14:22:06 Archivos infectados: 3
05/09/2006 14:22:06 Archivos limpiados: 0
05/09/2006 14:22:06 Archivos eliminados: 3
05/09/2006 14:22:06 Archivos migrados: 0

05/09/2006 14:41:45 Fallo al migrar (fallo al limpiar porque el archivo no se puede limpiar) GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 14:41:45 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

05/09/2006 14:58:26 Estadísticas:
05/09/2006 14:58:26 Archivos analizados: 752
05/09/2006 14:58:26 Archivos infectados: 2
05/09/2006 14:58:26 Archivos limpiados: 0
05/09/2006 14:58:26 Archivos eliminados: 1
05/09/2006 14:58:26 Archivos migrados: 0

05/09/2006 18:09:10 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:09:13 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 1826 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 1828 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:11:39 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:11:41 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

05/09/2006 18:13:12 Estadísticas:
05/09/2006 18:13:12 Archivos analizados: 1033
05/09/2006 18:13:12 Archivos infectados: 6
05/09/2006 18:13:12 Archivos limpiados: 0
05/09/2006 18:13:12 Archivos eliminados: 6
05/09/2006 18:13:12 Archivos migrados: 0

05/09/2006 18:14:52 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:14:56 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:20:58 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:21:00 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:21:51 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:21:52 Eliminados GRYFFINDOR\N*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:24:08 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:24:10 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:27:13 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:27:14 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:58:41 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
05/09/2006 18:58:42 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

05/09/2006 20:47:10 Estadísticas:
05/09/2006 20:47:10 Archivos analizados: 19919
05/09/2006 20:47:10 Archivos infectados: 12
05/09/2006 20:47:10 Archivos limpiados: 0
05/09/2006 20:47:10 Archivos eliminados: 12
05/09/2006 20:47:10 Archivos migrados: 0

06/09/2006 12:36:17 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
06/09/2006 12:36:22 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 13:36:45 Estadísticas:
06/09/2006 13:36:45 Archivos analizados: 7006
06/09/2006 13:36:45 Archivos infectados: 2
06/09/2006 13:36:45 Archivos limpiados: 0
06/09/2006 13:36:45 Archivos eliminados: 2
06/09/2006 13:36:45 Archivos migrados: 0

06/09/2006 13:38:21 Fallo al migrar (fallo al limpiar porque el archivo no se puede limpiar) GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
06/09/2006 13:38:21 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 13:52:52 Estadísticas:
06/09/2006 13:52:52 Archivos analizados: 688
06/09/2006 13:52:52 Archivos infectados: 2
06/09/2006 13:52:52 Archivos limpiados: 0
06/09/2006 13:52:52 Archivos eliminados: 1
06/09/2006 13:52:52 Archivos migrados: 0

06/09/2006 14:56:09 Fallo al migrar (fallo al limpiar porque el archivo no se puede limpiar) GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
06/09/2006 14:56:09 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 16:01:18 Estadísticas:
06/09/2006 16:01:18 Archivos analizados: 1248
06/09/2006 16:01:18 Archivos infectados: 2
06/09/2006 16:01:18 Archivos limpiados: 0
06/09/2006 16:01:18 Archivos eliminados: 1
06/09/2006 16:01:18 Archivos migrados: 0

06/09/2006 16:04:11 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 16:09:46 Estadísticas:
06/09/2006 16:09:46 Archivos analizados: 521
06/09/2006 16:09:46 Archivos infectados: 1
06/09/2006 16:09:46 Archivos limpiados: 0
06/09/2006 16:09:46 Archivos eliminados: 1
06/09/2006 16:09:46 Archivos migrados: 0

06/09/2006 16:17:31 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
06/09/2006 16:17:34 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 16:25:22 Estadísticas:
06/09/2006 16:25:22 Archivos analizados: 585
06/09/2006 16:25:22 Archivos infectados: 2
06/09/2006 16:25:22 Archivos limpiados: 0
06/09/2006 16:25:22 Archivos eliminados: 2
06/09/2006 16:25:22 Archivos migrados: 0

06/09/2006 16:26:46 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
06/09/2006 16:26:47 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

06/09/2006 21:03:23 Estadísticas:
06/09/2006 21:03:23 Archivos analizados: 77553
06/09/2006 21:03:23 Archivos infectados: 2
06/09/2006 21:03:23 Archivos limpiados: 0
06/09/2006 21:03:23 Archivos eliminados: 2
06/09/2006 21:03:23 Archivos migrados: 0

07/09/2006 23:03:47 Fallo al migrar (fallo al limpiar porque el archivo no se puede limpiar) GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
07/09/2006 23:03:47 Eliminados GRYFFINDOR\J*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
07/09/2006 23:11:02 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen
07/09/2006 23:11:02 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen

07/09/2006 23:12:43 Estadísticas:
07/09/2006 23:12:43 Archivos analizados: 936
07/09/2006 23:12:43 Archivos infectados: 4
07/09/2006 23:12:43 Archivos limpiados: 0
07/09/2006 23:12:43 Archivos eliminados: 3
07/09/2006 23:12:43 Archivos migrados: 0


08/09/2006 0:41:35 Estadísticas:
08/09/2006 0:41:35 Archivos analizados: 947
08/09/2006 0:41:35 Archivos infectados: 0
08/09/2006 0:41:35 Archivos limpiados: 0
08/09/2006 0:41:35 Archivos eliminados: 0
08/09/2006 0:41:35 Archivos migrados: 0


08/09/2006 1:09:35 Estadísticas:
08/09/2006 1:09:35 Archivos analizados: 936
08/09/2006 1:09:35 Archivos infectados: 0
08/09/2006 1:09:35 Archivos limpiados: 0
08/09/2006 1:09:35 Archivos eliminados: 0
08/09/2006 1:09:35 Archivos migrados: 0

08/09/2006 19:27:44 Eliminados GRYFFINDOR\P*** C:\WINDOWS\MicrosoftMSN.htm Exploit-CodeBase.gen


----------------------------------

.LOG DE HIJACKTHIS

Logfile of HijackThis v1.99.1
Scan saved at 19:45:43, on 08/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
C:\Archivos de programa\Dell\Media Experience\DMXLauncher.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe
C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE
C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe
C:\Archivos de programa\Office Mouse\moffice.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Office Mouse\MOUSE32A.DAT
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
D:\Usuaris\Pep\Temp\Eines Seguretat\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://support.euro.dell.com/segment.asp?country=es&language=es
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://support.euro.dell.com/segment.asp?country=es&language=es
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Page_URL = www.google.es/ig/dell?hl=es&client=dell-row&channel=es
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://es.mcafee.com/root/redirects/support.asp?affid=105-103
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Archivos de programa\BAE\BAE.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [DMXLauncher] C:\Archivos de programa\Dell\Media Experience\DMXLauncher.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe"
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Archivos de programa\Office Mouse\moffice.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0ED9A213-9872-4E9D-A0D2-90A2A077E1F8}: NameServer = 80.58.61.250,80.58.61.254
O17 - HKLM\System\CS1\Services\Tcpip\..\{0ED9A213-9872-4E9D-A0D2-90A2A077E1F8}: NameServer = 80.58.61.250,80.58.61.254
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Archivos de programa\Intel\PROSetWired\NCS\Sync\NetSvc.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Archivos de programa\Norton Ghost\Agent\VProSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

------------------------------------

Si has llegado hasta aquí, perdona por la extensión y saludos

pantaleu.

Muchas gracias por tus sugerencias, las tomaré muy en cuenta

Con respecto a SpywareBlaster, este es un antispyware preventivo, previene de ActiveX maliciosas usadas por algunas páginas web, es un buen complemento en cuanto a seguridad, Zone Alarm es un firewall.

Para habilitar el Administrador de Tareas descarga y ejecuta este programa

Por lo que veo McAffe eliminó las infecciones encontradas.

El log de Hijackthis está limpio.

Ya nos contarás como va todo.

Saludos

NEGATIVO!!!!

Recuerdo durante el primer dia de la infección, cuando yo todavia no era conciente de ello, que el McAfee abria una ventana típica de detección de virus pero inmediatamente se cerraba. Uno más de los efectos del motaba como ya se ha dicho por aquí.

Mi sospecha es que el McAfee se daba cuenta de que habia alguna cosa extraña, lo identificaba como un virus "MicrosoftMSN.html" y lo anotaba en el registro del VirusScan. Es cuando McAfee intentaba informar al usuario cuando el motaba vencia provocando el cierre inmediato de la ventana.

Pero la anotación en el registro quedaba hecha.

Da la sensación de que McAfee elimina esa cosa, pero no es cierto ya que al cambiar de usuario se repite la situación y al dia siguiente igual. Motaba estuvo siempre ahí y, como decía yo, hacia "callar" al McAfee y así el usuario no se percata de la infección.

Creo importante esta observación ya que se dice que motaba vulnera a todos los AV. De verificarse este comportamiento de McAfee, resultaria que motaba solo consigue dos cosas:

1 - Resistir cualquier intento de McAfee para eliminarlo
2 - Ocultar las informaciones de McAfee hacia el usuario.

Pero definitivamente, McAfee detecta claramente de la existencia del troyano.

Seria bueno averiguar si otros AV se comportan de manera similar con motaba.

¿O deberia decir "averiguar si motaba se comporta de manera similar con otros AV"?

P.D. Mañana intento reactiva el Administrador de tareas con tus instrucciones.


Saludos

Listo, el Adminitrador de Tareas ya ha vuelto a la vida.

Por mi parte se puede dar el tema por resuelto.

P.D. puesto que motaba puede estar extendido entre usuarios adolescentes que no reconocen la presencia de este bicho, suprimiré el Messenger y instalaré Windows Gaim.

Saludos y gracias por todo


pantaleu (Pep)