El log de una PC infectada (Terminado)

Buscar

		Foro de Spyware » Spyware - Adware - Hijackers - Malwares » Temas Solucionados
El log de una PC infectada (Terminado)

Para evitar Virus, Spyware y otros Malwares, te recomendamos mantenerte informado en: InfoSpyware Blog

Temas Solucionados Casos de HijackThis y Malwares resueltos.
(Solo lectura)

Enviar a:

Herramientas

post #1

25/06/07, 22:56:25

hurling

Usuario

Registrado: jun 2007

Ubicación: Argentina

Mensajes: 7

El log de una PC infectada (Terminado)

Buenos dias, mi problema es que no logro detectar si se trata de un spy, un virus o un ataque desde afuera.
Lo que sucede es que me cierra el servicio de firewall de Win (aunque esta cerrado y sin uso),me corta la conexion adsl (no me permite reconectarme por mas que reinicie el modem) y me cuelga el SO.

Uso xp pro sp2, zone alarm free, NOD32, AVG free y Avast (probe y alterne entre los tres) pase el Adaware 7, el SpyBot (todos actualizados)
Uso Firefox y Thunderbird, cero IE.
Lo escanee con el Panda online y Ewido.

Cualquier ayuda o conseja sera bien recibido.
Desde Ya Gracias.

Código:

Logfile of HijackThis v1.99.1
Scan saved at 22:43:02, on 25/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe
C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe
C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe
C:\Archivos de programa\DAEMON Tools\daemon.exe
C:\Archivos de programa\Mozilla Thunderbird\thunderbird.exe
C:\Archivos de programa\uTorrent\utorrent.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Documents and Settings\Alejandro\Escritorio\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.live.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Archivos de programa\Winamp\winampa.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\ARCHIV~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033
O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://MISPACE.spaces.live.com//PhotoUpload/MsnPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{667D7AEE-FA20-4602-86E3-56CAE3552092}: NameServer = 200.51.212.7 200.51.211.7
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\Archivos comunes\PCSuite\Services\ServiceLayer.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

InfoSpyware

post #2

26/06/07, 14:53:22

ElPiedra

FS-Admin

Registrado: ene 2005

Ubicación: Miami

Mensajes: 32.894

Re: El log de una PC infectada

Hola hurling, te doy la bienvenida al Foro de InfoSpyware

Descarga CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

Descarga, actualiza y ejecuta

SUPERAntiSpyware

Descarga la herramienta ComboFix.exe y guárdala en el escritorio de Win.
Hace doble-click en el archivo combofix.exe y seguí los avisos.
Cuando termine este generara un reporte que tendrías que pegar en este mismo mensaje.
- Nota* Puede que algunos Antivirus como Panda detecten un falso positivo en ComboFix pero no hay que preocuparse por esto.

Reinicia y nos contas los resultados.

Salu2

Ausente hasta el 15 de Oct. En viaje al EISI 2009 (Colombia)

Novedades del Foro | Antivirus Online | Eliminar Malwares | Políticas del Foro | Blog

* Ayúdanos haciendo una DONACIÓN para poder seguir Ayudando.
* Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
* No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

post #3

26/06/07, 23:29:55

hurling

Usuario

Registrado: jun 2007

Ubicación: Argentina

Mensajes: 7

Re: El log de una PC infectada

Antes que nada, muchisimas gracias elpiedra por tu respuesta.
El agradecimiento es extensivo para toda la comunidad. Estan haciendo un trabajo formidable, de veras, excelente trabajo.
Basta de flores, vamos a lo nuestro.

Hoy se me "ocurrio" ver el archivo de hosts (C:\WINDOWS\system32\drivers\etc\hosts" de mi pc y zaz, miren:

Código:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Éste es un ejemplo de archivo HOSTS usado por Microsoft TCP/IP para Windows.
#
# Este archivo contiene las asignaciones de las direcciones IP a los nombres de
# host. Cada entrada debe permanecer en una línea individual. La dirección IP
# debe ponerse en la primera columna, seguida del nombre de host correspondiente.
# La dirección IP y el nombre de host deben separarse con al menos un espacio.
# 
#
# También pueden insertarse comentarios (como éste) en líneas individuales
# o a continuación del nombre de equipo indicándolos con el símbolo "#"
#
# Por ejemplo:
#
#      102.54.94.97     rhino.acme.com          # servidor origen
#       38.25.63.10     x.acme.com              # host cliente x

127.0.0.1       localhost
127.0.0.1 bin.errorprotector.com ## added by CiD
127.0.0.1 br.errorsafe.com ## added by CiD
127.0.0.1 br.winantivirus.com ## added by CiD
127.0.0.1 br.winfixer.com ## added by CiD
127.0.0.1 cdn.drivecleaner.com ## added by CiD
127.0.0.1 cdn.errorsafe.com ## added by CiD
127.0.0.1 cdn.winsoftware.com ## added by CiD
127.0.0.1 de.errorsafe.com ## added by CiD
127.0.0.1 de.winantivirus.com ## added by CiD
127.0.0.1 download.cdn.drivecleaner.com ## added by CiD
127.0.0.1 download.cdn.errorsafe.com ## added by CiD
127.0.0.1 download.cdn.winsoftware.com ## added by CiD
127.0.0.1 download.errorsafe.com ## added by CiD
127.0.0.1 download.systemdoctor.com ## added by CiD
127.0.0.1 download.winantispyware.com ## added by CiD
127.0.0.1 download.windrivecleaner.com ## added by CiD
127.0.0.1 download.winfixer.com ## added by CiD
127.0.0.1 drivecleaner.com ## added by CiD
127.0.0.1 dynamique.drivecleaner.com ## added by CiD
127.0.0.1 errorprotector.com ## added by CiD
127.0.0.1 errorsafe.com ## added by CiD
127.0.0.1 es.winantivirus.com ## added by CiD
127.0.0.1 fr.winantivirus.com ## added by CiD
127.0.0.1 fr.winfixer.com ## added by CiD
127.0.0.1 go.drivecleaner.com ## added by CiD
127.0.0.1 go.errorsafe.com ## added by CiD
127.0.0.1 go.winantispyware.com ## added by CiD
127.0.0.1 go.winantivirus.com ## added by CiD
127.0.0.1 hk.winantivirus.com ## added by CiD
127.0.0.1 instlog.errorsafe.com ## added by CiD
127.0.0.1 instlog.winantivirus.com ## added by CiD
127.0.0.1 instlog.winfixer.com ## added by CiD
127.0.0.1 jsp.drivecleaner.com ## added by CiD
127.0.0.1 kb.errorsafe.com ## added by CiD
127.0.0.1 kb.winantivirus.com ## added by CiD
127.0.0.1 nl.errorsafe.com ## added by CiD
127.0.0.1 se.errorsafe.com ## added by CiD
127.0.0.1 secure.drivecleaner.com ## added by CiD
127.0.0.1 secure.errorsafe.com ## added by CiD
127.0.0.1 secure.winantispam.com ## added by CiD
127.0.0.1 secure.winantispy.com ## added by CiD
127.0.0.1 secure.winantivirus.com ## added by CiD
127.0.0.1 support.winantivirus.com ## added by CiD
127.0.0.1 trial.updates.winsoftware.com ## added by CiD
127.0.0.1 ulog.winantivirus.com ## added by CiD
127.0.0.1 utils.errorsafe.com ## added by CiD
127.0.0.1 utils.winantivirus.com ## added by CiD
127.0.0.1 utils.winfixer.com ## added by CiD
127.0.0.1 winantispyware.com ## added by CiD
127.0.0.1 winantivirus.com ## added by CiD
127.0.0.1 winfixer.com ## added by CiD
127.0.0.1 winfixer2006.com ## added by CiD
127.0.0.1 winsoftware.com ## added by CiD
127.0.0.1 www.drivecleaner.com ## added by CiD
127.0.0.1 www.errorprotector.com ## added by CiD
127.0.0.1 www.errorsafe.com ## added by CiD
127.0.0.1 www.systemdoctor.com ## added by CiD
127.0.0.1 www.utils.winfixer.com ## added by CiD
127.0.0.1 www.win-anti-virus-pro.com ## added by CiD
127.0.0.1 www.win-virus-pro.com ## added by CiD
127.0.0.1 www.winantispam.com ## added by CiD
127.0.0.1 www.winantispy.com ## added by CiD
127.0.0.1 www.winantispyware.com ## added by CiD
127.0.0.1 www.winantivirus.com ## added by CiD
127.0.0.1 www.winantiviruspro.com ## added by CiD
127.0.0.1 www.windrivecleaner.com ## added by CiD
127.0.0.1 www.windrivesafe.com ## added by CiD
127.0.0.1 www.winfixer.com ## added by CiD
127.0.0.1 www.winfixer2006.com ## added by CiD
127.0.0.1 www.winsoftware.com ## added by CiD

Hace unas semanas habia encontrado en Agregar o quitar programas el desinstalador de un tal CiD, lo saque, pero jamas supe de que se trataba de una infeccion.

La pregunta es por que la modificacion del archivo de hosts no salio en mi hijackthis??

Luego pase el ELISTARA
que me elimino unas "entradas malignas" del registro. Este es el log:

Código:

	  Tue Jun 26 22:34:34 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"
ALERTA. WindowsUpdate Incompleto.
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE
Detectado AUTORUN.INF en la Unidad (F)
 open=Launcher.exe
Si Desconoce la Aplicación, por favor envienosla
acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

	  Tue Jun 26 22:35:55 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Archivos de programa\CyberLink\PowerDVD\QT3SUPPORT4.DLL --> Eliminado, ISTBar

	  Tue Jun 26 22:40:20 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad D:\

	  Tue Jun 26 22:41:38 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

	  Tue Jun 26 22:47:26 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad D:\

	  Tue Jun 26 22:51:16 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad E:\

	  Tue Jun 26 22:51:19 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad F:\

	  Tue Jun 26 23:28:48 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
ALERTA. WindowsUpdate Incompleto.

	  Tue Jun 26 23:29:09 2007
EliStartPage v14.28  (c)2007 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
Exploración Detenida por el Usuario.

Luego me respondieron este post, y como me decia elpiedra le pase el SUPERAntispyware. Encontro infecciones, este es el log:

Código:

SUPERAntiSpyware Scan Log
Generated 06/26/2007 at 11:15 PM

Application Version : 3.6.1000

Core Rules Database Version : 3261
Trace Rules Database Version: 1272

Scan type       : Complete Scan
Total Scan Time : 00:26:17

Memory items scanned      : 484
Memory threats detected   : 0
Registry items scanned    : 4628
Registry threats detected : 27
File items scanned        : 30202
File threats detected     : 1

Unclassified.Oreans32
	HKLM\System\ControlSet001\Services\oreans32
	C:\WINDOWS\SYSTEM32\DRIVERS\OREANS32.SYS
	HKLM\System\ControlSet002\Services\oreans32
	HKLM\System\CurrentControlSet\Services\oreans32
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32#NextInstance
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Service
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Legacy
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#ConfigFlags
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Class
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#ClassGUID
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#DeviceDesc
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Capabilities
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000\LogConf
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000\Control
	HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000\Control#ActiveService
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32#Type
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32#Start
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32#ErrorControl
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32#ImagePath
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32#DisplayName
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Security
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Security#Security
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#0
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#Count
	HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#NextInstance

Luego ejecute el ComboFix y este es el log:

Código:

"Alejandro" - 2007-06-26 23:20:41 - ComboFix 07-06-26.8 - Service Pack 2  NTFS  


(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))


C:\DOCUME~1\ALEJAN~1\DATOSD~1.\addon.dat


(((((((((((((((((((((((((   Files Created from 2007-05-27 to 2007-06-27  )))))))))))))))))))))))))))))))


2007-06-26 23:19	49,152	--a------	C:\WINDOWS\nircmd.exe
2007-06-26 22:47	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\SUPERAntiSpyware.com
2007-06-26 22:47	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\SUPERAntiSpyware.com
2007-06-26 22:47	<DIR>	d--------	C:\Archivos de programa\SUPERAntiSpyware
2007-06-26 14:17	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\Help
2007-06-25 23:05	<DIR>	d--------	C:\Archivos de programa\RegSeeker
2007-06-25 23:04	<DIR>	d--------	C:\Archivos de programa\CCleaner
2007-06-25 14:50	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\Nokia Multimedia Player
2007-06-25 14:49	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\Phone Browser
2007-06-25 14:49	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\DataLayer
2007-06-25 14:48	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\Nokia
2007-06-25 14:46	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\PC Suite
2007-06-25 14:46	<DIR>	d--------	C:\Archivos de programa\DIFX
2007-06-25 14:46	<DIR>	d--------	C:\Archivos de programa\Archivos comunes\Nokia
2007-06-25 14:45	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\PC Suite
2007-06-25 14:45	<DIR>	d--------	C:\Archivos de programa\Archivos comunes\PCSuite
2007-06-25 14:44	8,704	--a------	C:\WINDOWS\system32\drivers\nmwcdc.sys
2007-06-25 14:44	13,312	--a------	C:\WINDOWS\system32\drivers\nmwcdcm.sys
2007-06-25 14:44	13,312	--a------	C:\WINDOWS\system32\drivers\nmwcdcj.sys
2007-06-25 14:43	50,688	--a------	C:\WINDOWS\system32\nmwcdcls.dll
2007-06-25 14:43	4,608	--a------	C:\WINDOWS\system32\nmwcdlog.dll
2007-06-25 14:43	30,720	--a------	C:\WINDOWS\system32\nmwcdcocls.dll
2007-06-25 14:43	127,488	--a------	C:\WINDOWS\system32\drivers\nmwcd.sys
2007-06-25 14:43	<DIR>	d--------	C:\Archivos de programa\Nokia
2007-06-25 14:42	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\Downloaded Installations
2007-06-25 00:02	75,512	--a------	C:\WINDOWS\zllsputility.exe
2007-06-25 00:02	54,936	--a------	C:\WINDOWS\system32\vsutil_loc0c0a.dll
2007-06-25 00:02	42,648	--a------	C:\WINDOWS\zllsputility_loc0c0a.dll
2007-06-25 00:02	4,212	---h-----	C:\WINDOWS\system32\zllictbl.dat
2007-06-25 00:02	22,168	--a------	C:\WINDOWS\system32\imsinstall_loc0c0a.dll
2007-06-25 00:02	18,072	--a------	C:\WINDOWS\system32\imslsp_install_loc0c0a.dll
2007-06-25 00:02	11,264	--a------	C:\WINDOWS\system32\SpOrder.dll
2007-06-25 00:02	1,087,216	--a------	C:\WINDOWS\system32\zpeng24.dll
2007-06-25 00:02	<DIR>	d--------	C:\WINDOWS\system32\ZoneLabs
2007-06-25 00:01	<DIR>	d--------	C:\WINDOWS\Internet Logs
2007-06-24 15:44	<DIR>	d--------	C:\GTR2
2007-06-22 14:47	<DIR>	d--------	C:\DOCUME~1\ALEJAN~1\DATOSD~1\Opera
2007-06-22 09:34	95,872	--a------	C:\WINDOWS\system32\AvastSS.scr
2007-06-22 09:34	94,552	--a------	C:\WINDOWS\system32\drivers\aswmon2.sys
2007-06-22 09:34	85,952	--a------	C:\WINDOWS\system32\drivers\aswmon.sys
2007-06-22 09:34	745,600	--a------	C:\WINDOWS\system32\aswBoot.exe
2007-06-22 09:34	43,176	--a------	C:\WINDOWS\system32\drivers\aswTdi.sys
2007-06-22 09:34	26,888	--a------	C:\WINDOWS\system32\drivers\aavmker4.sys
2007-06-22 09:34	23,416	--a------	C:\WINDOWS\system32\drivers\aswRdr.sys
2007-06-20 15:30	<DIR>	d--------	C:\Archivos de programa\XP TCPIP Repair
2007-06-20 13:58	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\Spybot - Search & Destroy
2007-06-19 22:34	<DIR>	d--------	C:\Archivos de programa\Lavasoft
2007-06-19 22:34	<DIR>	d--------	C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
2007-06-17 17:55	<DIR>	d--------	C:\Archivos de programa\Live For Speed
2007-06-17 17:38	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\NVIDIA
2007-06-17 16:49	81,768	--a------	C:\WINDOWS\system32\xinput1_3.dll
2007-06-17 16:49	62,744	--a------	C:\WINDOWS\system32\xinput1_2.dll
2007-06-17 16:49	443,752	--a------	C:\WINDOWS\system32\d3dx10_33.dll
2007-06-17 16:49	3,495,784	--a------	C:\WINDOWS\system32\d3dx9_33.dll
2007-06-17 16:49	3,426,072	--a------	C:\WINDOWS\system32\d3dx9_32.dll
2007-06-17 16:49	261,480	--a------	C:\WINDOWS\system32\xactengine2_7.dll
2007-06-17 16:49	255,848	--a------	C:\WINDOWS\system32\xactengine2_6.dll
2007-06-17 16:49	251,672	--a------	C:\WINDOWS\system32\xactengine2_5.dll
2007-06-17 16:49	237,848	--a------	C:\WINDOWS\system32\xactengine2_4.dll
2007-06-17 16:49	236,824	--a------	C:\WINDOWS\system32\xactengine2_3.dll
2007-06-17 16:49	2,414,360	--a------	C:\WINDOWS\system32\d3dx9_31.dll
2007-06-17 16:49	15,128	--a------	C:\WINDOWS\system32\x3daudio1_1.dll
2007-06-17 16:49	1,123,696	--a------	C:\WINDOWS\system32\D3DCompiler_33.dll
2007-06-17 10:30	9,216	--a------	C:\WINDOWS\system32\drivers\GF0003.sys
2007-06-17 10:30	14,976	--a------	C:\WINDOWS\system32\drivers\kbdhid.sys
2007-06-17 10:30	12,416	--a------	C:\WINDOWS\system32\drivers\mouhid.sys
2007-06-17 10:30	<DIR>	d--------	C:\Archivos de programa\VID_0E8F&PID_0003
2007-06-17 10:30	<DIR>	d--------	C:\Archivos de programa\Archivos comunes\VID_0E8F&PID_0003
2007-06-16 13:18	309,616	--a------	C:\WINDOWS\system32\wmv8dmod.dll
2007-06-16 12:51	151,552	--a------	C:\WINDOWS\system32\MSOSS.DLL
2007-06-16 12:51	<DIR>	d--------	C:\Archivos de programa\Codemasters
2007-06-12 15:14	<DIR>	d--------	C:\Archivos de programa\Ares
2007-06-08 13:50	<DIR>	d--------	C:\DOCUME~1\ALLUSE~1\DATOSD~1\Lavasoft
2007-06-04 15:18	9,344	--a------	C:\WINDOWS\system32\drivers\NSDriver.sys
2007-06-04 15:17	8,320	--a------	C:\WINDOWS\system32\drivers\AWRTRD.sys
2007-06-04 15:14	6,272	--a------	C:\WINDOWS\system32\drivers\AWRTPD.sys
2007-05-31 14:23	<DIR>	d--------	C:\Archivos de programa\X-Fonter
2007-05-29 15:07	2,790,400	--a------	C:\WINDOWS\system32\XPize_Logon.exe
2007-05-29 15:06	<DIR>	d--h-----	C:\WINDOWS\XPize
2007-05-28 21:39	53,248	---------	C:\WINDOWS\system32\wdmioctl.dll
2007-05-28 21:39	49,152	--a------	C:\WINDOWS\system32\DSndUp.exe
2007-05-28 21:39	45,056	---------	C:\WINDOWS\system32\CleanUp.exe
2007-05-28 21:39	1,285,632	---------	C:\WINDOWS\system32\SMMedia.dll
2007-05-28 21:39	<DIR>	d--------	C:\Archivos de programa\Analog Devices
2007-05-26 19:29	92,800	--a------	C:\WINDOWS\system32\drivers\aeaudio.sys
2007-05-26 19:29	765,952	--a------	C:\WINDOWS\system\crlds3d.dll
2007-05-26 19:29	393,088	--a------	C:\WINDOWS\system32\drivers\senfilt.sys
2007-05-26 19:29	151,552	--a------	C:\WINDOWS\system32\drivers\ADIHdAud.sys


((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-06-26 17:22:10	--------	d-----w	C:\DOCUME~1\ALEJAN~1\DATOSD~1\uTorrent
2007-06-26 14:31:41	--------	d-----w	C:\Archivos de programa\MSN Messenger
2007-06-20 12:06:46	--------	d-----w	C:\Archivos de programa\Winamp
2007-06-20 12:03:04	--------	d-----w	C:\Archivos de programa\DAEMON Tools
2007-06-19 18:22:03	--------	d--h--w	C:\Archivos de programa\InstallShield Installation Information
2007-06-17 20:32:50	--------	d-----w	C:\Archivos de programa\Archivos comunes\InstallShield
2007-06-16 15:25:05	--------	d-----w	C:\Archivos de programa\TrackMania Nations ESWC
2007-06-11 02:51:19	--------	d-----w	C:\Archivos de programa\Mozilla Thunderbird
2007-05-30 01:36:06	--------	d-----w	C:\Archivos de programa\uTorrent
2007-05-29 18:06:10	220,160	----a-w	C:\WINDOWS\system32\uxtheme.dll
2007-05-29 00:43:11	76,352	----a-w	C:\WINDOWS\system32\perfc00A.dat
2007-05-29 00:43:11	452,990	----a-w	C:\WINDOWS\system32\perfh00A.dat
2007-05-25 22:00:06	--------	d-----w	C:\DOCUME~1\ALEJAN~1\DATOSD~1\InstallShield
2007-05-24 12:36:11	--------	d-----w	C:\Archivos de programa\EA GAMES
2007-05-24 11:33:50	--------	d-----w	C:\Archivos de programa\Alwil Software
2007-05-20 14:06:37	--------	d-----w	C:\Archivos de programa\CyberLink
2007-05-20 14:04:56	505,392	----a-w	C:\WINDOWS\system32\msvcp71.dll
2007-05-20 11:50:24	--------	d-----w	C:\Archivos de programa\ASUSTeK
2007-05-18 11:33:36	--------	d-----w	C:\Archivos de programa\Archivos comunes\Adobe Systems Shared
2007-05-17 12:44:56	--------	d-----w	C:\Archivos de programa\MSECACHE
2007-05-17 12:17:40	--------	d-----w	C:\Archivos de programa\Foxit Software
2007-05-16 20:44:42	--------	d-----w	C:\Archivos de programa\Ahead
2007-05-16 20:44:41	--------	d-----w	C:\Archivos de programa\Archivos comunes\Ahead
2007-05-16 20:42:50	--------	d-----w	C:\Archivos de programa\Paint.NET
2007-05-16 06:25:12	--------	d-----w	C:\Archivos de programa\TightVNC
2007-05-15 13:15:23	--------	d-----w	C:\Archivos de programa\Archivos comunes\DirectX
2007-05-14 12:12:31	--------	d-----w	C:\Archivos de programa\Archivos comunes\Macromedia Shared
2007-05-13 16:28:47	--------	d-----w	C:\DOCUME~1\ALEJAN~1\DATOSD~1\WinRAR
2007-05-13 16:22:52	--------	d-----w	C:\Archivos de programa\Webteh
2007-05-13 16:22:20	--------	d-----w	C:\Archivos de programa\K-Lite Codec Pack
2007-05-13 11:33:43	682,232	----a-w	C:\WINDOWS\system32\drivers\sptd.sys
2007-05-13 09:51:35	--------	d-----w	C:\DOCUME~1\ALEJAN~1\DATOSD~1\CyberLink
2007-05-12 15:34:03	1,305	----a-w	C:\WINDOWS\mozver.dat
2007-05-12 13:36:57	--------	d-----w	C:\Archivos de programa\Messenger
2007-05-11 18:12:13	--------	d-----w	C:\DOCUME~1\ALEJAN~1\DATOSD~1\Thunderbird
2007-05-11 18:11:46	0	----a-w	C:\WINDOWS\nsreg.dat
2007-05-11 13:15:49	--------	d-----w	C:\Archivos de programa\Archivos comunes\ODBC
2007-05-11 13:15:47	--------	d-----w	C:\Archivos de programa\Archivos comunes\SpeechEngines
2007-05-11 13:13:07	--------	d-----w	C:\Archivos de programa\MozBackup
2007-05-11 12:25:03	--------	d-----w	C:\Archivos de programa\microsoft frontpage
2007-05-11 12:24:49	0	--sha-r	C:\MSDOS.SYS
2007-05-11 12:24:49	0	--sha-r	C:\IO.SYS
2007-05-11 12:24:49	0	----a-w	C:\CONFIG.SYS
2007-05-11 12:24:49	0	----a-w	C:\AUTOEXEC.BAT
2007-05-11 12:23:45	--------	d--h--w	C:\Archivos de programa\WindowsUpdate
2007-05-11 12:23:42	--------	d-----w	C:\Archivos de programa\Servicios en línea
2007-05-11 12:22:46	--------	d-----w	C:\Archivos de programa\Archivos comunes\MSSoap
2007-05-11 12:22:36	--------	d-----w	C:\Archivos de programa\Movie Maker
2007-05-11 12:21:51	21,900	----a-w	C:\WINDOWS\system32\emptyregdb.dat
2007-05-11 12:21:32	--------	d-----w	C:\Archivos de programa\Online Services
2007-05-11 12:21:23	--------	d-----w	C:\Archivos de programa\MSN Gaming Zone
2007-05-11 12:21:12	--------	d-----w	C:\Archivos de programa\Windows NT
2007-04-13 18:19:52	7,680	----a-w	C:\WINDOWS\system32\lsdelete.exe


(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
 
 
*Note* empty entries & legit default entries are not shown 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{53707962-6F74-2D53-2644-206D7942484F}=C:\ARCHIV~1\SPYBOT~1\SDHelper.dll [2005-05-31 01:04]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}=C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll [2007-03-13 22:43]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="nwiz.exe" [2006-10-22 07:22 C:\WINDOWS\system32\nwiz.exe]
"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2004-10-27 10:21 C:\WINDOWS\system32\HdAShCut.exe]
"SoundMAX"="C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe" [2005-07-26 09:54]
"SunJavaUpdateSched"="C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-13 22:43]
"WinampAgent"="C:\Archivos de programa\Winamp\winampa.exe" [2007-02-13 15:29]
"RemoteControl"="C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe" [2007-02-07 11:24]
"LanguageShortcut"="C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe" [2007-02-07 11:21]
"NvMediaCenter"="NvMCTray.dll" [2006-10-22 07:22 C:\WINDOWS\system32\nvmctray.dll]
"SoundMAXPnP"="C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe" [2005-05-18 11:00]
"avast!"="C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe" [2007-04-30 12:42]
"ZoneAlarm Client"="C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe" [2007-03-09 00:02]
"PCSuiteTrayApplication"="C:\ARCHIV~1\Nokia\NOKIAP~1\LAUNCH~1.exe" [2006-06-15 12:36]
"AVG7_CC"="C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe" [2007-06-25 17:35]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"DAEMON Tools"="C:\Archivos de programa\DAEMON Tools\daemon.exe" [2007-04-03 19:29]
"SUPERAntiSpyware"="C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2007-02-27 11:39]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"="C:\Archivos de programa\SUPERAntiSpyware\SASSEH.DLL" [2006-12-20 12:55]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\safeboot\minimal\aawservice]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WindowsSp2]

*Newly Created Service* - SASDIFSV
*Newly Created Service* - SASENUM
*Newly Created Service* - SASKUTIL

**************************************************************************

catchme 0.3.721 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-06-26 23:22:00
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

  cmd.exe [7676]


scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-06-26 23:22:33
C:\ComboFix-quarantined-files.txt ... 2007-06-26 23:22

	--- E O F ---

Realmente me he encontrado con varias infecciones que eventualmente cada utildad ha eliminado.
Lo que me gustaria saber es si tengo que verificar posibles "replicas" de las infecciones que se detectaron, o si es necesario alguna limpieza mas.

Muchas gracias de nuevo, saludos!

Última edición por hurling fecha: 26/06/07 a las 23:32:14.

post #4

27/06/07, 03:11:26

ElPiedra

FS-Admin

Registrado: ene 2005

Ubicación: Miami

Mensajes: 32.894

Re: El log de una PC infectada

Hola hurling, dado que tenias una infeccion del Cid segui estos pasos y nos dejas los nuevos reportes:

Paso 1- Descargar y actualizar las siguientes herramientas:

Paso 2- Reiniciar en Modo Seguro.

Paso 3- Sin reiniciar, ejecutar de a una, estas herramientas:

NoLop.exe (guarda su reporte)
SUPERAntiSpyware

Cita:

**NOTA**Para ejecutar la herramienta NoLop siga estos pasos

Hacer Doble-click al archivo NoLop.exe para activarlo.
Presione el botón "Search and Destroy" y espere a que termine el análisis.
Recibirá un mensaje, presione sobre "Aceptar"
Presionar en "Reboot" para reiniciar el equipo.

Nota* Utiliza la herramienta IniRem 2.0 para limpiar tu archivo Host.

Paso 4- Ejecutar CCleaner usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

Reinicia y nos contas los resultados.

Salu2

Ausente hasta el 15 de Oct. En viaje al EISI 2009 (Colombia)

post #5

27/06/07, 15:30:55

hurling

Usuario

Registrado: jun 2007

Ubicación: Argentina

Mensajes: 7

Re: El log de una PC infectada

Seguí todos los pasos tal cual me describiste.
Este es el log del NoLop

Código:

NoLop! Log by Skate_Punk_21

Please Note: any existing old logs will have now been renamed to NoLop!OLD.log

Fix running from: C:\
[27/06/2007]
[14:13:39]

---Infection Files Found/Removed---
NO INFECTION FILES FOUND - Cleaning Aborted.

---Listing AppData sub directories---

El NoLop no encontro nada, el SuperAntispiware tampoco encontro nada.
El iniRem hizo lo suyo, no me dio mensaje de haber encontrado algo particular.
Luego el cccleaner eliminó varias entradas invalidas, temporales y demas.

El problema que se da es que se me cierra la conexion, y se cuelga el windows. No puedo remarcar, por que dice no encontrar la salida wan.
Ahora la dejo conectada a ver que sucede, los mantengo al tanto.
Muchas gracias, Saludos !

post #6

27/06/07, 21:59:24

hurling

Usuario

Registrado: jun 2007

Ubicación: Argentina

Mensajes: 7

Re: El log de una PC infectada

Bueno, sigo con problemas. Se me cierra la conexion, no me responde el Task Manager, se me cuelga el sistema y tengo que reiniciar.
:S

Donde mas puedo buscar, que mas le puedo hacer?

post #7

28/06/07, 15:44:55

ElPiedra

FS-Admin

Registrado: ene 2005

Ubicación: Miami

Mensajes: 32.894

Re: El log de una PC infectada

Hola, esos ya parecen problemas directamente de Windows por lo que para solucionarlos podrias probar con estos pasos:

Iniciar el PC con el CD de Win y usar la opción de "Reparar Errores"

Salu2

Ausente hasta el 15 de Oct. En viaje al EISI 2009 (Colombia)

post #8

29/06/07, 14:01:38

hurling

Usuario

Registrado: jun 2007

Ubicación: Argentina

Mensajes: 7

Re: El log de una PC infectada

Me estoy llendo al analista para que me haga entender por que tengo que cargar todo el soft en mi pc nuevamente. :D

Muchas gracias por la ayuda elpiedra y a toda la comunidad.

« Tema Anterior | Próximo Tema »

Herramientas
Mostrar Versión Imprimible Enviar por Correo

Reglas del foro
No puedes crear nuevos temas No puedes responder temas No puedes subir adjuntos No puedes editar tus mensajes BB code is activado Las caritas están activado Código [IMG] está activado Código HTML está desactivado Trackbacks are desactivado Pingbacks are activado Refbacks are activado Políticas del foro

Temas Similares

Tema	Autor	Foro	Respuestas	Último mensaje
Log de mi laptop, por favor revisenlo (Terminado)	totuma26	Temas Solucionados	4	02/06/07 16:42:33
Por favor vean mi log (Terminado)	Chamuyo	Temas Solucionados	2	29/05/07 23:20:18
Mi maquina esta infectada lenta y con publicidad emergente. (Terminado)	MABEURI	Temas Solucionados	2	19/04/07 02:10:30
Se abre una venta de publicidad (Terminado)	karnock	Temas Solucionados	3	08/10/06 13:14:57
comprar una grafica agp (Terminado)	danini	Foro de Hardware	3	15/05/06 14:23:24

Todas las horas son GMT -4. La hora es 07:43:48.

InfoSpyware es miembro de ASAP - Alliance of Security Analysis Professionals

Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus