Tema: LttLogger version 1.0

[gonzo1963]

Resulta que en ordenador del curro "alguien" se ha metido donde no debía y al pasar el Spybot me detecta este keylogger y me "repara" una de de las dos entradas que parece que hay en el registro, pero la otra no puede porque me dice que está cargada en memoria y que reinicie que me hará un escaner al arrancar, lo hago y ni por esas.
Le he pasado el Ad-Aware SE y ni siquiera lo detecta.
He estado googleando para ver si encontraba algo al respecto, pero no encuentro nada que me ayude para eliminarlo.
Le he pasado el HijackThis y tengo el log, pero como no controlo mucho no se si habrá algo raro y no se si os puedo poner el log para que le echéis una ojeada o hay algún otro foro más especializado en el que me puedan ayudar.
¿Me podéis echar una mano?.

[destroyer]

hola:

¿El escaneo lo has hecho en modo seguro?  Hazlo a ver si asi lo elimina e igualmente con el adaware.  Despues de ello creas un log en modo seguro con el hijackthis y lo cuelgas a ver si te pueden dar alguna indicacion..

Un saludo

[gonzo1963]

hola:

¿El escaneo lo has hecho en modo seguro?  Hazlo a ver si asi lo elimina e igualmente con el adaware.  Despues de ello creas un log en modo seguro con el hijackthis y lo cuelgas a ver si te pueden dar alguna indicacion..

Un saludo

Estoy un poco espeso, tenía que haber empezado por ahí, ahora me pongo y os cuento.

[destroyer]

Parece que he encontrdo algo interesante al respecto.. esa version que indicas es del año 2004 asi que se me hacia raro no la eliminasen y detectase tambien el ad aware.

En principio en los foros de spybot se indica con fecha de ayer que parece ser un falso positivo del spybot que será corregido el próximo viernes en la nueva actualizacion..

thanks for reporting,
it is a false positive in the beta detections and will be removed with the next update scheduled for the end of the week

http://forums.spybot.info/showthread.php?t=6177

No obstante si quieres postea igualmente el log por si hubiera otra cosa.

Un saludo

[gonzo1963]

...En principio en los foros de spybot se indica con fecha de ayer que parece ser un falso positivo del spybot que será corregido el próximo viernes en la nueva actualizacion..

Justo me ha apareció al actualizar el Spybot y analizar el ordenador. Qué alivio, ya estaba asustado.

Bueno de todas formas añado el log del hijackthis por si las moscas, lo he intentado en el "analizador automático" de http://hjt.networktechs.com/ pero me aparece:
"Critical Error! Your log contains HTML tags. Valid HijackThis logs should not have HTML tags. Are you *sure* you're using this system for analysing your HijackThis logs? "
Y la verdad es que lo que pego es texto puro y duro sacado del bloc de notas.
Bueno, ahí va el log:

Logfile of HijackThis v1.99.1
Scan saved at 12:12:36, on 01/08/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\Windows\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\Explorer.EXE
C:\Documents and Settings\varelaaa\Mis documentos\disco D antiguo\Upth\Prueba\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\varelaaa\Mis documentos\disco D antiguo\Upth\Prueba\Ad-Aware SE\Ad-Aware.exe
C:\Documents and Settings\varelaaa\Escritorio\Limpieza de espias (HijackThis 1.99.1) SIN INST\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://intranet.madrid.org/infomadrid/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ie.search.google.es
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.cam.telefonica-data.com:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 10.141.8.*;servdir1*;servapli1*;10.46.156.*;10.46.158.*;10.128.17.*;*.salud.madrid.org;*.icm.es;www.westlaw.es;*.aranzadi.es;intranet.madrid.org;correoweb.madrid.org;*.cesus.es;*.sanidadmadrid.org*;www.bvaleprofesional.*;www.bvaleusuario.*;*icm*;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOCUME~1\varelaaa\MISDOC~1\DISCOD~1\Upth\Prueba\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\System32\hkcmd.exe
O4 - HKLM\..\Run: [CPQEASYACC] C:\Archivos de programa\COMPAQ\Easy Access Button Support\StartEAK.exe
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Archivos de programa\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe"
O4 - HKLM\..\Run: [Sxplog] C:\SxpInst\sxpstub.exe
O4 - HKLM\..\Run: [SDJobCheck] triggusr.exe
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Archivos de programa\Archivos comunes\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ChkAdmin] C:\ARCHIV~1\Compaq\COMPAQ~1\CHKADMIN.EXE
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\AVTC\ClShield.exe"
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Archivos de programa\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunServices: [CPQDFWAG] C:\Windows\Cpqdiag\CpqDfwAg.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Documents and Settings\varelaaa\Mis documentos\disco D antiguo\Upth\Prueba\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - Global Startup: Acelerador de inicio de AutoCAD.lnk = C:\Archivos de programa\Archivos comunes\Autodesk Shared\acstart16.exe
O4 - Global Startup: Desktop Application Director 9.LNK = C:\Archivos de programa\Corel\WordPerfect Office 2000\programs\dad9.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Windows\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Windows\System32\msjava.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Documents and Settings\varelaaa\Mis documentos\disco D antiguo\Upth\Prueba\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Documents and Settings\varelaaa\Mis documentos\disco D antiguo\Upth\Prueba\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0a454840-7232-11d5-b63d-00c04faedb18} -
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {266B9238-31A5-4B53-9039-272FE846DF9D} (DiameterTransfer Control) - http://www.sis.com/download/SISTransfer.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1136981349903
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = salud.madrid.org
O17 - HKLM\Software\..\Telephony: DomainName = salud.madrid.org
O17 - HKLM\System\CCS\Services\Tcpip\..\{3DA7E276-57C6-4B92-B0D1-4846953F6290}: Domain = salud.madrid.org
O17 - HKLM\System\CCS\Services\Tcpip\..\{40196C6C-A34F-4327-989B-07AB7194B452}: NameServer = 10.80.34.86,10.80.0.10
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = salud.madrid.org
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = salud.madrid.org,icm.es,madrid.org
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = salud.madrid.org,icm.es,madrid.org
O20 - Winlogon Notify: igfxcui - C:\Windows\SYSTEM32\igfxsrvc.dll
O23 - Service: Altiris Client Service (AClient) - Altiris, Inc. - C:\COMPAQ\ACLIENT\ACLIENT.exe
O23 - Service: ahfP Service (ahfprog) - Unknown owner - C:\Windows\system32\ahfp.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Unicenter Message Queuing Server (CA-MessageQueuing) - Computer Associates International, Inc. - C:\Archivos de programa\CA\SharedComponents\CAM\bin\cam.exe
O23 - Service: Compaq Local Alerter (CPQALERT) - Compaq Computer Corporation - C:\Archivos de programa\Compaq\Compaq Management Agents\cpqalert.exe
O23 - Service: Compaq Remote Diagnostics Enabling Agent (CpqDfwWebAgent) - Compaq Computer Corporation - C:\Windows\Cpqdiag\Cpqdfwag.exe
O23 - Service: cpqdmi - Compaq Computer Corporation - C:\ARCHIV~1\Compaq\COMPAQ~1\cpqdmi.exe
O23 - Service: Compaq DMI Web Agent (cpqWebDmi) - Compaq Computer Corporation - C:\ARCHIV~1\Compaq\COMPAQ~1\CPQWEB~1\WebDmi.exe
O23 - Service: CTGG - Unknown owner - C:\DOCUME~1\ava3\CONFIG~1\Temp\CTGG.exe (file missing)
O23 - Service: DM Primer (DMPrimer) - Unknown owner - C:\Archivos de programa\CA\SharedComponents\DesktopCommonServices\DMPrimer\dmprimer.exe" -DMPRIMER_SERVICE_: (file missing)
O23 - Service: JAWD - Unknown owner - C:\DOCUME~1\ava3\CONFIG~1\Temp\JAWD.exe (file missing)
O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\Windows\System32\NMSSvc.exe
O23 - Service: OracleMTSRecoveryService - Unknown owner - c:\Producto\Oracle9\bin\omtsreco.exe (file missing)
O23 - Service: OracleOracle9ClientCache - Unknown owner - c:\Producto\Oracle9\BIN\ONRSD.EXE (file missing)
O23 - Service: Panda AdminSecure Communications Agent (PAVAGENTE) - Panda Software - C:\Archivos de programa\Panda Software\Panda Administrator 3\Pav_Agent\Pagent.exe
O23 - Service: Panda AdminSecure Scheduler (PavAtScheduler) - Panda Software - C:\Archivos de programa\Panda Software\Panda Administrator 3\Scheduler\pavsched.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda Antivirus Report Service (PavReport) - Panda Software - C:\Archivos de programa\Panda Software\Panda Administrator 3\PavReport\PavReport.exe
O23 - Service: Panda Antivirus Service (PavSrv) - Panda Software - C:\Archivos de programa\Panda Software\AVTC\PavSrv51.exe
O23 - Service: Panda AntiSpam Engine (PMShellSrv) - PANDA SOFTWARE - C:\Archivos de programa\Panda Software\AVTC\PSKMsSvc.exe
O23 - Service: Panda IManager Service (PsImSvc) - Panda Software Internacional - C:\Archivos de programa\Panda Software\AVTC\PsImSvc.exe
O23 - Service: Unicenter Remote Control Host (rcHost) - Computer Associates International, Inc. - C:\Archivos de programa\CA\Unicenter Remote Control\rcHost.exe
O23 - Service: Unicenter Software Delivery (SDService) - Computer Associates International, Inc. - C:\cesus\tngsd\BIN\SDSERV.EXE
O23 - Service: Win32Sl (WIN32SL) - Intel - C:\Archivos de programa\Compaq\Compaq Management Agents\Dmi\Win32\bin\Win32sl.exe

[destroyer]

 
Esperemos a ver que te comentan los que saben de este tema.

Un saludo