Tema: Creo que tengo un spyware

[jonan]

Logfile of HijackThis v1.97.7
Scan saved at 01:36:53, on 12/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\cisvc.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\D-Tools\daemon.exe
C:\ARCHIV~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Tweak-XP Pro\AdBlocker.exe
C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
C:\Archivos de programa\Microsoft Office\Office\3082\msoffice.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\Documents and Settings\Jonan\Mis documentos\ADAWARE\HijackThis\HijackThis.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {EF44BB33-3CAB-4DAD-B67E-3153F5C183B4} - C:\WINDOWS\mrhop.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [REGSHAVE] C:\Archivos de programa\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [EM_EXEC] C:\ARCHIV~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [BlockAds] "C:\Archivos de programa\Tweak-XP Pro\AdBlocker.exe"
O4 - HKCU\..\Run: [spywatch] C:\Archivos de programa\BulletProofSoft.com\SpywareRemover\SpyWatch.exe /STARTUP
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Download with &DAP - C:\ARCHIV~1\DAP\dapextie.htm
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37893.4471875
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8E71A9E9-6D15-4140-ACD8-61A72C6EEEC8}: NameServer = 192.168.0.1

[jonan]

Este es el resultado al cabo de unos minutos

Logfile of HijackThis v1.97.7
Scan saved at 01:41:15, on 12/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\cisvc.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\D-Tools\daemon.exe
C:\ARCHIV~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Tweak-XP Pro\AdBlocker.exe
C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
C:\Archivos de programa\Microsoft Office\Office\3082\msoffice.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\Documents and Settings\Jonan\Mis documentos\ADAWARE\HijackThis\HijackThis.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {EF44BB33-3CAB-4DAD-B67E-3153F5C183B4} - C:\WINDOWS\mrhop.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [REGSHAVE] C:\Archivos de programa\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [EM_EXEC] C:\ARCHIV~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [BlockAds] "C:\Archivos de programa\Tweak-XP Pro\AdBlocker.exe"
O4 - HKCU\..\Run: [spywatch] C:\Archivos de programa\BulletProofSoft.com\SpywareRemover\SpyWatch.exe /STARTUP
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Download with &DAP - C:\ARCHIV~1\DAP\dapextie.htm
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37893.4471875
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8E71A9E9-6D15-4140-ACD8-61A72C6EEEC8}: NameServer = 192.168.0.1

[FatsGordon]

Muy bien, como pensaba no sirvió para nada, pero teníamos que probar por las dudas...

Todavía tenemos armas, así que no te preocupes. Es una variante del about:blank que se esconde en otro lado, así que hay que encontrarla. Cuando la hayamos encontrado ahí terminamos.

Bajate de esta página http://www10.brinkster.com/expl0iter/freeatlast/pvtool.htm el Find-ALL.zip. Extraelo a su propio directorio y ejecutá FIND-ALL.BAT. Esperá a que termine la búsqueda. La ventana de DOS que se abre se va a cerrar sola. En su lugar va a aparecer un archivo en el Bloc de notas, el output.txt. Publicalo acá. A continuación de ese andá al directorio del FIND-ALL.BAT y abrí el archivo windows.txt que también se acaba de crear, copiá TODO su contenido, aunque parezca extraño, y pegalo acá. TODO es TODO. Mirá que puede haber una parte más abajo que no se ve, así que pintá todo hasta el final, copialo y pegalo aquí.

¡Muchas gracias!

[jonan]

--===**'FIND-ALL' VERSION 3, 5/11**===--
 

Wed May 12 13:41:28 2004 -- Results:
*System Info:

Microsoft Windows XP [Versi¢n 5.1.2600]
C: "JONAN" (502D:20F1) - FS:NTFS clusters:4k
Total: 30 005 788 672 [28G] - Free: 15 215 366 144 [14G]
 
 
Locked or 'Suspect' file(s) found...
 
 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF44BB33-3CAB-4DAD-B67E-3153F5C183B4}]

REGEDIT4

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
"CLSID"="{602B17CA-DC1C-41D4-B724-412FDFED9596}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain]
"CLSID"="{602B17CA-DC1C-41D4-B724-412FDFED9596}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="WebView MIME Filter"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"

Class Install Handler
{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}
C:\WINDOWS\System32\urlmon.dll

deflate
{8f6b0360-b80d-11d0-a9b3-006097942311}
C:\WINDOWS\System32\urlmon.dll

gzip
{8f6b0360-b80d-11d0-a9b3-006097942311}
C:\WINDOWS\System32\urlmon.dll

lzdhtml
{8f6b0360-b80d-11d0-a9b3-006097942311}
C:\WINDOWS\System32\urlmon.dll

text/html
{602B17CA-DC1C-41D4-B724-412FDFED9596}
C:\WINDOWS\mrhop.dll

text/plain
{602B17CA-DC1C-41D4-B724-412FDFED9596}
C:\WINDOWS\mrhop.dll

text/webviewhtml
{733AC4CB-F1A4-11d0-B951-00A0C90312E1}
%SystemRoot%\system32\SHELL32.dll

{0165C61F-BC18-45B8-9F60-DFC6D74E7BF6} C:\WINDOWS\mrhop.dll
{1CD9CA47-1C86-4875-9944-E93536019390} C:\WINDOWS\mrhop.dll
{27E17478-A58A-4E33-B8F7-A6CF32A28F6D} C:\WINDOWS\mrhop.dll
{27FA3971-111D-45F7-A0AE-368DA931C413} C:\WINDOWS\mrhop.dll
{4E1C3E89-5DD5-4F59-BF85-E43C0AEBF3F0} C:\WINDOWS\mrhop.dll
{602B17CA-DC1C-41D4-B724-412FDFED9596} C:\WINDOWS\mrhop.dll
{EF44BB33-3CAB-4DAD-B67E-3153F5C183B4} C:\WINDOWS\mrhop.dll
{0165C61F-BC18-45B8-9F60-DFC6D74E7BF6} C:\WINDOWS\mrhop.dll
{1CD9CA47-1C86-4875-9944-E93536019390} C:\WINDOWS\mrhop.dll
{27E17478-A58A-4E33-B8F7-A6CF32A28F6D} C:\WINDOWS\mrhop.dll
{27FA3971-111D-45F7-A0AE-368DA931C413} C:\WINDOWS\mrhop.dll
{4E1C3E89-5DD5-4F59-BF85-E43C0AEBF3F0} C:\WINDOWS\mrhop.dll
{602B17CA-DC1C-41D4-B724-412FDFED9596} C:\WINDOWS\mrhop.dll
{EF44BB33-3CAB-4DAD-B67E-3153F5C183B4} C:\WINDOWS\mrhop.dll
*Security settings for 'Windows' key:
 

RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!

Access Control List for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
(ID-NI) ALLOW  Read           BUILTIN\Usuarios
(ID-IO) ALLOW  Read           BUILTIN\Usuarios
(ID-NI) ALLOW  Full access    BUILTIN\Administradores
(ID-IO) ALLOW  Full access    BUILTIN\Administradores
(ID-NI) ALLOW  Full access    NT AUTHORITY\SYSTEM
(ID-IO) ALLOW  Full access    NT AUTHORITY\SYSTEM
(ID-IO) ALLOW  Full access    CREATOR OWNER

Effective permissions for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
Read             BUILTIN\Usuarios
Full access      BUILTIN\Administradores
Full access      NT AUTHORITY\SYSTEM




----archivo windows-----
* EDITADO POR NO OFRECER MAYOR AYUDA *

[FatsGordon]

No me olvidé del caso. Es que está muy complejo y estoy pidiendo asesoría externa. Si no sale una solución pronto me temo que vas a ser caso de estudio por nueva versión del CWS

Ya lo solucionaremos, no te rindas, ¿ok?

[FatsGordon]

Bien, aquí va llegando la ayuda.

Abrí el Registrar Lite y copiá en la Address Bar lo siguiente:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Apretá Go.

Parate en la carpeta 'Windows' (en el lado izquierdo) y hacé click derecho sobre ella, hacé click en 'Rename'. Renombrala a : 'NoMoreWindows' y apretá ENTER. Se te va a preguntar si deseás hacer el cambio, contestá YES. Ahora, en el panel izquierdo, hacé doble click en el valor 'AppInit_DLL's'. Decime qué hay en 'Value'. Después volvé a renombrarlo a 'Windows'. Cerrá el Registrar Lite.

Es importante que NO CIERRES el Registrar Lite sin volver el nombre a 'Windows', ¿ok?

Esto que hiciste va a hacer que el archivo que estamos buscando se revele ante nuestros ojos. Por el momento se encuentra hiper escondido, a tal punto que utilizando los que ya no son métodos convencionales tampoco podemos hallarlo (este mismo método que estuvimos usando hasta antes de ahora fue usado con éxito en otros casos, por lo que estimo que el CWS está mutando a algo aún más complejo). Así que hay que forzarlo a salir a la luz. Tené en cuenta que esto sólo lo va a mostrar en la Registry, pero no vas a poder encontrarlo en Windows (por eso mismo, porque está hiper escondido). Una vez hallado ya sólo resta desactivarlo y listo.

Espero tu respuesta.

[Dabo]

es la hostia como os moveis hermano  :lol:

[jonan]

no me sale la carpeta de windows, q le pasa a esto?

[FatsGordon]

Es como una carpetita con un signo más al costado izquierdo... ¿No la ves? :shock:

[FatsGordon]

A ver, vamos a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs y vemos si desde allí podemos encontrar la carpeta Windows, ¿ok?