Responder a este mensaje

----- Original Message ----- 
From: "List" <list@garmendia.us>
To: <consultas@usuarios.saulo.net>
Sent: Thursday, April 22, 2004 4:50 AM
Subject: [SauloNet] Spyware/Malware en Windows XP (207.36.196.189)


> Hola a todos y saludos muy en especial a Saulo y su excelente equipo de
> colaboración y trabajo.
>
> Tengo el siguiente problema:
>
> Maquina AMD XP 1.4
> 512MB Memoria
> Windows XP Pro Versión 2600
>
> En un archivo que recibí de forma confiable me incluyo un archivo que
> por descuido de mi persona ejecute, el mismo era un sistema de programas
> de todo tipo de Promociones y Pornografía entre ellos Cydoor y muchos
> mas conocidos, logre la eliminación de todos y cada uno de ellos al
> correr el programa de Spybot - Search & Destroy y otros.
>
> El problema q actualmente tengo es q al abrir el IE (Explorer de
> Microsoft) me sale siempre unas cuantas ventanas de todo tipo de
> promoción las cuales no incluyen pornografía, trate la eliminación de
> esto con el uso de Pest Patrol, el Spybot - Search & Destroy, Ad Aware 6
> y un sin numero de otros pero todos dicen lo mismo que la maquina esta
> limpia en su totalidad,  durante la búsqueda en resolver el problema
> encontré q el archivo HOST de XP estaba modificado el cual tenia la
> siguiente informacion:
>
> 207.36.196.189  auto.search.msn.com
> 207.36.196.189  search.netscape.com
> 207.36.196.189  ieautosearch
> 127.0.0.1  www.igetnet.com
> 127.0.0.1  code.ignphrases.com
> 127.0.0.1  clear-search.com
> 127.0.0.1  r1.clrsch.com
> 127.0.0.1  sds.clrsch.com
> 127.0.0.1  status.clrsch.com
> 127.0.0.1  www.clrsch.com
> 127.0.0.1  clr-sch.com
> 127.0.0.1  sds-qckads.com
> 127.0.0.1  status.qckads.com
>
> Procedí a modificarlo y me lo vuelve a crear lo mismo, lo borre el
> archivo y el Windows lo crea nuevamente con la misma información.
>
> Verifique el Registro de la maquina y esta limpio a mi mejor entender.
>
> Verifique ese ip de 207.36.196.189 y sale una pagina de búsqueda como
> tantas, Yahoo, MSN, Altavista  por cierto casi idéntica a Yahoo. :-)
> (http://www.SpotResults.com)
>
> Mi pregunta es que me falta por limpiar y/o verificar para resolver que
> una vez modificado y/o eliminado para que lo cree nuevamente el archivo
> HOST el mismo me salga normal limpio en su totalidad con lo que
> corresponde, en donde estará esa información almacenada que no la
encuentro.
>
> Verifique en el Internet y solo encontré una pagina que habla sobre esto
> pero de tanto que dice no dice nada ó yo no puedo ver nada.
>
> http://www.computercops.biz/check15461previous.html
>
> Agradeceré cualquier consejo y/o comentario para poder solucionar esta
> situación.
>
> Gracias nuevamente,
>
> Franz Garmendia
>
>
>
>
> --------------------------------------------
> CONFIDENTIALITY NOTICE:
> --------------------------------------------
> This message is intended exclusively for its addressee and may contain
confidential or privileged information. Access to this email by anyone else
is unauthorized. If you are not the intended recipient you are hereby
notified that any dissemination, copy or disclosure of this communication is
strictly prohibited by law. If this message has been received in error,
please immediately notify us via e-mail and delete it.
>
> For additional information, e-mail: list@garmendia.us and/or
postmaster@garmendia.us
>
> Report Junk E-Mail and/or E-Mail Abuse to garmendia.us? Send us an email:
abuse@garmendia.us
>
>
>
> ____________________________
>
> Lista de correos de Saulo.Net
> Información, bajas y altas en http://www.saulo.net/lista/
>
>
>
> Muito provavelmente existe uma entrada no "System Start" do Spybot que
será de para iniciar o código malware e escrever esses valores para o
registo e para o ficheiro HOSTS. Passa com o rato por cima de cada uma das
entradas presentes no "System Start" e verifica na janela de informação que
se abre que são todas legítimas. Infelizmente o Spybot não avisa sobre isto,
por isso terás de ser tu a ver.
>