Mensajes

Buenas!
Bien, capaz que me equivoqué en algunas cosas del post anterior.llpero ...
Hijackthis
Para mi ya es antiguo, el solo hecho de que no lea el fichero js que contiene la config de firefox, y solo sirva para IE, ya es algo muy malo.
Bien, lo que si estoy seguro, prueben saturar el fichero hosts.
Hijackthis no mostrará nada.
Hijackthis muestra drivers?
Me refiero a servicios con la entrada type=1 (driver). La mayoría de rootkits son drivers.
Con el que menos probé es con sysinspector, pero que yo recuerde esa key (la de executionoptions), no la mostraba, en todo caso, se me pasó.
Otra pregunta, la key:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
Valor: BootExecute
La leen ?
No sé, me parece que el registro de windows es muy grande, y la única utlidad que muestra todo es autoruns.
Además, la opción de ocultar ficheros de microsoft es muy buena...

Un abrazo.

Buenas!
@Novlucker
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
El hijackthis no detecta las entradas de esa lista, y eset sys inspector se come el valor taskman.
Además, eset sys inspector tanpoco lee a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
La única utilidad que reporta todo es autoruns, por eso me gustaría que pidan logs de el más seguido.
Nota: lo anterior fue el resultado de estar 4 meses sin internet... (algo había que hacer).
@Arcano.
Me refería a que, pides log de hijackthis, cuando sospechas de una key que el mismo no lee.
Autoruns+ EsetSysInspector+Gmer suelen ser suficientes.
Y si no que va, dump de ram con windd y análisis con volatility y companía (es lo mejor que se puede hacer). Aunque claro, colgar un dump de 1 a 4 gb es un dolor de cabeza, y descargarlo también.
Un abrazo.

Buenas!
@Artikbot
http://www.truecrypt.org/ -
Puedes meter todo en un txt y luego cifrarlo, pero sigue siendo peligroso, el mejor lugar para guardar passwords por ahora es dentro de la cabeza de uno.
Igual, esto pensando que tu pc no tiene keyloggers, y mucho menos ram scrapers. En ese caso, todo es inútil, al menos que tengas un muy buen firewall que corte el tráfico saliente (si es físico mejor).
Igual, a mi me asusta que con un simple batch en windows, usando el comando ftp, te pueden enviar esos ficheros a un ftp, sin mucho esfuerzo.
Un abrazo.

Buenas!
Me imagino que no te deja por que el archivo ya está en uso.
Bien, tal vez me equivoque, pero podrías hacer un segundo ejecutable.
Llamas al segundo ejecutable desde el primero, usando CreateProcess o lo que sea, y luego se cierra.
El ejecutable b espera por unos segundos, elimina el ejecutable a, y luego se cierra.
Incluso puedes usar fstreams y escribir un script js/vbs que haga la tarea.
Repito, capáz que no es la mejor solución, además de que supongo que estás en windows.
Un abrazo.

Buenas!
Como regla general, nunca guarden passwords en ningún navegador ni nada por el estilo.
En caso de firefox, los passwords se guardan en signons.sqlite.
Estos passwords están cifrados,y se pueden descifrar si se tiene a signons.sqlite, key3.db y  cert8.db.
Aquí hay una utilidad en consola,
:http://securityxploded.com/firepassword.php
En el mismo sitio hay utilidades que hacen lo mismo en manera gráfica, para firefox y también otros navegadores.
Este y otros temas están incluidos en el artículo que estoy preparando sobre análisis forense a firefox 3.
Un abrazo.

Buenas!
Solo una nota.
@Arcano.
Si sospechas que el malware se carga en WindowsNt, hijackthis no analiza esa key si no me equivoco.
Ni hijackthis ni eset sys inspector muestran todas las entradas de inicio, solo lo hace autoruns de sysinternals.
En todo caso pediría logs de Eset sys inspector+ autoruns.

Un abrazo.

Buenas!
Quieren hacer de las pcs una estación de juegos?
Me imagino los íconos dando vueltas...
Un desastre si fuera ha ser verdad.
Un abrazo

Buenas!
@Arcano.
Esa pc tenía el parche a la vulnerabilidad de los lnk?
Otra no se me ocurre...
Un abrazo.

Buenas!
Sobre esto último, quiero hacer un aporte,
http://www.eset.com.pa/threat-center/articles/seguridad_windows_7.pdf
Además notar que, si no estoy equivocado, windows 7 ya no permite cambios a la ssdt, por lo que, muchos rootkits que funcionan modificando esta tabla,  ya no tendrán nada que hacer.
Saludos

Buenas!
Y también envía log de autoruns,
http://technet.microsoft.com/en-us/sysinternals/bb963902
Lo que escribí en mi anterior mensage son meras suposiciones, envianos los 2 logs, si es posible a megaupload.
Saludos