¿Spyware en Windows Live Messenger?

[aaronduran2]

Hola. Hice un dumpeo de memoria del proceso del WLM, y tras analizarlo me fijé en que aparecen cadenas de texto como las siguientes:

Código [Seleccionar] Expandir

Visited: Aar%C3%B3n@file:///C:/****/Data/Templates/ScanInfo/ScanInfo.html
Visited: Aar%C3%B3n@http://*****/secretaria/documentos_p/****/_private

Así como referencias a rutas como las de VirtualBox y varios programas.

¿A qué se puede deber que aparezca eso? Uso WLM 2011.

Un saludo.

[Novlucker]

¿Win 7 obviamente verdad?

¿Qué tools estas utilizando para realizar el volcado y leerlo? ¿Qué AV tienes?

Saludos

[aaronduran2]

Sí, es Windows 7 Ultimate x64. Utilizo Process Dumper 1.1, sacado de:

http://packetstormsecurity.org/files/view/88836/pd_v1.1_win.zip

Y mi AV es AVG Free 2011.

Gracias

[Novlucker]

Ya, con esa misma tool estaba haciendo las pruebas y pensaba que quizás era del antivirus por lo de scaninfo.html, ya que además a mi me aparecían muchas rutas al mio, pero no, son rutas a todos los archivos que he abierto
Ahora también me pregunto yo que hace eso en el espacio del WLM
Ahora no puedo probar mucho porque estoy con otra cosa, pero intenta con User Mode Process Dumper (aunque diga que es para 32 bits), a ver si quizás el problema es la tool que se esta metiendo en otro lado

Saludos

[aaronduran2]

Lo de ScanInfo es de otro programa, pero le puse los asteriscos porque no me interesaba que supiesen ciertas cosas XD

Hay referencias al antivirus, pero todos suelen aparecer con la ruta de AVG o en temporal.

Haré lo que me comentas y te digo mañana

Un saludo

[Novlucker]

Olvidalo, recorde algo y me di cuenta de que te estaba dando la recomendación más complicada

En Windows Vista y 7 puedes hacer un volcado sin necesitar de otras herramientas, simplemente abre el administrador de tareas > botón derecho sobre el proceso > crear archivo de volcado
Sobre lo que había dicho, siguen estando las direcciones

Saludos

[Novlucker]

Y te pongo lo último aparte, es que me he dado cuenta de donde salen
El WLM carga las librerías de internet explorer para verificar los mails y mostrar esas publicidades que a todos nos gustan ... revisa el historial del IE

Saludos

[aaronduran2]

El IE no lo toqué desde que formateé hace una semana... Además, me aparecían direcciones URL de sitios que ni no envíe ni por conversaciones de MSN, ni entré por IE.

De todas formas, probaré a realizar otro volcado a ver si saca algo más

[Novlucker]

No no, en el historial de IE tienes no solo las urls que has visitado, sino las rutas de los archivos abiertos en el explorador.

Fijate que si revisas el historial hay además de direcciones webs unas carpetas llamadas MI PC o Equipo (o algo así xD)

Saludos

[aaronduran2]

No, si lo de las rutas del explorador lo sé, pero me refiero a que hay direcciones Web en las que no entré ni por IE ni envié/recibí por WLM, solo las visité con Firefox :/

Hice un dumpeo con el propio Administrador de tareas y me aparecen también referencias a cookies de páginas que, como ya te dije, nunca visité con IE.