¿Qué hacen este tipo de virus?

[jaberesjin]

Muy buenas.

Soy nuevo en el foro y he estado curioseando a ver si alguien había escrito un post parecido para no tener que preguntar, pero visto lo visto no ha podido ser y me remito a vosotros para ver si me podéis echar una mano.


El caso es que ayer hice un análisis completo con avast!5 y encontró 6 archivos infectados, los cuales ya han sido borrados:

C:\WINDOWS\system32\aqVreo01\aqVreo011065.exe   (Amenaza: Win32:Trojan-gen)

C:\WINDOWS\system32\ext\TGbn1dll.exe|>$SYSDIR\$SYSDIR\atgban.dll  (Amenaza: Win32:TrafficSol-B [Trj])

C:\WINDOWS\system32\ext\TGbnd1dll.exe  (Amenaza: Win32:Agent-VZS [Trj])

F:\discantic\Jorge\Mis documentos\AgeOfEmpiresII.exe|>[Embedded_R#2fb4498]  (Amenaza: Win32:Malware-gen)

F:\discantic\Jorge\Mis documentos\AgeOfEmpiresII.exe  (Amenaza: Win32:Trojan-gen)

F:\disc antic\Jorge\Mis documentos\soundforge 6\soundforge_6.0_keygen_crack.exe  (Amenaza: Win32:Agent-AFWK [Trj])




Y me gustaría saber si alguien puede responderme que hace cada virus. Soy nuevo en esto y tengo curiosidad más que nada porque me gusta proteger mi PC.

O sea, alguien podría decirme este virus es un Troyano y tiene keylogger puede grabar webcam, etc. la verdad es que llevaban tiempo en mi ordenador y no tengo constancia de lo que han podido hacer con mi webcam (en principio nada), datos etc. y así de paso aprendo un poco.



¡Muchísimas gracias!

[Shell Root]

Podes buscar por el nombre de la amenaza en Google, o podes poner los archivo infectados, para analizarlos localmente.

[dantemc]

pues acabas de perder imperios lol, y el crack del soundforge
ps esos programas son comunmente detectados como virus debido a qeu realizan algunos inyecciones o por falsos positivos simplemente. el otro virus, los primeros 2 archivos, no se

[jaberesjin]

¿Pero es seguro que fueran archivos que para el antivirus parezcan virus o solo una posibilidad?

Por lo de perder el age of empire no me importa jajaja, ni el crack.

Podes buscar por el nombre de la amenaza en Google, o podes poner los archivo infectados, para analizarlos localmente.

Ya busque por google pero no me sale nada especifico. No encuentro informacion. Me gustaria saber que es lo que hacen para saber a que me he expuesto.

Saludos y gracias por responder 

[winroot]

¿Pero es seguro que fueran archivos que para el antivirus parezcan virus o solo una posibilidad?

Por lo de perder el age of empire no me importa jajaja, ni el crack.

Podes buscar por el nombre de la amenaza en Google, o podes poner los archivo infectados, para analizarlos localmente.

Ya busque por google pero no me sale nada especifico. No encuentro informacion. Me gustaria saber que es lo que hacen para saber a que me he expuesto.

Saludos y gracias por responder 

hola!
los antivirus detectan a los cracks/keygens, como malware, esto es porque en realidad, el programa modifica otros archivos, puede llegar a  meterse en algun proceso, o simplemente los antivirus  no les gusta el software pirateado.
programas como cracks/keygens, es  recomendable, no solo con este tipo de aplicaciones, sinó con cualquier tipo de archivo ejecutable que descargues de internet, que lo ejecutes en una pc virtual.
después, por lo que dice aí la  mayoría son  troyanos (aplicaciones de control remoto), por lo que si AVAST! ya  eliminó todo, no hay de que  preocuparse.
asique, si tienes dudas puedes usar curport para mirar las conexiones, o simplemente  enviarnos un log de hijackthis para quedarte tranquilo.
saludos!     

[jaberesjin]

Bueno no me puedo quejar, estoy aprendiendo gracias a vuestras respuestas.

No tenía ni idea de la existencia de HiJackThis pero me lo he bajado y lo he utilizado para que cree un log del escaneo:


Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 11:10:05, on 22/05/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16945)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Archivos de programa\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Archivos de programa\ESRI\License\arcgis9x\lmgrd.exe
C:\Archivos de programa\ESRI\License\arcgis9x\ARCGIS.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Archivos de programa\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Documents and Settings\user\Datos de programa\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe
C:\Archivos de programa\iTunes\iTunesHelper.exe
C:\Archivos de programa\Archivos comunes\Research In Motion\Auto Update\RIMAutoUpdate.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\DNA\btdna.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe
C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Archivos de programa\iPod\bin\iPodService.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Archivos de programa\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.es/0SEESES/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Archivos de programa\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: EOBHO - {C10DC1F4-CCDF-4224-A24D-B23AFC3573C8} - C:\Archivos de programa\eoRezo\eorezoBHO.dll
O2 - BHO: (no name) - {CA381800-34C3-4842-BAA8-D85F30F14582} - (no file)
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Archivos de programa\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Archivos de programa\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PCTAVApp] "E:\PC Tools AntiVirus\PCTAV.exe" /MONITORSCAN
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series (Copiar 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P37 "EPSON Stylus DX3800 Series (Copiar 1)" /O5 "LPT1:" /M "Stylus DX3800"
O4 - HKLM\..\Run: [Detectando automáticamente EPSON Stylus DX3800 Series en DESPATX] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P64 "Detectando automáticamente EPSON Stylus DX3800 Series en DESPATX" /O20 "\\DESPATX\Impresora4" /M "Stylus DX3800"
O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - HKLM\..\Run: [Telefonica] "C:\Archivos de programa\Telefonica\bin\sprtcmd.exe" /P Telefonica
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [SoftwareHelper] C:\Documents and Settings\user\Datos de programa\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\MpcStar\Codecs\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [BlackBerryAutoUpdate] C:\Archivos de programa\Archivos comunes\Research In Motion\Auto Update\RIMAutoUpdate.exe /background
O4 - HKLM\..\Run: [RoxWatchTray] "C:\Archivos de programa\Archivos comunes\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Archivos de programa\DNA\btdna.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\user\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [ISUSPM] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm
O8 - Extra context menu item: &Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://c:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Agregar entrada - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Archivos de programa\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Agregar entrada en Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Archivos de programa\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5) - http://upload.facebook.com/controls/FacebookPhotoUploader5.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1230647729515
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E5AAE2D3-7F7F-4BF9-8E43-93FF38F414D6}: NameServer = 194.224.52.36,194.224.52.37
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: ArcGIS License Manager - Unknown owner - C:\Archivos de programa\ESRI\License\arcgis9x\lmgrd.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Servicio COM de grabación de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Roxio UPnP Renderer 9 - Sonic Solutions - C:\Archivos de programa\Roxio\Digital Home 9\RoxioUPnPRenderer9.exe
O23 - Service: Roxio Upnp Server 9 - Sonic Solutions - C:\Archivos de programa\Roxio\Digital Home 9\RoxioUpnpService9.exe
O23 - Service: LiveShare P2P Server 9 (RoxLiveShare9) - Sonic Solutions - C:\Archivos de programa\Archivos comunes\Roxio Shared\9.0\SharedCOM\RoxLiveShare9.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Archivos de programa\Archivos comunes\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: Roxio Hard Drive Watcher 9 (RoxWatch9) - Sonic Solutions - C:\Archivos de programa\Archivos comunes\Roxio Shared\9.0\SharedCOM\RoxWatch9.exe
O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe
O23 - Service: Servicio de uso compartido de red del Reproductor de Windows Media (WMPNetworkSvc) - Unknown owner - C:\Archivos de programa\Windows Media Player\WMPNetwk.exe

--
End of file - 13460 bytes


De veras no sé como sacáis la información de todo esto jajaja. Lo que me preocupa es que a lo mejor han extraído información de mi PC o han hecho cosas, como he leído por ahí que se puede controlar la webcam de la victima, y no me quedo del todo tranquilo. 

¡Muchas gracias por vuestras respuestas!

[Randomize]

Yo de ser tú cambiaba de antivirus por el kaspersky mismo, su heurística es mejor.

[Novlucker]

Tienes el siguiente proceso ejecutandose.
C:\Documents and Settings\user\Datos de programa\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe
El cual correspondería con un Rogue

Inicia en la siguiente clave de registro
O4 - HKLM\..\Run: [SoftwareHelper] C:\Documents and Settings\user\Datos de programa\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe

También esta como BHO de internet explorer, así que supongo que de vez en cuando te salta publicidad en la pc
O2 - BHO: EOBHO - {C10DC1F4-CCDF-4224-A24D-B23AFC3573C8} - C:\Archivos de programa\eoRezo\eorezoBHO.dll

La página de inicio no se si la hayas puesto tu
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/home

• Mata el proceso desde el taskmgr y elimina el archivo
• Elimina la clave con la que inicia desde el editor de registro (regedit)
• Elimina el archivo BHO, y luego desde internet explorer ve a herramientas > opciones > programas > administrar complementos, busca el del BHO y fijate si sale, si sale dale a deshabilitar
• Revisa la pc con Malwarebytes

Saludos

[dantemc]

Yo de ser tú cambiaba de antivirus por el kaspersky mismo, su heurística es mejor.

en que te basas??

[[L]ord [R]NA]

Yo de ser tú cambiaba de antivirus por el kaspersky mismo, su heurística es mejor.

en que te basas??

Explica que se basa en que su heuristica es mejor y es cierto, AVAST no es que sea malo pero es mas sencillo de evadir que Kaspersky.