elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Usando Git para manipular el directorio de trabajo, el índice y commits (segunda parte)


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Seguridad (Moderador: r32)
| | |-+  Hay algún keylogger en este PC?		0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Hay algún keylogger en este PC?  (Leído 4,991 veces)
xxxneoxxx

Desconectado Desconectado

Mensajes: 112


Ver Perfil
Hay algún keylogger en este PC?
« en: 11 Enero 2011, 19:52 pm »
Hola a todos, feliz navidad y feliz año nuevo.

Requiero su ayuda. Hace poco una amiga me pidió que revise su máquina a ver si tenía un keylogger posiblemente instalado por el celoso de su novio  ;D

Le dije que instale el hijackthis y que pase un scan del sistema para verlo y analizar si hay algo extraño en memoria.

Aquí está el reporte:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:32:36 a.m., on 10/01/2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17093)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\acs.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Program Files\ESET\ESET Smart Security\ekrn.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\TOSHIBA\IVP\ISM\pinger.exe
C:\WINDOWS\system32\svchost.exe
c:\TOSHIBA\IVP\swupdate\swupdtmr.exe
C:\WINDOWS\system32\ThpSrv.exe
C:\WINDOWS\system32\TODDSrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Atheros\ACU.exe
C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe
C:\Program Files\TOSHIBA\TouchPad\TPTray.exe
C:\WINDOWS\system32\thpsrv.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe
C:\WINDOWS\system32\TDispVol.exe
C:\WINDOWS\system32\ZoomingHook.exe
C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\TOSHIBA\TOSHIBA Direct Disc Writer\ddwmon.exe
C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSServ.exe
C:\Program Files\rkfree\rkfree.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\ESET\ESET Smart Security\egui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Carambis\Driver Updater\dupdater.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\iTunes\iTunes.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceHelper.exe
C:\Program Files\Common Files\Apple\Apple Application Support\distnoted.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\usuario\LOCALS~1\Temp\Rar$EX02.234\HijackThis\HiJackThis.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\usuario\LOCALS~1\Temp\Rar$EX00.703\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.es/0SEESES/SAOS01
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.6.5805.1910\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [ACU] "C:\Program Files\Atheros\ACU.exe" -nogui
O4 - HKLM\..\Run: [Camera Assistant Software] "C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe" /start
O4 - HKLM\..\Run: [TPNF] C:\Program Files\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [ThpSrv] C:\WINDOWS\system32\thpsrv /logon
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [CeEKEY] C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [TDispVol] TDispVol.exe
O4 - HKLM\..\Run: [HWSetup] C:\Program Files\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP
O4 - HKLM\..\Run: [ZoomingHook] ZoomingHook.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
O4 - HKLM\..\Run: [TAccessibility] C:\Program Files\TOSHIBA\Accessibility\TAccessibility.exe Instant
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [DDWMon] C:\Program Files\TOSHIBA\TOSHIBA Direct Disc Writer\\ddwmon.exe
O4 - HKLM\..\Run: [TUSBSleepChargeSrv] %ProgramFiles%\TOSHIBA\TOSHIBA USB Sleep and Charge Utility\TUSBSleepChargeSrv.exe
O4 - HKLM\..\Run: [Pinger] c:\toshiba\ivp\ism\pinger.exe /run
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient
O4 - HKLM\..\Run: [rkfree] "C:\Program Files\rkfree\rkfree.exe" /b
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [359707014] C:\Program Files\Toshiba Registration\Registration.exe /r "C:\Program Files\Toshiba Registration\Registration.rpd"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Driver Updater] "C:\Program Files\Carambis\Driver Updater\dupdater.exe" /minimized
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKUS\S-1-5-19\..\RunOnce: []  (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: []  (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\RunOnce: []  (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: []  (User 'Default user')
O4 - Startup: Recorte de pantalla e Inicio rápido de OneNote 2007.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_950DF09FAB501E03.dll/cmsidewiki.html
O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O23 - Service: Atheros Configuration Service (ACS) - Atheros - C:\WINDOWS\system32\acs.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe
O23 - Service: Servicio de actualización de Google (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: pinger - Unknown owner - C:\TOSHIBA\IVP\ISM\pinger.exe
O23 - Service: Swupdtmr - Unknown owner - c:\TOSHIBA\IVP\swupdate\swupdtmr.exe
O23 - Service: TOSHIBA HDD Protection (Thpsrv) - TOSHIBA Corporation - C:\WINDOWS\system32\ThpSrv.exe
O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\WINDOWS\system32\TODDSrv.exe
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/usuario/LOCALS~1/Temp/msohtmlclip1/01/clip_image001.jpg
O24 - Desktop Component 1: (no name) - file:///C:/DOCUME~1/usuario/LOCALS~1/Temp/msohtmlclip1/01/clip_image002.jpg

--
End of file - 10921 bytes


Les agradezco de antemano su ayuda :)
En línea
skapunky
Electronik Engineer &
Colaborador
***
Desconectado Desconectado

Mensajes: 3.667


www.killtrojan.net


Ver Perfil WWW
Re: Hay algún keylogger en este PC?
« Respuesta #1 en: 11 Enero 2011, 20:54 pm »
Hay dos entradas que veo raras que apuntan al siguiente archivo:

C:\Program Files\rkfree\rkfree.exe 

No conozco ese archivo, quizá sea algún tipo de malware, podrias subir una muestra aquí para que lo analizemos? Tiene un aspecto feo ese archivo.

PD: Si lo subes aquí, usa megaupload o algo similar y ponle una contraseña como 1234.Si al intentar copiarlo  o comprimirlo te sale un mensaje de windows de error, posiblemente es que este ejecutandose.

Para poder hacerlo se deberá cerrar su proceso, para ello ve al administrador de tareas y busca rkfree.exe y dale a terminar proceso. Si te sale el error y el proceso no está ya harémos otra cosa.
En línea
Killtrojan Syslog v1.44: ENTRAR
Arcano.


Desconectado Desconectado

Mensajes: 469



Ver Perfil
Re: Hay algún keylogger en este PC?
« Respuesta #2 en: 11 Enero 2011, 20:57 pm »
Buenas xxxneoxxx,

El log parece estar limpio. Ahora bien, podrías borrar las siguientes claves:

Citar
O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)

O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)

En principio, son botones adicionales que se instalan en IE. Pero conforme el valor que tienen (no-name). Se deberían poder eliminar. Yo les daba "FIX", pero comprueba en tu IE que no estés utilizando alguna aplicación asociada que quieras conservar.

Más datos sobre este valor.


Otras dos ramas 'curiosas' son las siguientes:

Citar
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/usuario/LOCALS~1/Temp/msohtmlclip1/01/clip_image001.jpg

O24 - Desktop Component 1: (no name) - file:///C:/DOCUME~1/usuario/LOCALS~1/Temp/msohtmlclip1/01/clip_image002.jpg

Indican que tu amiga tiene como "fondo de pantalla" una foto que apunta a Internet y está guardada en la carpeta TEMP de Windows. Si el fondo que tiene, está guardado en su disco local, puedes darle "FIX". O comprobar "la supuesta foto" y guardarlas en "C:\" y borrar el contenido de la carpeta TEMP.

En cuanto a tu pregunta inicial, como te decía, no parece que haya nada.

Si te quieres asegurar, puedes echarle un vistazo a este manual para detectar keylogger.

Otra opción más fácil sería mediante TcpView.

Si partimos de la base que los keyloggers se conectan 'hacia el exterior' para enviar los datos almacenados, puedes mirar las conexiones mediante TcpView (o mediante netstat -nab) y verificar que no haya ninguna sospechosa.

Saludos.

EDITO:

Últimamente siempre me pasa lo mismo...  :P No había visto la publicación de Skapunky.

Citar
C:\Program Files\rkfree\rkfree.exe  

Según esto, no es Malware: Revealer Keylogger Free

Aunque no iría mal que lo subieras, para analizarlo y asegurarnos.

Re-EDITO:

Había entendido mal. Creía que era para detectar y daba por hecho que lo habías instalado tú... SÍ es 'Bicho malo'.

Citar
El archivo y proceso rkfree.exe pertenece al programa Revealer Keylogger Free. Este programa es del tipo keylogger, es decir, captura todas las pulsaciones que se realicen en el teclado de la computadora. Luego es posible acceder a todo lo que se pulsó.

Es un programa que permite espiar una computadora, pero sólo si es instalado y autorizado por algún usuario de esa computadora (excepto que alguien lo haya instalado en secreto).

Pos... Parece que
Citar
posiblemente instalado por el celoso de su novio  ;D

Ejem, ejem...

Saludos! -de nuevo-
« Última modificación: 11 Enero 2011, 21:10 pm por Arcano. » En línea
La curiosidad es la antesala al conocimiento...
xxxneoxxx

Desconectado Desconectado

Mensajes: 112


Ver Perfil
Re: Hay algún keylogger en este PC?
« Respuesta #3 en: 12 Enero 2011, 04:02 am »
Muchisimas gracias muchachos, son lo máximo  ;)

Voy a ver ese manual y, pues me tocará ir a revisar la máquina de mi amiga para intentar hacer algo. Posteo algo si hay novedades.

Nuevamente, gracias
En línea
Arcano.


Desconectado Desconectado

Mensajes: 469



Ver Perfil
Re: Hay algún keylogger en este PC?
« Respuesta #4 en: 12 Enero 2011, 08:11 am »
Buenas xxxneoxxx,

En principio, conforme el log, deberías eliminar las siguientes entradas:

Citar
C:\Program Files\rkfree\rkfree.exe

O4 - HKLM\..\Run: [rkfree] "C:\Program Files\rkfree\rkfree.exe" /b

Aunque no iría mal que investigaras un poco sobre la aplicación Revealer Keylogger Free.

A lo mejor hasta trae su propio desinstalador...

Saludos.
En línea
La curiosidad es la antesala al conocimiento...
soap014

Desconectado Desconectado

Mensajes: 27


Ver Perfil
Re: Hay algún keylogger en este PC?
« Respuesta #5 en: 17 Enero 2011, 22:11 pm »
Para asegurarte de que no quede nada raro, lo mejor seria formatear el equipo.
Ademas de hacerle una cuenta limitada para evitar que el (casi ex)novio le instale de nuevo algun bicho.
En línea
Mr.Blue


Desconectado Desconectado

Mensajes: 441



Ver Perfil WWW
Re: Hay algún keylogger en este PC?
« Respuesta #6 en: 17 Enero 2011, 22:17 pm »
Cita de: soap014 en 17 Enero 2011, 22:11 pm
Para asegurarte de que no quede nada raro, lo mejor seria formatear el equipo.
Ademas de hacerle una cuenta limitada para evitar que el (casi ex)novio le instale de nuevo algun bicho.

La solucion facil seria formatear, pero por un simple keylogger... no se jeje

"facil", formatear pero, reinstalar todo de nuevo  :rolleyes:
« Última modificación: 17 Enero 2011, 22:18 pm por Sr.Blanco » En línea
Novlucker
Ninja y
Colaborador
***
Desconectado Desconectado

Mensajes: 10.683

Yo que tu lo pienso dos veces


Ver Perfil
Re: Hay algún keylogger en este PC?
« Respuesta #7 en: 17 Enero 2011, 22:35 pm »
Naaaaaaa, que formatear, ese keylogger se descarga de manera "legítima" desde la web del autor y se instala en el pc, en la propia web hay un desinstalador :P

Saludos
En línea
Contribuye con la limpieza del foro, reporta los "casos perdidos" a un MOD XD
"Hay dos cosas infinitas: el Universo y la estupidez  humana. Y de la primera no estoy muy seguro."
Albert Einstein
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
¿Algún onironauta en este foro?
Foro Libre 		theluigy13etv 2 1,890 Último mensaje 11 Marzo 2012, 05:02 am
por MasterPM2
Ayuda con este Keylogger
Programación C/C++ 		tupapa007 2 2,092 Último mensaje 1 Marzo 2013, 23:48 pm
por tupapa007
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines