Spybot confunde Restaurar Sistema con un troyano

Fecha 25 Agosto 2008

Esta mañana he pasado el antiespías Spybot Search&Destroy a mi PC. Hacía bastante que no lo escaneaba con él. Normalmente el único malware que me encuentra es Win32.RAdmin.Zenworks, correspondiente a un programa de control remoto de PCs que tengo instalado a sabiendas y con mi consentimiento, así que paso de eliminarlo.

Pero hoy me ha encontrado algo llamado Hupigon13, un troyano según Spybot. Aquí podéis ver la captura con la ubicación del bicho (una referencia en la clave de Servicios del Registro al archivo %SystemRoot%\system32\DRIVERS\sr.sys, aparentemente un driver virtual imprescindible para usar Restaurar Sistema en XP). Traduzco la descripción ofrecida por Spybot S&D:

Hupigon13 copia un ejecutable y sus librerías en las carpetas raíz y de Windows. Se esconde a sí mismo como “kauupl” para ejecutarse al inicio del sistema, ejecuta sus archivos en segundo plano sin posibilidad para el usuario de cancelar el proceso. También cambia algunos programas como nod32.exe o regedit.exe para que se ejecuten en modo debug y guarda información interna y se inicia usando un archivo autorun.inf ubicado en el disco duro.

Para localizar el archivo supuestamente sospechoso, como dije antes, he ido a la clave de registro referenciada por Spybot en la detección (captura). Las propiedades del sr.sys son las siguentes:

Propiedades del archivo sr.sys que Spybot vincula al troyano Hupigon13

A todas luces es un archivo legítimo de Windows XP, cosa que he comprobado en otros dos ordenadores aparte de éste. Estamos sin prácticamente ningún género de dudas ante otro falso positivo, como el que arrojaba NOD32 cuando intentabas cargar un vídeo de Dailymotion hace unos meses.

Un aspecto que está generando confusión por lo que veo en algunos foros es que al borrar el supuesto troyano, al reiniciar el ordenador vuelve a aparecer. Esto es así porque sr.sys es un archivo de sistema importante para Windows, que si detecta que ha sido borrado, lo regenera a partir de la copia situada en la carpeta “anti-desaguisados” de Windows XP llamada dllcache.

Pagaremos a Zaplana con el identificador de llamada

Fecha 24 Agosto 2008

Abril de 2008: Zaplana ficha por Telefónica y ésta decide cobrar el identificador de llamada a los clientes que no tengan ADSL con ellos.

Agosto de 2008: Telefónica decide cobrar el identificador de llamada a todos sus clientes.

Diciembre de 2008: Telefónica decide cobrar 1 € por cada llamada identificada.

Abril de 2009: Telefónica decide cobrar a sus clientes 5 € por cada metro de cable que haya entre la central y la casa del abonado.

Junio de 2009: Toda España, excepto Telefónica, se arruina. Telefónica compra España y le cambia el nombre a Reino Monopolístico del Dúo.

Irritante bug en el mod para foros PHPBB ‘Custom Profile Fields’

Fecha 23 Agosto 2008

Ayer estuve instalando en el foro que administro un MOD para permitir añadir campos adicionales al perfil de usuario. Tras bastante rato backupeando y editando archivos y tocando cosas en PhpMyAdmin, vi que todo parecía funcionar correctamente.

Pero tras abrir un hilo (ejecutando el viewtopic.php) me fijé en que entre los botones “Nuevo tema” y “Publicar respuesta” y el contenido del hilo, aparecía un espacio en blanco directamente proporcional al número de mensajes del hilo en cuestión. Me llevó mucho rato (eran sobre las 00.00) descubrir el motivo del fallo.

En primer lugar repasé las instrucciones del dichoso Custom Profile Fields 1.2.1 para ver los archivos que había editado y aislar los posibles culpables. Los sospechosos resultaron el viewtopic_body.tpl y el viewtopic.php.

Descarté momentáneamente el viewtopic.php por haber sido editado en menor medida. Tras unos minutos de pruebas y observación encontré que en el primer paso de la instalación llevado a cabo en el viewtopic_body.tpl había un error en las instrucciones por el que quedaban duplicados los cierres de las etiquetas HTML </span><br /></td>

Basta eliminar las etiquetas de cierre que sobran y todo debería funcionar perfectamente.

Chapuzas arriesgadas. Starring: Telefónica

Fecha 22 Agosto 2008

Poste de Telefónica roto y atado a una valla particular

Viniendo de Telefónica, las chapuzas no nos extrañan. Pero ésta supera todas las anteriores. Ya no es que el poste esté roto y sostenido mediante un apaño en la verja de un particular, sino que está inclinado hacia la calle, con lo que se le puede caer encima a alguien.

Muy poca vergüenza. Ah, espera, que Telefónica no tiene de eso…

Ingleses estafados y piratas arrestados

Fecha 17 Agosto 2008

Antena de microondas para recibir los servicios de Telmicro LevanteHace como tres o cuatro años que veo por mi zona del campo de Elche (Derramador, Daimés, La Hoya…) y cuando voy a la Vega Baja o La Marina numerosas antenas como la que aparece en la parte inferior de la fotografía de la izquierda. Al principio pensé que eran antenas parabólicas, pero lo descarté por su pequeño tamaño y por carecer de LNB frente al plato; además de haber visto alguna orientada hacia el norte, cosa que no tiene sentido si hablamos de recepción vía satélite en nuestro hemisferio terrestre.

Luego pensé que se trataba de antenas para Internet inalámbrico (WiMax o similar), hasta que noté que la mayoría estaban en casas con el cartel de “Infracción urbanística” (pertenecientes principalmente a extranjeros). Si fuera algo de Internet, no sólo los guiris (sin ofender) lo tendrían contratado, dada la nula oferta de banda ancha en estos parajes. Mis teorías fueron confirmadas cuando vi en un grupo de noticias esta página, que ofrece canales ingleses por veinte euros al mes, o sin cuotas si te instalas una parabólica de más de dos metros, que es lo necesario por estos lares para recibir los canales británicos a través del satélite Astra 2 (28.2º Este). En cambio, las TV alemanas con cacaparábolas como la mía de 45 cm. entran a la perfección.

En lo de instalar parábolas gigantescas no hay delito alguno, pero sí en la otra oferta de canales británicos por 20€/mes. La empresa que ofrecía (en pasado, porque la Guardia Civil les ha cerrado el chiringuito) ese paquete (Costa Blanca Television - Telmicro Levante) decodificaba pirateaba canales ingleses de pago (de Sky Digital, el Digital+ británico) que luego juntaba con canales en abierto (como la BBC) desde sus sedes, la principal en Algorfa:

Instalaciones de Telmicro Levante
Foto: Diario Información. La he corregido porque la han puesto torcida en el artículo :lol: Se observan las parábolicas usadas para recibir las señales satelitales que posteriormente serían decodificadas y empaquetadas. La antena mayor es para Astra 2 28ºE. También se aprecia un mástil con radioenlaces utilizados para dar señal a los repetidores ilegales que distribuían desde Benidorm hasta Almería las señales del paquete de Telmicro en puntos estratégicos con alta densidad de población inglesa.

Dado el gran número de británicos residentes en la costa mediterránea, Telmicro se ha puesto las botas. 500.000 euros en efectivo fueron intervenidos por la Guardia Civil. A eso hay que sumar el alto coste de los equipos receptores, decodificadores y emisores que hacían funcionar el tinglado.

Ahora la peor parte se la llevan los clientes de la ilegal plataforma. Se han quedado sin televisión y han tirado un montón de dinero en cuotas mensuales o anuales que podrían haber invertido en la adquisición por su cuenta de una parabólica de las dimensiones necesarias para recibir los canales ingleses, sin depender de empresas ni plataformas “extrañas”.

Tengo el presentimiento de que en fechas próximas más británicos se quedarán mirando el “No signal” en sus televisores, puesto que Telmicro no era la única en distribuir ese paquete de canales tan especial

A la m… Jazztel, Yacom, guarras calenturientas y demás

Fecha 15 Agosto 2008

Parece que el Gobierno va a sancionar a las compañías que usen el teléfono, el fax o el mail para publicitar u ofrecer sus servicios (aka llamadas tocapelotas a deshoras / SMS que se ve que son falsos a la legua).

Unos ejemplos de spam SMS que he recibido:

Busco sexo sin compromiso solo sexo y pasarlo bien,tengo casa y estoy muy buena, te animas?Envia XXXX al YYYY(mayor18)

He terminado de trabajar y necesito una ducha. ¿Quieres compartir este momento? Bajate mi video duchandome, envia XXXX al YYYY (+18)

Ejemplos de spam telefónico os he contado muchísimos en este blog. La última moda es que te llame un marcador automático que discrimine si el número existe o no, y en caso afirmativo, pase la llamada a un teleoperador si ha contestado una voz humana.

Esperemos que las sanciones sean muy cuantiosas, que les duela a las empresas tanto como unas hemorroides hacer spam de sus líneas ADSL de hasta 20000 MB, de sus hipotecas o enviar SMS calenturientos en plan los que os he puesto antes. Si no, sucederá lo que con las contraprogramaciones televisivas, que a la empresa le salga rentable saltarse la norma aún teniendo que pagar multa.

De primero motherboard, de segundo arroz y de postre PHP

Fecha 9 Agosto 2008

Estamos en agosto, mes de calor y mes con excesivo tiempo libre que al final acaba en la playa de La Marina o desaprovechado -véase la actividad de este blog en los últimos días-.

Producto de ese excesivo tiempo libre es el uso bestial que le estoy dando al PC, y que promete acabar en jubilación anticipada del pobrecillo, a sus 6 años de edad. Ayer cuando me levanté oí como se reiniciaba dos veces consecutivas en pocos segundos, tras haberlo dejado toda la noche bajando cosillas. Después hurgando me dí cuenta de que durante la noche se había reiniciado al menos en otra ocasión.

Como el cooler anda un poco loco por mucha bazofia que le quite, pensé en limpiar a fondo el ordenador por dentro, para que no sufriera tanto calor. Pero creo que llegué tarde:

Placa base con dos condensadores con fugas o churruscados

Me encontré dos condensadores hinchados/chamuscados y previsiblemente con fugas. Tras la limpieza cerré el PC y cuando lo enciendo, ¡mecachis! Se queda pillado con el mensaje “Checking NVRAM”. Le doy al Reset y, peor todavía, ni le llega señal al monitor. Otro reinicio y, misteriosamente, carga Windows XP como si tal cosa.

Tras mis pesquisas llegué a la conclusión de que no podía llegar a ninguna conclusión sobre el “Checking NVRAM” de marras así que lo dejé estar. Lo que no puedo dejar estar es el echar un ojo a esos condensadores de vez en cuando no sea que peten y que me hace falta un cooler nuevo.

Pasando a otro tema mañana en Elche se realizará la tradicional paella gigante y se intentará batir el récord del arroz con costra más grande del mundo. Yo estaré allí, como los dos últimos 13 de agosto, día en el que se acostumbraba a realizar la comilona y que desconozco por qué se ha cambiado este 2008.

Y ahora, el postre. Hace unos pocos días me vi en la necesidad de crear una página PHP cuyo contenido variara en función de si cierta web estaba caída u online. Con un poco de googleo, llegué a la librería cURL de PHP, que afortunadamente tengo instalada en el dominio elxonline.es que tengo disponible de forma transitoria. Así que tras realizar la implementación que necesitaba, decidí darle un poco más al PHP y crear un comprobador de funcionamiento de URL público. Podéis acceder desde el siguiente link:

http://comprobador.elxonline.es

Actualizado 10 agosto: Finalmente Elche consiguió el récord. Os dejo unas fotos de la costra más grande del mundo en mi Flickr. Me grabaron del programa “España Directo”, pero al final no he salido tras la edición del reportaje. Mecachis :P