ITSbar, no queda mas remedio que enviaros log (solucionado)

[gccela]

Antes de nada, gracias por vuestro trabajo y vuestra ayuda.

Comentaros q hace unos dias me entró el spyware Itsbar. El Pest Patrol me indicó los registros donde estaba y los borré, pero al reiniciar el ordenador, el Panda se volvía loco con mensajes de ficheros ".exe" q habia neutralizado. Leyendoos a vosotros descargué el spybot y el ad-aware, los pasé en modo seguro y deshabilitando la restauracion, me detectaron unos cuantos cada uno y los limpiaron, pero de nuevo al reiniciar, el ITSbar hacía de las suyas. Me descargué vuestras herramientas Eliistba, EListarA y EliTiempo, las pasé tb en modo seguro, pero nada de ello me ha sido efectivo. Solo me quedaba enviaros el log del Hijackthis, que espero haberlo hecho correctamente, pues nunca antes habia utilizado este programa y daros las gracias solamente por molestaros en mantener estos edificantes foros y por brindarnos vuestra altruista ayuda. Un saludo.



Logfile of HijackThis v1.99.1

Scan saved at 22:51:52, on 23/02/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavProt.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Firewall\PavFires.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavFnSvr.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Pavkre.exe

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\pavsrv51.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\prevsrv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PsImSvc.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\AVENGINE.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\apvxdwin.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\ARCHIV~1\PESTPA~1\PPControl.exe

C:\ARCHIV~1\PESTPA~1\PPMemCheck.exe

C:\ARCHIV~1\PESTPA~1\CookiePatrol.exe

C:\WINDOWS\PowerS.exe

C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe

C:\Archivos de programa\Microsoft Office\Office\MSOFFICE.EXE

C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

C:\Archivos de programa\Webshots\WebshotsTray.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\WebProxy.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Documents and Settings\Germán\Configuración local\Archivos temporales de Internet\Content.IE5\F7W5D0MS\EliStarA[1].exe

F:\Disco F\Programas\Antivirus\Hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ya.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\ARCHIV~1\SEARCH~2\SEARCH~1.DLL

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Archivos de programa\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Logon32] C:\WINDOWS\Logon32.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [PestPatrol Control Center] C:\ARCHIV~1\PESTPA~1\PPControl.exe

O4 - HKLM\..\Run: [PPMemCheck] C:\ARCHIV~1\PESTPA~1\PPMemCheck.exe

O4 - HKLM\..\Run: [CookiePatrol] C:\ARCHIV~1\PESTPA~1\CookiePatrol.exe

O4 - HKLM\..\Run: [PowerS] C:\WINDOWS\PowerS.exe

O4 - HKLM\..\Run: [avVc1iytD] C:\WINDOWS\dmkls.exe

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe

O4 - Startup: Barra de acceso directo de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\MSOFFICE.EXE

O4 - Startup: Búsqueda rápida de Microsoft.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Startup: Inicio de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

O4 - Startup: Registration-Studio 8 LE.lnk = C:\Archivos de programa\Pinnacle\Studio 8\Register\RegTool.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\WebshotsTray.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{7C22568A-9385-42D3-8781-C493A10BFD42}: NameServer = 62.151.2.65,62.36.220.77

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Firewall\PavFires.exe

O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavFnSvr.exe

O23 - Service: Panda Pavkre (Pavkre) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Pavkre.exe

O23 - Service: Panda PavProt (PavProt) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavProt.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\pavsrv51.exe

O23 - Service: Panda Preventium+ Service (PREVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\prevsrv.exe

O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software Internacional - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PsImSvc.exe

[caito]

desactiva Restaurar Sistema.

Arranca en Modo Seguro.

Cierra todas las aplicaciones(incluso Internet).

Termina estos procesos(ctrl+Alt+Del):

Logon32.exe

dmkls.exe

Ejecuta el Hijack This.

Scan y luego Fix a estas:



O2 - BHO: (no name) - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\ARCHIV~1\SEARCH~2\SEARCH~1.DLL

O4 - HKLM\..\Run: [Logon32] C:\WINDOWS\Logon32.exe> solo si no conoces a que se refiere

O4 - HKLM\..\Run: [avVc1iytD] C:\WINDOWS\dmkls.exe> solo si no conoces a que se refiere

Elimina estos archivos:

C:\WINDOWS\Logon32.exe> solo si no conoces a que se refiere

C:\WINDOWS\dmkls.exe> solo si no conoces a que se refiere

Borra Archivos Temp. de Internet,Temp. de Sistema,cookies,historial y vacía la papelera.

Ejecuta el AdAware Se actualizado al 16/02/05

Reinicia normal y pega un nuevo log.

Salu2

Caito

[maura63]

Puedes probar tambien la siguiente utilidad

http://www.zonavirus.com/descargas/elistara.asp

Saludos
maura63

[gccela]

Ok, Caito, he hecho lo q me has indicado y parece ser q está solucionado, pues he arrancado dos veces el ordenador y no ha salido ni una sola alerta, cuando anteriormente me salian 4 ó 5 en el primer minuto de funcionamiento. Lo único q no he podido hacer es eliminar C/Windows/Logon32.exe, pues no he conseguido encontrarlo, aunque sí la entrada. Si necesitas o crees q es conveniente que pegue un nuevo log, lo haré gustoso. No tenia muy claro lo de algunas entradas, asi q pensaba cargarme algunas mas :) , seguramente me hubiera equivocado, pero de todo se aprende :lol: Lo dicho, q gracias de nuevo y gracias tb a ti, Maura63, aunque la aplicacion a la q me remites ya la probé, junto a otras dos mas q tb cito en el texto, pero no me funcionaron.

Un saludo.

[caito]

Bueno para estar seguros podrías pegar un nuevo log( en modo normal).

Salu2

Caito

[gccela]

Por supuesto, eso está hecho. Aquí está el log. El único programa q no he cerrado es el Panda, pues aunque he cerrado la conexion a Internet, ya no me fío :) , pues fué al desinstalar una version vieja para instalar una nueva del antivirus, cuando patiné y dejé las puertas abiertas.

Por cierto, una curiosidad insana, las entradas reflejadas como BHO que significan?? donde se encuentran??



Logfile of HijackThis v1.99.1

Scan saved at 22:52:19, on 24/02/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavProt.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Firewall\PavFires.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavFnSvr.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Pavkre.exe

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\pavsrv51.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\prevsrv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\AVENGINE.EXE

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PsImSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\apvxdwin.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\ARCHIV~1\PESTPA~1\PPControl.exe

C:\ARCHIV~1\PESTPA~1\PPMemCheck.exe

C:\ARCHIV~1\PESTPA~1\CookiePatrol.exe

C:\WINDOWS\PowerS.exe

C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe

C:\Archivos de programa\Microsoft Office\Office\MSOFFICE.EXE

C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

C:\Archivos de programa\Webshots\WebshotsTray.exe

C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\WebProxy.exe

F:\Disco F\Programas\Antivirus\Hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ya.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Archivos de programa\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [PestPatrol Control Center] C:\ARCHIV~1\PESTPA~1\PPControl.exe

O4 - HKLM\..\Run: [PPMemCheck] C:\ARCHIV~1\PESTPA~1\PPMemCheck.exe

O4 - HKLM\..\Run: [CookiePatrol] C:\ARCHIV~1\PESTPA~1\CookiePatrol.exe

O4 - HKLM\..\Run: [PowerS] C:\WINDOWS\PowerS.exe

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe

O4 - Startup: Barra de acceso directo de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\MSOFFICE.EXE

O4 - Startup: Búsqueda rápida de Microsoft.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O4 - Startup: Inicio de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

O4 - Startup: Registration-Studio 8 LE.lnk = C:\Archivos de programa\Pinnacle\Studio 8\Register\RegTool.exe

O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\WebshotsTray.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{7C22568A-9385-42D3-8781-C493A10BFD42}: NameServer = 62.151.2.65,62.36.220.77

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Firewall\PavFires.exe

O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavFnSvr.exe

O23 - Service: Panda Pavkre (Pavkre) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\Pavkre.exe

O23 - Service: Panda PavProt (PavProt) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PavProt.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\pavsrv51.exe

O23 - Service: Panda Preventium+ Service (PREVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\prevsrv.exe

O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software Internacional - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2005\PsImSvc.exe

[caito]

"BHO, Browser Helper Object (Ayudante de Objetivos del Navegador) [enlace]

También denominado BHO.

Un BHO es un pequeño programa de ampliación del Internet Explorer de Microsoft.

Ejemplos del uso de BHO incluyen las barras de herramientas que se agregan a IE, pero también pueden ser funciones ocultas. El software publicitario y espía así como los modificadores del navegador con frecuencia usan los BHO para mostrar anuncios o seguir sus movimientos dentro de internet, ya que un BHO tiene acceso a cada URL que usted visita y pueden redirigirle o mostrarle otras páginas diferentes de la que usted solicitó (anuncios, por ejemplo).

Las BHOs con frecuencia usan programas de instalación de ActiveX."

Tu log :

para mi está limpio

Salu2

Caito

[maura63]

Lo veo tambien limpio.



Saludos

maura63

[gccela]

Gracias de nuevo a los dos. Lo que llega uno a agradecer el q le echen una mano cuando los recursos propios se acaban...

Saludos y hasta la proxima.

[maura63]

Pues me alegro que lo solucionaras.



Saludos

maura63

[msc hotline sat]

Lo que no consigan nuestra pareja de especialistas ...!!!



y solucionado el asunto, cerramos el Tema



saludos



ms, 25-02-2005