Mi antivirus se desactivo!!!

terenos · Mensaje por **terenos** » 12 Sep 2007, 22:13

Hola, mi antivirus se desactivo y sospecho de un virus raro, pego mi LOG para ver si alguien puede ayudarme:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 03:10:41 p.m., on 12/09/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\ARCHIV~1\MI6841~1\MSSQL\binn\sqlservr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\windows\system32\msnmsg.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\Archivos de programa\Vista Sidebar\sidebar.exe

C:\Archivos de programa\ViStart\ViStart.exe

C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

C:\Archivos de programa\Bodrag\RAM Booster Expert\RAMBooster.exe

C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\isqlw.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\Terenos\Mis documentos\Downloads\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: IE 4.x-6.x BHO for Internet Download Accelerator - {2A646672-9C3A-4C28-9A7A-1FB0F63F28B6} - C:\ARCHIV~1\IDA\idaiehlp.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Archivos de programa\Styler\TB\StylerTB.dll

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Security\Panda Antivirus 2008\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [VisualTooltip] C:\Archivos de programa\VisualTooltip\VisualToolTip.exe

O4 - HKLM\..\Run: [MonAppli] C:\windows\system32\msnmsg.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [LClock] C:\Archivos de programa\LClock\LClock.exe

O4 - HKCU\..\Run: [Vista Sidebar] C:\Archivos de programa\Vista Sidebar\sidebar.exe

O4 - HKCU\..\Run: [ViStart] C:\Archivos de programa\ViStart\ViStart.exe

O4 - HKCU\..\Run: [VisualTooltip] C:\Archivos de programa\VisualTooltip\VisualToolTip.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Service Manager.lnk = C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

O8 - Extra context menu item: Download ALL with IDA - C:\Archivos de programa\IDA\idaieall.htm

O8 - Extra context menu item: Download with IDA - C:\Archivos de programa\IDA\idaie.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Archivos de programa\IDA\ida.exe

O9 - Extra 'Tools' menuitem: &Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Archivos de programa\IDA\ida.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{2C677F4D-2906-4B1C-871A-77B244A1C61E}: NameServer = 192.168.1.15,192.168.1.13

O17 - HKLM\System\CS1\Services\Tcpip\..\{2C677F4D-2906-4B1C-871A-77B244A1C61E}: NameServer = 192.168.1.15,192.168.1.13

O17 - HKLM\System\CS2\Services\Tcpip\..\{2C677F4D-2906-4B1C-871A-77B244A1C61E}: NameServer = 192.168.1.15,192.168.1.13

O17 - HKLM\System\CS3\Services\Tcpip\..\{2C677F4D-2906-4B1C-871A-77B244A1C61E}: NameServer = 192.168.1.15,192.168.1.13

O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: Panda Software Controller - Unknown owner - C:\Archivos de programa\Panda Security\Panda Antivirus 2008\PsCtrls.exe (file missing)

O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--

End of file - 6719 bytes

Gracias

Claudia34 · Mensaje por **Claudia34** » 13 Sep 2007, 01:23

Pues descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.

Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt

http://www.zonavirus.com/descargas/elitriip.asp

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.

Y no te vendria mal mientras probar los siguientes antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:

https://www.virustotal.com/es/

https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//

Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:

http://www.zonavirus.com/antivirus-on-line/

Opcional:

Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.

Saludos.

terenos · Mensaje por **terenos** » 13 Sep 2007, 01:23

Hola, he usado ELIBAGLA y ya me ha arreglado el problema en teoria, aqui esta el resumen

Wed Sep 12 09:36:45 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

C:\WINDOWS\SYSTEM32\DRIVERS\HIDR.EXE --> Bagle Renombrado a .VIR

C:\DOCUMENTS AND SETTINGS\TERENOS\DATOS DE PROGRAMA\M\FLEC006.EXE --> Bagle.dldr Renombrado a .VIR

Eliminada Carpeta "%WinDir%\exefld"

Restaurada Clave: "SafeBoot\Minimal y Network"

Wed Sep 12 09:37:39 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

Wed Sep 12 09:41:15 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE.VIR --> Eliminado

C:\WINDOWS\SYSTEM32\Drivers\HIDR.EXE.VIR --> Eliminado

C:\Documents and Settings\Terenos\Datos de programa\M\FLEC006.EXE.VIR --> Eliminado

Eliminada Carpeta "%AppData%\M"

Wed Sep 12 09:41:18 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\eMule\Incoming\ANYTOJPEG 2.0 (SERIAL).ZIP --> Eliminado Bagle

C:\Archivos de programa\eMule\Incoming\AnyToJpeg 2.0 (Serial)\ANYTOJPEG 2.0 (SERIAL).EXE --> Eliminado Bagle

C:\Archivos de programa\LClock\LCLOCK.EXE --> Eliminado Bagle

Wed Sep 12 17:06:32 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

Wed Sep 12 17:06:34 2007

EliBagle v10.53 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Vista Sidebar\SIDEBAR.EXE --> Eliminado Bagle

C:\Archivos de programa\VisualTooltip\VISUALTOOLTIP.EXE --> Eliminado Bagle

Pero ahora viene otro problema, como el Antivirus estaba aun desactivado se me ha hecho facil reinstalarlo, esto lo hice en Modo a Prueba de Fallos, y todo bien, pero al volver al modo normal se "borran" algunos archivos y se vuelve a desactivar, esto ya pude comprobarlo, incluso trate de sacar estos archivos de otra maquina mediante una USB y al meterla a mi maquina veo como se borran incluso de la USB, tampoco puedo copiarlos de un CD, es como si los borrara desde el clipboard, ya probe tambien con otros Antivirus, alguien podria ayudarme con esto?

Mensaje por **lucl** » 13 Sep 2007, 07:56

ejecuta hijackthis otra vez y peganos el log nuevo, para ver como quedo despues de quitar el bagle, saludos

Mensaje por **msc hotline sat** » 13 Sep 2007, 10:26

Y especialmente comentanos ademas si persiste alguna anomalia... pero para instalar cualquier aplicacion, al reves que para desinstalarla, NO DEBES HACERLO EN MODO SEGURO !

Pruebalo en modo normal y si no se instala puede haber algo mas... dinos el resultado, gracias

saludos

ms, 13-09-2007