X roja

[orbiasegui]

Hola:

Es frecuente que aparezcan las x rojas en vez de imagenes pero es que a mi me aparecen incluso reemplazando iconos en Cuentas de usuario, justo en la zona de la izquierda, la de información. Tengo actualizado el java e incluso me ocurre con los dos navegadores, explore y firefox. Que puede ocurrir?

[flacoroo]

sobre que hablas.....de todas las imagenes en todo las páginas del IE ó Firefox o en una especial.....

[msc hotline sat]

Y ello mas bien indica ficheros corruptos o dañados...



Aparte de contestarnos la pregunta de flacoroo, lance este AV ONLINE en su ordenador, a ver si encontramos algun sospechoso, y posteenos con un copiar y pegar el informe del resultado, gracias



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, o indicando la utilidad a probar para solucionarlo.



saludos



ms, 18-03-2008

[orbiasegui]

Queria decir que me si me aparece en una pagina web una cruz roja con explore tambien aparece en esa misma pagina con firefox, pero no en todas las imagenes, ni fotos. Lo raro es que aparezcan en el panel de control, no?

Pues bien, despues de dos horas y 35 minutos de scan aqui dejo el log, a ver que tal. Gracias.



-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

martes, 18 de marzo de 2008 18:34:38

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 18/03/2008

Registros en la base antivirus: 637184

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: estendidas

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Mi PC:

A:\

C:\

D:\

E:\

F:\



Estadísticas:

Número de objeros analizados: 88804

Virus encontrados: 19

Objetos infectados: 42 / 0

Objetos sospechosos: 5

Duración del análisis: 02:35:38



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Archivos de programa\PC Tools Firewall Plus\FirewallWrapper.txt Object is locked saltado

C:\Archivos de programa\PC Tools Firewall Plus\FWService.txt Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Charon\CACHE.NDB Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\virlog.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\warnlog.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Ares\My Shared Folder\___ARESTRA___cine español adios cigueña adios.mpg Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Ares\My Shared Folder\___ARESTRA___el cristo de los faroles (antonio molina).mpg Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Ares\My Shared Folder\___ARESTRA___el show de truman.avi Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Ares\My Shared Folder\___ARESTRA___el ultimo tren a katanga (1968,jack cardiff) xvid mp3 castellano (grupo cine clasico-centraldivx).avi Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx Mail MS Outlook 5: sospechoso - 4 saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Feeds Cache\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\MSHist012008031820080319\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\hpodvd09.log Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF54CA.tmp Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF54D5.tmp Object is locked saltado

C:\Documents and Settings\CVS\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Datos de programa\PCToolsFirewallPlus\FirewallGUI.txt Object is locked saltado

C:\Documents and Settings\CVS\Datos de programa\PCToolsFirewallPlus\FWPlugin.txt Object is locked saltado

C:\Documents and Settings\CVS\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\CVS\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Program Files\Eset\infected\5MBHLHAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\BRAJD5DA.NQF Infectados: P2P-Worm.Win32.Kapucen.b saltado

C:\Program Files\Eset\infected\F1CYXIAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.jw saltado

C:\Program Files\Eset\infected\G1HASKCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\KEJTHRAA.NQF Infectados: Trojan-Downloader.Win32.Agent.dag saltado

C:\Program Files\Eset\infected\NZIWWUCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.kc saltado

C:\Program Files\Eset\infected\W5XJC2BA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/keygen.exe Infectados: Trojan.Win32.Inject.mt saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/crack.exe Infectados: Trojan-Downloader.Win32.Agent.dlu saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/serial.exe Infectados: Trojan.Win32.Dialer.ve saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/install.exe Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF RarSFX: infectado - 5 saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF PE-Crypt.XorPE: infectado - 5 saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\change.log Object is locked saltado

C:\WINDOWS\Config\lsass.exe Infectados: Backdoor.Win32.VB.bqc saltado

C:\WINDOWS\CSC\00000001 Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\Sti_Trace.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\Tasks\SCHEDLGU.TXT Object is locked saltado

C:\WINDOWS\wiadebug.log Object is locked saltado

C:\WINDOWS\wiaservc.log Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\NOD 32\ESET NOD32 Antivirus 2.70.39\setup.exe/data0000.cab/UPDATE~1.EXE/data.rar/mirc.exe Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\NOD 32\ESET NOD32 Antivirus 2.70.39\setup.exe/data0000.cab/UPDATE~1.EXE/data.rar Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\NOD 32\ESET NOD32 Antivirus 2.70.39\setup.exe/data0000.cab/UPDATE~1.EXE Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\NOD 32\ESET NOD32 Antivirus 2.70.39\setup.exe/data0000.cab Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\NOD 32\ESET NOD32 Antivirus 2.70.39\setup.exe Rsrc-Package: infectado - 4 saltado

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN/data0015/data0005 Infectados: not-a-virus:AdWare.Win32.Shopper.l saltado

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN/data0015 Infectados: not-a-virus:AdWare.Win32.Shopper.l saltado

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN Infectados: not-a-virus:AdWare.Win32.Shopper.l saltado

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE WiseSFX: infectado - 3 saltado

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar/xpkey.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar/officekey.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe RarSFX: infectado - 3 saltado

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/pwdump2/pwdump2.exe Infectados: not-a-virus:PSWTool.Win32.PWDump.2 saltado

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/pwdump2/samdump.dll Infectados: not-a-virus:PSWTool.Win32.PWDump.2 saltado

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/RockXP4_.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe RarSFX: infectado - 4 saltado

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017638.exe Infectados: Trojan-Dropper.Win32.Agent.dtk saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009/stream/data0004 Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009/stream Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009 Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream/data0005 Infectados: not-a-virus:AdWare.Win32.BHO.adj saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream/data0006 Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010 Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe NSIS: infectado - 7 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\change.log Object is locked saltado



Análisis completado.

[msc hotline sat]

Pues envienos estos ficheros para analizar y controlar



C:\WINDOWS\Config\lsass.exe (ojo, no el de c:\windows\system32, que es del sistema)





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253







y estos eliminelos, son peligrosos:



E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN/data0015/data0005

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN/data0015

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE/WISE0016.BIN

E:\MIS DESCARGAS\PROGRAMAS\DIDACTICOS\SecuredeMule_09_ES_FF\SecuredeMule_09_ES_FF.EXE



E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar/xpkey.exe

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar/officekey.exe

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe/data.rar

E:\MIS DESCARGAS\PROGRAMAS\UTILIDADES\GESTION DEL PC\Validar XP\Validar Windows XP Como Original\Validar Windows XP Como Original\WinXP keyChanger.exe





E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/pwdump2/pwdump2.exe

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/pwdump2/samdump.dll

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar/RockXP4_.exe

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe/data.rar

E:\MIS DESCARGAS\TRUCOS\Validar XP\validar windows y office\ValidWinPir.exe RarSFX



Y en el system volume information _restore hay tambien unos cuantos, pero mientras no restaure el sistema a un punto anterior estarán aparcados.



Luego, una vez analizado el fichero que nos envie, implementaremos la restauracin de las claves modificadas en nuestras utilidades, y es posible que al utilizarlas tambien se eliminen estos del restore.



Cuando lo hayamos analizado, informaremos





saludos



ms, 18-03-2008

[orbiasegui]

Con que programa los elimino?

En la primera ruta PROGRAMAS/DIDACTICOS/SecuredeMule me encuentro un archivo ejecutable y nada mas, no las lineas que estan en el log.

[msc hotline sat]

Pues mira que no estén ocultos, ya que el ONLINE sí que los ha encontrado ... :



https://foros.zonavirus.com/viewtopic.php?f=5&t=13245



O buscalos con Inicio -> Buscar -> Todos los ficheros y carpetas



Saludos



ms, 19-03-2008

[msc hotline sat]

Recibida la muestra de lsass.exe, ya de entrada se aprecia que su icono es el de una carpeta, muy cuco ! , para que se pulse doble click queriendo abrirla y asi se ejecute el malware, picardías, ... :wink:



Efectivamente es un nuevo bicho, que pasamos a controlar con la version de hoy del ELITRIIP 4.53 ya que en un primer analisis vemos que le encuentran funciones de backdoor, como PREVX, en la descripcion del nom,bre original ZOMBIE.EXE contenido en dicho fichero:


[quote]ZOMBIE.EXE

Disagree with this determination?

This executable program has a file size of 253,952 bytes, it is most frequently called ZOMBIE.EXE and is most frequently located in the %windir%\config\ folder.

The file header contains the following information:

Version: 1.0



This file is considered unsafe and is part of the malware group, Backdoor.Trojan. It was first seen on Friday, Sep 28 2007. It has been seen frequently by 27 users in this section of the community. The file was first seen in The EUROPEAN UNION but has been seen in other locations, including The UNITED KINGDOM.

ZOMBIE.EXE has been seen to perform the following behaviors:

- Disables the built in Windows File Protection System

- This Process Deletes Other Processes From Disk

- Executes a Process

- This Process Creates Other Processes On Disk

- Can communicate with other computer systems using HTTP protocols

- Enables an In Process Object/Server - Common with DLL Injections

- Registers a Dynamic Link Library File

- Executes Processes stored in Temporary Folders

- Writes to another Process's Virtual Memory (Process Hijacking)

ZOMBIE.EXE has been the subject of the following behaviors:

- Executed as a Process

- Deleted as a process from disk

- Created as a process on disk

- Executed from Temporary Folders

- Writes to another Process's Virtual Memory (Process Hijacking)

- Registered as a Dynamic Link Library File[/quote]


[quote]


A partir de las 19 h GMT, estará disponible en esta web, para pruebas de evaluacion en el foro de zonavirus





[b] ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso


[/quote]

saludos



ms, 19-03-2008

[orbiasegui]

No se si lo hice bien, pues la angustia de tener el "bicho" en casa hizo que lo eliminara no se si con el programa adecuado, pues le aplique FILEASSASSIN, y me pidio reiniciar.

Despues de pasar el ELITRIP este es el resultado:



Wed Mar 19 11:59:54 2008

EliTriIP v4.52 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\HP\Digital Imaging\{3E386744-10FA-44b2-98C9-DF7A270DECB3}\autorun.inf --> Eliminado, BackDoor.CMQ(inf)

C:\Archivos de programa\HP\Temp\{3E386744-10FA-44b2-98C9-DF7A270DECB3}\autorun.inf --> Eliminado, BackDoor.CMQ(inf)



Nº Total de Directorios: 6051

Nº Total de Ficheros: 48032

Nº de Ficheros Analizados: 13288

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2

[msc hotline sat]

Pues menos mal que enviaste la muestra antes de eliminarlo con el FILEASSASIN, ya que con ello eliminas el fichero peo no las claves y demas restos !



Solo debe utilizarse dicho medio cuando se indique... y en este caso hubiera bastado renombrar el fichero a extension .VIR o moverlo a una carpeta de cuarentena, como hacemos con los sospechosos, para que asi en el proximo reinicio ya no hubiera estado en uso, y hubieramos visto que con la nueva version de hoy del ELITRIIP 4.53 , se eliminaba , lo cual ahora no veremos y habermos de suponerlo...



REpite la descarga esta tarde, a partir de las 19 h, que ya estará en esta web, para pruebas de evaluacion en el foro de zonavirus, la version indicada del ELITRIIP, (ahora has probado la 4.52 y hablamos de la 4.53) con lo cual se eliminarán claves y demas restos que pudieran haber al respecto, y de todas formas, nos posteas el infosat.txt y nos indicas si tras reiniciar ya no persiste ninguna anomalia, para dar por solucionado el Tema



saludos



ms, 19-03-2008

[orbiasegui]

Pues bien, he pasado el ultimo elitrip en modo seguro y este es el resultado:



Thu Mar 20 00:37:30 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 6056

Nº Total de Ficheros: 48152

Nº de Ficheros Analizados: 13297

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Mar 20 00:45:41 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\



Nº Total de Directorios: 1248

Nº Total de Ficheros: 16780

Nº de Ficheros Analizados: 2633

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Mar 20 00:47:01 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad A:\



Nº Total de Directorios: 0

Nº Total de Ficheros: 0

Nº de Ficheros Analizados: 0

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Mar 20 00:47:06 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 0

Nº Total de Ficheros: 0

Nº de Ficheros Analizados: 0

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Mar 20 00:47:11 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad F:\



Nº Total de Directorios: 0

Nº Total de Ficheros: 0

Nº de Ficheros Analizados: 0

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[Claudia34]

Por lo que se ve el log esta limpio, dinos si persiste el problema que en todo caso lo puedes complementar con:





Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.





Y mientras no te vendria mal probar los siguientes antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:



https://www.virustotal.com/es/



https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//



Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:



http://www.zonavirus.com/antivirus-on-line/



Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y para el tema de los autorun descargate del siguiente enlace el elipen:



http://www.zonavirus.com/descargas/elipen.asp



Saludos.

[msc hotline sat]

Por mi parte insistir en que nos indiques si persiste alguna anomalia o ya podemos dar por solucionado el Tema, gracias



Y todas las indicaciones de Claudia3 son buenas, pero en esta caso, si no persisten anomalias, serian opcionales.



Y en caso contrario, especificalas, gracias



saludos



ms, 20-03-2008

[orbiasegui]

No se que ocurre pero algo esta mal funcionando, pues al encender el PC me salto el antivirus (nod 32), con mensaje de alerta de un archivo en system volume, del cual ayer tambien me aviso de otro igual. Creo que me tiene pillado la carpeta system volume.Ademas, el log del hiktjathis no me dejaba abrir.

De todas formas, tal como me pedias os dejo los logfile del hikjathis, el primero en modo normal y el segundo en modo seguro. Y ahora le pasare el antivirus online, lo que me llevara un par de horas.

Os agradezco el interes y la dedicacion mostradas, sin la cual yo no sabria tirar palante.Gracias.



LOG EN MODO NORMAL

Logfile of HijackThis v1.99.1

Scan saved at 12:49:47, on 20/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\PC Tools Firewall Plus\FWService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

C:\Archivos de programa\cFosSpeed\spd.exe

C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\Archivos de programa\Power Translator 11\LogoMedia TranslateDotNet Server.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

E:\ARCHIVOS DE PROGRAMAS\3DSMax\mentalray\satellite\raysat_3dsmax9_32server.exe

C:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\mHotkey.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Archivos de programa\cFosSpeed\cFosSpeed.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe

C:\Archivos de programa\PC Tools Firewall Plus\FirewallGUI.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe

C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqSTE08.exe

C:\WINDOWS\system32\wuauclt.exe

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\Nueva carpeta\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O3 - Toolbar: LEC - {1DBAB667-A486-421e-AFE4-CF07DD0088E5} - C:\Archivos de programa\Power Translator 11\Applications\LEC IE Translation Extension.dll

O4 - HKLM\..\Run: [CHotkey] mHotkey.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [cFosSpeed] C:\Archivos de programa\cFosSpeed\cFosSpeed.exe

O4 - HKLM\..\Run: [ATIPTA] "C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [egui] "C:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKLM\..\Run: [00PCTFW] "C:\Archivos de programa\PC Tools Firewall Plus\FirewallGUI.exe" -s

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [ISUSPM] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" -scheduler

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} - http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab

O16 - DPF: {070CA17A-4BD2-4612-83B4-32B1B9159B47} - http://uc.sina.com.cn/download/live/weblive2.4.0.0.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/webplayer/stage6/windows/DivXBrowserPlugin.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1201906005265

O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - C:\Archivos de programa\cFosSpeed\spd.exe" -service (file missing)

O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: LEC TranslateDotNet Server - Language Engineering Corporation, LLC - C:\Archivos de programa\Power Translator 11\LogoMedia TranslateDotNet Server.exe

O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - E:\ARCHIVOS DE PROGRAMAS\3DSMax\mentalray\satellite\raysat_3dsmax9_32server.exe

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:\Archivos de programa\PC Tools Firewall Plus\FWService.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: ScsiAccess - Unknown owner - C:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\Spyware Doctor\svcntaux.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\Spyware Doctor\swdsvc.exe





LOG EN MODO SEGURO

Logfile of HijackThis v1.99.1

Scan saved at 12:53:52, on 20/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\Explorer.EXE

E:\MIS DESCARGAS\PROGRAMAS\ANTIVIRUS\Nueva carpeta\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O3 - Toolbar: LEC - {1DBAB667-A486-421e-AFE4-CF07DD0088E5} - C:\Archivos de programa\Power Translator 11\Applications\LEC IE Translation Extension.dll

O4 - HKLM\..\Run: [CHotkey] mHotkey.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [cFosSpeed] C:\Archivos de programa\cFosSpeed\cFosSpeed.exe

O4 - HKLM\..\Run: [ATIPTA] "C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [egui] "C:\Archivos de programa\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKLM\..\Run: [00PCTFW] "C:\Archivos de programa\PC Tools Firewall Plus\FirewallGUI.exe" -s

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [ISUSPM] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" -scheduler

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} - http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab

O16 - DPF: {070CA17A-4BD2-4612-83B4-32B1B9159B47} - http://uc.sina.com.cn/download/live/weblive2.4.0.0.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/webplayer/stage6/windows/DivXBrowserPlugin.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1201906005265

O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - C:\Archivos de programa\cFosSpeed\spd.exe" -service (file missing)

O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: LEC TranslateDotNet Server - Language Engineering Corporation, LLC - C:\Archivos de programa\Power Translator 11\LogoMedia TranslateDotNet Server.exe

O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - E:\ARCHIVOS DE PROGRAMAS\3DSMax\mentalray\satellite\raysat_3dsmax9_32server.exe

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:\Archivos de programa\PC Tools Firewall Plus\FWService.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: ScsiAccess - Unknown owner - C:\Archivos de programa\Photodex\ProShowGold\ScsiAccess.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\Spyware Doctor\svcntaux.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\Spyware Doctor\swdsvc.exe

[msc hotline sat]

Pues prueba de eliminar esta clave:



O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



y si tras reiniciar persiste el problema, prueba este AV ONLINE y posteanos el resultado:



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, o indicando la utilidad a probar para solucionarlo.



saludos



ms, 20-03-2008

[orbiasegui]

Antes de tu respuesta, y siguiendo los pasos recomendados hice dos escaneos con kaspersky online, lo que ocurre que en el primero se me olvido desmarcar restaurar sistema, pero no en el segundo:



log EN MODO NORMAL

-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

jueves, 20 de marzo de 2008 15:29:25

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 20/03/2008

Registros en la base antivirus: 644561

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: estendidas

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Mi PC:

A:\

C:\

D:\

E:\

F:\



Estadísticas:

Número de objeros analizados: 78568

Virus encontrados: 18

Objetos infectados: 38 / 0

Objetos sospechosos: 10

Duración del análisis: 01:38:54



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Archivos de programa\PC Tools Firewall Plus\FirewallWrapper.txt Object is locked saltado

C:\Archivos de programa\PC Tools Firewall Plus\FWService.txt Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Charon\CACHE.NDB Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\virlog.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\warnlog.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx Mail MS Outlook 5: sospechoso - 4 saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\MSHist012008032020080321\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\hpodvd09.log Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\Perflib_Perfdata_724.dat Object is locked saltado

C:\Documents and Settings\CVS\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Datos de programa\PCToolsFirewallPlus\FirewallGUI.txt Object is locked saltado

C:\Documents and Settings\CVS\Datos de programa\PCToolsFirewallPlus\FWPlugin.txt Object is locked saltado

C:\Documents and Settings\CVS\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\CVS\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Program Files\Eset\infected\5MBHLHAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\BRAJD5DA.NQF Infectados: P2P-Worm.Win32.Kapucen.b saltado

C:\Program Files\Eset\infected\F1CYXIAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.jw saltado

C:\Program Files\Eset\infected\G1HASKCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\KEJTHRAA.NQF Infectados: Trojan-Downloader.Win32.Agent.dag saltado

C:\Program Files\Eset\infected\NZIWWUCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.kc saltado

C:\Program Files\Eset\infected\W5XJC2BA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/keygen.exe Infectados: Trojan.Win32.Inject.mt saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/crack.exe Infectados: Trojan-Downloader.Win32.Agent.dlu saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/serial.exe Infectados: Trojan.Win32.Dialer.ve saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/install.exe Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF RarSFX: infectado - 5 saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF PE-Crypt.XorPE: infectado - 5 saltado

C:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033381.exe Infectados: Backdoor.Win32.VB.bqc saltado

C:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP169\change.log Object is locked saltado

C:\WINDOWS\CSC\00000001 Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SoftwareDistribution\EventCache\{C80A6059-B487-47BA-A3C3-3C6D1BF7B6BF}.bin Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\Sti_Trace.log Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\Tasks\SCHEDLGU.TXT Object is locked saltado

C:\WINDOWS\wiadebug.log Object is locked saltado

C:\WINDOWS\wiaservc.log Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

E:\Outlook Express(copia)\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

E:\Outlook Express(copia)\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

E:\Outlook Express(copia)\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

E:\Outlook Express(copia)\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

E:\Outlook Express(copia)\Elementos enviados.dbx Mail MS Outlook 5: sospechoso - 4 saltado

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017638.exe Infectados: Trojan-Dropper.Win32.Agent.dtk saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009/stream/data0004 Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009/stream Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0009 Infectados: not-a-virus:AdWare.Win32.TrafficSol.o saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream/data0005 Infectados: not-a-virus:AdWare.Win32.BHO.adj saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream/data0006 Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010/stream Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe/data0010 Infectados: not-a-virus:AdWare.Win32.BHO.ww saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP105\A0017820.exe NSIS: infectado - 7 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033302.exe/data.rar/pwdump2/pwdump2.exe Infectados: not-a-virus:PSWTool.Win32.PWDump.2 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033302.exe/data.rar/pwdump2/samdump.dll Infectados: not-a-virus:PSWTool.Win32.PWDump.2 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033302.exe/data.rar/RockXP4_.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033302.exe/data.rar Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033302.exe RarSFX: infectado - 4 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033304.exe/data.rar/xpkey.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033304.exe/data.rar/officekey.exe Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033304.exe/data.rar Infectados: not-a-virus:PSWTool.Win32.RAS.a saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP165\A0033304.exe RarSFX: infectado - 3 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033523.exe/data0000.cab/UPDATE~1.EXE/data.rar/mirc.exe Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033523.exe/data0000.cab/UPDATE~1.EXE/data.rar Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033523.exe/data0000.cab/UPDATE~1.EXE Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033523.exe/data0000.cab Infectados: not-a-virus:Client-IRC.Win32.mIRC.613 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP166\A0033523.exe Rsrc-Package: infectado - 4 saltado

E:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP169\change.log Object is locked saltado



Análisis completado.





LOG EN MODO SEGURO

-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

jueves, 20 de marzo de 2008 19:41:44

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 20/03/2008

Registros en la base antivirus: 646088

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: estendidas

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Carpetas:

C:\

E:\ARCHIVOS DE PROGRAMAS\

E:\MIS DESCARGAS\

E:\MIS DOCUMENTOS\

E:\RECYCLER\

E:\System Volume Information\



Estadísticas:

Número de objeros analizados: 56513

Virus encontrados: 10

Objetos infectados: 14 / 0

Objetos sospechosos: 5

Duración del análisis: 00:47:41



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx Mail MS Outlook 5: sospechoso - 4 saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Feeds Cache\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\MSHist012008032020080321\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF275C.tmp Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF2761.tmp Object is locked saltado

C:\Documents and Settings\CVS\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\CVS\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\CVS\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Program Files\Eset\infected\5MBHLHAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\BRAJD5DA.NQF Infectados: P2P-Worm.Win32.Kapucen.b saltado

C:\Program Files\Eset\infected\F1CYXIAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.jw saltado

C:\Program Files\Eset\infected\G1HASKCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\KEJTHRAA.NQF Infectados: Trojan-Downloader.Win32.Agent.dag saltado

C:\Program Files\Eset\infected\NZIWWUCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.kc saltado

C:\Program Files\Eset\infected\W5XJC2BA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/keygen.exe Infectados: Trojan.Win32.Inject.mt saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/crack.exe Infectados: Trojan-Downloader.Win32.Agent.dlu saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/serial.exe Infectados: Trojan.Win32.Dialer.ve saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/install.exe Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF RarSFX: infectado - 5 saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF PE-Crypt.XorPE: infectado - 5 saltado

C:\WINDOWS\CSC\00000001 Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



Análisis completado.





incluso pase en modo seguro el pc tools y el spybot no detectando nada.

Despues de eliminar la linea que me indicas procedere a hace nuevo escaneo online.

[orbiasegui]

Ya elimine esa linea con FIX CHECKED y este es el reporte del antivirus online

-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

jueves, 20 de marzo de 2008 21:10:37

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 20/03/2008

Registros en la base antivirus: 646789

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: estendidas

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Carpetas:

C:\Archivos de programa\

C:\Autorun.inf\

C:\AVG antiRootkits\

C:\Config.Msi\

C:\CROCCLIP\

C:\Documents and Settings\

C:\Mis descargas\

C:\Program Files\

C:\RECYCLER\

C:\System Volume Information\

C:\WINDOWS\

E:\ARCHIVOS DE PROGRAMAS\

E:\MIS DESCARGAS\

E:\MIS DOCUMENTOS\

E:\MIS FOTOS\

E:\MIS GRABACIONES\

E:\RECYCLER\

E:\System Volume Information\



Estadísticas:

Número de objeros analizados: 57800

Virus encontrados: 10

Objetos infectados: 14 / 0

Objetos sospechosos: 5

Duración del análisis: 00:47:32



Bombre del objeto infectado / Nombre del virus / Última acción

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Sat, 20 Oct 2007 11:56:01 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED/html Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx/[From "crisvel" <crisvel@ono.com>][Date Mon, 22 Oct 2007 15:58:37 +0200]/UNNAMED Sospechosos: Exploit.HTML.Iframe.FileDownload saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Identities\{C346AC76-84F3-43D8-97D3-5ED5F6061690}\Microsoft\Outlook Express\Elementos enviados.dbx Mail MS Outlook 5: sospechoso - 4 saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Historial\History.IE5\MSHist012008032020080321\index.dat Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF1A21.tmp Object is locked saltado

C:\Documents and Settings\CVS\Configuración local\Temp\~DF1A2C.tmp Object is locked saltado

C:\Documents and Settings\CVS\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\CVS\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\CVS\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\Program Files\Eset\infected\5MBHLHAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\BRAJD5DA.NQF Infectados: P2P-Worm.Win32.Kapucen.b saltado

C:\Program Files\Eset\infected\F1CYXIAA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.jw saltado

C:\Program Files\Eset\infected\G1HASKCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\KEJTHRAA.NQF Infectados: Trojan-Downloader.Win32.Agent.dag saltado

C:\Program Files\Eset\infected\NZIWWUCA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.kc saltado

C:\Program Files\Eset\infected\W5XJC2BA.NQF Infectados: not-a-virus:AdWare.Win32.Agent.bm saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/keygen.exe Infectados: Trojan.Win32.Inject.mt saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/crack.exe Infectados: Trojan-Downloader.Win32.Agent.dlu saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/serial.exe Infectados: Trojan.Win32.Dialer.ve saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar/install.exe Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF/data.rar Infectados: Virus.Win32.Virut.y saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF RarSFX: infectado - 5 saltado

C:\Program Files\Eset\infected\ZWGBDWAA.NQF PE-Crypt.XorPE: infectado - 5 saltado

C:\System Volume Information\_restore{43F016AD-4F86-4CE0-912A-AD96301D4818}\RP1\change.log Object is locked saltado

C:\WINDOWS\CSC\00000001 Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado



Análisis completado.

[msc hotline sat]

Pues nada, los ficheros infectados solo estan en carpeta de cuarentena de NOD32 o en el RESTORE, asi que no estan en uso.



No le afectan actualmente, pero ojo no restaure a un punto anterior sin haber limpiado el SYSTEM VOLUME INFORMATION _RESTORE.



Y para ello, desactive la Restauracion de sistema, arranque en modo segur0 y lance su antivirus que así podrá acceder a dicha carpeta y hacer limpieza.



saludos





mns, 21-03-2008

[orbiasegui]

OK. Muchas gracias por todo. Es una labor la de ustedes incomiable. Gracias de nuevo.

Saludos.

[msc hotline sat]

Pues damos el Tema por solucionado y procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 21-03-2008