Problema de los Doble Acentos (´´) (SOLUCIONADO)

[Dandy]

Hola! Acabo de solucionar un problema con el EliStarA, y aparentemente windows me volvio a una configuracion vieja del windows restore. (aparentemente no lo dsactive correctamente). Me di cuenta porque al poner el msconfig.exe me salieron, en la perstaña de "Services" un monton de servicios que ya tenia desactivadosy eliminados.



Pongo a continuacion mi log de hijack this para que me lo miren.

Ademas acepto otros consejos, en caso de que no se encuentre nada en el log.



Gracias.





-----------------------------------------------
[code]Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:45:05 p.m., on 02/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\ESET\nod32kui.exe
C:\Documents and Settings\Dandy\My Documents\Aplicaciones Sueltas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=EN_US&c=Q305&bd=pavilion&pf=laptop
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.50.25.59:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: DBBManageUI - {69FC0024-10EB-480A-BBF2-3BF4E78E17B1} - C:\Program Files\Core Services\DebugBar\DebugInfoBar.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: DebugBar - {3E1201F4-1707-409F-BB45-A5F192381DA0} - C:\Program Files\Core Services\DebugBar\DebugToolBar.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')
O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Sothink SWF Catcher - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: No More Cookies - {334C4A3A-7B0F-4C55-B73F-63B37865E8FA} - C:\Program Files\No More Cookies\No More Cookies.exe
O9 - Extra 'Tools' menuitem: No More Cookies - {334C4A3A-7B0F-4C55-B73F-63B37865E8FA} - C:\Program Files\No More Cookies\No More Cookies.exe
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: PDFill PDF Editor - {FB858B22-55E2-413f-87F5-30ADC5552151} - C:\Program Files\PDFill\DownloadPDF.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.google.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish//kavwebscan_unicode.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

--
End of file - 6740 bytes
[/code]

[Dandy]

Creo que le problema es este.



F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,





El tema es que, ni bien elimino las 2 aplicaciones se vuelven a crear.

Tengo que eliminarlas en modo seguro? Como prosigo?

[msc hotline sat]

Sí, este NTOS probablemente esté controlado con el ELISTARA como PWS NTOS:



ELISTARA



---v16.11-(17 de Abril del 2008) (Muestras de (3)Vundo9, (4)Vundo5, (4)DownLoader.ConHook, (4)PWS-OnLineGames.AMVO, (4)PWS-OnLineGames.KAVO, FakeAlert(braviax) "BRAVIAXOLD.EXE", PWS-NTOS "NTOS.EXE", NaviPromo, Keylog-Perfect "PERWB.DLL", PWS-Nilage.JV "SVCPOOL.DLL", AutoRun.CZL "CLEAN.EXE" y CrawlerToolbar "CSHARED.DLL")


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

saludos



ms, 2-05-2008

Prueba dicha utilidad y nos posteas el resultado:

[Dandy]

El tema es que acabo de resolver un problema que tenia con el elistarA. De hecho, lucl me dio la herramienta, y la pase al sistema. Todo en orden.

Luego me dio el elipen. lo ejecute y luego empece con este problema de los dobles acentos.



Voy a volver a procesar el elistarA. Ahora estoy en modo seguro con system restore correctamente desactivado.

En un rato te pongo el reporte

[msc hotline sat]

Recuerda al final volver a activar el RESTORE



Esperamos tu informe



saludos



ms, 2-05-2008

[Dandy]

Aca esta el informe.



ATENCION: Lo divido en 2 partes. La primera es el escaneo anterior a este thread (el que resolvi con lucl). El segundo es el que me pediste vos.





Este es que me pidio lucl. Antes de ejecutar el elipen.
[code]
Fri May 02 13:41:20 2008
EliStartPage v16.20 (c)2008 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Restaurado fichero de Configuración del IE, (IERESET.INF)
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Fri May 02 13:44:13 2008
EliStartPage v16.20 (c)2008 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Documents and Settings\Dandy\Desktop\Varios\BACK UPS DBs SERVER\BACKUP PLESK SERVER COMPLETO\usr\share\doc\db4-devel-4.1.25\api_c\SET_FUNC_SLEEP.HTML --> Eliminado, MalWare.Celular
C:\Program Files\EasyPHP_viejo\php\PHP4TS.DLL --> Eliminado, MailSkinner
C:\Program Files\Online Services\AOL90US\comps\qt\QT.EXE --> Eliminado, Puper-Isa
C:\Program Files\Online Services\PeoplePC\ISP50\Bin\ISPUTIL5.DLL --> Eliminado, CommanderNET (TB)
C:\SWSetup\MSWorks\US\PFILES\MSWORKS\WKDBOLE.DLL --> Eliminado, ZangoSA (BHO)
C:\SWSetup\MSWorks\US\PFILES\MSWORKS\WKSSOLE.DLL --> Eliminado, ZangoSA (BHO)
C:\WINDOWS\NIRCMD.EXE --> Eliminado, Tool-NirCmd
C:\WINDOWS\ImageMagick\modules\coders\IM_MOD_RL_OTB_.DLL --> Eliminado, Puper-Isf
C:\WINDOWS\system32\SINTF32.DLL --> Eliminado, Spy-CmdLineExt
C:\WINDOWS\system32\SINTFNT.DLL --> Eliminado, Spy-CmdLineExt

Nº Total de Directorios: 25568
Nº Total de Ficheros: 360924
Nº de Ficheros Analizados: 55160
Nº de Ficheros Infectados: 10
Nº de Ficheros Limpiados: 10

Fri May 02 15:11:36 2008
EliPen v1.7 (c)2008 S.G.H. / Satinfo S.L.
------------------------------------------

Unidad C:\ Protegida[/code]

Este es el que me pdiste vos. El ultimo.
[code]
Fri May 02 16:31:01 2008
EliStartPage v16.20 (c)2008 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Entrada Eliminada [HKLM\...\Run] "Msconfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"
Restaurado fichero de Configuración del IE, (IERESET.INF)
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Fri May 02 16:31:34 2008
EliStartPage v16.20 (c)2008 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 25582
Nº Total de Ficheros: 361451
Nº de Ficheros Analizados: 55169
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0
[/code]

No tiene nada raro creo yo.



No tendra algo que ver con el elipen?



Gracias

[Claudia34]

Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y tampoco vendria mal probar otros antivirus online en modo a prueba de fallos con la opcion de red (para asi poder conectarte a internet) y obviamente tienes que tener la restauracion del sistema desactivado para que te de mejores resultados el analisis:



https://www.virustotal.com/es/



https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//



Nota: Hay mas antivirus online para usar, aunque alli arriba solo te dimos dos, nada impide que uses otros, es mas es mucho mejor por el tema de los resultados usar todas las que puedas.

Y te dejo tambien otro enlace para que lo disfrutes:



http://www.zonavirus.com/antivirus-on-line/



Saludos.

[lucl]

Por el elipen no sera, recuerda que te pedi que pasaras un online, que es el que te recomienda Claudia tambien, creo que ahora procede que pongas el log de hijackthis para ver si tienes claves del ntos, saludos





[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



Tras analizarlo, informaremos

[msc hotline sat]

Bueno, ya visto que no de detecta este NTOS, envianos muestra del mismo:



C:\WINDOWS\system32\ntos.exe





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Debe tratarse de una variante que aun no controlamos, y si como dices "[b][i]El tema es que, ni bien elimino las 2 aplicaciones se vuelven a crear.[/i][/b]", habrá que verla:



Tras enviarnosla como indicamos, la analizaremos y procederemos a implementar su control en la proxima version del ELISTARA, de lo cual informaremos



saludos



ms, 3-05-2008

[Dandy]

Les voy a tener que pedir disculpas, pero acabo de borrar el ntos.exe con el killbox. (Parece ser que los 2 archivitos extra -ntoskrnl.exe y userinit.exe- se crean cuando se ejecuta por primera vez el internet explorer. Así que he concluido que eliminando el ntos.exe, no se iban a crear.



Ahora el problema que tengo es que no me puedo loguear a windows.

¿Tiene que ver con la falta del ntos.exe (o con la de los 2 archivitos extra?



(Nota Adicional: En esta pc desde la que escribo -que supuestamente no tiene virus- también encontré en system32 los archivitos userinit y ntoskrnl. Pero el ntos no. Y en la otra máquina, la infectada, recuerdo que cuando busque en system32 el ntos.exe tampoco estaba, pero sí los otros 2. Es raro.)



Gracias nuevamente. Espero que resolvamos esto.

[Dandy]

Ceo que el haber eliminado el userinit y el ntoskrnl me qutó la posibiidad de loguearme y otras cosas.

Aparentemente no son creados por el virus, sino por windows, o bien, por el virus en forma infectada.



Creo que si logro copiar el archivo de alguna manera de esta pc a la otra, voy a poder loguearme.



Ya les comento

[Dandy]

Hay alguna forma de copiar esos archivos sin tener que iniciar windows o voy a tener que reinstalar en modo reparación? Porque no tengo DOS instalado.

[lucl]

Creo que has tocado algo que no debias, mira de reparar el pc y ver si lo solucionas



arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate



saludos

[Dandy]

PROBLEMA SOLUCIONADO!



Tuve que liearme bastante para volver a poner esos 2 arhcivos, porque después me trajo problemas con el hal.dll, por lo que tuve que reconstruir el boot.ini.

Fué un lio, y espero nunca más tener que hacerlo.



Desde ya, les agradezco por toda su ayuda y pueden dar por solucionado el problema.



GRACIAS!!!!

[msc hotline sat]

Bueno, asi se adquiere la experiencia :lol:



Pues lo celebramos, y dando por solucionado el Tema, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 3-05-2008