Spyware, ayuda

[virus1509]

Bueno primeramente dar las gracias por atender mi caso:



les presento el mensaje que me sale en el fondo de pantalla:



warning: spyware threat has been detected on your PC.

-----------------------------------------------------------------



Your Computer has several fatal errors due to spyware activity



it is strongly recomendad to install an atispyware software to close all security vulnerabilities

Antispyware software helps protect your PC against spyware and others security threats.



y luego me manda un acceso en el mismo fondo de pantalla hacia el "PC protection antispyware 2008" que tiene logo de windows



le eh pasodo el elistara y no detecta nada, el spybot-search and destroy me detecta: windows active destkop





les agradeceria mucho que me ayuden con este caso.



gracias

[Claudia34]

Pues descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.





Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp



Y para complementar (opcional en algunos casos):



https://foros.zonavirus.com/viewtopic.php?f=5&t=18469





Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.





Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y para el tema de los autorun descargate del siguiente enlace el elipen:



http://www.zonavirus.com/descargas/elipen.asp



Saludos.

[msc hotline sat]

Vas a la moda !



Este Antispyware XP 2008 es un FAKE ALERT muy pesado que nos estamos encontrando en un 60 % de las incidencias, y que tiene cantidad de variantes conocidas y se supone que otras tantas desconocidas ...



Como te ha indicado Claudia, prueba el ELISTARA y posteanos el contenido del c:\infosat.txt, gracias



saludos



ms, 2-09-2008

[virus1509]

Bueno lo unico que pude correr en modo seguro fue el elistara:

los otros dos ya no me permitia entrar a modo seguro.

Tue Sep 02 08:36:27 2008

EliStartPage v16.85 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%WinDir%\PeerNet"

No detectado SP3 de Windows XP

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Sep 02 08:36:36 2008

EliStartPage v16.85 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3397

Nº Total de Ficheros: 41001

Nº de Ficheros Analizados: 9037

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Tue Sep 02 08:50:11 2008

EliStartPage v16.85 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 114

Nº Total de Ficheros: 2071

Nº de Ficheros Analizados: 135

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Sep 04 10:53:27 2008

EliTriIP v5.03 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado SP3 de Windows XP



Thu Sep 04 10:53:31 2008

EliTriIP v5.03 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3366

Nº Total de Ficheros: 40985

Nº de Ficheros Analizados: 8537

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Sep 04 10:58:57 2008

EliTriIP v5.03 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Nº Total de Directorios: 114

Nº Total de Ficheros: 2071

Nº de Ficheros Analizados: 136

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Thu Sep 04 10:59:56 2008

EliPen v1.8 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------



Unidad C:\ Protegida



Unidad D:\ Protegida



Logfile of HijackThis v1.99.1

Scan saved at 11:01:35, on 04/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\uoyzsydz.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\ESET\ESET Smart Security\ekrn.exe

C:\Archivos de programa\ESET\ESET Smart Security\egui.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\Ad-Watch2007.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Lavasoft\Ad-Aware 2007\Ad-Aware2007.exe

C:\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com.bo

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = http://192.168.1.27:918

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\uoyzsydz.exe,

O2 - BHO: Spybot-S&D IE Protection - {53707962-6f74-2d53-2644-206d7942484f} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: getsn32.msiesn - {a55ca42c-bf8a-4491-9073-6e32fc4e6250} - C:\WINDOWS\system32\getsn32.dll

O4 - HKLM\..\Run: [egui] "C:\Archivos de programa\ESET\ESET Smart Security\egui.exe" /hide /waitservice

O4 - HKLM\..\Run: [Ad-Watch] C:\Archivos de programa\Lavasoft\Ad-Aware 2007\Ad-Watch2007.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{0ED4C68B-41C6-461A-9FCE-87C9EE1E1330}: NameServer = 192.168.1.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{0ED4C68B-41C6-461A-9FCE-87C9EE1E1330}: NameServer = 192.168.1.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{0ED4C68B-41C6-461A-9FCE-87C9EE1E1330}: NameServer = 192.168.1.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Unknown owner - C:\Archivos de programa\Ares\chatServer.exe (file missing)

O23 - Service: Eset HTTP Server (ehttpsrv) - ESET - C:\Archivos de programa\ESET\ESET Smart Security\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - C:\Archivos de programa\ESET\ESET Smart Security\ekrn.exe

O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe

[Claudia34]

Te falta el service pack 3 realiza un windows update completo, y descargate el I.E. 7.



Saludos.

[msc hotline sat]

y ademas:



Renombra estos ficheros a extension .VIR y nos los envias para analizar:



C:\WINDOWS\system32\uoyzsydz.exe



C:\WINDOWS\system32\getsn32.dll



C:\WINDOWS\system32\ext.exe



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibirlos los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual infiormaremos.





saludos



ms, 4-09-2008