TENGO UN VIRUS - PIDO AYUDA CON EL SPYWARE

[salg2610]

Buenos dias:



Soy un nuevo usuario del foro y tengo problemas com mi ordenador, la verdad es que soy un poco inexperto en este tipo de cuestiones y necesito ayuda, creo qeu tengo el pc fatal, comenzare por enumerar mis problemas:



-me salen ventanas con publicidad constantemente

-me salen tambien una y otra vez mensajes de que tengo infectado mi pc y que debo escanearlo con tal o cual antivirus gratuito

-cuando abro internet no va directamente a la pagina de google, y cada vez que abro algo me salta un mensaje de zona insegura (Insecure Internet activity. Threat of virus attacky)me pide que pase el antivirus, luego pone :

Not Found

The requested URL /buy.php was not found on this server.





--------------------------------------------------------------------------------



Apache/2.0.59 (FreeBSD) DAV/2 mod_fastcgi/2.4.2 PHP/5.2.3 with Suhosin-Patch mod_ssl/2.0.59 OpenSSL/0.9.7e-p1 Server at antivirus-2008pro.org Port 80



La verdad es que por los nervios iniciales si me he descargado alguno de estos antivirus, y seguramente ahora tenga el ordenador fatal.

Necesito ayuda porque no se como solucionar el problema y con mis intentos de arreglarlo creo que lo he puesto todavia peor. Cualquier informacion o detalles que necesiteis estare encantado de proporcionaroslos.



Queria daros las gracias por anticipado y por vuestra paciencia conmigo, un cordial saludo.



Toño

[Claudia34]

Pues descárgate las siguientes herramientas de los siguientes enlaces respectivos, guárdalos en una carpeta y lánzalos en modo a prueba de fallos obviamente con la restauración del sistema desactivado para que de mejores resultados:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso.





Pásate también el Elitriip, y nos pegas el Log que te dejara en C llamado infosat.txt



http://www.zonavirus.com/descargas/elitriip.asp



Y para complementar (opcional en algunos casos):



https://foros.zonavirus.com/viewtopic.php?f=5&t=18469





Y compleméntalo posteándonos el Log del HJT:





HJT: (HiJackThis)



¿Como utilizar el Hijackthis?

Lo primero que debemos hacer es descargarlo en nuestro ordenador y localizarlo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedirá el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

• Descargar Hijackthis del siguiente enlace: http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Tras analizarlo, informaremos.

Nota: con respecto al hijackthis realiza dos escaneos uno en modo normal de Windows y el otro escaneo en modo a prueba de fallos, obviamente péganos el Log de cada uno de ellos como dice arriba en la cita anterior, el primero de los escaneos en modo normal nos sirve para saber que procesos tienes ejecutados en el inicio principalmente.

Hay que tener en cuenta que solo desactivaras la restauracion de sistema cuando quieras escanear con alguna herramienta de seguridad, cuando termines de escanear deberas volver a activar la restauracion del sistema nuevamente.



¿Como arrancar en modo a prueba de fallos?



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Opcional:





Además de eso no te vendría mal realizar un scandisk completo y una desfragmentacion este ultimo en modo a prueba de fallos.

También realiza un escaneo en modo a prueba de fallos con la restauración del sistema deshabilitado con el Spybot-Search and Destroy y con el Adware S.E. obviamente actualizados por completo, y realiza un Windows Update completo por las dudas y cuéntanos los resultados.





Y pruebate el kaspersky antivirus online que tiene un alto porcentaje de deteccion, que si bien no te elimina el bicho que te encuentre, al pegarnos el informe del escaneo aqui en el foro entonces obraremos en consecuencia.



https://www.kaspersky.es/downloads/thank-you/free-antivirus-download



Y para el tema de los autorun descargate del siguiente enlace el elipen:



http://www.zonavirus.com/descargas/elipen.asp



Saludos.

[salg2610]

Buenos días de nuevo, veamos que he conseguido, lo cierto es que cada vez me siento más patoso delante de un ordenador...

Todas las veces que pueda daros las gracias son pocas.

Bueno, al tema, ahi va en infosat :



Sat Sep 06 09:53:33 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "98a85919"=""rundll32.exe" "C:\WINDOWS\system32\wjudeywg.dll",b" (Vundo)

C:\Documents and Settings\TLM\Favoritos\Error Cleaner.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\TLM\Favoritos\Privacy Protector.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\TLM\Favoritos\Spyware&Malware Protection.url --> Eliminado (Fichero Complementario).



Mon Sep 08 12:03:20 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado SP3 de Windows XP



Mon Sep 08 12:08:44 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3807

Nº Total de Ficheros: 77877

Nº de Ficheros Analizados: 15274

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Sep 08 12:18:58 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3807

Nº Total de Ficheros: 77874

Nº de Ficheros Analizados: 15274

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Sep 08 12:34:11 2008

EliPen v1.8 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------



Unidad C:\ Protegida



Unidad C:\ YA esta Protegida



Unidad C:\ YA esta Protegida



Unidad C:\ YA esta Protegida



Mon Sep 08 12:35:48 2008

EliBagle v11.67 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Septiembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):



Mon Sep 08 12:35:49 2008

EliBagle v11.67 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Septiembre del 2008)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3809

Nº Total de Ficheros: 77879

Nº de Ficheros Analizados: 8698

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[salg2610]

Buenos días de nuevo, veamos que he conseguido, lo cierto es que cada vez me siento más patoso delante de un ordenador...

Todas las veces que pueda daros las gracias son pocas.

Bueno, al tema, ahi va en infosat :



Sat Sep 06 09:53:33 2008

EliStartPage v16.89 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "98a85919"=""rundll32.exe" "C:\WINDOWS\system32\wjudeywg.dll",b" (Vundo)

C:\Documents and Settings\TLM\Favoritos\Error Cleaner.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\TLM\Favoritos\Privacy Protector.url --> Eliminado (Fichero Complementario).

C:\Documents and Settings\TLM\Favoritos\Spyware&Malware Protection.url --> Eliminado (Fichero Complementario).



Mon Sep 08 12:03:20 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado SP3 de Windows XP



Mon Sep 08 12:08:44 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3807

Nº Total de Ficheros: 77877

Nº de Ficheros Analizados: 15274

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Sep 08 12:18:58 2008

EliTriIP v5.04 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 5 de Septiembre del 2008)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3807

Nº Total de Ficheros: 77874

Nº de Ficheros Analizados: 15274

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Sep 08 12:34:11 2008

EliPen v1.8 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------



Unidad C:\ Protegida



Unidad C:\ YA esta Protegida



Unidad C:\ YA esta Protegida



Unidad C:\ YA esta Protegida



Mon Sep 08 12:35:48 2008

EliBagle v11.67 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Septiembre del 2008)

----------------------------------------------

Lista de Acciones (por Acción Directa):



Mon Sep 08 12:35:49 2008

EliBagle v11.67 (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 4 de Septiembre del 2008)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 3809

Nº Total de Ficheros: 77879

Nº de Ficheros Analizados: 8698

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[salg2610]

Y ahora en informe del HJT:

Logfile of HijackThis v1.99.1

Scan saved at 12:48:36 , on 08/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\Notepad.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\TLM\CONFIG~1\Temp\Rar$EX00.016\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Barra Yahoo! con bloqueador de ventanas emergentes - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: QXK Olive - {0CF4A06D-F787-4D21-B273-076933F3F629} - C:\WINDOWS\vanwxemgnfw.dll

O2 - BHO: (no name) - {24426AE9-2122-4E51-80F1-B08CC67D0E72} - C:\WINDOWS\system32\ljJDVOfc.dll (file missing)

O2 - BHO: {ea45477d-7e63-f82b-e204-1324cca822b4} - {4b228acc-4231-402e-b28f-36e7d77454ae} - C:\WINDOWS\system32\dngdes.dll (file missing)

O3 - Toolbar: gksraemq - {EB95B22A-E37E-4EFF-9A9D-4E3D3BADD9E6} - C:\WINDOWS\gksraemq.dll (file missing)

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [StatusClient 2.6] "C:\Archivos de programa\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe" /auto

O4 - HKLM\..\Run: [TomcatStartup 2.5] "C:\Archivos de programa\Hewlett-Packard\Toolbox\hpbpsttp.exe"

O4 - HKLM\..\Run: [OrderReminder] "C:\Archivos de programa\Hewlett-Packard\OrderReminder\OrderReminder\OrderReminder.exe"

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb10.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [Gainward] "C:\Archivos de programa\Vtune\TBPanel.exe" /A

O4 - HKLM\..\Run: [NvCplDaemon] "RUNDLL32.EXE" C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] "nwiz.exe" /install

O4 - HKLM\..\Run: [NvMediaCenter] "RUNDLL32.EXE" C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"

O4 - HKLM\..\Run: [osCheck] "C:\Archivos de programa\Norton AntiVirus\osCheck.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Smart Antivirus-2009.exe] C:\Archivos de programa\Smart Antivirus 2009\Smart Antivirus-2009.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = tecnorlm.com

O17 - HKLM\Software\..\Telephony: DomainName = tecnorlm.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{8CD4AFDC-DEEE-484E-A3E9-A91C37ABEE6C}: NameServer = 80.58.0.33,80.58.32.97

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = tecnorlm.com

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = tecnorlm.com

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL

O21 - SSODL: xrdwbfgn - {BB5F24A2-9223-4D21-997E-42C0BE49DCA6} - C:\WINDOWS\xrdwbfgn.dll (file missing)

O21 - SSODL: dgksvbpn - {E17C51CE-3771-45E8-87BC-0C32F2B4A676} - C:\WINDOWS\dgksvbpn.dll (file missing)

O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\isPwdSvc.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)

O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Archivos de programa\Archivos comunes\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\hpzipm12.exe

O23 - Service: Programador de LiveUpdate automático - Symantec Corporation - C:\Archivos de programa\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe



Espero que os sirva de ayuda, muchas gracias de nuevo y espero impaciente nuevas instrucciones.

Un saludo.

Toño.

[msc hotline sat]

Pues vemos sospechosos estos ficheros:



C:\WINDOWS\vanwxemgnfw.dll



C:\Archivos de programa\Smart Antivirus 2009\Smart Antivirus-2009.exe





renombre su extension a .VIR y envienoslos para analizar



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



saludos



ms, 8-09-2''8

[msc hotline sat]

En las muestras recibidas, encontramos variantes del troyano Agent BN que pasamos a controlar y eliminar con el ELISTARA 16.91 de hoy



A partir de las 19 h GMT estará disponible en esta web para pruebas de evaluacion en este foro, descargala y tras probarla nos posteas el resultado



saludos



ms, 9-09-2008