Posible Virus. W XP hace cosas raras (SOLUCIONADO)

[sportura]

Buenas.



En primer lugar un saludo a todos pues es la primera vez que entro aquí, porque por suerte no me ha hecho falta.



Pero ahora tengo un problemilla. Un día sin más ni más, y sin instalar ni desinstalar nada empecé a tener los siguientes síntomas:



- No puedo mover los iconos del escritorio ni de las carpetas.

- No puedo hacer copia/pega, ni de archivos ni de texto

- No me deja restaurar sistema, he probado de todas las maneras, en modo seguro, con simbolo de sistema y nada. Me pone que no está habilitado o algo así. Tampoco puedo desactivar la opción de restaurar sistema.

- El internet explorer se abre y se cierra al momento. Por suerte el Firefox me funciona perfectamente y puedo navegar.

- No me actualiza el Windows

- Varios antivirus on-line no funcionan, como el de panda.

- Tengo el Panda instalado (con licencia) y se le ha desactivado la protección continua. Sí me deja scanear el disco duro y no me encuentra nada raro. Tampoco se me actualiza.

- Tarda bastante en cargar cuando lo enciendo. Después aparentemente va bien.

- Al minimizar las ventanas no me aparecen en la barra de tareas

- No me funciona la impresora







Os pongo el log del hijackthis:



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:00:34, on 22/01/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16762)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PavFnSvr.exe

C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\AntiSpam\pskmssvc.exe

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PsImSvc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RunDLL32.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\APVXDWIN.EXE

C:\Archivos de programa\TrojanHunter 5.0\THGuard.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe

C:\Archivos de programa\Archivos comunes\Logitech\KHAL\KHALMNPR.EXE

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\SRVLOAD.EXE

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\WebProxy.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\eMule\emule.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PAVJOBS.EXE

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre6\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Archivos de programa\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Internet Security 2007\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Internet Security 2007\Inicio.exe"

O4 - HKLM\..\Run: [THGuard] "C:\Archivos de programa\TrojanHunter 5.0\THGuard.exe"

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')

O4 - HKUS\S-1-5-21-1229272821-1580818891-839522115-1003\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Logitech SetPoint.lnk = C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe

O8 - Extra context menu item: Anexar a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir a Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir vínculos seleccionados a Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-UNO1/GAME_UNO1.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1201551328250

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://83.165.204.151:1011/activex/AxisCamControl.cab

O16 - DPF: {C1BAC744-8F0B-11D0-89E7-00C0A8295197} (Cameractl Class) - http://www.crtvg.es/camweb/camera.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {FA91DF8D-53AB-455D-AB20-F2F023E498D3} (RSClientPrint Class) - http://www.ligal.es/ReportServer?rs:Command=Get&rc:GetImage=8.00.1038.00rsclientprint.cab

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: CAILI - Unknown owner - C:\WINDOWS\system32\caili.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Panda Software Controller - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PsCtrls.exe

O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PavFnSvr.exe

O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\pavsrv51.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Panda Antispam Engine (pmshellsrv) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\AntiSpam\pskmssvc.exe

O23 - Service: Panda Host Service (PSHost) - Panda Software International - c:\archivos de programa\panda software\panda internet security 2007\firewall\PSHOST.EXE

O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\PsImSvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Panda TPSrv (TPSrv) - Panda Software International - C:\Archivos de programa\Panda Software\Panda Internet Security 2007\TPSrv.exe



--

End of file - 10615 bytes







A ver si tengo alguna opción sin tener que formatear.



Una cosa, si reinstalo el WinXp lo arreglaré?



Muchísimas gracias a todos.

[msc hotline sat]

Mejor pruebe REPARAR, no reinstalar:


[quote="para REPARAR WINDOWS, msc"]
Sugiero proceder a REPARAR windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate [/quote]

pERO ANTES, SI TIENE PUNTO DE RESTAURACION ANTERIOR AL PROBLEMA, restaure sistema !!!



ysaludos



ms, 22-1-2009





NOTA:

Y recuerde: https://foros.zonavirus.com/viewtopic.php?f=13&t=5148

[sportura]

Ya ya, pero restaurar sistema ya digo que no me funciona de ningún modo.

[msc hotline sat]

Es verdad, me quedó su pregunta y la contesté sin tener en cuenta lo que había dicho.



Lo malo es que si tiene bicho, aun reparando seguirá teniendolo...



Me huele a un Rootkit... y por si es de lops que se propaga por pendrive, pruebe el ELIPEN en ordenadores y pendrives, y si en alguno le detecta que ya tenia un AUTORUN.INF... bingo ! veremos los ficheros que cargaba y los analizaremos.



saludos



ms, 22-1-2009

[sportura]

Gracias.



Hoy probaré a ver.

[msc hotline sat]

Ahi tienes link de descarga:







Y vacune el ordenador y todas sus unidades de disco y pendrive con el ELIPEN:



[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 22-1-2009

[sportura]

Buenas. He puesto el elipen.



El Infosat me pone:



unidad c protegida



error creando TEST2.SAT







He logrado pasarle el kaspersky on line y no me ha detectado nada........





He pasado el elistara también, y me ha eliminado algo, aunque creo que sin importancia, porque la mayoría son archivos antiguos.



Adjunto archivo infosat.



Gracias.

[msc hotline sat]

Eso de que nada...



Aparte de otros troyanos, el que era de pendrive ha sido detectado y eliminado:



C:\Noso\JUAN\Varios\Navegadores\cd instalador tt5 y tt6 el rincon de dey\cd instalador tt5 y tt6 el rincon de dey\AUTORUN.INF --> Eliminado, AutoRun.AAJ(inf)

C:\Noso\YOLANDA\YOLANDA TRABAJO\ANA ORONS\plan santiago\AUTORUN.INF --> Eliminado, Buzus.VOA(inf)

C:\Noso\YOLANDA\YOLANDA TRABAJO\ANA ORONS\win2k_xp\AUTORUN.INF --> Eliminado, AutoRun.AAJ(inf)



Pues vacuna todos tus penbdrives con el ELIPEN, insertandolos y seleccionando unidad insertada y pulsando en PROCESAR con dicha utilidad...



Dinos si tras reiniciar, persiste alguna anomalia o podemos dar por solucionado el Tema, gracias



saludos



ms, 23-1-2009

[sportura]

Nada sigue todo igual.



Le he pasado por la noche otro antivirus online y nada...........

[msc hotline sat]

Copio y pego el infosat que anexas, para tenerlo visible (es la forma como debe postearse):





Thu Jan 22 22:29:30 2009

EliStartPage v17.85 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Enero del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Archivos de programa\Adobe\Acrobat 8.0\Designer 8.0\ES\CONVERTWORD.DLL --> Eliminado, BlackStone(BHO)

C:\Archivos de programa\Adobe\Adobe Photoshop CS3\MATLAB\PSTOOLBOX.HTML --> Eliminado, MalWare.Celular

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek

C:\Archivos de programa\Sony Ericsson\Sony Ericsson PC Suite\MNGDRIVER.DLL --> Eliminado, ZenoSearch

C:\Archivos de programa\Sony Ericsson\Sony Ericsson PC Suite\PC SUITE LOG.EXE --> Eliminado, YahLover(worm)

C:\Archivos de programa\TrojanHunter 5.0\RuleFiles\GEN.DLL --> Eliminado, Affilred (BHO)



Thu Jan 22 23:12:49 2009

EliStartPage v17.85 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Enero del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):



Thu Jan 22 23:12:51 2009

EliStartPage v17.85 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Enero del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Documents and Settings\x\Escritorio\P08.EXE --> Eliminado, Frauder.KG

C:\Noso\JUAN\Varios\Navegadores\cd instalador tt5 y tt6 el rincon de dey\cd instalador tt5 y tt6 el rincon de dey\AUTORUN.INF --> Eliminado, AutoRun.AAJ(inf)

C:\Noso\YOLANDA\YOLANDA TRABAJO\ANA ORONS\plan santiago\AUTORUN.INF --> Eliminado, Buzus.VOA(inf)

C:\Noso\YOLANDA\YOLANDA TRABAJO\ANA ORONS\win2k_xp\AUTORUN.INF --> Eliminado, AutoRun.AAJ(inf)



Nº Total de Directorios: 15541

Nº Total de Ficheros: 180752

Nº de Ficheros Analizados: 41681

Nº de Ficheros Infectados: 4

Nº de Ficheros Limpiados: 4





Pues vemos que aparte de lo eliminado, el ELISTARA no pide muestras de sospechosos, asi que veamos el sproclog generado por el SPROCES, a ver si vemois algo:







[b]SPROCES[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp





Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT con un copiar y pegar



saludos



ms, 23-1-2009

[sportura]

[quote="msc hotline sat"]Copio y pego el infosat que anexas, para tenerlo visible (es la forma como debe postearse):


[/quote]



Lo siento, pero como no me deja copiar y pegar tuve que hacerlo así.

[msc hotline sat]

Ah, bueno ... :mrgreen:



Pues a ver si con el SPROCES vemos mas cosas que con el HJT.



Posteanos el sproclog.txt, aunque sea anexandolo :mrgreen: y ya veremos



saludos



ms, 23-1-2009

[msc hotline sat]

Y gracias a otro usuario que me ha hecho acordar que hace poco (una semana), Panda publicó unos ficheros de firma que eliminaban el RPCSS.DLL,



https://foros.zonavirus.com/viewtopic.php?f=5&t=27483



y veo que usas Panda, y como sea que lo de copiar y pegar queda afectado por ello, mira que no sea este tu caso y no tengas el C:\windows\system32\rpcss.dll por habertelo eliminado Panda...



En tal caso, evidentemente vuelve a copiarlo. Hay un link de Panda para ello:


[quote="Panda"]
Abra una ventana de explorador de Windows y pulse doble click en Mi Pc, copiando en la barra de dirección el siguiente enlace:



ftp://Client01:pAN05xfTp.c1@62.14.249.66/container/RPCSS [/quote]

informanos al respecto, gracias



saludos



ms, 23-1-2009

[sportura]

[quote="msc hotline sat"]Y gracias a otro usuario que me ha hecho acordar que hace poco (una semana), Panda publicó unos ficheros de firma que eliminaban el RPCSS.DLL,


[/quote]

Está ha sido la solución.



Muchísimas gracias, si te tuviera cerca te daba un beso :lol:



En serio, estaba desesperado.



Y digo yo, como Panda puede hacer esto y no comunicarlo de otra manera? Yo tengo licencia.........No lo entiendo. Es un tema muy grave........



De nuevo gracias, gracias y mil gracias. :wink:

[msc hotline sat]

Esto nos puede pasar a todos, somos humanos... pero lo que es deseable es que se dé la cara, pero ...





Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 23-1-2009