Al abrir videos me aparece "La memoria no se puede read"

[Cladio_Pitbull]

Buenas, como va?

Mi problema es el siguiente:

Cuanto voy a abrir archivos de video, en el momento que los selecciono, sin siquiera tener que abrirlos, me aparece inmediatamente el siguiente cartel de error:



"explorer.exe - Error de aplicacion



La instruccion en 0X06993ad3 hace referencia a la memoria en Oxffffffff0. La memoria no se puede "read"



Haga clic en Aceptar para finalizar este programa

Haga clic en CANCELAR para depurar el programa"



Esto solo me ocurre con los archivos de video.

Intente buscando en la pagina el mismo error pero creo que la solucion es distinta :?



Les digo mi log



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:45:36, on 18/07/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe

C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe

C:\Archivos de programa\ULi5287\ULi5287.exe

C:\ARCHIV~1\AVG\AVG8\avgtray.exe

C:\Archivos de programa\TaskSwitchXP\TaskSwitchXP.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe

C:\ARCHIV~1\AVG\AVG8\avgwdsvc.exe

C:\Archivos de programa\Ares\Ares.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\ARCHIV~1\AVG\AVG8\avgrsx.exe

C:\ARCHIV~1\AVG\AVG8\avgnsx.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\explorer.exe

C:\Archivos de programa\Windows Media Player\wmplayer.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: FCToolbarURLSearchHook Class - {d85adc0e-d2f6-45f6-b037-941a2c96c4ae} - C:\Archivos de programa\ICN Gaming Bar\Helper.dll

R3 - URLSearchHook: (no name) - - (no file)

O1 - Hosts: 24.173.86.145 http://www.safe.google.com

O1 - Hosts: 24.173.86.145 safe.google.com 24.173.86.145 http://www.safe.google.com

O1 - Hosts: 24.173.86.145 safe.google.com

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Archivos de programa\AVG\AVG8\avgssie.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: FCTBPos00Pos - {8C7ADD44-D01F-4D04-B525-AE372B98AFD2} - C:\Archivos de programa\ICN Gaming Bar\Toolbar.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Archivos de programa\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar.dll

O3 - Toolbar: ICN Gaming Bar - {30BF4CEA-A50C-4947-A685-48D697938BD3} - C:\Archivos de programa\ICN Gaming Bar\Toolbar.dll

O4 - HKLM\..\Run: [SoundMAXPnP] C:\Archivos de programa\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [SoundMAX] "C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [ULiRaid] C:\Archivos de programa\ULi5287\ULi5287.exe

O4 - HKLM\..\Run: [AVG8_TRAY] C:\ARCHIV~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [StartCCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun

O4 - HKLM\..\Run: [WinampAgent] "C:\Archivos de programa\Winamp\winampa.exe"

O4 - HKCU\..\Run: [TaskSwitchXP] C:\Archivos de programa\TaskSwitchXP\TaskSwitchXP.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [kell] C:\program Files\Manson\liser.exe

O4 - HKCU\..\Run: [EPSON Stylus CX5600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICAL.EXE /FU "C:\WINDOWS\TEMP\E_SCA.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')

O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Archivos de programa\AVG\AVG8\avgpp.dll

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Archivos de programa\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O20 - AppInit_DLLs: c:\progra~1\Manson\liser.dll

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\ARCHIV~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: zgtkg3jrsyzdb6wtgw3rh3wahhrjkae80 - Unknown owner - C:\WINDOWS\zgtkg3jrsyzdb6wtgw3rh3wahhrjkae81.exe (file missing)



--

End of file - 9122 bytes





Espero que puedan ayudarme, desde ya, muchas gracias. Perdon si me equivoque con alguna norma del foro pero es que soy nuevo y no me las se del todo.

[msc hotline sat]

Desde luego solo al ver por encima su log, ya salta a la vista la última clave, lanzando un servicio de este fichero tan sospechoso:



C:\WINDOWS\zgtkg3jrsyzdb6wtgw3rh3wahhrjkae81.exe



Aparte mirando mas detenidamente, vemos estas claves sospechosas:



R3 - URLSearchHook: FCToolbarURLSearchHook Class - {d85adc0e-d2f6-45f6-b037-941a2c96c4ae} - C:\Archivos de programa\ICN Gaming Bar\Helper.dll



R3 - URLSearchHook: (no name) - - (no file)



O1 - Hosts: 24.173.86.145 http://www.safe.google.com



O1 - Hosts: 24.173.86.145 safe.google.com 24.173.86.145 http://www.safe.google.com



O1 - Hosts: 24.173.86.145 safe.google.com





que sugerimos elimines.





y envianos estos tres ficheros sospechosos para analizar:



C:\program Files\Manson\liser.exe



C:\Archivos de programa\ICN Gaming Bar\Helper.dll



junto con el que indicabamos al principio



C:\WINDOWS\zgtkg3jrsyzdb6wtgw3rh3wahhrjkae81.exe







[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253





Tras recibirlo/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 19-7-2009

[Cladio_Pitbull]

Gracias por la ayudaaa

Logre borrar el archivo Helper.dll y les envie una muestra..

Pero, perdon mi ignorancia, pero no se como borrar las siguientes claves:

R3 - URLSearchHook: (no name) - - (no file)



O1 - Hosts: 24.173.86.145 http://www.safe.google.com



O1 - Hosts: 24.173.86.145 safe.google.com 24.173.86.145 http://www.safe.google.com



O1 - Hosts: 24.173.86.145 safe.google.com



Y tampoco se como borrar lixer.exe y zgtkg3jrsyzdb6wtgw3rh3wahhrjkae81.exe, es porque voy a las carpetas en donde se encuentra, pero no estan, y eso que en Opciones de carpeta puse para que se vieran los archivos ocultos.

Disculpa mi ignorancia pero es que no se mucho de estos temas :?

[msc hotline sat]

Tal copmo decimos al final del Tema del link indicado:



¿Como enviar las muestras a zonavirus? - Para ello recordar:

viewtopic.php?f=5&t=14253



se lanza el HJT, se escoje la 2ª opcion y se marcan las casillas de la izquierda de las claves que se quieran eliminar, luego se pulsa FIX CHECKED (abajo a la izquierda) y ya está.



y los dos ficheros que no encuentras, quizas se ocultan a través de rootkit...



C:\program Files\Manson\liser.exe

C:\WINDOWS\zgtkg3jrsyzdb6wtgw3rh3wahhrjkae81.exe



Descarga la utilidad ELIMOVER y luego arranca en modo seguro y entra dichas rutas a ver si los encuentra y asi los copia a C:\muestras, desde donde poder enviarnoslos:





ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



Y marcar de paso la casilla inferior izquierda de la ventana de dicha utilidad, para que al fichero original le sea añadida la extension .VIR y asi no pueda lanzarse a partir del siguiente reinicio.





saludos



ms, 19-7-2009

[Cladio_Pitbull]

Por mas k arranque en modo seguro no me aparecen los ficheros con el elimover....

Me dice que son inexistentes.

Ya borre las claves sospechosas... y el problema sigue sin solucionarse

Disculpa las molestias jejeje

[msc hotline sat]

Pues ahí tienes mas informacion del LISER.EXE:



http://www.prevx.com/filenames/X1051571302143410306-X1/LISER.EXE.html



y del otro, incluso con un nombre tan raro que prometía ser aleatorio, tambien está tipificado como malware:



http://www.incodesolutions.com/threats3/Win32Rootzgtkg3jrsyzdb6wtgw3rh3wahhrjkae81exe.php



Aparte de ver mañana lo que encontramos en el fichero que nos has enviado, y probar la utilidad de control que hagamos al respecto (de lo cual informaremos) , podrías lanzar este AV ONLINE a ver qué encuentra y donde, y nos posteas el informe resultante:





http://www.kaspersky.com/kos/english/kavwebscan.html



y seleccionar MY COMPUTER para escanearlo todo. Si no se tiene la version de Java actualizada, a la izquierda de la ventana que presenta dicho acceso, ofrecen link de descarga...



Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia. ms.



[img]http://img.photobucket.com/albums/v666/sUBs/Kas-SaveReport-1.gif[/img]



saludos



ms, 19-7-2009

[msc hotline sat]

Y como sea que he buscado si habiamos recibido antes muestra de este fichero LISER.EXE, que lo recordaba porque segun la fuente se puede confundir con USER.EXE, del sistema operativo, he visto que con el ELISTARA actual controlamos algunas variantes, como la última a partir de la version 19.01:



---v19.01-(13 de Julio del 2009) (Muestras de (2)PWS-OnLineGames.Olhrwef, NaviPromo, DownLoader.Svchost(tmp), Trojan.Agent.BUI "MCICDA32.DLL", Banker.OT "TASK.SCR y EXPLORE.EXE", (2)[b][i][u]PWS-Wowsteal.AO "LISER.EXE[/u][/i][/b] y DLL", (3)AdvancedVirusRemover2009 "AVR09.EXE, WINHELPER.DLL y WINUPDATE.EXE" y AutoRun.CRSSCR)



Descarga la ultima version del ELISTARA y tras probarla, nos posteas el informe resultante:


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]

saludos



ms, 19-7-2009

[Cladio_Pitbull]

Todavia no pude hacer todo lo que me pediste, te voy dejando el INFOSAT de Elistara a ver si te va sirviendo, en un rato hago lo otro

Igual muchas gracias por el compromiso jaja





(19-7-2009 17:39:43 (GMT))

EliStartPage v19.05 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 17 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "\Program Files\Manson"

No detectado Parche MS08-067 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(19-7-2009 17:40:47 (GMT))

EliStartPage v19.05 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 17 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\WINDOWS\system32\CMDOW.EXE --> Eliminado, Tool-HideWindow



Nº Total de Directorios: 3889

Nº Total de Ficheros: 35012

Nº de Ficheros Analizados: 10019

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1

[msc hotline sat]

Pues al respecto recordarte que debes lanzar un windowsupdate para actualizar parches, especialmente instalar el MS08-067 para evitar el Conficker, y por si ya hubiera entrado por su falta, prueba el COMPROBADOR.EXE y dinos los logos que ves en la primera fila:



DESCARGA COMPROBADOR.EXE

http://www.zonavirus.com/descargas/comprobador.asp



saludos



ms, 20-7-2009

[Cladio_Pitbull]

Monday, July 20, 2009

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Monday, July 20, 2009 10:09:21

Records in database: 2499168





Scan settings

Scan using the following database extended

Scan archives yes

Scan mail databases yes



Scan area My Computer

A:\

C:\

D:\

E:\



Scan statistics

Files scanned 176745

Threat name 4

Infected objects 6

Suspicious objects 0

Duration of the scan 04:52:09



File name Threat name Threats count

E:\Documents and Settings\Lucas\Configuración local\Archivos temporales de Internet\Content.IE5\0CQXFL94\mark[1].htm Infected: Trojan-Downloader.JS.LuckySploit.e 1



E:\Documents and Settings\Lucas\Configuración local\Archivos temporales de Internet\Content.IE5\7VVHNDYI\island-honey-gets-a-mouthful[1].htm Infected: Trojan.JS.Agent.hg 1



E:\Documents and Settings\Lucas\Configuración local\Archivos temporales de Internet\Content.IE5\DR739D8A\fuck-her-ass-and-see-her-cunt-squirt[1].htm Infected: Trojan.JS.Agent.hg 1



E:\Documents and Settings\Lucas\Datos de programa\Sun\Java\Deployment\cache\6.0\18\23c70f92-5b86d543 Infected: Trojan-Downloader.Java.OpenConnection.ap 1



E:\Documents and Settings\Lucas\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\adRT.jar-4a3bd2f-3aa9e9ba.zip Infected: Trojan-Downloader.Java.OpenConnection.ap 1







E:\RECYCLER\S-1-5-21-1935655697-1229272821-839522115-1003\Dc1.exe Infected: Trojan.Win32.Monder.gen 1



The selected area was scanned.





Ahora hago lo del comprobadorexe y te digo

[Cladio_Pitbull]

No me aparecio ningun logo...

Q hago ahora?

[lucl]

Envianos todos los archivos infectados que te ha localizado el kapersky para analizarlos. En cuanto lo analizen te diran algo. En cuanto a lo del comprobador es un poco raro que no te salga ninguno. Repite a ver si ahora te sale alguno y nos comentas. Porque en caso de que no te salga ninguno el mismo comprobador sugiere que se revise la conexion a internet. Saludos

[msc hotline sat]

No se ve ni el logo de SATINFO ??? y puede navegar y postearnos estos post ??? RARO RARO !!!



Confirmenoslo, y vea si puede entrar en www.satinfo.es , gracias



saludos



ms, 21-7-2009