PC internet muy lento

[carlos20071]

Saludos al foro



Desde ayer el portatil me va muy muy despacio, solo en internet, he pasado el Norman antivirus, ad-aware y malwarebytes pero no detecta nada. Para entrar a una pagina web necesita al menos 4 minutos, entrar aqui a costado 7 minutos.

¿Posible virus, troyano? He notado una ligerisima mejoria al apagar y encender el router y desconectar la linea telefonica, pero apuesto mas que es un virus.

Gracias



He aqui el log:





Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:38:53, on 24/07/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Norman\Npm\Bin\Elogsvc.exe

C:\Archivos de programa\Norman\Npm\Bin\Zanda.exe

C:\WINDOWS\system32\acs.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\archivos de programa\archivos comunes\logishrd\lvmvfm\LVPrcSrv.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Norman\Npm\bin\NJEEVES.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Logitech\QuickCam10\QuickCam10.exe

C:\Archivos de programa\Archivos comunes\LogiShrd\LComMgr\Communications_Helper.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Archivos de programa\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Archivos de programa\802.11 WLAN\ACU.exe

C:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe

C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

C:\Archivos de programa\Norman\Npm\bin\ZLH.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Apoint2K\Apntex.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Archivos de programa\Archivos comunes\LogiShrd\LComMgr\LVComSX.exe

C:\Archivos de programa\Archivos comunes\Logishrd\LQCVFX\COCIManager.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Norman\nse\bin\NSESVC.EXE

C:\Archivos de programa\Norman\Nvc\BIN\NIP.EXE

C:\Archivos de programa\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Archivos de programa\Norman\Nvc\bin\nvcoas.exe

C:\Archivos de programa\Norman\Nvc\bin\cclaw.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\C_Esco\Configuración local\Archivos temporales de Internet\Content.IE5\R940KNW5\HiJackThis[1].exe

C:\WINDOWS\system32\wbem\wmiprvse.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O4 - HKLM\..\Run: [soundman] SOUNDMAN.EXE

O4 - HKLM\..\Run: [quicktime task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [powermanager] C:\Archivos de programa\Power Manager\PM.exe

O4 - HKLM\..\Run: [logitechquickcamribbon] "C:\Archivos de programa\Logitech\QuickCam10\QuickCam10.exe" /hide

O4 - HKLM\..\Run: [logitechcommunicationsmanager] "C:\Archivos de programa\Archivos comunes\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [ituneshelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [hotkeyscmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [apoint] C:\Archivos de programa\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [agrsmmsg] AGRSMMSG.exe

O4 - HKLM\..\Run: [acu] "C:\Archivos de programa\802.11 WLAN\ACU.exe" -nogui

O4 - HKLM\..\Run: [acronis true image monitor] "C:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [acronis scheduler2 service] "C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [acrobat assistant 7.0] "C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [Norman ZANDA] "C:\Archivos de programa\Norman\Npm\bin\ZLH.EXE" /LOAD /SPLASH

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: @C:\Archivos de programa\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: @C:\Archivos de programa\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Archivos de programa\Yahoo!\Common\Yinsthelper200711281.dll

O16 - DPF: {56762dec-6b0d-4ab4-a8ad-989993b5d08b} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6e32070a-766d-4ee6-879c-dc1fa91d2fc3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1241727534692

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: 802.11 WLAN Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Unknown owner - C:\Archivos de programa\Ares\chatServer.exe (file missing)

O23 - Service: Servicio de transferencia inteligente en segundo plano (BITS) - Unknown owner - C:\WINDOWS\

O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: Cliente DNS Dnscacheaspnet_state (dnscacheaspnet_state) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: Norman eLogger service 6 (eloggersvc6) - Norman ASA - C:\Archivos de programa\Norman\Npm\Bin\Elogsvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\archivos de programa\archivos comunes\logishrd\lvmvfm\LVPrcSrv.exe

O23 - Service: Process Monitor LVPrcSrvdmserver (LVPrcSrvdmserver) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Archivos de programa\Archivos comunes\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: Inicio de sesión en red NetlogonSchedule (NetlogonSchedule) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)

O23 - Service: Norman NJeeves (norman njeeves) - Norman ASA - C:\Archivos de programa\Norman\Npm\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA (norman zanda) - Norman ASA - C:\Archivos de programa\Norman\Npm\Bin\Zanda.exe

O23 - Service: Norman Scanner Engine Service (nsesvc) - Norman ASA - C:\Archivos de programa\Norman\nse\bin\NSESVC.EXE

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Archivos de programa\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (nvcscheduler) - Norman ASA - C:\Archivos de programa\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: Sistema de alimentación ininterrumpida UPS Mobile Device (UPS Mobile Device) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: Servicio del número de serie de medio portátil WmdmPmSNWmiApSrv (WmdmPmSNWmiApSrv) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)

O23 - Service: Actualizaciones automáticas (wuauserv) - Unknown owner - C:\WINDOWS\



--

End of file - 11354 bytes

[lucl]

Prueba estos dos antitrojanos que te indico y peganos el log que te dejaran en C infosat.txt saludos





http://www.zonavirus.com/descargas/elistara.asp



http://www.zonavirus.com/descargas/elitriip.asp

[carlos20071]

Aqui estan los logs:





(24-7-2009 23:24:19 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5416

Nº Total de Ficheros: 81860

Nº de Ficheros Analizados: 18255

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0









(24-7-2009 23:05:20) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5418

Nº Total de Ficheros: 82026

Nº de Ficheros Analizados: 17063

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[msc hotline sat]

No vemos la primera parte de los procesos, el analisis por accion directa de ambas utilidades.



Postea el c:\infosat.txt completo y ademas prueba el SPROCES (es mas exhaustivo que el HJT, a ver si vemos algo mas) y nos posteas el informe resultante, gracias


[quote="msc escribió"]
[b]SPROCES.EXE[/b] (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Y tras pulsar en SALIR, posteanos el contenido del C:\SPROCLOG.TXT [/quote]
lo analizaremos e informaremos al respecto.



Justamente necesitamos mas informacion sobre el O17 , del que nada dice este HJT, ya que nos tememos que este marrano que tuviste, te haya hecho modificaciones en los DDNS server:



http://www.prevx.com/filenames/X3611131603703229490-X1/ADSNWZ.EXE.html



saludos



ms, 25-7-2009







NOTA: y mira si con el ELIMOVER puedes encontrar y copiar este fichero a c:\muestras, desde donde poder enviarnoslo https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



C:\WINDOWS\system32\adsmsextg.vir.exe



y marca la casilla inferior izquierda para que se añada .VIR al final , no en medio, pues tal como está ahora sigue siendo ejecutable !!!



ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



ms.

[carlos20071]

Por ser demasiado grandes y no me deja pegarlos aqui los log de elistart , elitriip, y sprolog los he mandado como "envio de muestras".



Con elimover he intentado buscar y copiar el fichero para enviar pero dice que no existe ese fichero.



Por supuesto que esta desactivado mostrar archivos y carpetas ocultos, archivos protegidos y extensiones de archivos .



Espero instrucciones. Un saludo.

[lucl]

A ver los logs si los envias como muestras van derechos a la papelera. Pegalos aqui como respuesta al tema, si lo que tienes es muchas lineas que empiezan por



127.0.0. etc omitelas pues no nos interesan Y asi veremos el resto, saludos.

[carlos20071]

Pego el log de Elitriip sin las lineas 127:





--------------------------------------------------







(25-7-2009 9:15:51) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



(25-7-2009 9:16:00) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5415

Nº Total de Ficheros: 81884

Nº de Ficheros Analizados: 17051

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





El log de Elistar sin lineas 127:







(25-7-2009 8:51:18 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE



(25-7-2009 8:51:28 (GMT))

EliStartPage v19.10 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 5415

Nº Total de Ficheros: 81876

Nº de Ficheros Analizados: 18256

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





Y el de Sprolog con lineas 127 cortadas:



2 GMT)

SProces v3.9 (c)2009 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 3

Parche MS08-067 (Servicio Servidor) Instalado.

Internet Explorer: (v8.0.6001.18702) 0

Nombre Equipo: CARLOS

Nombre Usuario: C_Esco



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\CSRSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NPM\BIN\ELOGSVC.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NPM\BIN\ZANDA.EXE

C:\WINDOWS\SYSTEM32\ACS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SPOOLSV.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LOGISHRD\LVMVFM\LVPRCSRV.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDUL2.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\APPLE\MOBILE DEVICE SUPPORT\BIN\APPLEMOBILEDEVICESERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\BONJOUR\MDNSRESPONDER.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\MICROSOFT SHARED\VS7DEBUG\MDM.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NPM\BIN\NJEEVES.EXE

C:\WINDOWS\SYSTEM32\ALG.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NSE\BIN\NSESVC.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\ARCHIVOS DE PROGRAMA\LOGITECH\QUICKCAM10\QUICKCAM10.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LOGISHRD\LCOMMGR\COMMUNICATIONS_HELPER.EXE

C:\ARCHIVOS DE PROGRAMA\ITUNES\ITUNESHELPER.EXE

C:\WINDOWS\SYSTEM32\IGFXTRAY.EXE

C:\WINDOWS\SYSTEM32\HKCMD.EXE

C:\ARCHIVOS DE PROGRAMA\APOINT2K\APOINT.EXE

C:\WINDOWS\AGRSMMSG.EXE

C:\ARCHIVOS DE PROGRAMA\802.11 WLAN\ACU.EXE

C:\ARCHIVOS DE PROGRAMA\ACRONIS\TRUEIMAGE\TRUEIMAGEMONITOR.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\ACRONIS\SCHEDULE2\SCHEDHLP.EXE

C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 7.0\DISTILLR\ACROTRAY.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NPM\BIN\ZLH.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE

C:\ARCHIVOS DE PROGRAMA\IPOD\BIN\IPODSERVICE.EXE

C:\ARCHIVOS DE PROGRAMA\APOINT2K\APNTEX.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LOGISHRD\LCOMMGR\LVCOMSX.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NVC\BIN\NVCSCHED.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NVC\BIN\NVCOAS.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NVC\BIN\NIP.EXE

C:\ARCHIVOS DE PROGRAMA\NORMAN\NVC\BIN\CCLAW.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\LOGISHRD\LQCVFX\COCIMANAGER.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\DOCUMENTS AND SETTINGS\C_ESCO\MIS DOCUMENTOS\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local (0)

R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O1 - Hosts: 127.0.0.1 http://www.007guard.com

O1 - Hosts: 127.0.0.1 007guard.com

O1 - Hosts: 127.0.0.1 008i.com

O1 - Hosts: 127.0.0.1 http://www.008k.com

O1 - Hosts: 127.0.0.1 008k.com

O1 - Hosts: 127.0.0.1 http://www.00hq.com

O1 - Hosts: 127.0.0.1 00hq.com

O1 - Hosts: 127.0.0.1 010402.com

O1 - Hosts: 127.0.0.1 http://www.032439.com

O1 - Hosts: 127.0.0.1 032439.com

O1 - Hosts: 127.0.0.1 http://www.100888290cs.com

O1 - Hosts: 127.0.0.1 100888290cs.com

O1 - Hosts: 127.0.0.1 http://www.100sexlinks.com

O1 - Hosts: 127.0.0.1 100sexlinks.com

O1 - Hosts: 127.0.0.1 http://www.10sek.com

O1 - Hosts: 127.0.0.1 10sek.com

O1 - Hosts: 127.0.0.1 http://www.123topsearch.com

O1 - Hosts: 127.0.0.1 123topsearch.com

O1 - Hosts: 127.0.0.1 http://www.132.com

O1 - Hosts: 127.0.0.1 132.com

O1 - Hosts: 127.0.0.1 http://www.136136.net

O1 - Hosts: 127.0.0.1 136136.net

O1 - Hosts: 127.0.0.1 http://www.163ns.com

O1 - Hosts: 127.0.0.1 163ns.com

O1 - Hosts: 127.0.0.1 171203.com

O1 - Hosts: 127.0.0.1 17-plus.com

O1 - Hosts: 127.0.0.1 spytech-web.com

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [soundman] SOUNDMAN.EXE

O4 - HKLM\..\Run: [quicktime task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [powermanager] C:\Archivos de programa\Power Manager\PM.exe

O4 - HKLM\..\Run: [logitechquickcamribbon] "C:\Archivos de programa\Logitech\QuickCam10\QuickCam10.exe" /hide

O4 - HKLM\..\Run: [logitechcommunicationsmanager] "C:\Archivos de programa\Archivos comunes\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [ituneshelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [hotkeyscmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [apoint] C:\Archivos de programa\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [agrsmmsg] AGRSMMSG.exe

O4 - HKLM\..\Run: [acu] "C:\Archivos de programa\802.11 WLAN\ACU.exe" -nogui

O4 - HKLM\..\Run: [acronis true image monitor] "C:\Archivos de programa\Acronis\TrueImage\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [acronis scheduler2 service] "C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [acrobat assistant 7.0] "C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [Norman ZANDA] "C:\Archivos de programa\Norman\Npm\bin\ZLH.EXE" /LOAD /SPLASH

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - Startup: desktop.ini

O4 - Global Startup: desktop.ini

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk

O4 - Global Startup: Microsoft Office.lnk

O4 - Global Startup: WinZip Quick Pick.lnk

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: @C:\Archivos de programa\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Archivos de programa\Yahoo!\Common\Yinsthelper200711281.dll

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc2.cab

O16 - DPF: {56762dec-6b0d-4ab4-a8ad-989993b5d08b} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab

O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6e32070a-766d-4ee6-879c-dc1fa91d2fc3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1241727534692

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: cdo - {CD00020A-8B95-11D1-82DB-00C04FB1625D} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Web Folders\PKMCDO.DLL

O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Information Retrieval\MSITSS.DLL

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O20 - Winlogon Notify: DIMSNTFY - %SYSTEMROOT%\SYSTEM32\DIMSNTFY.DLL

O20 - Winlogon Notify: IGFXCUI - IGFXSRVC.DLL

O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\system32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Archivos de programa\Archivos comunes\Acronis\Schedule2\schedul2.exe

O23 - Service: 802.11 WLAN Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

**O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: Cliente DNS Dnscacheaspnet_state (dnscacheaspnet_state) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: Norman eLogger service 6 (eloggersvc6) - Norman ASA - C:\Archivos de programa\Norman\Npm\Bin\Elogsvc.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\archivos de programa\archivos comunes\logishrd\lvmvfm\LVPrcSrv.exe

O23 - Service: Process Monitor LVPrcSrvdmserver (LVPrcSrvdmserver) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Archivos de programa\Archivos comunes\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: AEGIS Protocol (IEEE 802.1x) v2.3.1.10 (MDC8021X) - Meetinghouse Data Communications - C:\WINDOWS\SYSTEM32\DRIVERS\mdc8021x.sys

O23 - Service: Ndiskio (ndiskio) - Norman ASA - C:\Archivos de programa\Norman\Nse\bin\NDISKIO.SYS

O23 - Service: Inicio de sesión en red NetlogonSchedule (NetlogonSchedule) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)

O23 - Service: Norman ZANDA (norman zanda) - Norman ASA - C:\Archivos de programa\Norman\Npm\Bin\Zanda.exe

**O23 - Service: Llamada a procedimiento remoto (RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: Acronis TrueImage FS Filter (tifsfilter) - Acronis - C:\WINDOWS\SYSTEM32\DRIVERS\tifsfilt.sys

O23 - Service: Sistema de alimentación ininterrumpida UPS Mobile Device (UPS Mobile Device) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)

O23 - Service: WIBU-KEY Kernel Driver (WIBUKEY) - WIBU-SYSTEMS AG - C:\WINDOWS\SYSTEM32\DRIVERS\WibuKey.sys

O23 - Service: Servicio del número de serie de medio portátil WmdmPmSNWmiApSrv (WmdmPmSNWmiApSrv) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: Agere Systems Soft Modem (AgereSoftModem) - Agere Systems - C:\WINDOWS\SYSTEM32\DRIVERS\AGRSM.sys

O23 - Service: Service for Realtek AC97 Audio (WDM) (ALCXWDM) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\ALCXWDM.SYS

O23 - Service: Alps Pointing-device Filter Driver (ApfiltrService) - Alps Electric Co., Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\Apfiltr.sys

O23 - Service: 802.11 WLAN USB Wireless Network Adapter Service (AR5523) - WLAN Communications, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ar5523.sys

O23 - Service: Ares Chatroom server (AresChatServer) - Unknown owner - C:\Archivos de programa\Ares\chatServer.exe (file missing)

O23 - Service: WLAN USB Wireless Adapter Bootloader driver (ATHFMWDL) - Windows (R) 2000 DDK provider - C:\WINDOWS\SYSTEM32\Drivers\ATHFMWDL.sys

O23 - Service: Broadcom 440x 10/100 Integrated Controller XP Driver (bcm4sbxp) - Broadcom Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\bcm4sbxp.sys

**O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: ENE Keyboard Controller (EKBfltr) - EnE Technology Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\EKBfltr.sys

O23 - Service: UVC Filter Service (FilterService) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\lvuvcflt.sys

O23 - Service: GEAR ASPI Filter Driver (GEARAspiWDM) - GEAR Software Inc. - C:\WINDOWS\SYSTEM32\Drivers\GEARAspiWDM.sys

O23 - Service: GTNDIS5 NDIS Protocol Driver (GTNDIS5) - Printing Communications Assoc., Inc. (PCAUSA) - C:\WINDOWS\system32\GTNDIS5.SYS

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ialm - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\ialmnt5.sys

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Logitech AEC Driver (LVcKap) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\LVcKap.sys

O23 - Service: Logitech Machine Vision Engine Loader (LVMVDrv) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\LVMVDrv.sys

O23 - Service: Logitech POP Suppression Filter (lvpopflt) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\lvpopflt.sys

O23 - Service: Logitech LVPr2Mon Driver (LVPr2Mon) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\LVPr2Mon.sys

O23 - Service: Logitech USB Monitor Filter (LVUSBSta) - Logitech Inc. - C:\WINDOWS\SYSTEM32\drivers\LVUSBSta.sys

O23 - Service: QuickCam for Notebooks Deluxe(UVC) (LVUVC) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\lvuvc.sys

O23 - Service: Norman NJeeves (norman njeeves) - Norman ASA - C:\Archivos de programa\Norman\Npm\bin\NJEEVES.EXE

O23 - Service: Norman Scanner Engine Service (nsesvc) - Norman ASA - C:\Archivos de programa\Norman\nse\bin\NSESVC.EXE

O23 - Service: NvcMFlt (nvcmflt) - Norman ASA - C:\WINDOWS\SYSTEM32\DRIVERS\nvcw32mf.sys

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Archivos de programa\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (nvcscheduler) - Norman ASA - C:\Archivos de programa\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: Low level access layer for CD devices (Pcouffin) - Unknown owner - C:\WINDOWS\SYSTEM32\Drivers\Pcouffin.sys (file missing)

O23 - Service: Padus ASPI Shell (Pfc) - Padus, Inc. - C:\WINDOWS\SYSTEM32\drivers\pfc.sys

O23 - Service: 802.11a/g USB Driver (PRISM_A02) - Cisco-Linksys, LLC. - C:\WINDOWS\SYSTEM32\DRIVERS\WUSB20XP.sys

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: Secdrv - Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K. - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys

*O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)

O23 - Service: tifm21 - Texas Instruments - C:\WINDOWS\SYSTEM32\drivers\tifm21.sys

O23 - Service: Controlador del adaptador Intel(R) PRO/Wireless 2200 para Windows XP (w22n51) - Intel® Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\w22n51.sys

O23 - Service: WINIO - Unknown owner - C:\Archivos de programa\Power Manager\winio.sys (file missing)



Listado de Servicios (Deshabilitados):

--------------------------------------

**O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys

**O23 - Service: dmio - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmio.sys

**O23 - Service: dmload - Microsoft Corp., Veritas Software. - C:\WINDOWS\SYSTEM32\drivers\dmload.sys

O23 - Service: dwshd - Unknown owner - C:\WINDOWS\System32\drivers\dwshd.sys (file missing)



59 Servicios.

19 de Carga Automatica.

36 de Carga Manual.

4 Deshabilitados.





HE INTENTADO DE NUEVO BUSCAR EL FICHERO EN MODO SEGURO Y SIGUE DICIENDO QUE NO EXISTE ESE FICHERO. uN SALUDO

[msc hotline sat]

Pues eliminando la clave del servicio evitaremos que se cargue:



O23 - Service: Sistema de alimentación ininterrumpida UPS Mobile Device (UPS Mobile Device) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)







baja el ELISERV e introduce [b][i]Sistema de alimentación ininterrumpida UPS Mobile Device[/i][/b] , con ello espero que la eliminaremos y tras reiniciar ya ni se cargará ni aparecerá



Si tras ello puedes ver y enviarnos el fichero indicado para analizar, mucho mejor



saludos



ms, 25-7-2009









NOTA:



ELISERV:

http://www.zonavirus.com/datos/descargas/273/eliservexe.asp



ms.

[carlos20071]

Descargado eliserv, introducido texto y da mensaje de no encontrado.









[url=http://img249.imageshack.us/i/dibujoqsb.jpg/][img=http://img249.imageshack.us/img249/8010/dibujoqsb.th.jpg][/url]

[msc hotline sat]

Hay un espacio despues de la frase del servicio en cuestion, mira de repetir la búsqueda que sin el espacio despues de Device:



Sistema de alimentación ininterrumpida UPS Mobile Device



Estando en el log, debería encontrarlo y poderlo eliminar.



y revisando sus informes, no sé porqué faltan datos en la información de las acciones directas de nuestras utilidades. No es normal el texto que ha posteado, tanto si detecta determinados parches como si no, lo indica, y en su caso no lo vemos, por lo tanto conviene que lance un windowsupdate a ver si detecta parches pendientes y en tal caso los instala.



saludos



ms, 26-7-2009







NOTA: La líneas de redireccionamiento del HOST (127.0.0.1) dan igual ya que solo impiden acceder a dicha URL, lo cual debe haber hecho alguna utilidad protectora, aunque podrían eliminarse, no creo que afecten. ms-

[carlos20071]

Por fin, eliminado:







(25-7-2009 9:35:53) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



Sun Jul 26 11:09:12 2009

EliServicios v1.1 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------------

Servicio Eliminado.

O23 - Service: Sistema de alimentación ininterrumpida UPS Mobile Device (UPS Mobile Device) - C:\WINDOWS\system32\adsmsextg.vir.exe srv







Respecto a hacer un windowsupdate, he entrado en la pagina de windows microsoft para comprobar si dispongo la version mas reciente de software y me da error 0x80070002, asi que no lo puedo saber, ni siquiera puedo hacer actualizaciones manuales. ¿Estare sin actualizaciones? Este error tratare de resolverlo a traves de Microsoft , ya que tienen un servicio de ayuda para actualizaciones.



Gracias

[msc hotline sat]

Sí, algo raro notamos en los logs de accion directa, como ya indicamos...



Es muy adecuado lo que indica de consultar on Microsoft al respecto, igual no tienen correctamente registrada su licencia de windows y ello impide sus actualizaciones. Esperamos lo aclare y lo resuelva.



Aparte, elimine temporales y cookies de Internet, desde Herramientas -> OPciones de Internet, y diganos si tras ello u eliminar el servicio como indica en su último post, persiste el problema o se ha solucionado, gracias



saludos



ms, 26-7-2009

[carlos20071]

Eliminadas cookies y archivos temporales.





He reiniciado, se nota cierta mejoria pero tarda medio minuto hasta que aparece la pagina de google, busco una pagina web y tarda sobre unos 20 segundos en buscarla, una vez que aparece esta pagina puede tardar unos 2 minutos en cargarla toda.

En la pagina del servicio de windows a tardado sobre unos 5 minutos hasta poder utilizarla.



He apagado router y conexion telefonica y otra vez lo he encendido.

Detecto tambien que se enciende el ventilador cada vez que se entra a una pagina, cosa que antes no hacia.

Quizas deberia solucionar primero el windowsupdate.

Un saludo

[msc hotline sat]

Pues vamos a hacer lo mismo que hiciste con el ELISERV con el servicio que ya has eliminado, pero con estos otros tres:



O23 - Service: Cliente DNS Dnscacheaspnet_state (dnscacheaspnet_state) - Unknown owner - C:\WINDOWS\system32\adsmsextg.vir.exe (file missing)



O23 - Service: Inicio de sesión en red NetlogonSchedule (NetlogonSchedule) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)



O23 - Service: Servicio del número de serie de medio portátil WmdmPmSNWmiApSrv (WmdmPmSNWmiApSrv) - Unknown owner - C:\WINDOWS\system32\adsmsextg.exe (file missing)







Para ello prueba el ELISERV entrando respectivamente estos servicios:



[b][i]Cliente DNS Dnscacheaspnet_state



Inicio de sesión en red NetlogonSchedule



Servicio del número de serie de medio portátil WmdmPmSNWmiApSrv[/i][/b]





Es algo muy raro y atípico, pero visto que el primer servicio indicado lo hemos podido eliminar, haga lo mismo con los otros tres indicados, y tras hacerlo, reinicie y comentenos el resultado, gracias





Por otro lado envianos muestra de este fichero sospechoso para analizar:



[b][i]C:\WINDOWS\system32\GTNDIS5.SYS[/i][/b]



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



y acto seguido añade .VIR a su extension, para que tras reiniciar ya no se ponga en marcha, a ver si asi detenemos las anomalías, aunque solo sea provisional hasta que lo hayamos analizado y controlado.



Tras recibirlo/s, lo/s analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos





saludos



ms, 26-7-2009

[msc hotline sat]

He mirado el historico del foro y he encontrado que hace 2 meses ya nos enviaron una muestra de un fichero con el mismo nombre y que ningun antivirus del VirusTotal detectó nada en él:



File GTNDIS5.sys received on 2009.05.29 08:33:40 (UTC)



Result: 0/39 (0%)



Antivirus Version Last Update Result

a-squared 4.0.0.101 2009.05.29 -

AhnLab-V3 5.0.0.2 2009.05.29 -

AntiVir 7.9.0.180 2009.05.28 -

Antiy-AVL 2.0.3.1 2009.05.27 -

Authentium 5.1.2.4 2009.05.29 -

Avast 4.8.1335.0 2009.05.29 -

AVG 8.5.0.339 2009.05.28 -

BitDefender 7.2 2009.05.29 -

CAT-QuickHeal 10.00 2009.05.29 -

ClamAV 0.94.1 2009.05.29 -

Comodo 1211 2009.05.28 -

DrWeb 5.0.0.12182 2009.05.29 -

eSafe 7.0.17.0 2009.05.27 -

eTrust-Vet 31.6.6527 2009.05.29 -

F-Prot 4.4.4.56 2009.05.29 -

F-Secure 8.0.14470.0 2009.05.29 -

Fortinet 3.117.0.0 2009.05.29 -

GData 19 2009.05.29 -

Ikarus T3.1.1.57.0 2009.05.29 -

K7AntiVirus 7.10.748 2009.05.28 -

Kaspersky 7.0.0.125 2009.05.29 -

McAfee 5629 2009.05.28 -

McAfee+Artemis 5629 2009.05.28 -

McAfee-GW-Edition 6.7.6 2009.05.28 -

Microsoft 1.4701 2009.05.29 -

NOD32 4114 2009.05.29 -

Norman 6.01.05 2009.05.28 -

nProtect 2009.1.8.0 2009.05.29 -

Panda 10.0.0.14 2009.05.29 -

PCTools 4.4.2.0 2009.05.21 -

Prevx 3.0 2009.05.29 -

Rising 21.31.21.00 2009.05.27 -

Sophos 4.42.0 2009.05.29 -

Sunbelt 3.2.1858.2 2009.05.29 -

Symantec 1.4.4.12 2009.05.29 -

TheHacker 6.3.4.3.334 2009.05.29 -

TrendMicro 8.950.0.1092 2009.05.29 -

VBA32 3.12.10.6 2009.05.27 -

ViRobot 2009.5.29.1760 2009.05.29 -

Additional information

File size: 15872 bytes

MD5...: fc80052194d5708254a346568f0e77c0

SHA1..: 1273fb46ac7b1e837a18407c61eb7d5f910df5d3



Cuando nos envie la suya, veremos si se trata del mismo fichero... y si ahora alguno detecta algo, pero en cualquier caso, como sospechoso que es, bien irá el haberle añadido la indicada extension .VIR



Parece que tiene algo desconocido y muy escurridizo, a ver si podemos con ello.



saludos



ms, 26.7.2009







NOTA: Y si tuviera problemas en encontrarlo, como que podría tratarse de un Rootkit, mire de localizarlo y añadir .VIR a su extension habiendo arrancando en modo seguro, asi luego en modo normal ya no se cargará. ms.

[msc hotline sat]

Para carlos20071



Los informes, log y txt no deben enviarse como muestras, sino postearlos en el foro, con un copiar y pegar:





https://foros.zonavirus.com/viewtopic.php?f=1&t=17488



Se han recibido informes de dicho tipo en la cuenta habilitada para el envio de muestras, por lo que se ha rechazado,



Las lineas de redireccionamiento del HOST, las que empiezan por 01-Host 127.0.0.1 ... puede eliminarlas, en este caso, de todos sus informes, pues son creadas por el Spybot, e incordian mas que otra cosa.



A la vista de los resultados, como respuesta a este Tema, obraremos en consecuencia



saludos



ms, 27-7-2009

[msc hotline sat]

Y revisando el Tema desde el principio me he dado cuenta que dice:



"[b][i]Desde ayer el portatil me va muy muy [/i][/b]"



Entonces tiene una solucion alternativa, que es restaurar sistema a un punto anterior, por ejemplo anteayer ...



Si tiene creado un punto de restauracion al efecto, aprovéchelo, es lo mejor !



saludos



ms, 27-7-2009

[carlos20071]

Esto ya es otra cosa, ya funciona normalmente. Lo unico que sigue arrancando el ventilador cada vez que entro en una pagina web.



Lo primero que hice, cuando note la ralentizacion, fue restaurar el sistema pero no se noto ninguna mejoria. Otras veces que he tenido algun problema si que ha dado resultado.

Ya he enviado la muestra que me pidieron

Gracias.



Estos son los log de elimover:





(25-7-2009 9:35:53) (GMT)

EliTriIP v5.97 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 20 de Julio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



Sun Jul 26 11:09:12 2009

EliServicios v1.1 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------------

Servicio Eliminado.

O23 - Service: Sistema de alimentación ininterrumpida UPS Mobile Device (UPS Mobile Device) - C:\WINDOWS\system32\adsmsextg.vir.exe srv



Mon Jul 27 18:22:40 2009

EliServicios v1.1 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------------

Servicio Eliminado.

O23 - Service: Cliente DNS Dnscacheaspnet_state (dnscacheaspnet_state) - C:\WINDOWS\system32\adsmsextg.vir.exe srv



Mon Jul 27 18:24:38 2009

EliServicios v1.1 (c)2008 S.G.H. / Satinfo S.L.

------------------------------------------------

Servicio Eliminado.

O23 - Service: Inicio de sesión en red NetlogonSchedule (NetlogonSchedule) - C:\WINDOWS\system32\adsmsextg.exe srv

Servicio Eliminado.

O23 - Service: Servicio del número de serie de medio portátil WmdmPmSNWmiApSrv (WmdmPmSNWmiApSrv) - C:\WINDOWS\system32\adsmsextg.exe srv



Un saludo

[msc hotline sat]

Pues parece que hemos acertado con estos servicios... no eran normales, y menos que todos ellos utilizaran el mismo fichero, que supongo nos has enviado para analizar. Mañana lo veremos



Y sobre la puesta en marcha del ventilador cuando entras en webs, posiblemente sea por la mayor temperatura alcanzada al trabajar mas el procesador al abrir una imagen gráfica de cierta resolucion, esto puede ser normal, especialmente estos dias de mas calor, en los que conviene refrigerar la mayor temperatura alcanzada por los semiconductores.



Cuando hayamos analizado la muestra que dices habernos enviado, informaremos



saludos



ms, 27-7-2009

ref SP/MD+40.40-3.68

[carlos20071]

Gracias. Quedo a la espera de sus instrucciones.

[msc hotline sat]

Pues mañana a la vuelta al trabajo en Satinfo , analizaremos la muestra e informaremos



saludos



ms, 27-7-2009

[msc hotline sat]

El fichero recibido es el mismo que el que ya indicamos anteriormente:



Nombre Archivo : GTNDIS5.SYS.vir Muestra EliMover v1.1

Tamaño Archivo : 15872 byte

Tipo Archivo : PE32 executable for MS Windows (native) Intel 80386 32-bit

MD5 : fc80052194d5708254a346568f0e77c0

SHA1 : 1273fb46ac7b1e837a18407c61eb7d5f910df5d3





y que he constatado que fue enviado por el mismo usuario, asi que si ha pasado unos meses si ninguna anomalia, no parece que pueda ser el culpable...



De todas formas ahora está renombrado a .VIR, asi que fuera lo que fuera, no molesta.



En cambio pediamos muestra de otro que no hemos recibido:



C:\WINDOWS\system32\adsmsextg.vir.exe



y este aun termina en .EXE, asi que aun que hubiera por medio la extension .VIR, como que la última es la que vale, este sí que estaba en proceso hasta que hemos eliminado las claves de servicios.



Así que mira si encuentras este otro:



C:\WINDOWS\system32\adsmsextg.vir.exe



Interesaría analizarlo para poder controlarlo, especialmente si al haber eliminado las claves de servicio que lo lanzaban, han dejadpo de molestar...



Mira si lo encuentras, sino prueba con el ELIMOVER y si lo encuentras nos lo envias para analizar, de lo cuql informaremos



saludos



ms, 28-7-2009

[carlos20071]

He buscado con elimover y no encuentra el fichero que piden. Incluso visualmente no lo he encontrado, lo mas parecido es adsmsext.dll. Lo he intentado tambien en modo seguro.

Esta activada la opcion de mostrar carpetas y archivos ocultos y desmarcado ocultar archivos protegidos por el SO.



De todas maneras ahora el funcionamiento del ordenador es perfecto.



Un saludo.

[msc hotline sat]

Pues si lo hemos logrado al desinstalar estos servicios, logicamente el fichero estaba interviniendo...



Hay muchas maneras de ocultarlo, con atributos del fichero, con privilegios de NT, con rootkits (incluso desde el MBR), etc, y en el ultimo caso, aun arrancando en modo seguro persiste la ocultacion...



Aparte de que el Tema se haya solucionado, si quiere ayudarnos, y ayudarse con lo que podamos descubrir, arranque con el CD de instalacion, pulse R para entrar en consola de Recuperacion y en dicho modo mire si localiza el fichero cin un



DIR adsmsext*.*.* /a /s y si lo encuentra, diganoslo y envienoslo para analizar.



Sino, nos lo dice y daremos por finalizado el Tema, aunque nos extrañe que se haya solucionado eliminando un servicio del que no existe el fichero ... ???



Esperamos sus noticias



saludos



ms, 28-7-2009

[carlos20071]

Perdon por mi ignorancia,pero ¿que es arrancar con CD instalacion? ¿Instalar el XP de nuevo? El unico disco que tengo es: Product Recovery CD-ROM windows XP Home edition-SP2.

Gracias

[lucl]

Pues con ese mismo solo que tienes que hacer lo que te ha dicho Msc, arrancas con el cd y haces esto



[b]pulse R para entrar en consola de Recuperacion y en dicho modo mire si localiza el fichero con un



DIR adsmsext*.*.* /a /s y si lo encuentra, diganoslo y envienoslo para analizar.[/b]



Es decir si accedes a la consola te saldra un cuadro negro y escribes en el



DIR adsmsext*.*.* /a /s



Si lo localizas nos lo envias y nos comentas saludos

[msc hotline sat]

Otra posibilidad es hacerlo colocando el disco duro como esclavo en otro ordenador, o arrancando con un LIVECD si se tiene, la cuestión es no arrancar con el disco duro por si hay un rootkit de MBR o que se cargue aun arrancando en modo seguro (hay servicios que lo hacen, los cuales marcamos con * o ** en el sproclog, segun sea dicha carga en modo seguro o en modo seguro con funciones de red)



En cualquier caso, desde una ventana al DOS entrar entonces lo indicado y ver si existe dicho fichero:



[b][i]DIR adsmsext*.*.* /a /s[/i][/b]



y si se encuentra, decirnoslo y enviarnoslo para analizar



saludos



ms, 29-7-2009

[carlos20071]

Acabo de intentarlo con el CD Recovery, pero no encuentra el citado fichero.

Intentare conseguir el LiveCD, por si da mejor resultado.

Saludos.

[msc hotline sat]

Pues gracias por su colaboracion, especialmente cuando ya se ha solucionado el problema, pero así serviría para conttrolarlo en el futuro, y mientras no se controla, todos estamos en riesgo.



Acto seguido a recibirlo, aparte de monitorizarlo y controlarlo, lo subimos al VirusTotal para su envio a todas las csas antivirus y ademas nosotros lo enviamos a McAfee para su implementacion en los proximos DAT y asi ser controlado antes de que entre en el ordenador.



Pero en cualquier caso celebramos que eliminando las claves de los servicios en cuestion se solucionara el problema, lo cual nos hace pensar en que seguramente lo tiene, escondido y aparcado, y que dure asi hasta que lo eliminemos totalmente !



A ver si hay suerte con el LIVECD



saludos



ms, 29-7-2009