SPYWARE O MALWARE ZWUNZI.EXE

[zdy4]

Que tal, les comento que desde hace unos dias mi laptop esta mas lenta y muy seguido se cambia de cualquier pagina que este viendo a otra que segun es un buscador, de nombre zwunzi.com Lo que he encontrado en internet es que es al parecer un malware o spyware. Como quito esto?? Les mando el reporte de HijackThis, por si hay algo mas. Gracias.



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 03:19:15 p.m., on 26/11/2009

Platform: Windows Vista SP2 (WinNT 6.00.1906)

MSIE: Internet Explorer v8.00 (8.00.6001.18828)

Boot mode: Normal



Running processes:

C:\Program Files\Norton Internet Security\Engine\16.7.2.11\ccSvcHst.exe

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Windows\RtHDVCpl.exe

C:\Windows\OEM13Mon.exe

C:\Program Files\Dell\Dell Webcam Manager\DellWMgr.exe

C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Windows\System32\rundll32.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Dell Support Center\bin\sprtcmd.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\Protector Suite QL\psqltray.exe

C:\Program Files\Synaptics\SynTP\SynToshiba.exe

C:\Program Files\Synaptics\SynTP\SynTPHelper.exe

C:\Program Files\Windows Live\Contacts\wlcomm.exe

C:\Windows\system32\conime.exe

C:\Windows\system32\Macromed\Flash\FlashUtil10c.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Google\Google Toolbar\GoogleToolbarUser.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Users\Felipe\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\AM98F9AM\HijackThis[1].exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.prodigy.msn.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O1 - Hosts: ::1 localhost

O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\IPSBHO.DLL

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Program Files\Dell\BAE\BAE.dll

O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [OEM13Mon.exe] C:\Windows\OEM13Mon.exe

O4 - HKLM\..\Run: [DELL Webcam Manager] "C:\Program Files\Dell\Dell Webcam Manager\DellWMgr.exe" /s

O4 - HKLM\..\Run: [PSQLLauncher] "C:\Program Files\Protector Suite QL\launcher.exe" /startup

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [dscactivate] "C:\Program Files\Dell Support Center\gs_agent\custom\dsca.exe"

O4 - HKLM\..\Run: [PDVDDXSrv] "C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe"

O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [DellSupportCenter] "C:\Program Files\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF

O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] "C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe" /m=2 /w /h

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NVHotkey] rundll32.exe C:\Windows\system32\nvHotkey.dll,Start

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [DellSupportCenter] "C:\Program Files\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter

O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'Servicio de red')

O4 - Global Startup: QuickSet.lnk = C:\Program Files\Dell\QuickSet\quickset.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll

O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: symres - {AA1061FE-6C41-421F-9344-69640C9732AB} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL

O23 - Service: Andrea RT Filters Service (AERTFilters) - Andrea Electronics Corporation - C:\Windows\system32\AERTSrv.exe

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Bluetooth Feature Support (BthFilterHelper) - CSR, plc - C:\Program Files\CSR\Vista Profile Pack\BthFilterHelper.exe

O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: Administrador de Google Desktop 5.8.809.23506 (GoogleDesktopManager-092308-165331) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

O23 - Service: Servicio de actualización de Google (gupdate1c9bb2014431ce0) (gupdate1c9bb2014431ce0) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: My Web Search Service (MyWebSearchService) - Unknown owner - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe (file missing)

O23 - Service: Norton Internet Security - Symantec Corporation - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\ccSvcHst.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: O2FLASH - O2Micro International - C:\Windows\system32\DRIVERS\o2flash.exe

O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: SupportSoft Sprocket Service (dellsupportcenter) (sprtsvc_dellsupportcenter) - SupportSoft, Inc. - C:\Program Files\Dell Support Center\bin\sprtsvc.exe

O23 - Service: Zwunzi Service - Unknown owner - C:\ProgramData\Zwunzi\zwunzi127.exe



--

End of file - 9888 bytes

[msc hotline sat]

Pues envianos este fichero para analizar: C:\ProgramData\Zwunzi\zwunzi127.exe



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 27-11-2009







NOTA: https://foros.zonavirus.com/viewtopic.php?f=6&t=29543

[zdy4]

Que tal, usé el Sproces, y al salir me dice que se ha grabado el fichero en c:, pero no encuentro el fichero, parece que no lo graba, no se por que.

[msc hotline sat]

Igual tienes sistema que requiere privilegios, como el VISTA.



En cualquier casi, hazlo en modo Administrador, para lo cual pulsas con el boton derecho el icono del SPROCES y escojes ejecutarlo en dicho modo.



saludos



ms, 27-11-2009

[zdy4]

Asi o mas novato...

aqui esta el reporte.





(27-11-2009 20:14:38 GMT)

SProces v4.3 (c)2009 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Windows Vista (TM) Business (v6.0.6002)

Parche MS08-067 (Servicio Servidor) NO Instalado.

Internet Explorer: (v8.0.6001.18828) 0



Procesos Activos:

C:\PROGRAM FILES\NORTON INTERNET SECURITY\ENGINE\16.7.2.11\CCSVCHST.EXE

C:\WINDOWS\SYSTEM32\DWM.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM32\TASKENG.EXE

C:\WINDOWS\RTHDVCPL.EXE

C:\WINDOWS\OEM13MON.EXE

C:\PROGRAM FILES\DELL\DELL WEBCAM MANAGER\DELLWMGR.EXE

C:\PROGRAM FILES\CYBERLINK\POWERDVD DX\PDVDDXSRV.EXE

C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPENH.EXE

C:\PROGRAM FILES\COMMON FILES\REAL\UPDATE_OB\REALSCHED.EXE

C:\WINDOWS\SYSTEM32\RUNDLL32.EXE

C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBARNOTIFIER\GOOGLETOOLBARNOTIFIER.EXE

C:\PROGRAM FILES\DELL SUPPORT CENTER\BIN\SPRTCMD.EXE

C:\PROGRAM FILES\WINDOWS MEDIA PLAYER\WMPNSCFG.EXE

C:\PROGRAM FILES\PROTECTOR SUITE QL\PSQLTRAY.EXE

C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTOSHIBA.EXE

C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPHELPER.EXE

C:\WINDOWS\SYSTEM32\CONIME.EXE

C:\PROGRAM FILES\WINDOWS LIVE\MESSENGER\MSNMSGR.EXE

C:\PROGRAM FILES\WINDOWS LIVE\CONTACTS\WLCOMM.EXE

C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

C:\PROGRAM FILES\GOOGLE\GOOGLE TOOLBAR\GOOGLETOOLBARUSER.EXE

C:\WINDOWS\SYSTEM32\MACROMED\FLASH\FLASHUTIL10C.EXE

C:\WINDOWS\SYSTEM32\SEARCHPROTOCOLHOST.EXE

C:\WINDOWS\SYSTEM32\SEARCHFILTERHOST.EXE

C:\USERS\FELIPE\DESKTOP\ELSITARA\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.prodigy.msn.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

R3 - URLSearchHook: (no name) - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: Shell=explorer.exe

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O1 - Hosts: ::1 localhost

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\IPSBHO.DLL

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O2 - BHO: CBrowserHelperObject Object - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Program Files\Dell\BAE\BAE.dll

O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [DellSupportCenter] "C:\Program Files\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter

O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [OEM13Mon.exe] C:\Windows\OEM13Mon.exe

O4 - HKLM\..\Run: []

O4 - HKLM\..\Run: [DELL Webcam Manager] "C:\Program Files\Dell\Dell Webcam Manager\DellWMgr.exe" /s

O4 - HKLM\..\Run: [PSQLLauncher] "C:\Program Files\Protector Suite QL\launcher.exe" /startup

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [dscactivate] "C:\Program Files\Dell Support Center\gs_agent\custom\dsca.exe"

O4 - HKLM\..\Run: [PDVDDXSrv] "C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe"

O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [DellSupportCenter] "C:\Program Files\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF

O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] "C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe" /m=2 /w /h

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NVHotkey] rundll32.exe C:\Windows\system32\nvHotkey.dll,Start

O4 - Global Startup: QuickSet.lnk

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll

O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\NLAAPI.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\NAPINSP.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\PNRPNSP.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\PNRPNSP.DLL

O10 - Unknown file in Winsock LSP: C:\WINDOWS\SYSTEM32\WSHBTH.DLL

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.6.0_07) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab

O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} (Java Plug-in 1.6.0_07) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab

O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_07) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol hijack: about - (no CLSID) - (no file)

O18 - Protocol hijack: dvd - (no CLSID) - (no file)

O18 - Protocol hijack: its - (no CLSID) - (no file)

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol hijack: mhtml - (no CLSID) - (no file)

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll

O18 - Protocol hijack: ms-its - (no CLSID) - (no file)

O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Program Files\Common Files\Microsoft Shared\Information Retrieval\msitss.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: symres - {AA1061FE-6C41-421F-9344-69640C9732AB} - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\coIEPlg.dll

O18 - Protocol hijack: tv - (no CLSID) - (no file)

O18 - Protocol hijack: vbscript - (no CLSID) - (no file)

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL

O20 - Winlogon Notify: PSFUS - C:\WINDOWS\SYSTEM32\PSQLPWD.DLL

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - (no file)

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Component Categories cache daemon - %SystemRoot%\system32\browseui.dll



Información Adicional:

----------------------

Clave "HKLM\...\Image File Execution Options\IEInstal.exe"

"Debugger"="NULL1"



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: Andrea RT Filters Service (AERTFilters) - Andrea Electronics Corporation - C:\WINDOWS\system32\AERTSrv.exe

O23 - Service: Bluetooth Feature Support (BthFilterHelper) - CSR, plc - C:\Program Files\CSR\Vista Profile Pack\BthFilterHelper.exe

O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: Servicio de actualización de Google (gupdate1c9bb2014431ce0) (gupdate1c9bb2014431ce0) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Hardlock - Aladdin Knowledge Systems Ltd. - C:\Windows\system32\drivers\hardlock.sys

O23 - Service: My Web Search Service (MyWebSearchService) - Unknown owner - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe (file missing)

O23 - Service: Norton Internet Security - Unknown owner - C:\Program Files\Norton Internet Security\Engine\16.7.2.11\ccSvcHst.exe" /s "Norton Internet Security" /m "C:\Program Files\Norton Internet Security\Engine\16.7.2.11\diMaster.dll (file missing)

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvvsvc.exe

O23 - Service: O2FLASH - O2Micro International - C:\WINDOWS\system32\DRIVERS\o2flash.exe

O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: SupportSoft Sprocket Service (dellsupportcenter) (sprtsvc_dellsupportcenter) - SupportSoft, Inc. - C:\Program Files\Dell Support Center\bin\sprtsvc.exe

O23 - Service: Virtual Usb Bus Enumerator (vusbbus) - Chingachguk & Denger2k (HL mod) - C:\WINDOWS\SYSTEM32\DRIVERS\vusbbus.sys

O23 - Service: Zwunzi Service - Unknown owner - C:\ProgramData\Zwunzi\zwunzi129.exe" "C:\Program Files\Zwunzi\zwunzi.dll (file missing)



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: Aladdin HASP Key (akshasp) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\akshasp.sys

O23 - Service: Aladdin USB Key (aksusb) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\aksusb.sys

O23 - Service: Alps Touch Pad Filter Driver for Windows 2000/XP/Vista (ApfiltrService) - Alps Electric Co., Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\Apfiltr.sys

O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Brother USB Mass-Storage Lower Filter Driver (BrFiltLo) - Brother Industries, Ltd. - C:\WINDOWS\system32\drivers\brfiltlo.sys

O23 - Service: Brother USB Mass-Storage Upper Filter Driver (BrFiltUp) - Brother Industries, Ltd. - C:\WINDOWS\system32\drivers\brfiltup.sys

O23 - Service: Brother MFC USB Serial WDM Driver (BrUsbSer) - Brother Industries Ltd. - C:\WINDOWS\system32\drivers\brusbser.sys

O23 - Service: Filtro de comando Bluetooth (BTHFILT) - CSR, plc - C:\WINDOWS\SYSTEM32\DRIVERS\BthFilt.sys

O23 - Service: CSRBC.Sys CSR test driver (CSRBC) - CSR, plc - C:\WINDOWS\SYSTEM32\Drivers\csrbcxp.sys

O23 - Service: Controlador de conexión de red PCI Express Intel(R) PRO/1000 (e1express) - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\e1e6032.sys

O23 - Service: Intel(R) PRO/1000 NDIS 6 Adapter Driver (E1G60) - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\E1G60I32.sys

O23 - Service: EraserUtilRebootDrv - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys

O23 - Service: Administrador de Google Desktop 5.8.809.23506 (GoogleDesktopManager-092308-165331) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service for Realtek HD Audio (WDM) (IntcAzAudAddService) - Realtek Semiconductor Corp. - C:\WINDOWS\SYSTEM32\drivers\RTKVHDA.sys

O23 - Service: IP in IP Tunnel Driver (IpInIp) - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\ipinip.sys (file missing)

O23 - Service: @%SystemRoot%\system32\msimsg.dll,-27 (msiserver) - Unknown owner - C:\WINDOWS\system32\msiexec /V (file missing)

O23 - Service: NAVENG - Symantec Corporation - C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20091127.003\NAVENG.SYS

O23 - Service: NAVEX15 - Symantec Corporation - C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20091127.003\NAVEX15.SYS

O23 - Service: Controlador del adaptador Intel(R) Wireless WiFi Link para Windows Vista de 32 bits (NETw4v32) - Intel Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\NETw4v32.sys

O23 - Service: nvlddmkm - NVIDIA Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\nvlddmkm.sys

O23 - Service: IPX Traffic Filter Driver (NwlnkFlt) - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\nwlnkflt.sys (file missing)

O23 - Service: IPX Traffic Forwarder Driver (NwlnkFwd) - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\nwlnkfwd.sys (file missing)

O23 - Service: O2MDRDR - O2Micro - C:\WINDOWS\SYSTEM32\DRIVERS\o2media.sys

O23 - Service: O2SDRDR - O2Micro - C:\WINDOWS\SYSTEM32\DRIVERS\o2sd.sys

O23 - Service: Creative Camera OEM013 Video VFX Driver (OEM13Vfx) - EyePower Games Pte. Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\OEM13Vfx.sys

O23 - Service: Creative Camera OEM013 Driver (OEM13Vid) - Creative Technology Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\OEM13Vid.sys

O23 - Service: R300 - ATI Technologies Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\atikmdag.sys

O23 - Service: Realtek 8169 NT Driver (RTL8169) - Realtek Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\Rtlh86.sys

O23 - Service: Symantec Real Time Storage Protection (SRTSP) - Symantec Corporation - C:\WINDOWS\System32\Drivers\NIS\1007020.00B\SRTSP.SYS

O23 - Service: SYMDNS - Unknown owner - C:\WINDOWS\System32\Drivers\NIS\1002000.007\SYMDNS.SYS (file missing)

O23 - Service: SymEvent - Symantec Corporation - C:\Windows\system32\Drivers\SYMEVENT.SYS

O23 - Service: Symantec Network Filter Driver (SYMFW) - Symantec Corporation - C:\WINDOWS\System32\Drivers\NIS\1007020.00B\SYMFW.SYS

O23 - Service: Symantec Network Filter Driver (SYMNDISV) - Symantec Corporation - C:\WINDOWS\System32\Drivers\NIS\1007020.00B\SYMNDISV.SYS

O23 - Service: SYMREDRV - Unknown owner - C:\WINDOWS\System32\Drivers\NIS\1002000.007\SYMREDRV.SYS (file missing)

O23 - Service: Synaptics TouchPad Driver (SynTP) - Synaptics Incorporated - C:\WINDOWS\SYSTEM32\DRIVERS\SynTP.sys

O23 - Service: TC USB Kernel Driver (TcUsb) - UPEK Inc. - C:\WINDOWS\SYSTEM32\Drivers\tcusb.sys

O23 - Service: VSTHWBS2 - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\VSTBS23.SYS

O23 - Service: VST_DPV - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\VSTDPV3.SYS

O23 - Service: winachsf - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\VSTCNXT3.SYS

O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)



Listado de Servicios (Deshabilitados):

--------------------------------------

O23 - Service: adp94xx - Adaptec, Inc. - C:\WINDOWS\system32\drivers\adp94xx.sys

O23 - Service: adpahci - Adaptec, Inc. - C:\WINDOWS\system32\drivers\adpahci.sys

O23 - Service: adpu160m - Adaptec, Inc. - C:\WINDOWS\system32\drivers\adpu160m.sys

O23 - Service: adpu320 - Adaptec, Inc. - C:\WINDOWS\system32\drivers\adpu320.sys

O23 - Service: aic78xx - Adaptec, Inc. - C:\WINDOWS\system32\drivers\djsvs.sys

O23 - Service: aliide - Acer Laboratories Inc. - C:\WINDOWS\system32\drivers\aliide.sys

O23 - Service: arc - Adaptec, Inc. - C:\WINDOWS\system32\drivers\arc.sys

O23 - Service: arcsas - Adaptec, Inc. - C:\WINDOWS\system32\drivers\arcsas.sys

O23 - Service: Brother MFC Serial Port Interface Driver (WDM) (Brserid) - Brother Industries Ltd. - C:\WINDOWS\system32\drivers\brserid.sys

O23 - Service: Brother WDM Serial driver (BrSerWdm) - Brother Industries Ltd. - C:\WINDOWS\system32\drivers\brserwdm.sys

O23 - Service: Brother MFC USB Fax Only Modem (BrUsbMdm) - Brother Industries Ltd. - C:\WINDOWS\system32\drivers\brusbmdm.sys

O23 - Service: cmdide - CMD Technology, Inc. - C:\WINDOWS\system32\drivers\cmdide.sys

O23 - Service: elxstor - Emulex - C:\WINDOWS\system32\drivers\elxstor.sys

O23 - Service: HpCISSs - Hewlett-Packard Company - C:\WINDOWS\system32\drivers\hpcisss.sys

O23 - Service: Intel RAID Controller Vista (iaStorV) - Intel Corporation - C:\WINDOWS\system32\drivers\iastorv.sys

O23 - Service: iirsp - Intel Corp./ICP vortex GmbH - C:\WINDOWS\system32\drivers\iirsp.sys

O23 - Service: ITEATAPI_Service_Install (iteatapi) - Integrated Technology Express, Inc. - C:\WINDOWS\system32\drivers\iteatapi.sys

O23 - Service: ITERAID_Service_Install (iteraid) - Integrated Technology Express, Inc. - C:\WINDOWS\system32\drivers\iteraid.sys

O23 - Service: LSI_FC - LSI Logic - C:\WINDOWS\system32\drivers\lsi_fc.sys

O23 - Service: LSI_SAS - LSI Logic - C:\WINDOWS\system32\drivers\lsi_sas.sys

O23 - Service: LSI_SCSI - LSI Logic - C:\WINDOWS\system32\drivers\lsi_scsi.sys

O23 - Service: megasas - LSI Corporation - C:\WINDOWS\system32\drivers\megasas.sys

O23 - Service: MegaSR - LSI Corporation, Inc. - C:\WINDOWS\system32\drivers\megasr.sys

O23 - Service: Mraid35x - LSI Logic Corporation - C:\WINDOWS\system32\drivers\mraid35x.sys

O23 - Service: nfrd960 - IBM Corporation - C:\WINDOWS\system32\drivers\nfrd960.sys

O23 - Service: N-trig HID Tablet Driver (ntrigdigi) - N-trig Innovative Technologies - C:\WINDOWS\system32\drivers\ntrigdigi.sys

O23 - Service: NVIDIA nForce RAID Driver (nvraid) - NVIDIA Corporation - C:\WINDOWS\system32\drivers\nvraid.sys

O23 - Service: nvstor - NVIDIA Corporation - C:\WINDOWS\system32\drivers\nvstor.sys

O23 - Service: QLogic Fibre Channel Miniport Driver (ql2300) - QLogic Corporation - C:\WINDOWS\system32\drivers\ql2300.sys

O23 - Service: QLogic iSCSI Miniport Driver (ql40xx) - QLogic Corporation - C:\WINDOWS\system32\drivers\ql40xx.sys

O23 - Service: SiSRaid4 - Silicon Integrated Systems - C:\WINDOWS\system32\drivers\sisraid4.sys

O23 - Service: Symc8xx - LSI Logic - C:\WINDOWS\system32\drivers\symc8xx.sys

O23 - Service: Sym_hi - LSI Logic - C:\WINDOWS\system32\drivers\sym_hi.sys

O23 - Service: Sym_u3 - LSI Logic - C:\WINDOWS\system32\drivers\sym_u3.sys

O23 - Service: uliahci - ULi Electronics Inc. - C:\WINDOWS\system32\drivers\uliahci.sys

O23 - Service: UlSata - Promise Technology, Inc. - C:\WINDOWS\system32\drivers\ulsata.sys

O23 - Service: ulsata2 - Promise Technology, Inc. - C:\WINDOWS\system32\drivers\ulsata2.sys

O23 - Service: viaide - VIA Technologies, Inc. - C:\WINDOWS\system32\drivers\viaide.sys

O23 - Service: vsmraid - VIA Technologies Inc.,Ltd - C:\WINDOWS\system32\drivers\vsmraid.sys



94 Servicios.

13 de Carga Automatica.

42 de Carga Manual.

39 Deshabilitados.

[msc hotline sat]

Pues era por culpa del VISTA que requería privilegios de Administrador, como ya apuntábamos...



Bueno, es un sistema sobre el que no damos soporte, pero de entrada vemos que te falta el parche contra el Conficker:



Parche MS08-067 (Servicio Servidor) NO Instalado.



Lanza un windowsupdate e instala los parches pendientes como el indicado.







y envianos estos ficheros para analizar:



C:\Windows\OEM13Mon.exe

C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL

C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe

C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe (puede estar oculto)

C:\ProgramData\Zwunzi\zwunzi129.exe" "C:\Program Files\Zwunzi\zwunzi.dll (puede estar oculto)



y elimina esta clave:



O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - (no file)





>[b]ENVIO DE MUESTRAS Y ELIMINACION DE



CLAVES - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en



nuestras utilidades, de lo cual informaremos



saludos



ms, 28-11-1009

[zdy4]

Que tal, les envio estos ficheros.OEM13Mon.exe zwunzi129.exe, zwunzi.dll. El OEM13 es un .exe que creo se creo cuando instale una camara web de creative.



Estos tres ficheros siguientes no los puedo encontrar,





C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL

C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe

C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe (puede estar oculto)



progra~1 es la carpeta archivos de programa, pero no los encuentro. No les habia comentado que despues de correr el ELISTARA hace unas semanas, me aparece una ventana siempre al iniciar que dice "error al cargar C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL no se puede encontrar el modulo especifico."

Lo que he encontrado de info sobr este fichero, es que forma parte de la barra de busqueda de explorer o algo asi, pero tambien hay un fichero dañino del msmo nombre. Tal vez al correr el elistara lo borró.



La clave que me dijeron que eliminara (O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - (no file) ) no la puedo eliminar ya que no me aparece en el hijackthis. En el SPROCES si sale en el reporte, pero no se como eliminarla con el sproces si es que se puede.





Este es el reporte del elistara. Esa carpeta de MYWEBSEARCH no se si sea parte del sistema o sea dañina.





(17-11-2009 0:35:22 (GMT))

EliStartPage v19.70 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 16 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3CJPEG.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3HTMLMU.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3POPSWT.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3PSSAVR.SCR --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3REPROX.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3RESTUB.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3SCRCTR.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\F3WPHOOK.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\M3HTML.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\M3OUTLCN.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\M3SKIN.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\M3SRCHMN.EXE --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSOEMON.EXE --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSOEPLG.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSOESTB.DLL --> Eliminado MyWebSearch

C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSSRCAS.DLL --> MyWebSearch Renombrado a .VIR

Entrada Eliminada [HKCU\...\Run] "MyWebSearch Email Plugin"="C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Entrada Eliminada [HKLM\...\Run] "MyWebSearch Email Plugin"="C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe"

Eliminada Class, "{00A6FAF1-072E-44CF-8957-5838F569A31D}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Eliminada Class, "{00A6FAF6-072E-44CF-8957-5838F569A31D}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

Eliminada Class, "{07B18EA1-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA9-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EAB-A523-4961-B6BB-170DE4475CCA}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{147A976F-EEE1-4377-8EA7-4716E4CDD239}" -> NULL1

Eliminada Class, "{3DC201FB-E9C9-499C-A11F-23C360D7C3F8}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{3E720452-B472-4954-B7AA-33069EB53906}" -> C:\Program Files\MyWebSearch\bar\1.bin\M3HTML.DLL

Eliminada Class, "{53CED2D0-5E9A-4761-9005-648404E6F7E5}" -> C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{63D0ED2C-B45B-4458-8B3B-60C69BBBD83C}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{7473D292-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D294-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D296-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Program Files\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{8E6F1832-9607-4440-8530-13BE7C4B1D14}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{938AA51A-996C-4884-98CE-80DD16A5C9DA}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{98D9753D-D73B-42D5-8C85-4469CDA897AB}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

Eliminada Class, "{9FF05104-B030-46FC-94B8-81276E4E27DF}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{A9571378-68A1-443D-B082-284F960C6D17}" -> C:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{ADB01E81-3C79-4272-A0F1-7B2BE7A782DC}" -> C:\Program Files\MyWebSearch\bar\1.bin\M3OUTLCN.DLL

Eliminada Carpeta "%Archivos de Programa%\FunWebProducts"

No ha sido posible abrir IERESET.INF

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Reinicie para Completar la Limpieza.



(17-11-2009 0:36:42 (GMT))

EliStartPage v19.70 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 16 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Program Files\Windows Live\Messenger\RICHED20.DLL --> Eliminado, MyWebSearch

C:\Windows\Downloaded Program Files\F3INITIALSETUP1.0.1.2.INF --> Eliminado, MyWebSearch(inf)

C:\Windows\System32\F3PSSAVR.SCR --> Eliminado, MyWebSearch



Nº Total de Directorios: 21695

Nº Total de Ficheros: 127946

Nº de Ficheros Analizados: 30383

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



(17-11-2009 1:38:37 (GMT))

EliStartPage v19.70 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 16 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\Users\Felipe\Documents\LimeWire\Saved"



Nº Total de Directorios: 0

Nº Total de Ficheros: 33

Nº de Ficheros Analizados: 1

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(17-11-2009 1:41:38 (GMT))

EliStartPage v19.70 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 16 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Archivos de Programa%\MyWebSearch"

No ha sido posible abrir IERESET.INF

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

[julibaga]

Pues hizo su trabajo el Elistara. ¿Cómo te va ahora la máquina?

Sería conveniente también que resetearas el IE en Herramientas -> Opciones de Internet -> Opciones Avanzadas -> Restablecer.

Aparte de lo que te indique [color=#800000]msc hotline sat[/color].

Saludos.

[zdy4]

Pues lo que creo que pasa es que el elistara elimino esta aplicacion de mywebsearch y dejo algunos rastros, por eso aparece la ventana con el mensaje cada que inicio el equipo.

[zdy4]

Los registros que todavia aparecen en hijackthis y sproces de mywebsearch deberia eliminarlos?

[msc hotline sat]

Sí, el mensaje "error al cargar C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL no se puede encontrar el modulo especifico." es típico de haber eliminado la DLL sin haber eliminado la clave de lanzamiento. Si ello persiste, bien con el HJT o bien con el BUSCAREG entrando M3PLUGIN.DLL , elimina la clave que lo lance, ya que al eliminar la carpeta de MyWebSearch, logicamente desaparecieron los ficheros que hubieran dentro:


[quote]EliStartPage v19.70 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 16 de Noviembre del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "%Archivos de Programa%\MyWebSearch"[/quote]

y por lo mismo pueden haber otras claves relacionadas, como dices en:



[b][i]Pues lo que creo que pasa es que el elistara elimino esta aplicacion de mywebsearch y dejo algunos rastros, por eso aparece la ventana con el mensaje cada que inicio el equipo.



Los registros que todavia aparecen en hijackthis y sproces de mywebsearch deberia eliminarlos? [/i][/b]



Sí, puedes eliminarlas.





Y por fin has podido enviar muestras del zwunzi129



"[b][i]les envio estos ficheros.OEM13Mon.exe zwunzi129.exe, zwunzi.dll.[/i][/b]"



mañana, a la vuelta al trabajo en SATINFO, lo analizaremos e implementaremos su control y eliminacion en nuestras utilidades, si procede, de lo cual informaremos



Y para borrar la clave que no aparece en el HJT, prueba el BUSCAREG entandole la class en cuestión: E6FB5E20-DE35-11CF-9C87-00AA005127ED



[size=150][color=darkblue][b]BuscaReg[/b][/color][/size] (SATINFO)

Busca una cadena dentro del registro de windows, una vez encontradas permite borrarlas con tan solo pinchar encima de cada entrada encontrada, ademas realiza la exportacion de las claves eliminadas por si se necesitan restaurar las claves borradas.



[url=http://www.zonavirus.com/descargas/buscareg.asp][b]Descargar BuscaReg[/b][/url]



Y tras todo ello, reinicia y cuentanos el resultado, nosotros haremos lom propio tras analizar las muestras.



saludos



ms, 29-11-2009

[zdy4]

Ya borré las claves relacionadas con mywebsearch, y ya no aparece la ventana al iniciar el equipo. La clave que me pidieron borrar con el BUSCAREG, que es?



Me aparecen 3,



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\ClsidFeature

{E6FB5E20-DE35-11CF-9C87-00AA005127ED}={3af36230-a269-11d1-b5bf-0000f8051515}!8,0,6001,1828



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved

{E6FB5E20-DE35-11CF-9C87-00AA005127ED} = WebCheck



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

WebCheck = {E6FB5E20-DE35-11CF-9C87-00AA005127ED}





Borro las tres? ¿y que son?

[msc hotline sat]

No, no borres ninguna, solo si hicieran referencia a shimgapi.dll serían maliciosas, como verás en:

http://www.greatis.com/appdata/d/SysDir/s/shimgapi.dll.htm



y al indicar NO FILE (no especificar fichero) no se sabía, pero si con el BUSCAREG solo has encontrado estas, dejalas estar.



Hoy analizaremos el fichero enviado y espero que podremos controlar el malware e implementar su control y eliminacion en nuestras utilidades, de lo cual informaremos



saludos



ms, 30-11-2009

[msc hotline sat]

Recibido el fichero, en el preanalisis detectan virus muy pocos antivirus,



File zwunzi.dll received on 2009.11.30 09:23:27 (UTC)



Result: 6/41 (14.64%)





Antivirus Version Last Update Result

a-squared 4.5.0.43 2009.11.30 -

AhnLab-V3 5.0.0.2 2009.11.28 -

AntiVir 7.9.1.79 2009.11.30 -

Antiy-AVL 2.0.3.7 2009.11.30 -

Authentium 5.2.0.5 2009.11.29 -

Avast 4.8.1351.0 2009.11.29 -

AVG 8.5.0.426 2009.11.29 -

BitDefender 7.2 2009.11.30 Gen:Adware.Heur.Ku4@1iUK1Smi

CAT-QuickHeal 10.00 2009.11.30 -

ClamAV 0.94.1 2009.11.30 -

Comodo 3087 2009.11.30 -

DrWeb 5.0.0.12182 2009.11.30 -

eSafe 7.0.17.0 2009.11.29 -

eTrust-Vet 35.1.7148 2009.11.30 -

F-Prot 4.5.1.85 2009.11.29 -

F-Secure 9.0.15370.0 2009.11.29 Gen:Adware.Heur.Ku4@2iUK1Smi

Fortinet 4.0.14.0 2009.11.30 -

GData 19 2009.11.30 Gen:Adware.Heur.Ku4@1iUK1Smi

Ikarus T3.1.1.74.0 2009.11.30 -

Jiangmin 11.0.800 2009.11.29 -

K7AntiVirus 7.10.906 2009.11.27 -

Kaspersky 7.0.0.125 2009.11.30 -

McAfee 5817 2009.11.29 -

McAfee+Artemis 5817 2009.11.29 -

McAfee-GW-Edition 6.8.5 2009.11.30 Heuristic.BehavesLike.Win32.Trojan.J

Microsoft 1.5302 2009.11.30 -

NOD32 4647 2009.11.29 -

Norman 6.03.02 2009.11.27 -

nProtect 2009.1.8.0 2009.11.28 -

Panda 10.0.2.2 2009.11.29 -

PCTools 7.0.3.5 2009.11.30 -

Prevx 3.0 2009.11.30 Medium Risk Malware

Rising 22.24.00.04 2009.11.30 -

Sophos 4.48.0 2009.11.30 Zwunzi

Sunbelt 3.2.1858.2 2009.11.29 -

Symantec 1.4.4.12 2009.11.30 -

TheHacker 6.5.0.2.081 2009.11.28 -

TrendMicro 9.100.0.1001 2009.11.30 -

VBA32 3.12.12.0 2009.11.30 -

ViRobot 2009.11.30.2062 2009.11.30 -

VirusBuster 5.0.21.0 2009.11.29 -

Additional information

File size: 598016 bytes

MD5...: bfb518b3dd89ce42008733d717e768cf

SHA1..: f42f31ff9eceb392c778a63cc81e8a432c8136b7





por lo que procedemos a monitorizarlo e informaremos.

[zdy4]

Que tal, han encontrado alguna solucion? Saludos.

[msc hotline sat]

Sï, como ya se indicó en https://foros.zonavirus.com/viewtopic.php?f=11&t=30470 , a partir del ELISTARA 19.81 se controla dicho malware:


[quote]ELISTARA



---v19.81-( 1 de Diciembre del 2009) (Muestras de (4)PWS-OnLineGames.Herss, Autoit.Csrcs "CSRCS.EXE", Hosvet.B "SVHOST.EXE", [b][i][u](2)Adware.Zwunzi "ZWUNZI.DLL y EXE"[/u][/i][/b], (2)Trojan.BHO.CTF "WE83686.DLL y CTFMON_PN.EXE", (2)Spy.Banker.APPF "IELOWUTIL2.EXE y PDM2.DLL")[/quote]

Descargue la version actual del ELISTARA y posteenos el informe resultante, gracias



saludos



ms, 18-12-2009

ref MX/SJR+20.38-100