virus raleka?

[tete]

Hola, mi problema es el siguiente.



Desde hace unpar de dias al encender el equipo, me sale una ventana q me dice q no se ha encontrado el parche nose q (un numero q si es necesario me lo decis y lo apunto), y me da la opcion de aceptar, unas veces acepto y otras lo cierro con el aspa, pero lo haga como lo haga luego me sale una ventana con titulo elircap o algo asi que me dice q estoy infectado con el gusano raleka, y q reinicie para terminar con su eliminacion, y tanto si reinicio como si cierro esta ventana con el aspa, como si le doy a aceptar se inicia windows normalmente, y la siguiente vez q enciendo el equipo me vuelve a salir toda la jugada de nuevo.



Aparte de esto no me da mas problemas por q una vez q se inicia funciona normalmente, pero me gustaria q esto dejase de salir.



Gracias de antemano



Tete

[caito]

Cualquier av actualizado te lo tiene que eliminar, pasa uno on line :

https://www.virustotal.com/es/

Recuerda que si tienes Xp o Me debes deshabilitar restaurar sistema antes de limpiar tu pc.

Salu2

Caito

[tete]

Hola, ante todo gracias por ayudarme.



He ido a la pagina q me dices, pero me dice algo asi como q fallo al cargar la pagina, y me pregunta si uso internet explorer 4.0 "or above", q no se q quiere decir, total q no eh podido escanear con ese.



He buscado antivirus on line, y he pasado el panda active scan, me ha dicho q ha encontrado un virus y q lo ha desinfectado, y al reiniciar me ha salido de nuevo las ventanitas de marras, y me he dado cuenta de q no habia hecho lo q me decias de deshabilitar restaurar sistema.





Asi q lo he deshabilitado, y he pasado el supercleaner, el spybot, y el lavasoft ad-aware, y de nuevo el panda active scan, y em ha vuelto a decir q ha encontrado un virus y q lo ha desinfectado, asi q ded nuevo he reiniciado, y de nuevo me han salido las ventanitas.



Por si sirve de algo dire q uso internet explorer 6.0, y el

XP Proffesional.



Gracias de nuevo y un saludo.

[caito]

Baja la última versión del Hijack ( 1.98.2 ):

http://www.majorgeeks.com/download3155.html

Guárdalo en su propia carpeta y ejecútalo : Scan, luego Save Log.

El log que te arroje copiálo y pégalo como respuesta a este post.

Salu2

Caito

Pd:ejecuta este programa en modo Normal y con todas las aplicaciones cerradas y muy importante No Borres Nada solo dale a Scan y luego a Save Log !!!

[tete]

Hola Caito, aqui te mando el resultado de lo q me dices:



Logfile of HijackThis v1.98.2

Scan saved at 15:31:22, on 14/11/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Conceptronic\Software Bluetooth\bin\btwdins.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Eraser\eraser.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Archivos de programa\Conceptronic\Software Bluetooth\BTTray.exe

C:\Archivos de programa\Yahoo!\Messenger\ymsgr_tray.exe

C:\Archivos de programa\Descargados\hijackthis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.exe -off

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Archivos de programa\Descargados\ELIRCA\EliRPCA.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Eraser] C:\Archivos de programa\Eraser\eraser.exe -hide

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Avisos del Calendario de Microsoft Works.lnk = ?

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Enviar a &Bluetooth - C:\Archivos de programa\Conceptronic\Software Bluetooth\btsendto_ie_ctx.htm

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Superfuentes - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\pspa-fuentes\local.htm (file missing)

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\Conceptronic\Software Bluetooth\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Archivos de programa\Conceptronic\Software Bluetooth\btsendto_ie.htm

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O13 - WWW. Prefix: http://ehttp.cc/?

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} (IntRuboskizo2 Class) - http://www.contenidospc.com/ruboskizo2.cab

O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} (DialerWeb Class) - http://212.145.159.194/251065/dialercab/WebRecomendada.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB} (SysWebTelecom Class) - http://www.sponsoradulto.com/SysWebTelecom.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} (ddm_download.ddm_control) - http://216.65.38.226/crack.CAB







Mare mia q mogollon.



Un saludo:



Tete

[caito]

Copia estas indicaciones para verlas luego :



Lanza el Hijack This y dale a Fix a estas :

O9 - Extra button: Superfuentes - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\pspa-fuentes\local.htm (file missing)

O13 - WWW. Prefix: http://ehttp.cc/?

O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} (IntRuboskizo2 Class) - http://www.contenidospc.com/ruboskizo2.cab

O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} (DialerWeb Class) - http://212.145.159.194/251065/dialercab/WebRecomendada.cab

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB} (SysWebTelecom Class) - http://www.sponsoradulto.com/SysWebTelecom.cab

O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} (ddm_download.ddm_control) - http://216.65.38.226/crack.CAB



Borra Archivos Temporales de Internet,cookies,historial y contenido carpeta Temp,vacía papelera.

Pasa el AdAware Se actualizado ( soluciona lo que te encuentre )

Rinicia normal y cuenta si se solucionó

Salu2

Caito

[tete]

He hecho todo lo q me dices, y cuando he vuelto a iniciar han salido otra vez las ventanitas de marras.



Te comento q no se si tendra q ver pero porsiaca te digo.



Hace poco las actualizaciones automaticas de microsoft, me cambiaron bastantes cosas, por ej. el reporoductor de windows, y alguna cosa mas.



Desde entonces he notado algunas cosas raras, como el nero q ahora cuando voy a grabar me dice q tiene un problema de incompatibilidad con esta version de windows, cosa q antes no me decia.(Aunque le doy a continuar y graba perfectamente)



Tambien el rep. de windowsmedia, cuando lo uso varias veces en la misma sesion al final acaba por bloquearse y tengo q reiniciar para q siga funcionando.



A lo mejor no tiene nada q ver pero por si acaso te lo comento.



Bueno pos nada, si se te ocurre alguna otra posibilidad me comentas, y siento la chapa q te estoy dando.



Muchas gracias y un saludo



Tete

[caito]

Ok.

Haz lo que te dije antes pero ahora deshabilita Restaurar sistema , arranca en Modo seguro y haz que se vean todos los archivos :

Para configurar Windows XP para que muestre las extensiones de archivo:



Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.







esta es la forma más sencilla y recomendada para iniciar su equipo en Modo a prueba de fallos:



Para utilizar el método de la Utilidad de configuración del sistema

Cierre todos los programas.

Haga clic en Inicio y después en Ejecutar. Aparecerá el cuadro de diálogo Ejecutar.

Escriba msconfig y después haga clic en Aceptar.

Se abrirá la Utilidad de configuración del sistema. Seleccione la opción "/SAFEBOOT" y haga clic en Aceptar.

Verá que se le indica reiniciar el equipo. Haga clic en Reiniciar.

El equipo reiniciará en Modo a prueba de fallos. (Este proceso puede tomar varios minutos.)

Realice los pasos para la resolución del problema para el cual está utilizando el Modo a prueba de fallos.

Cuando termine la resolución de su problema en Modo a prueba de fallos, repita los pasos 1 al 5, pero en el paso 4, deshabilite "/SAFEBOOT".

Cierre todos los programas y reinicie la computadora como lo haría normalmente.



Para utilizar el método F8

Utilice este método si Windows XP es el único sistema operativo instalado en su equipo.

Inicie Windows o si se está ejecutando, cierre la sesión en Windows y apague la computadora.

Reinicie el equipo. El equipo comienza a procesar un conjunto de instrucciones conocido como el Sistema básico de entrada y salida (BIOS del inglés Basic Input/Output System.) Lo que se muestra depende del fabricante del BIOS. Algunos equipos muestran una barra de progreso que se refiere a la palabra BIOS, en tanto que otros no muestren indicación alguna respecto a que se esté llevando a cabo este proceso.

Tan pronto termine la carga del BIOS, comience a presionar la tecla F8 en su teclado. Haga esto hasta que aparezca el menú Opciones avanzadas de Windows. Si presiona la tecla F8 antes del momento adecuado, algunos equipos mostrarán un mensaje de "error de teclado”. Para resolver esto, reinicie la computadora e inténtelo de nuevo.

Utilizando las fechas del teclado, desplácese y seleccione la opción Modo a prueba de fallos y después presione Intro.



Para deshabilitar la herramienta "Restaurar sistema" en Windows XP, siga estos pasos:

Seleccione, Inicio, Mi PC

Haga clic en "Ver información del sistema"

Seleccione la etiqueta "Restaurar sistema"

Marque la casilla "Desactivar Restaurar sistema en todas las unidades" y pulse en "Aplicar".

El sistema le preguntará si está seguro de querer deshabilitarlo.

Confírmelo pulsando en SI.

La opción que muestra el estado de los discos en la ventana "Configuración de la unidad" aparecerá deshabilitada (todo gris).

Pulse en el botón Aceptar.



Para rehabilitar la opción "Restaurar sistema" repita todos los pasos anteriores, desmarcando en el punto 4 la casilla "Desactivar Restaurar sistema en todas las unidades".



Luego reinicia normal y toma un nuevo log con el Hijack y mándalo.

Es importante que al ejecutar el Hijack no tengas otras aplicaciones abiertas ( Internet,etc)

Salu2

Caito

[maura63]

Descarga y ejecuta esta utilidad



https://foros.zonavirus.com/viewtopic.php?t=796



Luego conecta con windows update y actualiza tu sistema operativo , te faltan parches y son varios .........



Saludos

maura63