sospecha (Solucionado)

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 03:24

HOla de nuevo.

Hace un tiempito yo tuve problemas con el vpc32.exe...

Lo solucione y ademas me recomendaron el OutPost.. q la verdad q es excelente.(facil de usar)

Yo me sentia re tranquilo..

Pero ahora estoy notando q mi pc esta enviando y recibiendo datos aun cuando no tengo el msn abierto.. cosa q cuando apenas instale el outpost y durante 2 semanas no pasaba..

Acabo de pasar el HijackThis.. ALguien me podria decir si estoy infectado con algo??... gracias

aqui esta el Log:

Logfile of HijackThis v1.98.2

Scan saved at 14:22:37, on 30/11/2004

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\Mixer.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

D:\antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Windows\System32\wsaupdater.exe,

O2 - BHO: twaintecObj Class - {000020DD-C72E-4113-AF77-DD56626C6C42} - C:\WINDOWS\twaintec.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

O4 - HKLM\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe" /WinStart

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\explorer.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096907336810

O16 - DPF: {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} (brdg Class) - http://www2.flingstone.com/cab/2000XP/ClickYesToContinue/bridge-c14.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{629207DD-40E0-4421-B28F-18EA6ED44CED}: NameServer = 200.49.96.16 200.49.96.17

O20 - AppInit_DLLs: msmousex.dll

:oops:

Mensaje por **maura63** » 30 Nov 2004, 03:29

Consulta link

http://www.vsantivirus.com/poscal.htm

sigue los pasos para eliminarlo si no puedes con tu antivirus.

Saludos

maura63

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 03:33

disculpa mi ingenuidad.. no entendi

estoy infectado por el gusano Poscal??

gracias

Mensaje por **maura63** » 30 Nov 2004, 03:35

Al tener esto

C:\WINDOWS\Mixer.exe

es lo mas problable.Prueba de pasar un antivirus online

Antivirus On-line:

· Computer Associates

https://www.virustotal.com/es/

Cuentanos el resultado.

Saludos

maura63

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 04:20

bueno corri el scan q me dijiste y detecto el:

W32/Rbot

cuando termino ... no me dijo q los borro.. asi q supongo q lo hizo

pero no me detecto el Poscal.. podria ser ese Rbot el del problema?..

Debo hacer algo mas o ya esta soludionado?

grax

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 04:49

Bueno luego q paso eso, reinicie la maquina.. Corri el Norton 2004 en modo a prueba de fallos yno encontro nada..

corri de nuevo el hijacthis y aparece esto: (el mixer.exe sigue apareciendo :S)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Mixer.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe

C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realevent.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Messenger\msmsgs.exe

D:\antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Windows\System32\wsaupdater.exe,

O2 - BHO: twaintecObj Class - {000020DD-C72E-4113-AF77-DD56626C6C42} - C:\WINDOWS\twaintec.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

O4 - HKLM\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe" /WinStart

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\explorer.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096907336810

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} (brdg Class) - http://www2.flingstone.com/cab/2000XP/ClickYesToContinue/bridge-c14.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{629207DD-40E0-4421-B28F-18EA6ED44CED}: NameServer = 200.49.96.16 200.49.96.17

O20 - AppInit_DLLs: msmousex.dll

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 05:14

ademas del mixer q tu dices:

C:\WINDOWS\Mixer.exe

aparecen estos 2 q me llaman la atencion.. son normales?

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\satmat.exe

.. te recuerdo q el AV Online solo me detecto el: RBot , y ademas no estoy seguro q este eliminado por completo ya q solo corri el AV y lo elimino.

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 06:26

bueno esto me esta colmando la pasciencia..

viste el AV Online q me recomendaste como te dije antes me reconoce el RBOT . pero no lo puedo eliminar.. deshabilite el restaurador de sistemas.. pero la unica forma q tengo de correr el antivirus este es en Modo Normal de Windows.. Ya q en A prueba de Fallos con Funciones de Red.. No puedo conectarme a Inet, ya q tengo conexion Adsl pero por USB

EL Norton 2004 actualizado a prueba de fallos no me lo reconoce..

como puedo hacer para eliminarlo??

caito · Mensaje por **caito** » 30 Nov 2004, 07:39

Trata de bajarte el Nod32 trial :

http://u4.eset.com/eval/win/v2/nentspst.exe

Córrelo con RestaurarSistema deshabilitado y en modo Seguro, antes de pasarlo bloquea el Norton ( igual de mucho no te ha servido :wink:

Luego borra todos los Archivos Temporales de Internet,temp de sistema,cookies,etc, vacía la papelera.

Pasa el AdAware Se actualizado.

Reinicia normal y toma un nuevo log del Hijack (no borres nada :!: )

Salu2

Caito

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 14:41

ok

pero una pregunta cuadno dices, bloquear el norton, dices q lo borre y deje el nod (sirve como residente?) .. O bloqueo el auto protect de Norton mientras escaneo??

grax

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 15:01

como actualizo el nod32? no encuentro al opcion de update..

o la q me pasaste ya viene actualizado?

guillermus · Mensaje por **guillermus** » 30 Nov 2004, 16:21

Bueno creo q ya esta..

Corri el Nod32 como me dijsite, y encontro el Rbot y lo elimino..

hubo una cosa q me dijo Pagefile.sys no se puede Abrir acceso [4] ... O algo asi... (es grave eso?)

bueno este es el hijackthis luego del scan.. esta limpio no? ..

SI es asi un millon de gracias y una vez mas las papas salvadas..

Aqui esta el hijackthis

Logfile of HijackThis v1.98.2

Scan saved at 3:21:59, on 01/12/2004

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Mixer.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

D:\antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

O4 - HKLM\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe" /WinStart

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\explorer.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096907336810

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{629207DD-40E0-4421-B28F-18EA6ED44CED}: NameServer = 200.49.96.16 200.49.96.17

O20 - AppInit_DLLs: msmousex.dll

Mensaje por **maura63** » 30 Nov 2004, 18:33

En modo seguro y desactivando restaurar sistema en inicio y con el explorar busca esta entrada en C y la borras.

C:\WINDOWS\Mixer.exe

A continuacion con todos los programas cerrados, ejecuta hijackthis, pulsa scan y marca las casilla izquierda de estas entradas

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe"

O4 - HKCU\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe" /WinStart

O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\explorer.cab

O20 - AppInit_DLLs: msmousex.dll

Una vez marcadas pulsa FIX y aceptas.

Vuelve a pasar el antivirus y despues enciende en modo normal.

Cuentanos el resultado.

Saludos

maura63

guillermus · Mensaje por **guillermus** » 01 Dic 2004, 11:05

bueno hice todo lo q me dijiste ... el antivirus no detecto nada salvo q me dijo esto:

C:\PAGEFILE.SYS - Error abriendo archivo (Acceso denegado) [4]

q tenia exclusividad de otro programa o algo asi..

bueno despues de esto el hijackthis me quedo asi:

Logfile of HijackThis v1.98.2

Scan saved at 7:04:30, on 01/12/2004

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

D:\antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Archivos de programa\Yahoo!\Messenger\ypager.exe -quiet

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096907336810

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{629207DD-40E0-4421-B28F-18EA6ED44CED}: NameServer = 200.49.96.16 200.49.96.17

La maquina ya no manda y recibe datos como antes ... pero por las dudas fijate a ver si me quedo algo

Un Millon de gracias!!

Maura y Caito ROX!!!

Y sigo recomendando la pagina a quien me cruce

un abrazo

Mensaje por **maura63** » 01 Dic 2004, 11:15

Vuelve a arrancar en modo seguro y desactiva la restauracion. n el administrador de tareas pulsa (ctrl+alt+sup) y mira si se ejecuta [color=red]satmat.exe [/color], si es asi deten la tarea.

Cierra todo y lanza hijackthis pulsa scan y marca las dos entradas y despues pulsa FIX y aceptas

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

Vuelve a lanzar hijackthis y comprueba que no vuelven a aparecer.

Saludos

maura63

caito · Mensaje por **caito** » 01 Dic 2004, 11:25

Lo único que veo sospechoso es esta :

O4 - HKLM\..\Run: [satmat] C:\WINDOWS\satmat.exe

La otra no estoy convencido de que sea mala.

Además para hacer más rápido tu sistema puedes sacar algunas cosas del starup ( deja lo necesario,antivirus,firewall,etc).

Salu2

Caito

guillermus · Mensaje por **guillermus** » 01 Dic 2004, 12:49

bueno hice lo q me dijo maura..

y el hijackthis me quedo asi:

Logfile of HijackThis v1.98.2

Scan saved at 8:42:40, on 01/12/2004

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Winamp\Winamp.exe

D:\antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\CA-80U\ADSL\CnxDslTb.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MessengerPlus2] "C:\Archivos de programa\Messenger Plus! 2\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096907336810

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

COn respecto a lo q me dijo Caito Cules me recomendas sacar del inicio??.. y otra cosa q siempre quice saber es como deshabilitar los servicios q tengo al pedo, ya q por ejemplo yo tengo una maquina sola con adsl, y por ahi hay muchos q estan de mas y me usan memoria..

graxxxxxxxx

Mensaje por **maura63** » 01 Dic 2004, 13:00

Log correcto, y lo que cargas es practicamente lo basico, firewal, antivirus, explorer etc..

Saludos

maura63

caito · Mensaje por **caito** » 01 Dic 2004, 18:10

Yo sacaría el Plus,lo de Vidia,el ctfmon y lo del Nero, ya que puedes invocarlos desde un acceso diecto a esos programas cuando los quieras usar, pero es una decisión personal , si te funciona bien déjalo como está.

Salu2

Caito

guillermus · Mensaje por **guillermus** » 01 Dic 2004, 20:05

[quote="caito"]Yo sacaría el Plus,lo de Vidia,el ctfmon y lo del Nero, ya que puedes invocarlos desde un acceso diecto a esos programas cuando los quieras usar, pero es una decisión personal , si te funciona bien déjalo como está.

Salu2

Caito[/quote]

ya saque lo del nero el ctfon y Plus.. pero como saco lo de Vidia? cual es?

caito · Mensaje por **caito** » 01 Dic 2004, 21:58

En el MSCONFIG destildá : nwiz

Salu2

Caito

guillermus · Mensaje por **guillermus** » 02 Dic 2004, 06:36

Problema solucionado!

Y gracias por estar siempre!!!

Mensaje por **maura63** » 02 Dic 2004, 09:20

Pues Problema solucionado, post cerrado.

Saludos

maura63

sospecha (Solucionado)

sospecha (Solucionado)

...

...

...

...

...

..

otra cosita

=)

bueno

a perrrr

ok

listoo