ayuda con espia que me cambia pagina de inicio (Solucionado)

roloj · Mensaje por **roloj** » 20 Dic 2004, 15:44

Hola, se me metio un espia en un ordenador que usa W-Me. El espía me cambia la páginad e inicio por una página de búsqueda en la que aparecen escrita unas palabras tipo: casino, blacjack, viagra,...

También me instaló dos barras de herramientas: Freshbar y IE search toolbar.

Probé a pasar de todo: Adaware, spyware blaster, spybot, etc... y aun así me sigue cambiando la página de inicio, aunque creo que lo de las barras de herramientas logre eliminar.

Pase el hijack, no sé si debería pegarlo aquí pero lo hago por si puede servir de ayuda.

Logfile of HijackThis v1.98.1

Scan saved at 15:40:36, on 20/12/2004

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS.000\SYSTEM\KERNEL32.DLL

C:\WINDOWS.000\SYSTEM\MSGSRV32.EXE

C:\WINDOWS.000\SYSTEM\SPOOL32.EXE

C:\WINDOWS.000\SYSTEM\MPREXE.EXE

C:\WINDOWS.000\SYSTEM\MSTASK.EXE

C:\WINDOWS.000\SYSTEM\STIMON.EXE

C:\WINDOWS.000\SYSTEM\mmtask.tsk

C:\WINDOWS.000\EXPLORER.EXE

C:\WINDOWS.000\SYSTEM\PSTORES.EXE

C:\WINDOWS.000\SYSTEM\RESTORE\STMGR.EXE

C:\WINDOWS.000\TASKMON.EXE

C:\WINDOWS.000\SYSTEM\SYSTRAY.EXE

C:\WINDOWS.000\SYSTEM\MP_S3.EXE

C:\WINDOWS.000\SYSTEM\WMIEXE.EXE

C:\WINDOWS.000\SYSTEM\HPZTSB04.EXE

C:\WINDOWS.000\LOADQM.EXE

C:\WINDOWS.000\SYSTEM\LVCOMS.EXE

C:\ARCHIVOS DE PROGRAMA\LOGITECH\IMAGESTUDIO\LOGITRAY.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\REAL\UPDATE_OB\REALSCHED.EXE

C:\WINDOWS.000\SYSTEM\IPCFG.EXE

C:\WINDOWS.000\SYSTEM\SCANDS32.EXE

C:\ARCHIVOS DE PROGRAMA\A2\A2GUARD.EXE

C:\ARCHIVOS DE PROGRAMA\FREE HISTORY ERASER\HISTORYERASER.EXE

C:\ARCHIVOS DE PROGRAMA\TELEFONICA\KIT ADSL USB\DSLMON.EXE

C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\OSA.EXE

C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\FINDFAST.EXE

C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YMSGR_TRAY.EXE

C:\WINDOWS.000\SYSTEM\DDHELP.EXE

C:\DESCARGADO\ANTIVIRUS Y SIMILARES\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.telefonica.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.telefonica.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {807CC63B-FA9C-475A-A2E7-8BE615A7BD95} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS.000\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS.000\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS.000\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [SiSAudio] C:\WINDOWS.000\system\MP_S3.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS.000\SYSTEM\hpztsb04.exe

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [LVComs] C:\WINDOWS.000\SYSTEM\LVComS.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\ImageStudio\ISStart.exe

O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Archivos de programa\Logitech\ImageStudio\LogiTray.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS.000\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [scands32.exe] C:\WINDOWS.000\SYSTEM\SCANDS32.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS.000\System\Restore\StateMgr.exe

O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS.000\SYSTEM\STIMON.EXE

O4 - HKCU\..\Run: [a²] "C:\Archivos de programa\a2\a2guard.exe"

O4 - HKCU\..\Run: [Yahoo! Pager] C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\ypager.exe -quiet

O4 - HKCU\..\Run: [SPSTEALT] "C:\ARCHIVOS DE PROGRAMA\FREE HISTORY ERASER\HISTORYERASER.EXE" /stealt

O4 - Startup: Consola KIT ADSL.lnk = C:\Archivos de programa\Telefonica\Kit ADSL USB\DSLMON.exe

O4 - Startup: Inicio de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

O4 - Startup: Búsqueda rápida de Microsoft.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O8 - Extra context menu item: &Download with &DAP - C:\ARCHIV~1\DAP\dapextie.htm

O8 - Extra context menu item: Download &all with DAP - C:\ARCHIV~1\DAP\dapextie2.htm

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YPAGER.EXE

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YPAGER.EXE

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS.000\SYSTEM\Shdocvw.dll

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS.000\SYSTEM\MSJAVA.DLL

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS.000\SYSTEM\MSJAVA.DLL

O16 - DPF: {812A5592-FBF0-4D40-B0EF-CEA668406C0C} (Herramienta de carga de Yahoo! Fotos Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/ydropper/ydropper1_4es.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 80.58.0.33,80.58.32.97

O18 - Filter: text/html - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O18 - Filter: text/plain - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

Espero que me puedan ayudar, gracias

Mensaje por **maura63** » 20 Dic 2004, 15:48

Prueba este otro

Eliminación de dialers, paginas de inicio en el internet explorer y no restaurables,etc...

CWSHREDDER 2.0

http://www.softpedia.com/public/cat/10/17/10-17-150.shtml

Saludos

maura63

fircsix · Mensaje por **fircsix** » 20 Dic 2004, 15:51

Bajate el hijackthis 1.99 y peganos otro log este es mas informativo.

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Saludos.

fircsix

roloj · Mensaje por **roloj** » 20 Dic 2004, 16:25

Logfile of HijackThis v1.99.0

Scan saved at 16:26:34, on 20/12/2004

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS.000\SYSTEM\KERNEL32.DLL

C:\WINDOWS.000\SYSTEM\MSGSRV32.EXE

C:\WINDOWS.000\SYSTEM\mmtask.tsk

C:\WINDOWS.000\SYSTEM\MPREXE.EXE

C:\WINDOWS.000\SYSTEM\MSTASK.EXE

C:\WINDOWS.000\SYSTEM\STIMON.EXE

C:\WINDOWS.000\EXPLORER.EXE

C:\WINDOWS.000\TASKMON.EXE

C:\WINDOWS.000\SYSTEM\SYSTRAY.EXE

C:\WINDOWS.000\SYSTEM\MP_S3.EXE

C:\WINDOWS.000\SYSTEM\HPZTSB04.EXE

C:\WINDOWS.000\LOADQM.EXE

C:\WINDOWS.000\SYSTEM\LVCOMS.EXE

C:\ARCHIVOS DE PROGRAMA\LOGITECH\IMAGESTUDIO\LOGITRAY.EXE

C:\WINDOWS.000\SYSTEM\QTTASK.EXE

C:\ARCHIVOS DE PROGRAMA\FREE HISTORY ERASER\HISTORYERASER.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\ARCHIVOS DE PROGRAMA\TELEFONICA\KIT ADSL USB\DSLMON.EXE

C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\OSA.EXE

C:\WINDOWS.000\SYSTEM\WMIEXE.EXE

C:\WINDOWS.000\SYSTEM\SPOOL32.EXE

C:\WINDOWS.000\SYSTEM\RESTORE\STMGR.EXE

C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YMSGR_TRAY.EXE

C:\WINDOWS.000\SYSTEM\DDHELP.EXE

C:\ARCHIVOS DE PROGRAMA\WINRAR\WINRAR.EXE

C:\WINDOWS.000\TEMP\RAR$EX00.873\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {7615BED3-2CAE-41C9-8498-C22C40076CCC} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS.000\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS.000\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS.000\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [SiSAudio] C:\WINDOWS.000\system\MP_S3.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS.000\SYSTEM\hpztsb04.exe

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [LVComs] C:\WINDOWS.000\SYSTEM\LVComS.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\ImageStudio\ISStart.exe

O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Archivos de programa\Logitech\ImageStudio\LogiTray.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS.000\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [CHARCOMMANDSET] C:\WINDOWS.000\SYSTEM\CHARCOMMANDSET.SCR

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS.000\System\Restore\StateMgr.exe

O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS.000\SYSTEM\STIMON.EXE

O4 - HKCU\..\Run: [a²] "C:\Archivos de programa\a2\a2guard.exe"

O4 - HKCU\..\Run: [Yahoo! Pager] C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\ypager.exe -quiet

O4 - HKCU\..\Run: [SPSTEALT] "C:\ARCHIVOS DE PROGRAMA\FREE HISTORY ERASER\HISTORYERASER.EXE" /stealt

O4 - Startup: Consola KIT ADSL.lnk = C:\Archivos de programa\Telefonica\Kit ADSL USB\DSLMON.exe

O4 - Startup: Inicio de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA.EXE

O4 - Startup: Búsqueda rápida de Microsoft.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YPAGER.EXE

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIVOS DE PROGRAMA\YAHOO!\MESSENGER\YPAGER.EXE

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS.000\SYSTEM\Shdocvw.dll

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS.000\SYSTEM\MSJAVA.DLL

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS.000\SYSTEM\MSJAVA.DLL

O16 - DPF: {812A5592-FBF0-4D40-B0EF-CEA668406C0C} (Herramienta de carga de Yahoo! Fotos Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/ydropper/ydropper1_4es.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 80.58.0.33,80.58.32.97

O18 - Filter: text/html - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O18 - Filter: text/plain - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

roloj · Mensaje por **roloj** » 20 Dic 2004, 16:29

Se me olvido decir que he probado tb el CWSHREDDER 2.0 y no me hencontro nada. Ya no sé qué hacer

Mensaje por **maura63** » 20 Dic 2004, 16:50

En modo seguro lanza hijackthis marca estas entradas y pulsa FIX, acepta y comprueba el resultado

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {7615BED3-2CAE-41C9-8498-C22C40076CCC} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O4 - HKCU\..\Run: [SPSTEALT] "C:\ARCHIVOS DE PROGRAMA\FREE HISTORY ERASER\HISTORYERASER.EXE" /stealt

O18 - Filter: text/html - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

O18 - Filter: text/plain - {37560C27-1D91-4877-9786-51C679E5EA01} - C:\WINDOWS.000\SYSTEM\SNNPAPI.DLL

Saludos

maura63

roloj · Mensaje por **roloj** » 20 Dic 2004, 17:03

Creo que se eliminó, pero no me fio del todo, porque lo hice una vez y al reiniciar el ordenador volvio a aparecer, ahora reiniice un par de veces y parece que va bien. Muchas gracias Maura

Mensaje por **maura63** » 20 Dic 2004, 17:05

Pues solucionado el tema lo cerramos.

Saludos

maura63