Novato ayuda por favor!!

[ciqo]

Hola a tod@s, he estado leyendo por el foro para ver si había algun caso parecido al mio pero no lo encuentro y no se que hacer, os cuento mi caso a ver si me podeis ayudar.

El miercoles por la noche me entro un virus o un gusano no lo se en mi ordenador, el caso es que empezo a hacer ruiditos por el altavoz interno, se "merendo" todas mis fotos, mi musica y bastantes gigas de mi disco duro(unos 50 o por ahi); le pase el mcafee y no lo detecto, le pase el panda online y si lo encontro, y hoy tras leer este foro, reinicie en modo seguro(tengo XP) antes de reiniciar le quite lo de restaurar el sistema y volvi a pasarle 3 o 4 antivirus varias veces. El resultado fue que me encontro un archivo que se llama W32\Anzae.worm y por lo que lei en el foro es el Tasin o algo asi. Pues bueno lo limpie y reinicie entrando ahora en modo normal, coji el File Recover para intentar recuperar lo que se "merendo" y parecia que iba bien, pero el problema es que al intentar abrir un .jpg me sale un instalador de Frontpage o algo asi, y ya no se que hacer estoy desesperao y no se como salir de esto.

Espero que podais ayudarme.

Muchas gracias.

P.D:Por si sirve de algo antivirus que he pasado: Mcafee totalmente acutalizado, panda online y uno que lei en este foro que esta en www3....... algo asi.

[Charly_fnl]

agregame y te esplico mejor ***********



Charly no se acepta este tipo de ayuda en el foro, si tienes algo que decirlo, publicalo.



Saludos

Carolxsiempre

[ciqo]

Charly gracias de todos modos.

Espero que alguien sepa como ayudarme, mi problema basicamente es que recupero archivos .jpg con el "File Recovery", y cuando hago doble click para verlos me abre un asistente como para instalar Frontpage.

Espero vuestra ayuda. Es que ya no se que hacer.

Gracias.

Edito el mensaje para poner la lista de procesos que se estan ejecutando en estos momentos en mi equipo; no se si servirá para algo, si puedo poner cualquier otra cosa decirmelo y lo pondre.

Aqui van los procesos:

taskmgr.exe USUARIO 4.432kb

wmiprvse.exe Servicio de red 5.752kb

rulaunch.exe usuario 2.832

ctfmon.exe usuario 2888

logitray.exe usuario 4.624

alg.exe servicio local 3512

kbdap32a.exe usuario 3144

mcshield.exe system 9132

mspmspsv.exe system 1340

svchost.exe system 4416

vshwin32.exe system 9736

avconsol.exe system 4456

vsstat.exe system 5284

nvsvc32.exe system 2660

soundman.exe usuario 2272

mdm.exe system 3132

cdantsrv.exe system 1024

avsynmgr.exe system 3592

spoolsv.exe system 4100

svchost.exe servicio local 4380

svchost.exe servicio de red 3160

svchost.exe system 20148

svchost.exe servicio de red 4120

svchost.exe system 4640

lsass.exe system 948

services.exe system 3888

winlogon.exe system 552

csrss.exe system 3828

explorer.exe usuario 11016

smss.exe system 372

system system 240

[carolxsiempre]

Si tienes windows xp, desactiva la restauración del sistema, reinicia en modo a prueba de fallos y sigue los pasos de este post:



https://foros.zonavirus.com/viewtopic.php?t=4085



Saludos

Carolxsiempre

[Charly_fnl]

*****

[ciqo]

Carolxsiempre:

Siento ser pesado, he echo lo que me has dicho(inicie en modo seguro tras desactivar lo de restaurar) y pase el elipawua, no detecta nada; tambien pase el mcafee nuevamente y tampoco detecta nada extraño, pero esto sigue igual no me deja abrir los .jpg

Siento el repetirme tanto, pero es que llevo delante del ordenador desde las 6 de la tarde y no se me ocurre ya que puedo hacer.

Muchas gracias por la ayuda, se admite cualquier sugerencia.

Edito:

He leido en un post algo sobre el hijack, me lo he bajado, y tengo el log guardado, serviria de algo el que lo ponga aqui? si sirve de algo avisadme y lo copio.

Gracias.

[caito]

Arranca normal y haz que se vean todos los archivos :

Para configurar Windows XP para que muestre las extensiones de archivo:



Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.

Ejecuta el Hijack : Scan y luego Save Log, copia y pega ese log como respuesta a este post.

Salu2

Caito

[ciqo]

He pasado el hijack, y aqui os pego el log, tambien deciros que el problema no es solo con los jpg´s, es con cualquier archivo que recupere con el handy recover, al intentar abrir el archivo recuperado me saca una ventana para instalar el Frontpage.



Aqui os dejo el log del hijcak:



Logfile of HijackThis v1.98.2

Scan saved at 12:14:53, on 27/11/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avsynmgr.exe

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\VsStat.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Vshwin32.exe

C:\Archivos de programa\Archivos comunes\Network Associates\McShield\Mcshield.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avconsol.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

C:\Archivos de programa\Logitech\Video\LogiTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\Usuario\CONFIG~1\Temp\Rar$EX00.157\HijackThis.exe



R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://mysearchnow.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Archivos de programa\QuickSearch\QuickSearchBar1_27.dll

O2 - BHO: Corn bike - {A6E2BB09-06E3-2CBB-58C5-5FE58674E3DA} - C:\ARCHIV~1\ABOUTL~1\Thunk Style.dll (file missing)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Archivos de programa\McAfee\McAfee VirusScan\VSCShellExtension.dll

O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Archivos de programa\QuickSearch\QuickSearchBar1_27.dll

O3 - Toolbar: VGA SECOND - {B3D7165C-32F1-DB31-1A1C-88DE3B758316} - C:\ARCHIV~1\ABOUTL~1\Thunk Style.dll (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Spyware Cleaner] C:\Archivos de programa\DreamGroup\sin-espias\No-Spy.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Archivos de programa\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {1E5592CB-8F5B-46F8-9EA6-65C01213808A} (InstaladorBetyByte Control) - http://www.cocacola.es/uploads/cab/instaladorbetybyte.cab

O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} (IntRuboskizo2 Class) - http://www.juegos-flash.com/ruboskizo2.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll





P.D:Me confundi, con los archivos recuperados con el handy recover me sale la ventana de instalacion del frontpage, y con los jpg´s me pasa con TODOS hasta con los que creo yo con el paint por ejemplo

[caito]

Con respecto al hijack :

1) Bájalo otra vez y guárdalo en su propia carpeta , por ej.:

C>Limpiar>Hijack

2)Cierra todas las aplicaciones

3)Lanza el Hijack y dale a Fix :



R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://mysearchnow.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R3 - Default URLSearchHook is missing

O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Archivos de programa\QuickSearch\QuickSearchBar1_27.dll

O2 - BHO: Corn bike - {A6E2BB09-06E3-2CBB-58C5-5FE58674E3DA} - C:\ARCHIV~1\ABOUTL~1\Thunk Style.dll (file missing)

O16 - DPF: {1E5592CB-8F5B-46F8-9EA6-65C01213808A} (InstaladorBetyByte Control) - http://www.cocacola.es/uploads/cab/instaladorbetybyte.cab

O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} (IntRuboskizo2 Class) - http://www.juegos-flash.com/ruboskizo2.cab

4)Borra con este programa archivos innecesarios :

http://www.xs4all.nl/~mp2004/

5)Reinicia y saca un nuevo log.

Salu2

Caito

[ciqo]

Kaito antes de nada gracias por la ayuda.



Aqui va el nuevo log:



Logfile of HijackThis v1.98.2

Scan saved at 14:29:49, on 27/11/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avsynmgr.exe

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\McAfee\McAfee VirusScan\VsStat.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Vshwin32.exe

C:\Archivos de programa\Archivos comunes\Network Associates\McShield\Mcshield.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avconsol.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

C:\Archivos de programa\Logitech\Video\LogiTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe

C:\WINDOWS\system32\wuauclt.exe

C:\limpiar\Hijack\HijackThis.exe



R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Archivos de programa\McAfee\McAfee VirusScan\VSCShellExtension.dll

O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)

O3 - Toolbar: VGA SECOND - {B3D7165C-32F1-DB31-1A1C-88DE3B758316} - C:\ARCHIV~1\ABOUTL~1\Thunk Style.dll (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Spyware Cleaner] C:\Archivos de programa\DreamGroup\sin-espias\No-Spy.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Archivos de programa\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll





P.D:Todo sigue igual, quiero decir, me sigue abriendo el asistente de frontpage al ejecutar segun que cosas.

[carolxsiempre]

Lo que a ti te ha pasado es que haz perdido la vinculación a las imágenes, si son recuperadas, asegurate que estas las hayas recuperado como "nombre.jpg", si no es así edita el nombre y agregale la extensión jpg. Haz una prueba y es la de dar click derecho a la imagen y dile editar, abrirá el paint alli le das un guardar como y pones el nombre con el formato jpg.



nos cuentas los resultados.



Saludos

Carolxsiempre

[caito]

Casi limpio, solo estas ( fix ) :

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)

O3 - Toolbar: VGA SECOND - {B3D7165C-32F1-DB31-1A1C-88DE3B758316} - C:\ARCHIV~1\ABOUTL~1\Thunk Style.dll (file missing)

Salu2

Caito

[ciqo]

Carolxsiempre:

No creo que sea lo que tu dices, ya que no me pasa solo con los jpg´s me pasa con cualquier archivo recuperado por el handy recovery, e incluso me pasa al ejecutar el Word, no tengo ni idea de lo que puede ser :cry:



Caito:

Te pongo el nuevo log del hijack:



Logfile of HijackThis v1.98.2

Scan saved at 18:08:28, on 27/11/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avsynmgr.exe

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\McAfee\McAfee VirusScan\VsStat.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Vshwin32.exe

C:\Archivos de programa\Archivos comunes\Network Associates\McShield\Mcshield.exe

C:\Archivos de programa\McAfee\McAfee VirusScan\Avconsol.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

C:\Archivos de programa\Logitech\Video\LogiTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe

C:\limpiar\Hijack\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Archivos de programa\McAfee\McAfee VirusScan\VSCShellExtension.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Archivos de programa\Trust\305KS WIRELESS OPTICAL DESKSET\KbdAp32A.exe

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Spyware Cleaner] C:\Archivos de programa\DreamGroup\sin-espias\No-Spy.exe

O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Archivos de programa\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

[carolxsiempre]

Es comun lo que te pasa, al perder archivo ó borrarlos manualmente y luego usar una herramienta para su recuperación, muchos de esos archivos se recuperan truncados y perdiendo las propiedades de su origen, pero cada cual es libre de usar la solución que le apetezca.





Saludos

Carolxsiempre

[ciqo]

Carolxsiempre, pero lo que yo no entiendo es pq me pasa al abrir el Word, es que no entiendo lo que puede ser. Entiendo si se trata de algun archivo recuperado, pero al abrir el Word....

[carolxsiempre]

Esto es a consecuencia del virus que entro en tu pc, si tienes el instalador de office, vuelve a instalarlo, por si algún dll ha sido dañado.



Saludos

Carolxsiempre

[ciqo]

Pues no tengo el instalador del office, asi que no puedo volver a instalar.

Supongo que tendre que formatear pq no hay forma de hacer nada :cry:

Creeis que hay algun riesgo si recupero archivos con el handy recovery y los meto en un CD, y si formateo el ordenador y los vuelvo a instalar desde esos CD´s? no se si me habreis entendido.

P.D:caito espero tu respuesta a ver si esta bien el hijack y si se te ocurre alguna solucion.

Muchisimas gracias a todos por la ayuda de verdad.Un saludo.

[caito]

Ha quedado limpio :lol:

Salu2

Caito

[ciqo]

Caito muchisimas gracias por tu ayuda.

Y ya mi ultima pregunta, para solucionar el que me abre el asistente de instalación de frontpage cuando trato de abrir un jpg o abrir Word(de momento son los unicos donde lo he comprobado), que me recomendais formatear, reinstalar....?

Gracias a todos por la ayuda.

[maura63]

Este fin de semana se me ha dado el caso que comentas del FrontPage en el Pc de un amigo y era debido por el Tasin famoso.



Pasa esta utilidad y luego tendras que instalar cuando te lo pida con el CD de Oficee.



https://foros.zonavirus.com/viewtopic.php?t=4085



Saludos

maura63

[ciqo]

maura63, el elipawua ya lo he pasado y esta todo limpio, lo que no entiendo es una vez pasado que tengo que reinstalar el office? o cuando me salga el instalador del frontpage instalarlo? Espero que me lo puedas aclarar, pq ya me iba haciendo a la idea de formatear y me has dado un alegron :lol:

Gracias.

[maura63]

Cuando te lo pida introduce el cd de instalacion y te lo instalara sin mayor problema. Por lo menos asi le solucione el tema.



Saludos

maura63

[efraingh]

En el link que ponen para solucionar el Pawur:



https://foros.zonavirus.com/viewtopic.php?t=4085



Tienen su herramienta de limpieza y recomiendan un programa para recuperar los archivos borrados (algunos segun leo la pagina del programa, los mas usuales) por el virus, y es gratis.



Bueno mi pregunta es, leyendo en la pagina del fabricante de ese programa menciona que NO SE DEBE CORRER EL PROGRAMA EN EL MISMO DISCO DURO DE LA PC DONDE SE RECUPERARA INFORMACION, sino que se tiene que instalar en otro disco duro y me imagino poner como esclavo al disco donde se buscara la informacion. Entonces, los usuarios que han tenido ese problema han corrido de esa manera el programa, es cierto que no se puede hacer en el mismo disco duro?, si se corre de esa manera, en el mismo disco, se daña, o que pasa, solo no se puede recuperar la informacion?



Esto ya que una amiga fue infectada con ese virus, y estoy checando su pc para repararla, pero el detalle es para recuperar informacion, ya que es una laptop y para empezar para colocarlo en otra pc el disco duro, habria que abrirla y pues ahi si no tengo conocimientos, ademas debe ser otro tipo de conector el del disco duro, no IDE como en el caso de las PC, asi que como hacerlo?



Espero algun comentario al respecto.



Saludos, feliz navidad y año nuevo a todos los usurios habituales del foro



Efrain

[maura63]

Lo puedes instalar en el mismo disco y recuperar la informacion sin mayor problema. Van cuatro los ordenadores arreglados de esa forma y recuperada la informacion que borraba.



Saludos

maura63

[msc hotline sat]

La diferencia entre utilizarlo desde otro disco duro es que los ficheros pendientes de recuperar no son sobreescritos por la recuperacion de los ficheros recuperados, por ello el desarrollador del soft indica ejecutarlo desde otro disco duro, y ello es lógico para evitar perder posibilidad de recuperacion de cualquier fichero pendiente de procesar.



Que se pueda hacer desde el mismo disco duro, sí, pero mejor es colocarlo como esclavo y hacerlo desde el master.



Y si no se tiene otro, aprovechar la experiencia de maura63 y hacerlo desde donde se pueda.



saludos



ms, 20-12-2004

[efraingh]

Ok, pues lo hare desde el disco de la laptop, que se pueda recuperar algo de la informacion borrada ya es ganancia y si se recupera toda sin problemas es mejor, les informare como me fue una vez que lo lleve a cabo. Entonces es por los problemas de sobreescritura que va sufriendo la informacion por el mismo sistema, pense que se debia a alguna cosa mas que dañara el sistema o cosa por el estilo.



Por otro lado, no recuerdo si en el foro o en la web encontre un comentario de que pudo rescatar la informacion con la herramienta de restaurar sistema, llevando el punto a una fecha anterior al surgimiento del problema, creen que se pueda hacer de esta manera tambien? o eso solo soluciona problemas con archivos de sistema? Veo que las fechas de los archivos del virus son en si el de retransmision del smtp y el archivo comprimido del virus del 26/11/04 y los que son ejectuables del virus como el svhosl.pif tiene fecha del dia 20/12/04 o sea del dia de ayer.



Si se puede rescatar informacion echando el sistema a un punto anterior, le preguntare primero por programas que haya instalado en esa fecha, para que si no tiene los discos mejor no lo hago o si los vuelve a conseguir pues ya lo haria. Ahora no se que tan confiable sea con la herramienta de restaurar sistema, si como pasa comunmente se traba la herramienta, no quedara peor la portatil?



Y finalmente, si lo hago con restaurar sistema, no tengo que checar antes el sistema ya que al momento de echarlo atras, si esta aun el virus volvera a infectarse y seria doble trabajo, pienso que si restauro el sistema iniciare en modo a prueba de fallos y limpiare con su herramienta de elipawua para que no corra el virus en modo normal y asi no me borre de nuevo los archivos como doc, xls, ppt, mp3, jpg, gif, por mencionar algunos de los que borra y se encuentran comunmente en las pc. Una vez recuperada la info con restaurar sistema entro en modo normal y deshabilito restaurar sistema para eliminar respaldos con posibles copias del virus y despues creo una libre de virus.



O como ven, cual metodo sera mas recomendable?



Saludos



Efrain

[efraingh]

Hola, me decidi por usar el programa filerecovery instalado sobre la misma PC (portatil) pero no me dejo realizar la busqueda de archivos, marca un error de violacion en la direccion tal con el nombre de archivo filerecovery, y mejor asi lo deje, eso lo intente en modo a prueba de fallos, despues pense que era por eso, asi que entre corri la utileria de elipawuar para eliminar el virus anzae o pawur y entre en modo normal, pero tambien dio el mismo resultado, de no querer correr la busqueda de archivos eliminados.



Por otro lado, al entrar en modo normal pense que al eliminar el virus se mejoraria la entrada en el sistema ya que tarda un poco en cargar la ventana de bienvenida a donde se selecciona el usuario ya sea en modo normal o a prueba de fallos, de cualquiera de las dos maneras, ya corrido el elipawua aun tarda y ya despues marca el usuario, esto a que se debera?



Ademas en modo normal al iniciar marca el Windows Installer.. pero no se que programa lo corre, tengo la impresion que es debido a la instalacion de Office como mencionaban anteriormente ya que carga en el inicio el ctfmon y el osa que son de office y abre dos ventanas pero como comento no dice a que programa corresponde. Ahora bien, le doy abrir a word y no me abre nada, ni dice nada del windows installer, solo como que se ve la ventanita que iniciara pero se cierra, eso mismo apreciaba en modo a prueba de fallos, pero lo hace tan rapido que no sabia que era esa ventana. Como solucionar ese problema?



Espero comentarios, y gracias de antemano



Saludos



Efrain

[msc hotline sat]

Pues lo mas probable es que tenga el office corrupto, debido a la eliminacion de ficheros por culpa del virus en cuestion.



Con el ELIPAWUA se detiene el virus en memoria, restauran las claves de registro modificadas por este virus, y pulsando en Explorar se buscan y eliminan gusanos en todo el disco duro, pero los ficheros que ha borrado el virus, borrados quedan.



Como sea que el File Recovery, el propio creador aconseja utilizarlo desde otro disco duro, colocando el afectado como esclavo, y no lo está haciendo así, es posible que la recuperacion de ficheros no sea tan efectiva como de la otra forma.



Pero dado lo que indica, creo aconsejable desinstalar el Office e instalarlo de nuevo, pues cualquier .ini borrado que lo afecte, bloqueará su proceso.



Y posiblemente, tras desinstalar y volver a instalarlo, desaparezcan estas pantallas de instalacion que le aparecen al arrancar en modo normal.



Tras todo ello, lance un windowsupdate para actualizar los parches de las aplicaciones reinstaladas en cuestion.



saludos



ms, 24-12-2004