Hkey local machine problema

[Rai]

No se que pasa en mi maquina. Hay u monton de spyware y adware que no puedo borrar. Están la mayoría en los Hkey local machine. Usé el ad-aware como 700 veces, pero cada vez que lo uso y borro los spyware vuelven a aparecer. La mayoría son data miners(Claria) y otros como cool web. Me gustaría que me explicaran porque no se borran. Gracias.

[caito]

si tienes XP o Me debes antes de limpiar deshabilitar Restaurar sistema, además tienes que arrancar en Modo seguro o A Prueba de Fallos.

Tb conviene antes actualizar los programas anti spy y por supuesto el SO ( windowsupdate).

Salu2

Caito

[Rai]

Gracias por tu respuesta. Desafortunadamente ya lo probé y sigue fallando. El problema puede ser que no se si desactive el restaurador, porque tengo una compaq que ya viene con una opción para desactivar el restaurador pero no se si es lo mismo desactivarlo así. Por otra parte Internet no me anda de hace rato. Me puedo conectar a internet pero tuve que borrar el kazaa, el bittorrent, el download accelerator y ni siquiera puedo usar hotmail. Cuando quiero hacer el uptdate del programa me aparece un mensaje que dice "Error retrieving update". Si me pudieran seguir ayudando se los agradecería.

[fircsix]

Proba tambien con estas otras utilidades tambien en modo seguro.



CWSHREDDER V 2.12



http://cwshredder.net/bin/CWShredder.exe



Descargar Spybot - Search & Destroy 1.3.1 desde zonavirus.com



http://www.zonavirus.com/descargas/spybot-sd.asp



Saludos.

fircsix

[Rai]

Gracias pero no pude solucionarlo. El SHredder no encuentra nada y el otro programa encuentra aplicaciones del Gator o una aplicación llamada Cydoor que luego vuelven a fallar luego de usar fix. Si alguien tiene otra solución que no sea formatear mi PC por favor mándela.

[msc hotline sat]

Estos adwares que te detecta el Spybot has de poder eliminarlos si arramncas en modo seguro, y si no lo lohraras con el SPYBOT, usa el AD_AWARE



Ahí tienes un tutorial al respecto y los links de descarga:





https://foros.zonavirus.com/viewtopic.php?t=4795



saludos



ms, 3-01-2005

[Rai]

Lo probé y cada vez que uso el ad-aware aparecen luego de un tiempo un monton de copias de esos spy. Si no los uso el ad-aware con frecuencia pueden llegar a un monton de copias(+de 100). Puedo poner el log del hijack this si quieren ya que no se que mas hacer.

[fircsix]

Pues mandanoslo entonces recuerda descomprimirlo en su propia carpeta (como C:/Limpiar), hacer que se te vean todas las carpetas y archivo ocultos y utilizarlo con todas las aplicaciones cerradas (incluso IE) y peganos el log.



Saludos.

fircsix

[maura63]

Los data-miner segun los sitios que visites te apareceran siempre, por eso hay que pasar los anti-spyware a menudo.



Prueba de instalar



· SpywareBlaster 3.2



versión nueva del SpywareBlaster (3.2 ):

http://www.javacoolsoftware.com/sbdownload.html



descarga y actualiza, impedira que te vuelvan a entrar muchos, eso si antes pasas ad_aware y Spybot para limpiar y luego instala el anterior.



Saludos

maura63

[fircsix]

Y en el caso del Spybot S&D no olvides que despues de limpiar debes inmunizar.



Saludos.

fircsix

[Rai]

No se usar muy bien el hijack, asi que me gustaria que me digas que es eso de C:/limpiar. Perdon pero es que soy un principiante en el uso de esos programas. No se si esto es lo que querias que pegue. Si no es avisame asi lo pego. Aca pego lo que salió de la busqueda:



R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.ciudad.com.ar

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.ciudad.com.ar

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.ciudad.com.ar

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=9

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.ciudad.com.ar

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.ciudad.com.ar

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\RBJF3Y~1.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [vptray] C:\ARCHIV~1\SYMANT~1\VPTray.exe

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Archivos de programa\Corel\Corel Graphics 12\Languages\ES\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=011905 serial=dr12wex-1504397-kty lang=ES

O4 - HKLM\..\Run: [USB Hardware32 Monitoring] USBhardware32.exe

O4 - HKLM\..\Run: [KAZAA] C:\Archivos de programa\Kazaa\kazaa.exe /SYSTRAY

O4 - HKLM\..\Run: [Control handler] C:\WINDOWS\System32\4865k04w6wpthd.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Trickler] "c:\documents and settings\propietario\configuración local\temp\fsg_4104a.exe"

O4 - HKLM\..\RunServices: [USB Hardware32 Monitoring] USBhardware32.exe

O4 - HKCU\..\Run: [Spyware Begone] C:\freescan\freescan.exe -FastScan

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~4\OFFICE11\REFIEBAR.DLL

O15 - Trusted IP range: (HKLM)

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/257d4034b137986c4b21/netzip/RdxIE601_es.cab

O16 - DPF: {706F3805-27D7-478D-80E5-E25D2BB030B3} (VacPro.internazionale_ver3) - http://ocx2.advnt01.com/dialer/internazionale_ver3.CAB

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O20 - AppInit_DLLs: w8c6s4xcm66nusll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - (no file)

O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Proxy Service - Symantec Corporation - c:\Archivos de programa\Norton Personal Firewall\ccPxySvc.exe

O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Symantec AntiVirus Definition Watcher - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: Fix-It Task Manager - V Communications, Inc. - C:\ARCHIV~1\VCOM\Fix-It\mxtask.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Servicio del iPod - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: Norton Personal Firewall Accounts Manager - Symantec Corporation - c:\Archivos de programa\Norton Personal Firewall\NISUM.EXE

O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: SAVRoam - symantec - C:\Archivos de programa\Symantec AntiVirus\SavRoam.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Archivos de programa\Symantec AntiVirus\Rtvscan.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

[Rai]

En respuesta al otro mensaje use el SpywareBlaster que es bastante util ya que pude proteger mi PC de muchos spyes.

[fircsix]

Lo que te quise decir es que cuando descargues el Hijackthis del archivo .zip lo metas en su propia carpeta (C:/Limpiar era solo un ejemplo) para que asi tenga copias de respaldo.



No nos pegaste el log completo, no sabemos si tienes actualizado tu Sistema Operativo y el Internet asi que te recomendaria que buscaras las actualizaciones via Windows Update (alojado en Inicio< Windows Update).



Una vez actualizado reinicia tu PC en modo seguro (tocas repetidas veces F8 durante el arranque y le das a modo seguro cuando te aparezca un menu) y deshabilita system restore (esto es solo para Win XP o ME: debes ir con click derecho sobre Mi PC y click en propiedades< en pestaña rendimiento click sobre Sistema de Archivos< en pestaña Solucion de problemas tilda la desactivacion del system restore).



Cuando hayas iniciado en modo seguro, cerra todas las aplicaciones, corre el hijackthis y marca estas casillas y despues hace click sobre FIX:



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=9

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\RBJF3Y~1.DLL

O4 - HKLM\..\Run: [Control handler] C:\WINDOWS\System32\4865k04w6wpthd.exe

O4 - HKLM\..\Run: [Trickler] "c:\documents and settings\propietario\configuración local\temp\fsg_4104a.exe"

O15 - Trusted IP range: (HKLM)

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/257d4034b137986c4b21/netzip/RdxIE601_es.cab

O16 - DPF: {706F3805-27D7-478D-80E5-E25D2BB030B3} (VacPro.internazionale_ver3) - http://ocx2.advnt01.com/dialer/internazionale_ver3.CAB

O20 - AppInit_DLLs: w8c6s4xcm66nusll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - (no file)



Elimina estos archivos y carpetas si aun estan

C:\WINDOWS\System32\RBJF3Y~1.DLL

C:\WINDOWS\System32\4865k04w6wpthd.exe

C:\documents and settings\propietario\configuración local\temp\fsg_4104a.exe



Elimina archivos temporales de Internet, cookies e historial.

Finaliza pasando el Ad-Aware SE actualizado.



Saludos.

fircsix

[Rai]

Gracias, eso redujo un monton el numero de spyes. Pero win-eto y otros todavía siguen. Te mando la información del sistema operativo porque me salió un error relacionado con eso en el objeto 021(el system check2):



Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)





Aca te mando también un pequeño log del ad-aware:



AltnetBDE Object Recognized!

Type : Regkey

Rootkey : HKEY_LOCAL_MACHINE

Object : software\altnet



AltnetBDE Object Recognized!

Type : RegValue

Rootkey : HKEY_LOCAL_MACHINE

Object : software\altnet

Value : SharedMediaDir



Claria Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}



Claria Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}

Value : uets



Claria Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}

Value : GEF



Claria Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}

Value : GMG



Claria Object Recognized!

Type : Regkey

Rootkey : HKEY_LOCAL_MACHINE

Object : software\gator.com



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{467faeb2-5f5b-4c81-bae0-2a4752ca7f4e}



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : clsid\{467faeb2-5f5b-4c81-bae0-2a4752ca7f4e}

Value :



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : redalert.here.1



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : plugin6.dnserrobj



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : plugin6.dnserrobj

Value :



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : redalert.here



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : typelib\{444a5674-ff85-45d4-9ae2-4199d8d70c85}



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : interface\{0d721150-aef3-457b-b03a-5097b623ce45}



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : interface\{0d721150-aef3-457b-b03a-5097b623ce45}

Value :



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_CLASSES_ROOT

Object : plugin6.dnserrobj.1



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CLASSES_ROOT

Object : plugin6.dnserrobj.1

Value :



CoolWebSearch Object Recognized!

Type : Regkey

Rootkey : HKEY_LOCAL_MACHINE

Object : software\microsoft\windows\currentversion\explorer\browser helper objects\{467faeb2-5f5b-4c81-bae0-2a4752ca7f4e}



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_LOCAL_MACHINE

Object : software\microsoft\windows\currentversion\explorer\browser helper objects\{467faeb2-5f5b-4c81-bae0-2a4752ca7f4e}

Value :



CoolWebSearch Object Recognized!

Type : RegValue

Comment : "TODO_Count"

Rootkey : HKEY_USERS

Object : S-1-5-21-4143972533-846104109-4222157067-1003\software\microsoft\internet explorer\settings

Value : TODO_Count



Claria Object Recognized!

Type : File

Data : HDPlugin1101.dll

Category : Data Miner

Comment :

Object : C:\WINDOWS\downloaded program files\

FileVersion : 1.1.0.1

ProductVersion : 1.1.0.1

ProductName : GAIN

CompanyName : GAIN Publishing

FileDescription : Claria HD plugin for Internet Explorer

InternalName : HDPlugin.dll

LegalCopyright : Copyright © 1999-2004 GAIN Publishing

OriginalFilename : HDPlugin.dll



Claria Object Recognized!

Type : File

Data : HDPlugin1101.inf

Object : C:\WINDOWS\downloaded program files\



Claria Object Recognized!

Type : File

Data : GatorHDPlugin.log

Object : C:\WINDOWS\



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CURRENT_USER

Object : software\microsoft\internet explorer\settings

Value : GUID



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CURRENT_USER

Object : software\microsoft\internet explorer\settings

Value : Control Date



CoolWebSearch Object Recognized!

Type : RegValue

Rootkey : HKEY_CURRENT_USER

Object : software\microsoft\internet explorer\main

Value : Enable Browser Extensions



CoolWebSearch Object Recognized!

Type : File

Data : dllhelp.exe

Object : C:\WINDOWS\



CoolWebSearch Object Recognized!

Type : File

Data : image.dll

Object : C:\WINDOWS\



CoolWebSearch Object Recognized!

Type : File

Data : mssys.exe

Category : Malware

Comment :

Object : C:\WINDOWS



Si me podes seguir ayudando te lo agradecería.

[fircsix]

Hola. :D



Actualizaste el SO y el IE via Windows Update :?:

No me indicas si se te eliminaron todas esas entradas que te aparecieron en el Ad-Aware (recuerda ejecutarlo en modo seguro y con system restore deshabilitado)

Pasale tambien las otras utilidades y peganos otro log del hijackthis.



Saludos.

fircsix