No se si será virus... (solucionado)

[xolo]

Hola, necesito alguien que me guie un poco pq no entiendo sobre un virus.

Ultimamente tengo muchos problemas con el ordenador, me ejecuta mucha memoria y se me relentiza bastante. Cuando quiero cerrarlo, veo que siempre se queda colgado el mismo proceso: taskmgr.exe y que no puedo entrar en el administrador de tareas (se abre el icono en la barra, pero no se ejecuta) todo acaba con reseteo y se arregla durante un tiempo que funciona con normalidad.

Pues mirando por google, he visto que los problemas con el taskmgr.exe y el no poder entrar al administrador, van relacionados, pero nunca encuentro ninguno de los archivos que me dicen en el registro.

Alguien me dice algun programa o algo xa poder comprobar si hay infeccion o no?

Ah, tengo el norton 2005 y no me ha encontrado nada. Y el adaware lo paso y encuentra cosas, pero menores.

Un poco de ayuda, por favor.

[caito]

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia para el HijackThis (por ejemplo una carpeta C:\HijackThis\). Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Salu2

Caito

[xolo]

Bueno, pues aquí os dejo el log.

Gracias por contestar tan rapido



[i]Logfile of HijackThis v1.99.1

Scan saved at 0:04:57, on 14/03/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Conceptronic\Software Bluetooth\bin\btwdins.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

C:\WINDOWS\System32\CTSvcCDA.EXE

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\MATLABR11\webserver\bin\matlabserver.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

c:\wamp\apache\bin\Apache.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\wamp\apache\bin\Apache.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

C:\WINDOWS\System32\msmq2inst.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\Conceptronic\Software Bluetooth\BTTray.exe

C:\Archivos de programa\appledock\YzDock.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\System32\wuauclt.exe

C:\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [EPSON Stylus CX3200] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P19 "EPSON Stylus CX3200" /O6 "USB001" /M "Stylus CX3200"

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Archivos de programa\Norton AntiVirus\Internet Security\UrlLstCk.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [MS Unix Binary] msmq2inst.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msmq2inst.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MS Unix Binary] msmq2inst.exe

O4 - Startup: Acceso directo a YzDock.exe.lnk = C:\Archivos de programa\appledock\YzDock.exe

O4 - Startup: sizer.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: BTTray.lnk = ?

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Enviar a &Bluetooth - C:\Archivos de programa\Conceptronic\Software Bluetooth\btsendto_ie_ctx.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O10 - Broken Internet access because of LSP provider 'c:\windows\system32\wshbth.dll' missing

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {90A29DA5-D020-4B18-8660-6689520C7CD7} (DmiReader Class) - http://support.euro.dell.com/global/apps/systemprofiler/PROFILER.CAB

O17 - HKLM\System\CCS\Services\Tcpip\..\{08362753-E951-4BCE-8293-AECA956719E2}: NameServer = 62.81.0.1,62.81.16.197

O17 - HKLM\System\CCS\Services\Tcpip\..\{F5B8DDFD-6B79-40EC-BC3B-AF66FCD83D6A}: NameServer = 62.81.0.1,62.81.16.197

O17 - HKLM\System\CS1\Services\Tcpip\..\{08362753-E951-4BCE-8293-AECA956719E2}: NameServer = 62.81.0.1,62.81.16.197

O17 - HKLM\System\CS2\Services\Tcpip\..\{08362753-E951-4BCE-8293-AECA956719E2}: NameServer = 62.81.0.1,62.81.16.197

O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Archivos de programa\Conceptronic\Software Bluetooth\bin\btwdins.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSvcCDA.EXE

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: MATLAB Server (matlabserver) - Unknown owner - C:\MATLABR11\webserver\bin\matlabserver.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: wampapache - Unknown owner - c:\wamp\apache\bin\Apache.exe" -k runservice (file missing)

O23 - Service: wampmysqld - Unknown owner - c:\wamp\mysql\bin\mysqld-nt.exe

[/i]

[caito]

Baja este programa:

LSPFix

http://www.cexx.org/lspfix.htm

Y este :

disk cleaner

http://www.xs4all.nl/~mp2004/

Desactiva Restaurar sistema

arranca en modo seguro

Termina este proceso (ctrl+alt+del):

msmq2inst.exe

Cierra todas las aplicaciones

Lanza el Hijack

Scan y luego Fix chequed a estas :

C:\WINDOWS\System32\msmq2inst.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

O4 - HKLM\..\Run: [MS Unix Binary] msmq2inst.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msmq2inst.exe

O4 - HKCU\..\Run: [MS Unix Binary] msmq2inst.exe

O10 - Broken Internet access because of LSP provider 'c:\windows\system32\wshbth.dll' missing

Asegúrate que se vean todos los archivos:

Haga clic en Mi PC.

Haga clic en el menú Herramientas, y después en Opciones de carpeta.

Haga clic en la pestaña Ver.

Quite la marca en "Ocultar extensiones de archivo para tipos de archivo conocidos".

En la carpeta "Archivos ocultos" seleccione "Mostrar archivos y carpetas ocultos".

Quite la marca en "Ocultar archivos protegidos del sistema operativo".

Haga clic en Aplicar, y después en Aceptar.

Busca y elimina estos archivos:

C:\WINDOWS\System32\msmq2inst.exe

c:\windows\system32\wshbth.dll

Con el disk cleaner borra :

borra Archivos Temp. de Internet,Temp. de Sistema,cookies,historial

Vacía la Papelera

Ejecuta el AdAware Se actualizado al 10/03/05

Reinicia normal y cuenta si se solucionó

Salu2

Caito

[msc hotline sat]

se mueve este Tema al apartado de analisis del HJT, para seguir allí



saludos



ms, 14-03-2005

[xolo]

Buenas,

a ver...hice todo lo q me dijiste y por ahora creo que no he tenido ningun problema. De todas formas no he usado lo suficiente el ordenador como para decir que ya está.

Todo lo he seguido al pie de la letra excepto borrar un archivo que no me aparecía:

c:\windows\system32\wshbth.dll



El resto todo acabado. Un saludo

[caito]

Me alegro que todo haya ido bien :D

Salu2

Caito

[msc hotline sat]

Es logico que no encontraras el wshbth.dll porque el HJT ya indicaba que estaba "missing", asi que todo normal.



Y habiendo quedado solucionado el Tema, lo cerramos



saludos



ms, 15-03-2005