no puedo eliminar TROJAN.LOWZONES (solucionado)

[McCoy]

No consigo quitar virus. Se me instalan dos archivos sospechosos en C: uno llamado gc.exe y el otro también de dos letras. Me puedo conectar unos momentos, ya que después no me funciona el IE. El BITDEFENDER me los elimina, pero después vuelven a salir y como no puedo lanzar el antivirus en modo a prueba de fallos no hay manera.

[McCoy]

Tengo un gran problema. No puedo estar en Internet más de dos o tres minutos. Pasado ese tiempo

el BITDEFENDER me advierte de un archivo llamado GC.EXE, dice que es sospechoso de ospedar el troyano

TROJAN.DOWNLOADER.ISTBAR.IJ y al momento ya no me funciona el EXPLORE. Le he pasado el BITDEFENDER

en modo normal porque cuando ininio el XP en modo a prueba de fallos ya no me funciona. Me ha eliminado

unos cuantos archivos sospechosos y demás. Le he pasado el AD-AWARE y el SPYBOT y he dejado el ordenador

limpio, pero cuando vuelvo a conectarme, otra vez aparece ese archivo y otro, y uno llamado MNCJN.EXE en

c:\WINDOWS y se jodió todo de nuevo...



Cómo puedo solucionar el problema teniendo en cuenta que en MODO A PRUEBA DE FALLOS el BITDEFENDER no me

arranca ni puedo conectar a internet para pasar un antivirus en red????



AYUDA PLEASE :(

[McCoy]

Como penúltimo intento voy a poner mi Hijasthis a ver si véis algo, ya que nadie parece poder ayudarme:



Logfile of HijackThis v1.99.0

Scan saved at 9:39:04, on 02/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

C:\Archivos de programa\Softwin\BitDefender8\bdoesrv.exe

C:\archivos de programa\softwin\bitdefender8\bdnagent.exe

C:\ARCHIV~1\softwin\BITDEF~1\bdmcon.exe

C:\WINDOWS\system32\winlog.exe

C:\ARCHIV~1\Lavasoft\AD-AWA~1\Ad-Watch.exe

C:\Archivos de programa\Messenger\MSMSGS.EXE

C:\Archivos de programa\Telefonica\Kit ADSL USB\dslmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,xpjava.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [BDOESRV] C:\Archivos de programa\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [BDNewsAgent] c:\archivos de programa\softwin\bitdefender8\bdnagent.exe

O4 - HKLM\..\Run: [BDMCon] c:\ARCHIV~1\softwin\BITDEF~1\bdmcon.exe

O4 - HKLM\..\Run: [Windows Firewall Log] winlog.exe

O4 - HKLM\..\Run: [AWMON] "C:\ARCHIV~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"

O4 - HKLM\..\RunServices: [Windows Firewall Log] winlog.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\MSMSGS.EXE" /background

O4 - Global Startup: Consola KIT ADSL.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/DownloadAccess/ie/bridge-c11.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1114699609359

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O23 - Service: BitDefender Scan Server - Unknown - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Smart Card Client - Creative Technology Ltd. - (no file)

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: BitDefender Virus Shield - Unknown - C:\Archivos de programa\Softwin\BitDefender8\vsserv.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

O23 - Service: BitDefender Communicator - Softwin - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe









Los archivos SOSPECHOSOS son LC.EXE, LC[1].EXE, GC.EXE, GC[1].EXE y he intentado eliminarlos de mil formas y los puñeteros vuelven donde estaban... normalmente a C:\ y a DOCUMENTANDSETTING\MCCOY\CONFIGURACIÓNLOCAL\ARCHIVOSTEMPORALESDEINTERNET\CONTENT.IE5\W1274TQB\



MUCHAS GRACIAS!

[McCoy]

Le he pasado el antivirus NOD32 en modo a prueba de fallos y me ha dicho que tengo la MEMORIA OPERATIVA del SISTEMA INFECTADA, pero no puede hacer nada. Alguien puede ayudarme... estoy desesperado; lo estoy intentando todo!!!

[msc hotline sat]

En este foro para el Lowzones tenemos el ELILOWZA.EXE y para el ISTBAR, entre otras muchas barras y paginas de inicio, tenem,os el ELISTARA:EXE





ELILOWZA

http://www.zonavirus.com/datos/descargas/91/EliLowZA.asp



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Pruebalos y cuentanos el resultado



Y en todo caso, si persisten los sintomas, actualiza tu HJT a la 1.99.1 y peganos el log.



saludos



ms, 2-05-2005

[McCoy]

Le he pasado el KASPERSKY me ha detectado el virus y me dijo que para eliminarlo debía reiniciar. El antivirus NOD32 también se lo pasé y decía que la MEMORIA OPERATIVA estaba infectada, por eso instalé el KASPERSKY porque leí que eliminaba los virus de memoria. Le estoy pasando los archivos que me has recomendado y no me detecta nada. Me siguen atacando desde INTERNET y se me instalan esos archivos en C: son: GC.exe y LC.exe. La carpeta CONTENT.ie5 también está infectada. Le paso los antivirus en modo seguro, pero nada. Aquí vuelvo a dejarte el HIJASTHIS:



Logfile of HijackThis v1.99.0

Scan saved at 14:04:03, on 02/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Lavasoft\AD-AWA~1\Ad-Watch.exe

C:\Archivos de programa\Messenger\MSMSGS.EXE

C:\Archivos de programa\Telefonica\Kit ADSL USB\dslmon.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,xpjava.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [AWMON] "C:\ARCHIV~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"

O4 - HKLM\..\Run: [Windows Firewall Log] winlog.exe

O4 - HKLM\..\Run: [BDOESRV] C:\Archivos de programa\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [BDNewsAgent] c:\archivos de programa\softwin\bitdefender8\bdnagent.exe

O4 - HKLM\..\Run: [BDMCon] c:\ARCHIV~1\softwin\BITDEF~1\bdmcon.exe

O4 - HKLM\..\RunServices: [Windows Firewall Log] winlog.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\MSMSGS.EXE" /background

O4 - Global Startup: Consola KIT ADSL.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/DownloadAccess/ie/bridge-c11.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1114699609359

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{EB0515E7-F2A7-4729-B592-49A3B03E5DB1}: NameServer = 80.58.61.250 80.58.61.254

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Smart Card Client - Creative Technology Ltd. - (no file)

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe





Creo que voy a cortarme las venas, no hay manera y eso que acabo de FORMATEAR el PC...

[msc hotline sat]

SI el problema es que le atacan desde Internet, por mas que limpie, volverá a infectarse si no instala un antivirus que se lo evite o un cortafuegos, a ser posible por hardware, pero en su defecto, uno de software como el Zone Alarm



Luego le mito el log del HJT



saludos



ms, 2-05-2005

[msc hotline sat]

Selecciones las siguientes claves de registro en el HJT y dele a FIX:



O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/DownloadAccess/ie/bridge-c11.cab

O23 - Service: Smart Card Client - Creative Technology Ltd. - (no file)





Además lance el ELITEMPO.EXE para eliminar temporales de Internet:



ELITEMPO

http://www.zonavirus.com/datos/descargas/70/EliTempo.asp







y cuentenos el resultado como respuesta de este Tema, gracias



saludos



ms, 2-05-2005

[McCoy]

Bueno, lo primero es darte las gracias porque estaba desesperado totalmente; llevo varios días entre virus y formateo que me traen loco el puñetero PC.



Parece que el KASPERSKY y lo que tú me has dicho han contribuido a quitarlo. Le he pasado el antivirus en modo A PRUEBA de FALLOS y después he hecho eso que me dijiste. Ya parece haber desaparecido todo. Ahora sólo tengo la duda de si con el KASPERSKY, AD-AWARE y SPYBOT estoy bien a salvo, porque BITDEFENDER traía cortafuegos y demás y no sé si KASPERSKY lo trae o no, no lo veo.



¡Muchas gracias nuevamente!

[msc hotline sat]

Si no puedes instalar uno de hardware, el zonealarm es el mas conocido:



https://foros.zonavirus.com/viewforum.php?f=15



y entendiendo que ha quedado solucionado el problema, cerramos el Tema



saludos



ms, 2-05-2005