Ayuda con virus, spyware y consecuencias (terminado)

[El Lobo Estepario]

Quisiera saber si alguien me puede ayudar con lo siguiente (Tengo W98):



Tenìa un virus (troyano creo) que lo eliminé con el McAfee y que lo identificò como Proxy-EasySearch que borraba los archivos iau.exe, lsass.exe, services.exe, etc.



El tema es que después de esto el Internet Explorer no funcionó nunca más, actualicé a IE 6.0 pero nada, siempre que intento navegar sale "Cannot find the server". He tenido que instalar el Netscape para poder navegar pero quisiera reparar el IE.



He investigado en Internet y he encontrado que otros antivirus identifican al virus como Adware.EasySearch y dan procedimientos para borrarlo. Entré a ver las llaves del registro que se indican en los procedimientos y encontré que todavía exisitían asociaciones o enlaces a los .exe eliminados por el antivirus, es así que los eliminé manualmente. También descargué las actualizaciones del Adware SE y del Spybot Search & Destroy y las ejecuté encontrando y elminando posibles spywares.



Sin embargo y a pesar de todo lo realizado, el IE no funciona y he encontrado que por más que elimino el registro "Proxy Server: 127.0.0.1:8080" y "ProxyOverride:<local>" estos se vuelven a crear cada vez que intento usar el IE.



Luego me apareció un nuevo problema: intenté imprimir con la impresora conectada a un puerto USB y me daba error en la comunicación, revisé la configuración del sistema y encontré que el driver USB estaba con una cruz roja e identificado como "Dispositivo desconocido", intenté quitarlo para volver a instalarlo pero vuelve a configurar lo mismo automáticamente y cuando le doy "Actualizar controlador" no reconoce el driver del CD de la impresora.



Es probable que ambos problemas se deban a lo mismo? Aún tengo el virus?



He actualizado el último superdat del mcafee pero no detecta nada.



Si alguien me pudiera dar algún comentario, se lo agradecería bastante.

[maura63]

http://www.hijackthis.de/downloads/hijackthis_199.zip



Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.



Saludos

maura63

[msc hotline sat]

Pudiera ser que alguna clave modificada por este troyano, ni hubiera sido restaurada y que esta afectara a la ejecucion del Internet Explorer.



Y es posible que no aparezcan estas claves en log del HJT, pues solo visualiza un 1 % del registro...



Caben dos soluciones, probar de reinstalar el Internet Explorer:



http://www.microsoft.com/en/us/default.aspxdownloads/details.aspx?FamilyID=1E1550CB-5E5D-48F5-B02B-20B602228DE6&displaylang=en



y si con ello no se soluciona y se trata de XP profesional, arrancar con el CD de instalacion y tras detectar la particion instalada, dar a REPARAR (no reinstalar, para mantener las aplicaciones instaladas) y finalizar con un windowsupdate y reiniciar.



Independientemente, posteanos el log del HJT, que igual vemos otras cosas importantes



saludos



ms, 18-05-2005

[El Lobo Estepario]

Aquì detallo lo que arrojò el Hijack, como indiqué inicialmente, ya he probado a reinstalar el Internet Explorer (actualizé de la 5 a la 6, luego regresé a la 5 y nuevamente actualizé a la 6) sin obtener ninguna solución. Por otro lado aclaro que tengo Windows 98 SE.



Gracias por sus comentarios,



Logfile of HijackThis v1.99.1

Scan saved at 8:13:36, on 18/05/05

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MDM.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\ARCHIVOS DE PROGRAMA\NETWORK ASSOCIATES\MCAFEE VIRUSSCAN\VSHWIN32.EXE

C:\ARCHIVOS DE PROGRAMA\NETWORK ASSOCIATES\MCAFEE VIRUSSCAN\WEBSCANX.EXE

C:\WINDOWS\EXPLORER.EXE

C:\ARCHIVOS DE PROGRAMA\NETWORK ASSOCIATES\MCAFEE VIRUSSCAN\VSSTAT.EXE

C:\WINDOWS\SYSTEM\CMMPU.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SM56HLPR.EXE

C:\WINDOWS\LOADQM.EXE

C:\ARCHIVOS DE PROGRAMA\PERSYSTEMS\PERAV\PAVMAIL.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\ARCHIVOS DE PROGRAMA\WINFERNO\SECURE IE\SIEPULSE.EXE

C:\ARCHIVOS DE PROGRAMA\NETWORK ASSOCIATES\MCAFEE VIRUSSCAN\AVCONSOL.EXE

C:\ARCHIVOS DE PROGRAMA\SONY CORPORATION\IMAGE TRANSFER\SONYTRAY.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\3082\MSOFFICE.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\LEXBCES.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\WINDOWS\SYSTEM\LEXPPS.EXE

C:\WINDOWS\SYSTEM\LXSUPMON.EXE

E:\SOFTWARE\INSTALADORES\ANTIVIRUS\HIJACKTHIS\HIJACKTHIS.EXE



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

http://www.ec-red.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =

http://home.netscape.com/home/winsearch.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

http://www.viabcp.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =

http://keyword.netscape.com/keyword/%s

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet

Settings,ProxyServer = http=http://127.0.0.1:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -

C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX (file

missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -

C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [OEMCleanup] C:\WINDOWS\OPTIONS\OEMRESET.EXE

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [siscolor] color.exe

O4 - HKLM\..\Run: [SM56ACL] sm56hlpr.exe

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [PER Email Protection] C:\ARCHIV~1\PERSYS~1\PERAV\pavmail.exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [SIE2004] "C:\Archivos de programa\Winferno\Secure

IE\SIEPulse.exe"

O4 - HKLM\..\Run: [AvconsoleEXE] C:\Archivos de programa\Network

Associates\McAfee VirusScan\avconsol.exe /minimize

O4 - HKLM\..\Run: [Vshwin32EXE] C:\ARCHIVOS DE PROGRAMA\NETWORK

ASSOCIATES\MCAFEE VIRUSSCAN\VSHWIN32.EXE

O4 - HKLM\..\Run: [VsStatEXE] C:\Archivos de programa\Network Associates\McAfee

VirusScan\VSSTAT.EXE /SHOWWARNING

O4 - HKLM\..\Run: [McAfeeWebScanX] C:\ARCHIVOS DE PROGRAMA\NETWORK

ASSOCIATES\MCAFEE VIRUSSCAN\WebScanX.Exe

O4 - HKLM\..\Run: [LexStart] Lexstart.exe

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\SYSTEM\LXSUPMON.EXE RUN

O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE

O4 - HKLM\..\RunServices: [PAV.EXE] C:\ARCHIV~1\PERSYS~1\PERAV\PAV.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe

powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe

O4 - HKLM\..\RunServices: [Vshwin32EXE] C:\ARCHIVOS DE PROGRAMA\NETWORK

ASSOCIATES\MCAFEE VIRUSSCAN\VSHWIN32.EXE

O4 - HKLM\..\RunServices: [McAfeeWebScanX] C:\ARCHIVOS DE PROGRAMA\NETWORK

ASSOCIATES\MCAFEE VIRUSSCAN\WebScanX.Exe /RUNSERVICES

O4 - HKCU\..\Run: [msnmsgr] "C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE"

/background

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft

Office\Office\OSA9.EXE

O4 - Startup: Image Transfer.lnk = C:\Archivos de programa\Sony

Corporation\Image Transfer\SonyTray.exe

O4 - Startup: Actualización de PER Antivirus.lnk = C:\Archivos de

programa\Persystems\Perav\PERUPD.EXE

O4 - Startup: PER Antivirus.lnk = C:\Archivos de programa\Persystems\Perav\PAV.EXE

O16 - DPF: {1E2941E3-8E63-11D4-9D5A-00902742D6E0} (iNotes Class) -

http://200.60.223.80/iNotes.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) -

http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) -

http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

[msc hotline sat]

Creo que su problema es mas de configuracion del I.E., o incluso de su tarjeta de red, que de virus, y por usar aun el W98, ya obsoleto, y con muchas limitaciones respecto los port USB, que no estaban contemplados cuando se hizo dicho sistema operativo, requiriendo drivers y...



Y sobre su log del HJT:



Si no conoce la aplicacion SIEPulse.exe, elimine fichero y la siguiente clave:



C:\ARCHIVOS DE PROGRAMA\WINFERNO\SECURE IE\SIEPULSE.EXE



O4 - HKLM\..\Run: [SIE2004] "C:\Archivos de programa\Winferno\Secure

IE\SIEPulse.exe"







Y si no conoce estas aplicaciones, elimine las claves:



O4 - Startup: Image Transfer.lnk = C:\Archivos de programa\Sony

O16 - DPF: {1E2941E3-8E63-11D4-9D5A-00902742D6E0} (iNotes Class) -

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) -

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) -







Tiene instalados dos antivirus, PER y McAfee, Solo debe tener uno residente!





Y por ulrimo, su Internet Explorer no está actualizado. Debe correr el windowsupdate, para instalar el SP1 y parches.



saludos



ms, 19-05-2005

[El Lobo Estepario]

No tengo tarjeta de red, me conecto a internet via modem y linea telefonica, por lo que no creo que el problema sea de red, porque con el Netscape si navego. Lo que no me explico es por qué al borrar las llaves de proxy 127.0.0.1:8080 y proxyoverride<local> estas se vuelven a crear (?).



El problema del USB ya lo solucioné cambiando de puerto y reinstalando los drivers (ahora sí aceptó).



El SIEpulse.exe es un anti spyware (o al menos eso me dijeron) que instalé para probar y que ahora no lo puedo borrar, haré lo que me indica.



De las otras 4 claves que me indica borraré sólos las 3 últimas porque la primera hace mención al Software que uso para conectar mi cámara de video a la PC y bajar fotos al disco duro.



Y sobre el PER, lo instalé para ver si detectaba algo (no encontró nada), pero parece que el instalador estaba averiado porque ahora no lo puedo desinstalar, les agradeceré si me pueden dar algún consejo sobre cómo desinstalarlo.



Voy a probar a actualizar el Internet con SP1 y parches tal como indica, aunque viendo como están las cosas, creo que ya es tiempo de una buena formateada de disco.



Gracias por sus consejos, les contaré cómo me fue.



Saludos,

[maura63]

Si optas por formatear piensa si puedes, en cambiar sistema operativo a XP o W2000.



W98 esta obsoleto y ya no es reportado por Microsoft.



Saludos

maura63

[El Lobo Estepario]

Finalmente opté por lo más sencillo: Formatear el disco y reinstalar todo. De todos modos tomo nota del consejo de actualización, lo que espero hacer los más pronto posible. Gracias.

[msc hotline sat]

Pues muerto el perro, se acabó la rabia...



Se da por terminado el Tema y procedemos a cerrarlo



saludos



ms, 22-05-2005