DyFuCa

[josegal]

Tengo instalados en mi equipo Ad-aware SE Personal y el Spybot . El primero no me detecta nada, mientras que el Spybot me detecta un fallo, con 2 entradas en el registro:



DyFuCa.InternetOptimizer

HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\AMeOpt

HKEY_USERS\SDEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\AMeOpt



Cuando intento soluciona este problema, me dice que no puede ser solucionado porque seguramente esté en memoria, que reinicie y que ejecute de nuevo el programa. Hago lo indicado y ocurre lo mismo.



He buscado en la red, y siempre se dice de desinstalar algún programa con nombres como "Active Alert" , "InternetOptimizer", pero aparentemente no tengo nada raro instalado.



También hablan de la existencia de archivos del estilo de "ioptixxx.dll" "nemXXX.dll" y "wsemXXX.dll" , y tampoco los tengo en mi equipo.



En el registro en las entradas que me dice, solo me aparece una linea:

ab(Predeterminado) REG_SZ (valor no establecido)



¿Alguien sabe como puedo solucionar el problema?

Gracias anticipadas. Saludos

[maura63]

Prueba con esta utilidad



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp







Saludos

maura63

[josegal]

El Elistara no me ha solucionado nada :-(



Gracias de todas formas

[maura63]

Bajar :

http://www.hijackthis.de/downloads/hijackthis_199.zip



Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.





Mira si tambien en agregar o quitar programas tienes algo extraño.



Saludos

maura63

[maura63]

Recuerda esto





Mostrar las extensiones verdaderas de los archivos



Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:



1. Ejecute el Explorador de Windows



2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.



3. Seleccione la lengüeta 'Ver'.



4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.



5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.



En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.



En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.



6. Pinche en 'Aplicar' y en 'Aceptar'.







Saludos

maura63

[josegal]

En agregar y quitar programas ya habia mirado, y aparentemente no habia nada raro.

En el directorio temp de windows si que habia el programa de instalacion del DyFuCa.



Ahi te va el log. Gracias



Logfile of HijackThis v1.99.1

Scan saved at 19:04:10, on 15/07/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

d:\antivirus\pavsrv51.exe

C:\WINDOWS\System32\svchost.exe

d:\antivirus\AVENGINE.EXE

d:\antivirus\apvxdwin.exe

C:\WINDOWS\SYSTEM32\Ati2evxx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\nvraidservice.exe

C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe

D:\FAX\NT\bwprnmon.exe

C:\Archivos de programa\MSN Messenger\plus\MsgPlus.exe

C:\WINDOWS\system32\ntvdm.exe

C:\WINDOWS\System32\wbem\unsecapp.exe

D:\antiespia\TeaTimer.exe

C:\Archivos de programa\YaTarifaPlana\Marcador.exe

d:\antivirus\pavProxy.exe

C:\WINDOWS\explorer.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Documents and Settings\jose manuel\Configuración local\Temp\Directorio temporal 1 para hijackthis_199.zip\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lqvltqtesddztovcpcmcf.com/b7ystdwOmkm4R/t_mzZL4dxREsbbk0hJ3jIZcwDfObRCihKtZR/IFCDJI8N7sy3N.jpg

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ya.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.ya.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer proporcionado por Ya.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O1 - Hosts: 221.10.242.104 ibank.barclays.co.uk

O1 - Hosts: 221.10.242.104 online-business.lloydstsb.co.uk

O1 - Hosts: 221.10.242.104 online.lloydstsb.co.uk

O1 - Hosts: 221.10.242.104 http://www.halifax-online.co.uk

O1 - Hosts: 221.10.242.104 http://www.ukpersonal.hsbc.co.uk

O1 - Hosts: 221.10.242.104 banesnet.banesto.es

O1 - Hosts: 221.10.242.104 extranet.banesto.es

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\acrobat\reader\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\antiespia\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\System32\nvraidservice.exe

O4 - HKLM\..\Run: [HP Component Manager] "C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe

O4 - HKLM\..\Run: [SCANINICIO] "d:\antivirus\Inicio.exe"

O4 - HKLM\..\Run: [APVXDWIN] "d:\antivirus\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [bwprnmon.exe] D:\FAX\NT\bwprnmon.exe

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MSN Messenger\plus\MsgPlus.exe"

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\antiespia\TeaTimer.exe

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.ya.com

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{A16CD36C-ED0A-460A-B024-66894D6E7179}: NameServer = 213.0.184.85 213.0.184.88

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - d:\antivirus\Firewall\PavFires.exe

O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - d:\antivirus\pavsrv51.exe

[maura63]

Conoces esto, de no conocerlo elimina



C:\WINDOWS\System32\wbem\unsecapp.exe - Unknown





Elimina estas con hijackthis, las marcas y pulsa en FIX





R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lqvltqtesddztovcpcmcf.com/b7ystdwOmkm4R/t_mzZL4dxREsbbk0hJ3jIZcwDfObRCihK tZR/IFCDJI8N7sy3N.jpg

O1 - Hosts: 221.10.242.104 ibank.barclays.co.uk - Possibly nasty

O1 - Hosts: 221.10.242.104 online-business.lloydstsb.co.uk - Nasty

O1 - Hosts: 221.10.242.104 online.lloydstsb.co.uk - Possibly nasty

O1 - Hosts: 221.10.242.104 http://www.halifax-online.co.uk - Possibly nasty

O1 - Hosts: 221.10.242.104 http://www.ukpersonal.hsbc.co.uk - Possibly nasty

O1 - Hosts: 221.10.242.104 banesnet.banesto.es - Possibly nasty

O1 - Hosts: 221.10.242.104 extranet.banesto.es - Possibly nasty

O14 - IERESET.INF: START_PAGE_URL=http://www.ya.com - Possibly nasty

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM) -

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM) -





Conecta via windows update y actualiza pues te faltan parches y ademas el sp2



Saludos

maura63





PD. Hijackthis siempre debes guardarlo en su propia carpeta C:hijackthis, de lo contrario si alguna vez tienes que recuperar algo no podras.

[maura63]

[quote="maura63"]Conoces esto, de no conocerlo elimina



C:\WINDOWS\System32\wbem\unsecapp.exe -





Elimina estas con hijackthis, las marcas y pulsa en FIX





R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lqvltqtesddztovcpcmcf.com/b7ystdwOmkm4R/t_mzZL4dxREsbbk0hJ3jIZcwDfObRCihK tZR/IFCDJI8N7sy3N.jpg

O1 - Hosts: 221.10.242.104 ibank.barclays.co.uk -

O1 - Hosts: 221.10.242.104 online-business.lloydstsb.co.uk - O1 - Hosts: 221.10.242.104 online.lloydstsb.co.uk -

O1 - Hosts: 221.10.242.104 http://www.halifax-online.co.uk -

O1 - Hosts: 221.10.242.104 http://www.ukpersonal.hsbc.co.uk -

O1 - Hosts: 221.10.242.104 banesnet.banesto.es -

O1 - Hosts: 221.10.242.104 extranet.banesto.es -

O14 - IERESET.INF: START_PAGE_URL=http://www.ya.com - Possibly nasty

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM) -

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM) -





Conecta via windows update y actualiza pues te faltan parches y ademas el sp2



Saludos

maura63





PD. Hijackthis siempre debes guardarlo en su propia carpeta C:hijackthis, de lo contrario si alguna vez tienes que recuperar algo no podras.[/quote]

[josegal]

Tengo configurado el Spybot para que no deje hacer modificaciones del registro, y cuando estaba esperando tu respuesta he sufrido un bombardeo de entrada de spyware, que se me han ido instalando, por ejemplo otra vez el Dyfuca, que ahora si que ha creado una carpeta en Program files.

Asi me han aparecido varios, entre ellos tambien el n-Case

Al ejecutar los pertinentes antiespia, me los ha borrado todos, excepto el dyfuca que tenia previamente y ahora el n-case. En este me aparece esto:



HKEY\_USERS\S-1-5-18\Software\salm

HKEY\_USERS\DEFAULT\Software\salm



Y en el difuca las 2 lineas que me aparecian anteriormente





Ejecute el hijackthis para borrar las lineas que me habias indicado, y me ha borrado todas excepto estas, que no las borra:



O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM) -

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM) -

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM) -





En cuanto al archivo

C:\WINDOWS\System32\wbem\unsecapp.exe



no me doy cuenta, por lo que le he cambiado el nombre, por si acaso.



Bueno, mas o menos, estoy como al principio :-( pero desde luego agradecerte tu tiempo

Gracias

[maura63]

Conecta via windows update y actualiza tu sistema, pues te faltan parches seguro y tambien el SP2.



Saludos

maura63