Ezula

asierzutru · Mensaje por **asierzutru** » 03 Ago 2005, 16:48

Buenas tardes. Mi primer post es para ver si me podeis ayudar con el Ezula, que se me ha metido al ejecutar un parche ed un juego, y no hay manera de quitarlo con los antispywares ya que cada vez que reinicio el PC se me vuelve a instalar, y manualmente soy un poco miedoso ya que igual lio alguna en el PC.

Esto es lo que me ha salido con el Hijack This:

Logfile of HijackThis v1.99.1

Scan saved at 16:41:24, on 03/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\sp2protect.exe

C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe

C:\WINDOWS\system32\sp2protect.exe

C:\Archivos de programa\WinTV\Ir.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

C:\ARCHIV~1\EZULA\mmod.exe

C:\WINDOWS\woinstall.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\shell32.exe

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKCU\..\Run: [5-2-125-2] c:\windows\5-2-125-2.exe -m

O4 - HKCU\..\Run: [5-1-26-87] c:\windows\5-1-26-87.exe -m

O4 - HKCU\..\Run: [5-1-25-130] c:\windows\5-1-25-130.exe -m

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [WeatherWatcher] C:\Archivos de programa\Weather Watcher\ww.exe

O4 - HKCU\..\Run: [zfwz] C:\ARCHIV~1\COMMON~1\zfwz\zfwzm.exe

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\RunOnce: [eZstub] Command /c del C:\WINDOWS\system32\eZstub.exe

O4 - HKCU\..\RunOnce: [Web Offer] C:\WINDOWS\system32\sp2protect.exe

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.beep.es

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {00000000-0000-0000-0000-FFFFFFFFFFFF} - http://mediaserving.com/aff-0273-a/pictures.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_ES_XP.cab

O16 - DPF: {24D1BDCE-D835-11D6-BF84-0050047EA0E7} (BlueStream_Flash Class) - http://www.rovion.com/Controls/Rovion.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {2F0D1DA3-F3E4-4C67-BB5C-5AFD70C1A4A5} (UDConnect Class) - http://01.sharedsource.org/html/UDConn.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {3E410F8E-7EDC-4E91-B7A8-BFA00E3803D2} (EROL v 4.0.15) - http://www.e-rol.com/cabs/EROLProj1.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} (PremiumHTML Class) - http://213.201.69.103/data/dialercab/IberoDialerHTML.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C369} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E15CFC65-973B-484F-888A-72C53D2935F8} (VacPro.spain_ver3) - http://www.advnt01.com/dialer/spain_ver3.CAB

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F06BE120-CA30-4E5E-A255-6A485DAFD75C} (CarpeDiem Class) - http://skit.carpediem.fr/cab/3/CarpeDiem.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5512E729-0957-4C0B-A042-6B88BB2AF894}: NameServer = 212.55.8.132,212.55.8.133

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Gracias por todo.

Mensaje por **msc hotline sat** » 03 Ago 2005, 16:51

Prueba de ejecutar el ELISTARA, arrancando en modo seguro y deshabilitando la restaitacion de sistema:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Además, tienes otros virus y dialers QUE DEBEN ELIMINARSE CON LAS UTILIDADES ADECUADAS, ANTIVIRUS Y ANTISPYWARES, NO SOLO ELIMINANDO CLAVES DEL HJT QUE DEJARIAN OTRAS CLAVES QUE NO APARECEN EN DICHO LOG:

https://foros.zonavirus.com/viewtopic.php?t=5148

Y tras eliminar todo lo detectado, reinicia y mira si han desaparecido las anomalías, y si no, entonces posteanos log del HJT indicandonos los problemas que detectas.

saludos

ms, 3-08-2005

asierzutru · Mensaje por **asierzutru** » 03 Ago 2005, 17:46

Bueno, ya he pasado el Elistara, y he enviado los archivos que pedian a esa direccion. He pasado el Spybot y el Ad Aware, quitando mucha basura. Después he reiniciado y se siguen instalando los programas Ezula y Web Offer, que al parecer van juntos. Se pueden desinstalar, pero al reiniciar el PC se vuelven a instalar. Salen popups y aparecen subrayadas algunas palabras.

Os pego el HJT por si me podeis ayudar:

Logfile of HijackThis v1.99.1

Scan saved at 17:43:43, on 03/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Spyware Doctor\swdoctor.exe

C:\Archivos de programa\WinTV\Ir.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\shell32.exe

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKCU\..\Run: [5-2-125-2] c:\windows\5-2-125-2.exe -m

O4 - HKCU\..\Run: [5-1-26-87] c:\windows\5-1-26-87.exe -m

O4 - HKCU\..\Run: [5-1-25-130] c:\windows\5-1-25-130.exe -m

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [WeatherWatcher] C:\Archivos de programa\Weather Watcher\ww.exe

O4 - HKCU\..\Run: [zfwz] C:\ARCHIV~1\COMMON~1\zfwz\zfwzm.exe

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\Run: [eZWO] C:\ARCHIV~1\Web Offer\wo.exe

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.beep.es

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {00000000-0000-0000-0000-FFFFFFFFFFFF} - http://mediaserving.com/aff-0273-a/pictures.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_ES_XP.cab

O16 - DPF: {24D1BDCE-D835-11D6-BF84-0050047EA0E7} (BlueStream_Flash Class) - http://www.rovion.com/Controls/Rovion.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {2F0D1DA3-F3E4-4C67-BB5C-5AFD70C1A4A5} (UDConnect Class) - http://01.sharedsource.org/html/UDConn.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {3E410F8E-7EDC-4E91-B7A8-BFA00E3803D2} (EROL v 4.0.15) - http://www.e-rol.com/cabs/EROLProj1.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} (PremiumHTML Class) - http://213.201.69.103/data/dialercab/IberoDialerHTML.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C369} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E15CFC65-973B-484F-888A-72C53D2935F8} (VacPro.spain_ver3) - http://www.advnt01.com/dialer/spain_ver3.CAB

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F06BE120-CA30-4E5E-A255-6A485DAFD75C} (CarpeDiem Class) - http://skit.carpediem.fr/cab/3/CarpeDiem.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5512E729-0957-4C0B-A042-6B88BB2AF894}: NameServer = 212.55.8.132,212.55.8.133

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Gracias.

Mensaje por **maura63** » 03 Ago 2005, 18:06

Comprueba que se muestren archivos ocultos y archivos del sistema.

Arranca en modo seguro y desactiva antes la restauracion del sistema.

Busca en C esto y lo eliminas

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

Luego lanza hijackthis, scan, marcas estas entradas y pulsa FIX

O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\shell32.exe

O4 - HKCU\..\Run: [5-2-125-2] c:\windows\5-2-125-2.exe -m

O4 - HKCU\..\Run: [5-1-26-87] c:\windows\5-1-26-87.exe -m

O4 - HKCU\..\Run: [5-1-25-130] c:\windows\5-1-25-130.exe -m

O4 - HKCU\..\Run: [zfwz] C:\ARCHIV~1\COMMON~1\zfwz\zfwzm.exe

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\Run: [eZWO] C:\ARCHIV~1\Web Offer\wo.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.beep.es

O16 - DPF: {00000000-0000-0000-0000-FFFFFFFFFFFF} - http://mediaserving.com/aff-0273-a/pictures.cab

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_ES_XP.cab

O16 - DPF: {24D1BDCE-D835-11D6-BF84-0050047EA0E7} (BlueStream_Flash Class) - http://www.rovion.com/Controls/Rovion.cab -

O16 - DPF: {2F0D1DA3-F3E4-4C67-BB5C-5AFD70C1A4A5} (UDConnect Class) - http://01.sharedsource.org/html/UDConn.cab -

O16 - DPF: {3E410F8E-7EDC-4E91-B7A8-BFA00E3803D2} (EROL v 4.0.15) - http://www.e-rol.com/cabs/EROLProj1.cab -

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} (PremiumHTML Class) - http://213.201.69.103/data/dialercab/IberoDialerHTML.cab -

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content2.netvenda.com/sites/games-es/es/games3.cab -

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C369} - http://content2.netvenda.com/sites/games-es/es/games3.cab -

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab - Nasty

O16 - DPF: {E15CFC65-973B-484F-888A-72C53D2935F8} (VacPro.spain_ver3) - http://www.advnt01.com/dialer/spain_ver3.CAB -

O16 - DPF: {F06BE120-CA30-4E5E-A255-6A485DAFD75C} (CarpeDiem Class) - http://skit.carpediem.fr/cab/3/CarpeDiem.cab -

Elimina las entradas 015 tambien.

Luego en modo normal vuelve a lanzar hijackthis y mira que no quede ninguna de ellas.

Saludos

maura63

Mensaje por **msc hotline sat** » 03 Ago 2005, 19:09

Es muy importante que todas estas operaciones se hagan arrancando en modo seguro u deshabilitando la restaitacion de sistema, como ya te deciamos y te sigue indicando Maura63 para los procesos que te sugerimos, y la pregunta del millon: Seguro que el ELISTARA y los antispywares los pasaste arrancando así ???

Si no, repitelo antes de eliminar manualmente las clabves del HJT, y los ficheros, pues una vez hecho, estas utilidades no restaurarían otras claves que el virus crea fuera de lo visible en el log del HJT, que solo muestra un 1 % de las claves del registro, y por ello es muy importante que todo lo conocido y detectado se elimine exahustivamente con las utilidades pertinentes, para no dejar restos.

Obre en consecuencia y comentenos los resultados, gracias

saludos

ms, 3-08-2005

asierzutru · Mensaje por **asierzutru** » 03 Ago 2005, 21:16

Pues no lo había hecho en Modo Seguro, y es que no estoy acostumbrado a hacer estas cosas. Perdon.

Pero ya lo he repetido en modo seguro y tras pasar el Elistara y los antispywares me ha entrado la duda de si el HJT pasarlo antes o despues de poner el ordenador en modo normal. Asi que he pasado el HJT dos veces, una en modo seguro y otra en modo normal. Aqui os pego los dos. Por cierto que el dichoso Ezula sigue dentro.

~~[b]~~HJT en MODO SEGURO[/b]

Logfile of HijackThis v1.99.1

Scan saved at 21:01:53, on 03/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\shell32.exe

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [5-2-125-2] c:\windows\5-2-125-2.exe -m

O4 - HKCU\..\Run: [5-1-26-87] c:\windows\5-1-26-87.exe -m

O4 - HKCU\..\Run: [5-1-25-130] c:\windows\5-1-25-130.exe -m

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [WeatherWatcher] C:\Archivos de programa\Weather Watcher\ww.exe

O4 - HKCU\..\Run: [zfwz] C:\ARCHIV~1\COMMON~1\zfwz\zfwzm.exe

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.beep.es

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {00000000-0000-0000-0000-FFFFFFFFFFFF} - http://mediaserving.com/aff-0273-a/pictures.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_ES_XP.cab

O16 - DPF: {24D1BDCE-D835-11D6-BF84-0050047EA0E7} (BlueStream_Flash Class) - http://www.rovion.com/Controls/Rovion.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {2F0D1DA3-F3E4-4C67-BB5C-5AFD70C1A4A5} (UDConnect Class) - http://01.sharedsource.org/html/UDConn.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {3E410F8E-7EDC-4E91-B7A8-BFA00E3803D2} (EROL v 4.0.15) - http://www.e-rol.com/cabs/EROLProj1.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} (PremiumHTML Class) - http://213.201.69.103/data/dialercab/IberoDialerHTML.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C369} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E15CFC65-973B-484F-888A-72C53D2935F8} (VacPro.spain_ver3) - http://www.advnt01.com/dialer/spain_ver3.CAB

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F06BE120-CA30-4E5E-A255-6A485DAFD75C} (CarpeDiem Class) - http://skit.carpediem.fr/cab/3/CarpeDiem.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5512E729-0957-4C0B-A042-6B88BB2AF894}: NameServer = 212.55.8.132,212.55.8.133

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

~~[b]~~HJT en MODO NORMAL[/b]

Logfile of HijackThis v1.99.1

Scan saved at 21:06:17, on 03/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\sp2protect.exe

C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Spyware Doctor\swdoctor.exe

C:\WINDOWS\system32\sp2protect.exe

C:\Archivos de programa\WinTV\Ir.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe

C:\ARCHIV~1\EZULA\mmod.exe

C:\WINDOWS\woinstall.exe

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\shell32.exe

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKCU\..\Run: [5-2-125-2] c:\windows\5-2-125-2.exe -m

O4 - HKCU\..\Run: [5-1-26-87] c:\windows\5-1-26-87.exe -m

O4 - HKCU\..\Run: [5-1-25-130] c:\windows\5-1-25-130.exe -m

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [WeatherWatcher] C:\Archivos de programa\Weather Watcher\ww.exe

O4 - HKCU\..\Run: [zfwz] C:\ARCHIV~1\COMMON~1\zfwz\zfwzm.exe

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\RunOnce: [Web Offer] C:\WINDOWS\system32\sp2protect.exe

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.beep.es

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {00000000-0000-0000-0000-FFFFFFFFFFFF} - http://mediaserving.com/aff-0273-a/pictures.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_ES_XP.cab

O16 - DPF: {24D1BDCE-D835-11D6-BF84-0050047EA0E7} (BlueStream_Flash Class) - http://www.rovion.com/Controls/Rovion.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {2F0D1DA3-F3E4-4C67-BB5C-5AFD70C1A4A5} (UDConnect Class) - http://01.sharedsource.org/html/UDConn.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {3E410F8E-7EDC-4E91-B7A8-BFA00E3803D2} (EROL v 4.0.15) - http://www.e-rol.com/cabs/EROLProj1.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} (PremiumHTML Class) - http://213.201.69.103/data/dialercab/IberoDialerHTML.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C369} - http://content2.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E15CFC65-973B-484F-888A-72C53D2935F8} (VacPro.spain_ver3) - http://www.advnt01.com/dialer/spain_ver3.CAB

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F06BE120-CA30-4E5E-A255-6A485DAFD75C} (CarpeDiem Class) - http://skit.carpediem.fr/cab/3/CarpeDiem.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5512E729-0957-4C0B-A042-6B88BB2AF894}: NameServer = 212.55.8.132,212.55.8.133

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Perdon por las molestias. Seguro que aun sigo haciendo algo mal.

Mensaje por **msc hotline sat** » 04 Ago 2005, 19:58

No es el log del HJT lo que se debe pasar en modo seguro, esto se ha de haver en modo normal. Es el ELISTARA en este caso y el HJT para eliminar las claves indicadas.

Aparte de lo indicado, para los 015 del PROTOCOL DEFAULTS, que bajan el nivel de seguridad del ordenador al navegar, mira de lanzar ademas, esta utilidad que debe crearse con estas instrucciones:

[quote]Para ello simplemente seleccione, copie y pegue el contenido del script entre lineas y salvelo como ELISEGU.REG , y luego ejecutelo y acepte los cambios.

Ello borrará primero la lista de zonas seguras, corrando todas las claves al respecto y colverá a crear las claves vacias:

______________________________________

REGEDIT4

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]
[/quote]

Nota Teoricamente esto está implementado en el ELISTARA desde la 10.13, pero veamos que no tenga que hacerse por separado...

Todo esto lo hace en modo seguro y finalice lanzando el ELISTARA y borrando con el HJT las 015 del PROTOCOL DEFAULTS dichosas, a ver si logramos eliminarlas!

Y nos contestas como respuesta a este tema, gracias

saludos

ms, 4-08-2005

asierzutru · Mensaje por **asierzutru** » 05 Ago 2005, 00:33

He entendido todo menos esta parte que cito a continuación. Donde tengo que pegar eso? en el registro?? O que es eso de crear una utilidad?? Es que me he liado. El resto ya lo tengo entendido.

[quote="msc hotline sat"]
Aparte de lo indicado, para los 015 del PROTOCOL DEFAULTS, que bajan el nivel de seguridad del ordenador al navegar, mira de lanzar ademas, esta utilidad que debe crearse con estas instrucciones:

[quote]Para ello simplemente seleccione, copie y pegue el contenido del script entre lineas y salvelo como ELISEGU.REG , y luego ejecutelo y acepte los cambios.

Ello borrará primero la lista de zonas seguras, corrando todas las claves al respecto y colverá a crear las claves vacias:

______________________________________

REGEDIT4

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges]
[/quote]
[/quote]

Mensaje por **msc hotline sat** » 05 Ago 2005, 07:30

Sí, seleccionas las lineas del script indicado, haces un copiar y lo pegas al bloc de notas, y luego lo salvas guiardandolo como ELISEGU.REG , la cual ejecutas luego

saludos

ms, 5-08-2005

asierzutru · Mensaje por **asierzutru** » 05 Ago 2005, 10:58

:cry: Pues ya he hecho todo eso, pero aun sigue reinstalandose al iniciar el PC. A pesar de copiar lo del registro, pasar el ELISTARA y borrar las entradas del HJT, siguen estando hay las cosas esas.

Logfile of HijackThis v1.99.1

Scan saved at 10:55:38, on 05/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe

C:\Archivos de programa\Spyware Doctor\swdoctor.exe

C:\Archivos de programa\eMule\emule.exe

C:\Archivos de programa\WinTV\Ir.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [WeatherWatcher] C:\Archivos de programa\Weather Watcher\ww.exe

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\Run: [eZWO] C:\ARCHIV~1\Web Offer\wo.exe

O4 - HKCU\..\RunOnce: [eZstub] Command /c del C:\WINDOWS\system32\eZstub.exe

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5512E729-0957-4C0B-A042-6B88BB2AF894}: NameServer = 212.55.8.132,212.55.8.133

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Mensaje por **msc hotline sat** » 05 Ago 2005, 11:26

Efectivamente, las claves basicas del EXULA las vuelves a tener:

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\Run: [eZWO] C:\ARCHIV~1\Web Offer\wo.exe

O4 - HKCU\..\RunOnce: [eZstub] Command /c del C:\WINDOWS\system32\eZstub.exe

Envianos estos tres ficheros a los que llaman estas claves, mmod.exe, wo.exe y eZstub.exe a zonavirus@satinfo.es anexadas a un mil en cuyo texto pongas como referencia REF EZULA pues puiede tratarse de una variante no controlada por el ELISTARA, con lo que procederemos a añadir su controly eliminacion.

Pero tal como indicabamos en un post al principio, siguiendo el tutorial de antispywares, arrancando en modo seguro y lanzando cualquiera de las utilidades SPYBOT o AD_AWARE, bien actualizadas, deberías detectarlo y poderlo eliminar, pero es muy importante lo indicado de arrancar en modo seguro, y si es XP,m deshabilitar la restairacion de sistema, como ya indicamos en el tutorial:

https://foros.zonavirus.com/viewtopic.php?t=4795

Y si con ello no lo logras, habrás de esperar al nuevo ELISTARA, aparte de poder probar eliminar las claves indicadas y los ficheros, habiendo arrancado en modo seguro !!!

saludos

ms, 5-08-2005

Mensaje por **msc hotline sat** » 05 Ago 2005, 11:52

Estudiando a fondo el log del HJT, aparte de algunas desconocidas, hay que eliminar tambien:

O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-es/es/games3.cab

Y estas son sospechosas, mira si las conoces de instalaciones personales:

O16 - DPF: ConferenceRoom Java Client - http://irc.canal21.com/java/cr.cab

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

si no las conoces, eliminalas tambien.

saludos

ms, 5-08-2005

Mensaje por **maura63** » 05 Ago 2005, 12:45

Descarga winsockfix de

http://www.majorgeeks.com/downloadget.php?id=4372&file=13&evp=4578a0d2691013178f302c260093894b

cuando cargue la pagina, se abrira la descarga en unos segundos automaticamente.

Con el programa descargado elimina

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

Si no te deja con el administrador de tareas busca y mata estos procesos

mmod.exe

wo.exe

arranca en modo nodo seguro y con wl winsock eliminalos.

Saludos

maura63

Mensaje por **msc hotline sat** » 05 Ago 2005, 14:08

Recibidos 4 ficheros muestra de esta variante. Los 4 son detectados por McAfee como Adware Ezula. Nosotros los implementaremos en el ELISTARA a la vuelta de vacaciones. Espero que con la utilidad sugerida por Maura63 resuelvas el problema, pero en cualquier caso cualquier eliminacion hazla arrancando en modo seguro y deshabilitando la restauracion de sistema si es XP, para que los ficheros no esten en uso y windows permita eliminarlos.

Y confiando que el problema quedará pronto solucionado, is deseo feciles vacaciones 8) :wink: :roll: :mrgreen:

ms, 5-08-2005

asierzutru · Mensaje por **asierzutru** » 05 Ago 2005, 14:38

Pues seguimos en las mismas. Despues de pasar el ELISTARA y los Spywares en modo seguro (y restaurar sistema desactivado) y tras borrar las entradas indicadas en el HJT, he reiniciado en modo normal y el EZULA de las narices sigue autoinstalandose.

Logfile of HijackThis v1.99.1

Scan saved at 14:31:12, on 05/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Spyware Doctor\swdoctor.exe

C:\Archivos de programa\eMule\emule.exe

C:\Archivos de programa\WinTV\Ir.exe

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

C:\Documents and Settings\USUARIO\Escritorio\HijackThis_1.99.1.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://www.google.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\ARCHIV~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [hpppta] C:\Archivos de programa\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [sp2protect] C:\WINDOWS\system32\sp2protect.exe

O4 - HKLM\..\Run: [I downloaded pirated Software from P2P] C:\WINDOWS\system32\Roller Coaster Tycoon 3 soaked .exe

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Archivos de programa\CA\eTrust PestPatrol\PPActiveDetection.exe"

O4 - HKCU\..\Run: [STYLEXP] C:\Archivos de programa\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart

O4 - HKCU\..\Run: [eZmmod] C:\ARCHIV~1\ezula\mmod.exe

O4 - HKCU\..\Run: [eZWO] C:\ARCHIV~1\Web Offer\wo.exe

O4 - Startup: AutoStart IR.lnk = C:\Archivos de programa\WinTV\Ir.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab

O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

O16 - DPF: {4E888414-DB8F-11D1-9CD9-00C04F98436A} (Microsoft.WinRep) - https://webresponse.one.microsoft.com/oas/ActiveX/winrep.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1121871508707

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {C4660846-8760-4852-8154-82438E33E383} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/es/filesharingctrl.cab

O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw12fd.law12.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Archivos de programa\TGTSoft\StyleXP\StyleXPService.exe

Tendré que probar con el programa indicado por maura 63, pero no entiendo para qué sirve ni como funciona. :?

Gracias y felices vacaciones.

Mensaje por **maura63** » 05 Ago 2005, 16:08

Probastes con esto

Descarga winsockfix de

http://www.majorgeeks.com/downloadget.php?id=4372&file=13&evp=4578a0d2691013178f302c260093894b

cuando cargue la pagina, se abrira la descarga en unos segundos automaticamente.

Con el programa descargado elimina

C:\ARCHIV~1\EZULA\mmod.exe

C:\ARCHIV~1\WEBOFF~1\wo.exe

Si no te deja con el administrador de tareas busca y mata estos procesos

mmod.exe

wo.exe

Desactiva restaurar sistema y arrancando en modo seguro lanza winsock fix y eliminalos.

Saludos

maura63

asierzutru · Mensaje por **asierzutru** » 05 Ago 2005, 20:21

maura63, es que no se como funcione el programa este, es decir no se si hay que darle al boton de fix o a otros, o si hay alguna otra opcion para que ayude a borrar un archivo en cuestion.

Mensaje por **maura63** » 09 Ago 2005, 11:42

Descarga y ejecuta el programa, cuando se abra veras tres botones, antes de nada crea un backup (boton central) te hara una copia del registro por si hubiese algun problema.

Luego pulsa en FIX, se ejecutara el programa al final aceptas y el ordenador se reiniciara.

Comprueba el resultado.

Saludos

maura63