publicidad y pagina de inicio q no se kitan

lgruz · Mensaje por **lgruz** » 12 Nov 2005, 13:15

hola.

Normalmente no tengo problemas con el spyware, ya que uso el spybot y e ad-aware SE 1.06, pero ultimamente estoy teniendo muchos problemas. Cada 2 por 3 me salen webs de publicidad de todos tipos. probe a pasar el ad-aware, pero este no detecta NADA, solo "tracking", q siempre son los mismos. Y el Spybot me detecta mas cosas, como el winfixer, q es una de las publicidades que me sale, pero es solo una coockie.ç

Otro problema que tengo es ke la pagina de inicio es http://www.mbuscas.com, la e cambiado muxas veces, y sige igual. e probado el programa elistarA y sigue igual

E probado todo lo que sabia asta ahora, antivirus en modo seguro, actualizar los antiwares...

He dado varias vueltas a la web, y e visto que ahora pediis informacion de hijackthis. y aki os la pongo:

Logfile of HijackThis v1.99.1

Scan saved at 13:07:51, on 12/11/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5112.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Norton Internet Security\NISUM.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Norton Internet Security\ccPxySvc.exe

C:\WINDOWS\system32\crypserv.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\UAService7.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Skype\Phone\Skype.exe

c:\windows\system32\EEXPLORER.exe

C:\Archivos de programa\ATI Technologies\ATI.ACE\CLI.exe

C:\Archivos de programa\Media Key\MagicKey.exe

C:\Archivos de programa\MSN Messenger\MSNP13Downgrader.exe

C:\Archivos de programa\Media Key\OSD.EXE

C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Windows Media Player\wmplayer.exe

C:\descarga\antiwares\varios\EliStarA.exe

c:\windows\system32\RUNDDLL.exe

c:\archiv~1\intern~1\iexplore.exe

c:\archiv~1\intern~1\iexplore.exe

C:\descarga\antiwares\varios\hijackthis\HijackThis.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mbuscas.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O1 - Hosts: <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">

O1 - Hosts: <HTML><HEAD>

O1 - Hosts: <TITLE>404 Not Found</TITLE>

O1 - Hosts: </HEAD><BODY>

O1 - Hosts: <H1>Not Found</H1>

O1 - Hosts: The requested URL /stat.dat was not found on this server.<P>

O1 - Hosts: </BODY></HTML>

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {72E2AE6B-9B9B-4A10-E5E9-8FC739B109CB} - C:\DOCUME~1\luis\DATOSD~1\METAFR~1\BIAS PLUS.exe

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [ccRegVfy] C:\Archivos de programa\Archivos comunes\Symantec Shared\ccRegVfy.exe

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ATICCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [ManagerCornWaitEach] C:\Documents and Settings\All Users\Datos de programa\aim program manager corn\sectpart.exe

O4 - HKLM\..\Run: [ZipTorrent] C:\Archivos de programa\ZipTorrent\ZipTorrent.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [Rundll] c:\windows\system32\RUNDDLL.exe

O4 - HKLM\..\RunOnce: [ReEXEc] C:\descarga\antiwares\varios\EliStarA.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [32 Ping] C:\DOCUME~1\luis\DATOSD~1\MPEGCL~1\Cdrom Wma.exe

O4 - Startup: MSNP13 Downgrader.lnk = ?

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Archivos de programa\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Media Key.lnk = C:\Archivos de programa\Media Key\MagicKey.exe

O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZNxdm414YYES

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [TABS] Tabbed Browsing

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.irobotmovie.com/spanish_ca/atmosphere/index.html

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O18 - Protocol: talkto - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ccPxySvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Macromedia Licensing Service - Macromedia - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\NISUM.EXE

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

Gracias por adelantado, estos spywares llegan a ser muy molestos

Mensaje por **msc hotline sat** » 12 Nov 2005, 21:45

Empiece por lanzar el ELISTARA y eliminar la pagina de inicio y poner la que quiera cuando se lo pida:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

e informenos del resultado como respuesta de este Tema, gracias

saludos

ms, 12-11-2005

lgruz · Mensaje por **lgruz** » 13 Nov 2005, 11:32

ya pase el elistarA, y dije q no me funciono. Pero lo volvi a pasar, y me consiguio cambiar la pagina de inicio, GRACIAS!!! :D . Pero este programa me detecto varios spywares, pero me salia un error de k no podia borrarlos. Tengo q pasarlo en modo seguro?

gracias

Mensaje por **msc hotline sat** » 13 Nov 2005, 11:59

Normalmente lo que el ELISTARA no puede borrar por estar en uso, lo hace en el siguiente reinicio, pero evidentemente en algun caso es necesario hacerlo en modo seguro, e incluso cpon los mas recalcitrantes, arrancando en modo seguro con solo simbolo de sistema y lanzarlo desde el DOS.

Claro que, al usar XP, se sobreentiende siempore con la restauracion de sistema deshabilitada, pues sino no se puede acceder a systemvolume information_RESTORE...

Si tiene problemas al respecto, diganos lo que le detecta y donde se lo detecta, y le podremos ayudar especificamente, con conocimeitno de caausa, que si no, hemos de generalizar al poder ser muchas cosas...

saludos

ms, 13-11-2005

Mensaje por **msc hotline sat** » 13 Nov 2005, 12:20

Aparte de lo indicado, he mirado de nuevo su log para ver donde podía tener problemas el ELISTARA, y veo que el fichero HOSTS tiene entradas ilogicas, que puede no ser contempladas por dicha utilidad, ni indicandolñe limpiar el HOSTS

Por esto sugiero eliminar todas estas claves del apartado 01:

O1 - Hosts: <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">

O1 - Hosts: <HTML><HEAD>

O1 - Hosts: <TITLE>404 Not Found</TITLE>

O1 - Hosts: </HEAD><BODY>

O1 - Hosts: <H1>Not Found</H1>

O1 - Hosts: The requested URL /stat.dat was not found on this server.<P>

O1 - Hosts: </BODY></HTML>

o en su caso, revisar dicho fichero o sustituirlo por el de cualquier ptra maquina con iogual sistema operativo.

Está en C:\windows\system32\drivers\etc\

y se llama HOSTS sin extension, el cual es de texto, y se puede editar con un NOTEPAD. WORDPAD, o incluso con el EDIT del DOS.

Dicho fichero sirve para indicar las direcciones URL de las webs a las que se quiera acceder directamente sin buscar la URL en el servidor de DNS, que para cada nombre de web le asigna la URL cprrespondiente, pero que si se le inscribe en dicho fichero por ejemplo la de zonavirus a la URL 212.34.137.52 , ya no la va a buscar al servidor de DNS, pero los virus ponen una direccion que les interesa para determinados nombre de web, como microsoft.com, mcafee.com, zonavirus.com etc, y cuando se quiere acceder a ellas, te llevan al huerto, o a ninguna parte. como es el caso de indicar para todas ellas la 127.0.0.1 que es el LOCAL HOST y no sale de su intranet !

POr cierto que el que si ha de estar es el del LOCAL HOST a la 127.0.0.1

De todo ello hay un pequeño tutorial comentado en el mismo fichero antes de las lineas de datos validos.

saludos

ms, 13-11-2005

lgruz · Mensaje por **lgruz** » 16 Nov 2005, 18:26

muchas gracias, probare aver todo lo k me dices, supongo q con tanta informacion no se resistiran :wink:

gracias de nuevo

Mensaje por **maura63** » 16 Nov 2005, 18:32

Y comprueba si ha desaparecido esto en C

c:\windows\system32\[color=red]EEXPLORER.exe [/color]

c:\windows\system32\[color=red]RUNDDLL.exe [/color]

Despues de limpiar vuelve a pegarnos un nuevo log.

Saludos

maura63

Mensaje por **msc hotline sat** » 16 Nov 2005, 18:55

Del RUNDDL.EXE espero que el ELISTARA dé buena cuenta:

---v10.54-( 4 de Noviembre del 2005) (Muestras de StartPage-IN "RUNDDLL.EXE", EliteToolBar "POKAPOKA79.EXE" y ProcKill.CR "SVCPROC.EXE")

Pero del EEXPLORE.EXE, mejor que nos envie una muestra a zonavirus@satinfo.es para analizarla y controlarla para que la elimine alguna de nuestras utilidades, de lo que le informaremos como respuesta de este Tema

Para ello, ponfanos en el texto del mail como referencia "REF EEXPLORE"

SALUDOS

MS, 16-11-2005

Nota: Podria ser un SDBOT que no sé si lo controlamos con el ELITRIIP, por lo que o bien se descarga esta utilidad y si ya se lo detecta y elimina, nos lo dice, o nos envia la muestra y lo miraremos nosotros, y en caso necesario, la implementariamos para controlarlo en la proima version.

saludos

ms, 16-11-2005