ayuda! * (SOLUCIONADO)

berms · Mensaje por **berms** » 02 Dic 2005, 05:03

buenas, soy nuevo aki.. espero q me puedan ayudar.

hace ya 2 dias q se me infecto la pc con un virus, xa ser mas precisos con un spyware.

la cosa es q ya lo pude eliminar pero desde entonces la pc me esta andando muy lenta.

el rendimiento del cpu esta siempre en 100% y los procesos usan mucha memoria.

les dejo el log q me ha dado el hijackthis xa ver si puden decirme si algo anda mal

Logfile of HijackThis v1.99.1

Scan saved at 1:54:04, on 02/12/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe

C:\Archivos de programa\D-Tools\daemon.exe

C:\Archivos de programa\Java\jre1.5.0_05\bin\jusched.exe

C:\WINDOWS\system32\dla\tfswctrl.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\windows\system32\mdms.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\S.S\CONFIG~1\Temp\Rar$EX00.016\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Archivos de programa\iMesh\iMesh5\iMeshBHO.dll

O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Archivos de programa\DAP\DAPBHO.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Save Flash - {4064EA35-578D-4073-A834-C96D82CBCF40} - C:\Archivos de programa\Save Flash\SaveFlash.dll

O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Archivos de programa\DAP\DAPIEBar.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_05\bin\jusched.exe

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [StorageGuard] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system32\mdms.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Download with &DAP - C:\ARCHIV~1\DAP\dapextie.htm

O8 - Extra context menu item: Download &all with DAP - C:\ARCHIV~1\DAP\dapextie2.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8FA13FC0-1D7F-4B17-BAE2-A790131CE129}: NameServer = 200.40.220.245 200.40.30.245

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Macromedia Licensing Service - Macromedia - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

PD: x las dudas les dejo los datos de mi pc.

AMD Athlon 1.8Ghz

768 Ram

Windows XP (sin packs ni nada)

con eso basta no? o precisan mas datos.

ok ya los dejo de molestar, xDD, espero q me puedan ayudar... xq se me hace un gran problema tener q formatear el pc. xq la verdad q ya ni puedo navegar x internet ni jugar juegos online.

gracias nuevamente =D

Mensaje por **msc hotline sat** » 02 Dic 2005, 07:02

Pues empiece por eliminar estas dos claves:

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Archivos de programa\iMesh\iMesh5\iMeshBHO.dll

O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Archivos de programa\DAP\DAPBHO.dll

Estas dos siguientes son muy sospechosas,m por estar repetida la carga del fichero en HKLM y HKCUy por no ser conocida. Si no conovce la aplicacion ni la ha instalado, eliminelas

O4 - HKLM\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

O4 - HKCU\..\Run: [bxproxy] C:\WINDOWS\bxproxy.exe

Esta parece ser de un SDBOT, por lo que antes de eliminarlam klance un antivurus para eliminar esta y otras que pudiera haber creado no visibles con el HJT

O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system32\mdms.exe

Esta es de la aplicacion Download accelerator, Mejor desinstalela por crear spywares:

O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE

Y ya vemos que sabe que no tiene instalado los parches de microsoft, que consideramos imoprescindibles, pero como que no hay poeir siordi que el que no quiere oir, Vd mismo !

Tras todo ello, reinicie y vea si se ha solucionado el problema y nos lo indica como respuesta de este Tema, gracias

saludos

ms, 2-12-2005

~~[b]~~NOTA: Y RECUERDA [/b]

https://foros.zonavirus.com/viewtopic.php?t=1307

berms · Mensaje por **berms** » 02 Dic 2005, 14:01

hola.... borre lo q me has dicho menos éste, y sigue =, el uso del cpu ta al 100%

O4 - HKLM\..\Run: [SysMemory manager] c:\windows\system32\mdms.exe

tenia mi duda.. con éste q hago? lo elimino?

gracias.. y perdona el titulo del post, esq toy medio desesperado. =(, vale, gracias x la ayuda.

PD: me olvide de decir algo, sin darme cuenta, recien me he fijado y hay unos procesos llamados: svchost.exe y me comen bastante memoria ram, ademas hay como 4 de ellos ejecutandose a la misma vez, aki les dejo una imagen de los procesos. es normal q se ejecuten tantos a la vez?

me he fijado en unos de los links de esta web, donde hay una pagina con nombres de procesos y al poner vchsot, me dicen esto:

Added by the WRMSCAN-A TROJAN! Note - this is not the legitimate svchost.exe process which is always located in the System (9x/Me) or System32 (NT/2K/XP) folder and should not normally figure in Msconfig/Startup! This file is found in the Winnt or Windows folder, ademas como pude ver hay varios tipos de svchost, buenos uds. sabran mas q yo, solo ls queria comentar eso.... adios y gracias de nuevo.

[img]http://img391.imageshack.us/img391/4651/procesos2ir.jpg[/img]

Mensaje por **msc hotline sat** » 02 Dic 2005, 15:11

El fichero MDMS.EXE es probablemente un SDBOT:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_RBOT.AVG

pero justamente por esi no conviene solo eliminar la clave, sino detectarlo y eliminar fihero y claves con un antivirus, arrancando en modo seguro.

Sobre el SVCHOST.EXE, es logico que haya tres o cuatro en el administrador de tareas, dado que justamente es el lanzador de tareas de windows, siempre y cuando sea lanza do desde el directorio de sistema, C:\windows\system32 para XP, pues desde otro sotio podrñia ser un gusano de los virus que utilizan dicho nombre.

Y los que se le parecen, pero que el nombre no es igualm intentan despistar y parecer lo mismo, sin que tengan nada que ver, siendo estos gusanos.

saludos

ms, 2-12-2005

berms · Mensaje por **berms** » 02 Dic 2005, 16:10

ok, entonces busco la carpeta en donde se encuentra el mdms.exe y la borro?

y luego elimino las claves con HJT ?

espero una respuesta xa estar seguro de q entendi bien y de ser asi trato con eso.

nuevamente muchas gracias.

PD: tengo una pregunta... es normal q programas como el firefox use tanta memoria ram ? xq en este momento me fijo y esta utilizando 37.576 kb, no es demasiado? gracias. :)

Mensaje por **msc hotline sat** » 02 Dic 2005, 16:17

Le repetimos por tercera vez que no debe eliminarlo manualmente, sino que debe hacerlo el antivirus que use !!!

Y aqui usamos el I.E., no puedo contestarle sobre otros navegadores

saludos

ms, 2-12-2005

berms · Mensaje por **berms** » 02 Dic 2005, 17:36

oka, he entendido. =D

ya lo borre con el nod 32

aqui les dejo el log del HJT: haber si esta bien o no. uds. digan

Logfile of HijackThis v1.99.1

Scan saved at 14:33:52, on 02/12/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe

C:\Archivos de programa\D-Tools\daemon.exe

C:\Archivos de programa\Java\jre1.5.0_05\bin\jusched.exe

C:\WINDOWS\system32\dla\tfswctrl.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\S.S\CONFIG~1\Temp\Rar$EX05.203\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Save Flash - {4064EA35-578D-4073-A834-C96D82CBCF40} - C:\Archivos de programa\Save Flash\SaveFlash.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_05\bin\jusched.exe

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [StorageGuard] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [nod32kui] C:\Archivos de programa\Eset\nod32kui.exe /WAITSERVICE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8FA13FC0-1D7F-4B17-BAE2-A790131CE129}: NameServer = 200.40.220.245 200.40.30.245

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: Macromedia Licensing Service - Macromedia - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

PD: lo del firefox no fue x ser ese programa sino, queria saber si es normal q programas usen tanta memoria. solo eso.

adios.

Mensaje por **maura63** » 02 Dic 2005, 17:44

Elimina esta pues el plus trae regalo

C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe

Despues de elimar conecta con windows update a ver si te deja actualizar con los parches que te faltan que son muchos.

Saludos

maura63

Mensaje por **msc hotline sat** » 02 Dic 2005, 21:30

Ciertamente, he encontrado el siguiente link de informacion:

http://www.auditmypc.com/process/msgplus.asp

Tiene ventajas e inconvenientes-

saludos

ms, 2-12-2005

berms · Mensaje por **berms** » 02 Dic 2005, 21:51

ok, haré lo q me dicen, gracias x la info del plus, no lo sabia.

tmb actualizaré el windows, aunq no tengo buenos recuerdos de las actualizaciones, siempre me traen problemas. pero lo haré si dicen q va a mejorar el rendimiento de mi computadora.

quiero comentarles esto q me ha salido en el nod32:

"trojan Win32/TrojanProxy.Cimuz found in operating memory"

adios,gracias.

Mensaje por **msc hotline sat** » 03 Dic 2005, 07:15

Mas que mejorar el rendimientro, los parches arreglan las vulnerabilidades ya descubiertas y proporcionan mas seguridad. Sin ellos, algunos virus pueden entrar a pesar del antivirus.

Al no tener ninguno instalado, ni el SP1, es posible que el windowsupdate no lo acepte, en tal caso empiece instalando el SP1, y luego lance el windowsupodate para instalar SP2 y posteriores:

___________________

INSTALACION DEL SP1 DEL XP PARA PODER INSTALAR EL SP2: (O SEGUIR CON EL WINDOWSUPDATE)

http://www.microsoft.com/en/us/default.aspxwindowsxp/downloads/updates/sp1/default.mspx

(SE DEBE ESCOGER IDIOMA...)

____________________

saludos

ms, 3-12-2005

berms · Mensaje por **berms** » 03 Dic 2005, 18:05

bueno, les aviso q ya anda mejor la pc, muchas gracias...

dejen este tema como solucionado.. thx otra vez... :)

Mensaje por **msc hotline sat** » 03 Dic 2005, 18:20

de acuerdo, solucionado el problema, procedemos a cerrar el Tema

saludos

ms, 3-12-2005