spyware - vcodec / ncompat - ayuda por favor (Solucionado)

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 17:21

Hola amigos,

este fin de semana me cogí un virus que cuando abro una nueva ventana de mi navegador, sea con la pagina que sea, me salta un anuncio del virus w32.sinnaka.a@mm y me recomienda comprar un antivirus. Estuve leyendo ayer y hoy en este foro, que por cierto esta muy bueno, como eliminar el virus.

Corri los programas spybot, ad-aware y ewido. Con el killbox y despues de un reboot pude eliminar el fichero "ncompat.tlb" que esta vinculado al vcodec (según spybot search & destroy 1.4). Todo parece indicar que ahora la máquina esta limpia. La ventana del navegador muestra su página inicial, los otros programas no detectaron mas nada.

Sí me di cuenta que después de abrir la ventana del navegador el fichero "ncompat.tlb" vuelve a salir en /windows/system32. Cuando corro el spybot este descubre el vcodec y puedo eliminarlo directo sin necesidad de recurrir al killbox. ¿Que más puedo hacer?

Gracias de antemano

Alex

Mensaje por **maura63** » 27 Dic 2005, 17:23

Prueba de eliminarlo pero arranca en modo seguro y desactiva antes la restauracion del sistema de usar XP.

Saludos

maura63

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 17:33

Se deja eliminar, pero después que abro la ventana del navegador me aparece de nuevo el fichero ncompat.tlb en /windows/system32.

Mientras no abra el navegador no hay muestra de que tenga el virus. (¿¿¿ ???)

Mensaje por **maura63** » 27 Dic 2005, 17:41

Bajar :

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.

Saludos

maura63

Mensaje por **msc hotline sat** » 27 Dic 2005, 17:46

El fichero ncompat.tlb es un fichero de datos que usa el PUPER y está controlado por el ELISTARA.EXE:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Pruebelo arrancando en modo seguro y deshabilitando la restauracion de sistema, y comentenos el resultadoi como respùesta de este Tema, gracias

saludos

ms, 27-12-2005

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 17:53

Contenido del LogFile

Logfile of HijackThis v1.99.1

Scan saved at 5:50:59 PM, on 12/27/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ACS.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\COMMON~1\AOL\ACS\acsd.exe

C:\Program Files\Toshiba\Power Management\CeEPwrSvc.exe

C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

C:\WINDOWS\system32\DVDRAMSV.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton AntiVirus\SAVScan.exe

C:\WINDOWS\system32\svchost.exe

c:\TOSHIBA\Ivp\Swupdate\swupdtmr.exe

C:\WINDOWS\wanmpsvc.exe

C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

C:\Program Files\TOSHIBA\Power Management\CePMTray.exe

C:\WINDOWS\system32\dla\tfswctrl.exe

C:\Program Files\ltmoh\Ltmoh.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\Program Files\EzButton\EzButton.EXE

C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe

C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe

C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

C:\WINDOWS\System32\ZoomingHook.exe

C:\Program Files\TOSHIBA\TouchPad\TPTray.exe

C:\Program Files\Common Files\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\igfxtray.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\WINDOWS\system32\hkcmd.exe

C:\toshiba\ivp\ism\pinger.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\RAMASST.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\DOCUME~1\Alex\LOCALS~1\Temp\Temporary Directory 1 for hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.toshibadirect.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://toshibadirect.com/

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp931E.tmp

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll (file missing)

O3 - Toolbar: Yahoo! Barra de Herramientas - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\COMPAN~1\Installs\cpn\ycomp5_6_2_0.dll (file missing)

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\en-us\msntb.dll (file missing)

O4 - HKLM\..\Run: [CeEPOWER] C:\Program Files\TOSHIBA\Power Management\CePMTray.exe

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [EzButton] C:\Program Files\EzButton\EzButton.EXE

O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe

O4 - HKLM\..\Run: [CeEKEY] C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe

O4 - HKLM\..\Run: [PadTouch] C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe

O4 - HKLM\..\Run: [ZoomingHook] c:\WINDOWS\System32\ZoomingHook.exe

O4 - HKLM\..\Run: [TPNF] C:\Program Files\TOSHIBA\TouchPad\TPTray.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Pinger] c:\toshiba\ivp\ism\pinger.exe /run

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [Notebook Maximizer] C:\Program Files\Notebook Maximizer\maximizer_startup.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.toshiba.com

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\ACS.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\COMMON~1\AOL\ACS\acsd.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe

O23 - Service: CeEPwrSvc - COMPAL ELECTRONIC INC. - C:\Program Files\Toshiba\Power Management\CeEPwrSvc.exe

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

O23 - Service: Swupdtmr - Unknown owner - c:\TOSHIBA\Ivp\Swupdate\swupdtmr.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 17:57

msc hotline sat - muchas gracias

ya lo habia leido en el foro y efectivamente descubre el virus y lo elimina.

El problema que tengo ahora es que despues que abro el navegador, me vuelve aparecer el ncompat en /windows/system32.

Lo puedo eliminar sin problemas, pero vuelve cuando abro un nueva ventana del navegador.

Mensaje por **maura63** » 27 Dic 2005, 18:00

Conoces esta aplicacion

C:\WINDOWS\System32\ZoomingHook.exe

Saludos

maura63

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 18:02

ZoomingHook.exe - no me dice nada en estos momentos.

Mensaje por **maura63** » 27 Dic 2005, 18:03

Puede que sea de TOSHIBA.

Saludos

maura63

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 18:04

ZoomingHook.exe - no me dice nada en estos momentos

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 18:05

ZoomingHook.exe - encontre esta información:

ZoomingHook.exe is a process associated with Toshiba Zooming Utility for Tablet PC

Mensaje por **maura63** » 27 Dic 2005, 18:10

Elimina esta

O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp931E.tmp

Saludos

maura63

Mensaje por **msc hotline sat** » 27 Dic 2005, 18:13

Pues si usas tableta grafica, no toques el fichero ni la clave, y sobre el ncompat te lo genera el PUPER, este no es malo, solo es de datos, lo que se tiene que conseguir es que no lo genere, señal que lo habriamos eliminado, lo cual debes seguir intentando con nuevas versiones del ELISTARA

saludos

ms, 27-12-2005

Mensaje por **maura63** » 27 Dic 2005, 18:16

Y antes de eliminar nada [color=red]recuerda[/color]....

C:\DOCUME~1\Alex\LOCALS~1\[color=red]Temp\[/color]Temporary Directory 1 for hijackthis.zip\HijackThis.exe

debes descargar hijacthis en su propia carpeta para poder recuperar claves eliminadas.

[color=blue]C:\hijackthis\.....[/color]

Saludos

maura63

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 18:18

Ahora no salió mas el fichero ncompat.tlb

Dejaré correr el antivirus y te digo.

Muchas gracias! :D

afmoran · Mensaje por **afmoran** » 27 Dic 2005, 20:33

Maura63, muchisimas gracias, al parecer esta ahora todo limpio!

Hasta la proxima :wink:

Alex

Mensaje por **maura63** » 27 Dic 2005, 21:13

Pues nos alegramos de ello, y solucionado el tema lo cerramos.

Saludos

maura63

spyware - vcodec / ncompat - ayuda por favor (Solucionado)

spyware - vcodec / ncompat - ayuda por favor (Solucionado)

spyware - vcodec / ncompat - ayuda por favor

spyware - vcodec / ncompat - CERRADO