Se me abren ventanas de publicidad. (SOLUCIONADO)

Thunderstruck · Mensaje por **Thunderstruck** » 10 Feb 2006, 23:09

Cada vez que estoy utilizando el Intenet Explorer este lanza nuavas ventanas con publicidad sobre casinos..etc..ya no se que hacer pase el Ad-Aware y el SpyBoot y no me solucion el problema.

Salu2.

koga · Mensaje por **koga** » 11 Feb 2006, 04:17

Hola, podrias probar pasando el panda online, y seria bueno hacerlo en modo seguro desactivando restaurar sitema, hazlo lanzando el modo seguro con funciones de red, luedo a la pagina de panda online.

Ademas podrias descargar el hijackthis de la pagina y mandar un post a este tema pegando el log del hijackthis para facilitar la ayuda de los amigos de aqui de la pagin.

Lee losmanuales de la pagina sobre como usar hijack si no lo has hecho antes y cualquier duda solo pregunta,

saludos y mucha suerte.

Mensaje por **msc hotline sat** » 11 Feb 2006, 09:31

Con lo indicado los detectaras pero no los eliminaras.

Empieza por el principìo:

https://foros.zonavirus.com/viewtopic.php?t=5148

saludos

ms, 11-2-2006

Thunderstruck · Mensaje por **Thunderstruck** » 11 Feb 2006, 09:34

Ok, probando. :)

Thunderstruck · Mensaje por **Thunderstruck** » 12 Feb 2006, 00:20

Bueno segui las intrucciones y arranque en Modo prueba de fallos, me reconoce 36 spyware los elimime, pero el problema presiste :(

Mi log:

Logfile of HijackThis v1.99.1

Scan saved at 08:21:16 a.m., on 11/02/06

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

C:\ARCHIVOS DE PROGRAMA\KERIO\PERSONAL FIREWALL 4\KPF4SS.EXE

C:\ARCHIVOS DE PROGRAMA\MESSENGERPLUS! 3\MSGPLUS.EXE

C:\ARCHIVOS DE PROGRAMA\ESET\NOD32KRN.EXE

C:\WINDOWS\SYSTEM\LEXBCES.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\ARCHIVOS DE PROGRAMA\KERIO\PERSONAL FIREWALL 4\KPF4GUI.EXE

C:\WINDOWS\SYSTEM\LEXPPS.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\KHOOKER.EXE

C:\WINDOWS\ptsnoop.exe

C:\WINDOWS\SYSTEM\LXSUPMON.EXE

C:\WINDOWS\LOADQM.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\ARCHIVOS DE PROGRAMA\WINPOET\WINPPPOVERETHERNET.EXE

C:\ARCHIVOS DE PROGRAMA\ARCHIVOS COMUNES\REAL\UPDATE_OB\REALSCHED.EXE

C:\ARCHIVOS DE PROGRAMA\ESET\NOD32KUI.EXE

C:\ARCHIVOS DE PROGRAMA\MEMTURBO30\MEMTURBO.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE

C:\ARCHIVOS DE PROGRAMA\OPERA\OPERA.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: (no name) - {9B29C6BB-2067-AE73-000C-97A2EAFD779B} - C:\WINDOWS\APPLICATION DATA\EACH DEFAULT TICK\VIEWINTERNET.EXE

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe

O4 - HKLM\..\Run: [LexStart] Lexstart.exe

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\SYSTEM\LXSUPMON.EXE RUN

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [a-winpoet-service] "C:\Archivos de programa\WinPoET\winpppoverethernet.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [knobeqbrowsefirst] C:\WINDOWS\Application Data\Wavesizeknobeq\First16.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

O4 - HKLM\..\RunServices: [KPF4] C:\Archivos de programa\Kerio\Personal Firewall 4\kpf4ss.exe

O4 - HKLM\..\RunServices: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\RunServices: [NOD32kernel] "C:\Archivos de programa\Eset\nod32krn.exe"

O4 - HKCU\..\Run: [gram eq] C:\WINDOWS\APPLIC~1\PROGRA~1\SiteSeekData.exe

O4 - Startup: MemTurbo.lnk = C:\Archivos de programa\MemTurbo30\MemTurbo.exe

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZNxmk134YYAR

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE10\EXCEL.EXE/3000

O8 - Extra context menu item: Download by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dllink.htm

O8 - Extra context menu item: Download web site by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlpage.htm

O8 - Extra context menu item: Download all by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlall.htm

O8 - Extra context menu item: Download selected by Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlselected.htm

O8 - Extra context menu item: &Google Search - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmwordtrans.html

O8 - Extra context menu item: Cached Snapshot of Page - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html

O8 - Extra context menu item: Similar Pages - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html

O8 - Extra context menu item: Backward Links - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html

O8 - Extra context menu item: Translate Page into English - res://C:\ARCHIVOS DE PROGRAMA\GOOGLE\GOOGLETOOLBAR1.DLL/cmtrans.html

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {AFC3FA82-AD07-45cd-8B57-983435B9899E} - (no file)

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_05\bin\npjpi150_05.dll

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {88D758A3-D33B-45FD-91E3-67749B4057FA} - http://dm.screensavers.com/dm/installers/si/1/sinstaller.cab

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cab

O16 - DPF: {69FD62B1-0216-4C31-8D55-840ED86B7C8F} (HbInstObj) - http://installs.hotbar.com/installs/hotbar/programs/hotbar.cab

O16 - DPF: {1DB93715-3B60-43EE-93E6-279BB3E1DF76} (OCXDownloadChecker Control) - http://nrd.dvrdns.org/cab/OCXChecker_6100.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCentralFWBInitialSetup1.0.0.8-2.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab

O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/yinst/yinst_current.cab

O16 - DPF: {C6760A07-A574-4705-B113-7856315922C3} - http://akamai.downloadv3.com/binaries/IA/sysnetsvc32_ES.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by19fd.bay19.hotmail.msn.com/activex/HMAtchmt.ocx

O16 - DPF: {7BA7BCE2-D359-4407-82D9-CDF9A74C487A} (DownLoadStub Class) - http://www.hpphoto.com/downloads/DownloadPhotos.cab

O16 - DPF: {9059F30F-4EB1-4BD2-9FDC-36F43A218F4A} (Microsoft RDP Client Control (redist)) - http://nrd.dvrdns.org:8080/cab/msrdp.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} - http://static.zangocash.com/cab/Zango/ie/bridge-c18.cab

Mensaje por **msc hotline sat** » 12 Feb 2006, 03:50

Envianos el fichero

C:\WINDOWS\ptsnoop.exe

a zonavirus@satinfo.es anexado a un mail con la referencia REF PTSNOOP y lo analizaremos`para poder controlarlo

Aparte, lanmza el GHR y marca las siguientes claves y eliminalas con FIX:

O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe

O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZNxmk134YYAR

O9 - Extra button: (no name) - {AFC3FA82-AD07-45cd-8B57-983435B9899E} - (no file)

O16 - DPF: {88D758A3-D33B-45FD-91E3-67749B4057FA} - http://dm.screensavers.com/dm/installers/si/1/sinstaller.cab

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cab

O16 - DPF: {69FD62B1-0216-4C31-8D55-840ED86B7C8F} (HbInstObj) - http://installs.hotbar.com/installs/hotbar/programs/hotbar.cab

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCentralFWBInitial Setup1.0.0.8-2.cab

O16 - DPF: {C6760A07-A574-4705-B113-7856315922C3} - http://akamai.downloadv3.com/binaries/IA/sysnetsvc32_ES.cab

Y tras ello reinicia y nos cuentas el resultado

Con lo que digas y lo que veamos en el fichero que te pedimos, podremos liquidar el problema

saludos

ms, 12-2-2006

Thunderstruck · Mensaje por **Thunderstruck** » 12 Feb 2006, 10:08

Bueno por suerte el problema de las ventanas emergentes ya se soluciono, eh borrado todas las claves que me dijo no tuve problema con ninguna a ecepcion de esta ~~[b]~~O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe[/b] la elimino pero despues al reiniciar vuelve a estar. Investigando un poco descubri que el ptsnoop al parecer es un troyano.

p.d: Ya le mande el e-mail con el archivo adjunto que me pidio.

Salu2.

Mensaje por **msc hotline sat** » 12 Feb 2006, 11:04

Pues implementaremos su control y eliminacion en el proximo ELISTARA de mañana,tras analizar la muestra , e informaremos.

saludos

ms, 12-2-2006

Thunderstruck · Mensaje por **Thunderstruck** » 12 Feb 2006, 20:57

Gracias, lo espero con ansias.

Mensaje por **msc hotline sat** » 13 Feb 2006, 04:03

Mientras mira de arrancar en modo seguro con la restauracion de sistema deshabilitada, y mover este fichero PTSNOOP.EXE a una carpeta de cuarentena, y al reinciar ya no lo encontrará y no estará en proceso ...

saludos

ms, 13-2-2006

Thunderstruck · Mensaje por **Thunderstruck** » 13 Feb 2006, 08:30

Exactamente eso fue lo que hice y ahora ya no lo carga. Gracias :)

Mensaje por **msc hotline sat** » 13 Feb 2006, 10:25

Pues recibida y analizada la muestra, no ha resultado ser vírica, sino un driver de PCTEL de algun modem que tenía instalado

Cabian las dos posibilidades, por esto le pedimos muestra, y si sin cargarlo todo le funciona bien. dejelo asi, e incluso ahora lo podría borrar sin problemas y cabe atribuir que, sin ser malware, estando residente colisionaba con alguna otra aplicacion.

De otra manera hubiera podido ser un backdoor:

http://whitepapers.silicon.com/0,39024759,60024820p-39000341q,00.htm

saludos

ms, 13-2-2006

Thunderstruck · Mensaje por **Thunderstruck** » 14 Feb 2006, 01:31

Me quedo mas tranquilo, ya lo borre y por ahora todo funciona bien, asi que prefiero dejarlo asi.

Salu2.

Mensaje por **msc hotline sat** » 14 Feb 2006, 07:22

Perfecto, y solucionado el problema, procedemos a cerrar el Tema

SALUDOS

MS, 14-2-2006