Problema *

Verde · Mensaje por **Verde** » 19 May 2006, 18:07

Ayer mientras buscaba el numero de serie de photoshop, entre a una página y desde ese momento me aparecio junto al reloj una figura verde esa que es un hombre en silla de ruedas y un ciculo rojo (se van alternando), y cada cierto tiempo me aparece una cosa que dice que tengo un virus y que me meta a su pagina...donde piden comprar sus productos...realmente no se que hacer

Mensaje por **maura63** » 19 May 2006, 18:17

Que vas a comprar que...... NI CASO, estas infectado de anti-spy que realmente son SPY.

Descarga y pasas esta utilidad

http://www.zonavirus.com/descargas/elistara.asp

Al terminar dara un mensaje diciendo que ha creado en C un archivo txt llamado infosat.txt lo abres y copias y pegas aqui el contenido.

Hay que tener cuidado con los cracks que bajais de la red, no es oro todo lo que reluce.

Saludos

maura63

Verde · Mensaje por **Verde** » 19 May 2006, 20:11

Aqui esta lo que resultó

Fri May 19 13:43:06 2006

EliStartPage v11.71 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri May 19 13:45:01 2006

EliStartPage v11.71 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Documents and Settings\Pablo\Configuración local\Archivos temporales de Internet\Content.IE5\G1Y7K1MB\ADS[11].HTM --> Eliminado, StartPage-DU (Pag.Ini)

Fri May 19 13:56:39 2006

EliStartPage v11.71 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\STDOLE3.TLB --> Eliminado

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

AcX · Mensaje por **AcX** » 19 May 2006, 20:24

Descarga estas aplicaciones, las actualizas y las pasas:

http://www.zonavirus.com/datos/descargas/9/Ad-Aware_SE_Personal_Edition.asp

http://www.zonavirus.com/descargas/spybot-sd.asp

Luego pasale estos dos antivirus online haber que te cuentan:

https://www.eset.es/analisis-online/

http://www.pandasoftware.es/productos/activescan

y nos comentas si ya se soluciono el problema, sino probariamos con otras salidas...

Mensaje por **msc hotline sat** » 19 May 2006, 20:28

Dinos si con lo hecho se ha solucionado el problema o aun persiste, para obrar en consecuencia

saludos

ms, 19-5-2006

Verde · Mensaje por **Verde** » 19 May 2006, 20:54

Acabo de pasar el ad ware y el spy bot, pero ese icono al lado del reloj sigue igual.

Lo bueno es que ahora no me aparece como pagina de inicio una que dice topsecuritysite.

Saludos.

AcX · Mensaje por **AcX** » 19 May 2006, 21:00

lo de la pagina de inicio te lo quito el EliStarA

Has pasado los antivirus?? por lo menos uno haber que te cuenta.

Si todo sigue igual...

Descargate esta utilidad y nos pegas el log que crea:

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Verde · Mensaje por **Verde** » 19 May 2006, 21:39

El antivirus Panda no encontró nada en los discos duros, esto me da HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 15:37:09, on 19-05-2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\msagent\AgentSvr.exe

D:\Programas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = verdeforever.blogspot.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\System32\hpD314.tmp

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Startup: .protected

O4 - Global Startup: .protected

O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146881113230

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{D07A4709-8256-4962-A3A8-84AD01346088}: NameServer = 200.28.4.129 200.28.4.130

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: winowl32 - winowl32.dll (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

Saludos

AcX · Mensaje por **AcX** » 19 May 2006, 22:24

Bueno haber si conseguimos quitarlo.

Pulsa ~~[b]~~"Fixed cheked"[/b] en las siguientes entradas:

[color=red]

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\System32\hpD314.tmp

O20 - Winlogon Notify: winowl32 - winowl32.dll (file missing)

O4 - Startup: .protected

O4 - Global Startup: .protected

[/color]

Localiza y borra estos ficheros:

C:\WINDOWS\System32\~~[b]~~hpD314.tmp[/b]

C:\WINDOWS\SYSTEM32\~~[b]~~winowl32.dll[/b] (asegurate que no quede resto de ese fichero en esa ruta)

Si no te deja borrar cualquier cosa usa el "killbox"

http://www.zonavirus.com/datos/descargas/193/Pocket_KillBox.asp

Asegurate de que las DNS son las correctas

O17 - HKLM\System\CCS\Services\Tcpip\..\{D07A4709-8256-4962-A3A8-84AD01346088}: NameServer = 200.28.4.129 200.28.4.130

dice que esta en chile

un saludo y haber si hay suerte y nos comentas

Verde · Mensaje por **Verde** » 19 May 2006, 23:29

he borrado todos los ficheros menos

O4 - Startup: .protected

O4 - Global Startup: .protected

ya que no me deja, me dice que no puede ...que use task manager y despues lo borre...

Que hago???

Agradecido

AcX · Mensaje por **AcX** » 19 May 2006, 23:35

[quote="Verde"]he borrado todos los ficheros menos

O4 - Startup: .protected

O4 - Global Startup: .protected

ya que no me deja, me dice que no puede ...que use task manager y despues lo borre...

Que hago???

Agradecido[/quote]

Entra en modo a prueba de fallos, lanza el hijackthis y prueba a eliminarlos y reinicias el sistema.

el task manager es el gestor de procesos de win, si todo lo anterior no funciono entra en el administrador de procesos y mira haber si tienes corriendo .protected (me parece un tanto raro...pero bueno) y matas el proceso y luego prueba a borrarlo todo esto desde modo a prueba de fallos.

Verde · Mensaje por **Verde** » 19 May 2006, 23:56

Al entrar en modo a prueba de fallos aparece solo Global...protected y tampoco deja borrarlo.

AL entrar al administrador de tareas en procesos salen activos:

wdfmgr.exe Servicio Local

nod32krn.exe System

alg.exe Servicio Local

wuauclt.exe

spoolsv.exe System

svchost.exe Servicio Local

svchost.exe Servicio en red

svchost.exe System

svchost.exe System

Isass.exe System

services.exe System

msmsgs.exe Verde

ctfmon.exe Verde

winlogon.exe System

csrss.exe System

iexplore.exe Verde

smss.exe System

explorer.exe Verde

taskmgr.exe Verde

System System

Proceso inactivo de sistema System

Eso aparece, no se si saben cual elimino o si es que se puede eliminar

AcX · Mensaje por **AcX** » 20 May 2006, 00:03

hazme un favor entra en modo a prueba de fallos de nuevo y lanzas el hijackthis y guardas el log y me lo pegas aqui.

Isass.exe <--- esto no es bueno o no tiene buena pinta

Mensaje por **msc hotline sat** » 20 May 2006, 08:27

No creo que fuera ISASS sino lsass, lo que pasa es que es facil confundir las letras I mayusculas con l (ele) minuscula, pero en el log del HJT ya se ve que es lsass, normal de sistema de Windows

Es una pena que borraras estos ficheros:

C:\WINDOWS\System32\hpD314.tmp

C:\WINDOWS\SYSTEM32\winowl32.dll

Si te guardaste una copia, dinoslo, pues sería conveniente examinarlos para controlarlos en el futuro

Dinos si tal como estas persiste algun problema y cual, en su caso.

saludos

ms, 20-5-2006

Nota: Y actualiza los parches de Microsoft, que te faltan todos los del SP2 y posteriores. Lanza un windowsupdate ! ms,

Verde · Mensaje por **Verde** » 20 May 2006, 18:48

Aqui esta el fichero de HIjackthis en modo seguro como administrador

Logfile of HijackThis v1.99.1

Scan saved at 12:15:56, on 20-05-2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

D:\Programas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = verdeforever.blogspot.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - Global Startup: .protected

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146881113230

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

Aqui ets el fichero de HIjackthis en modo seguro con mi usuario

Logfile of HijackThis v1.99.1

Scan saved at 12:13:43, on 20-05-2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

D:\Programas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = verdeforever.blogspot.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Startup: .protected

O4 - Global Startup: .protected

O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146881113230

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

EL archivo lo borre pero si es que llegara a encontra algo lo envio para que lo vean...con respecto al icono del ricon todavia está...

Saludos

Mensaje por **msc hotline sat** » 20 May 2006, 20:12

Voy a subirte una nueva version del ELISTARA a las 20:30 , bajala y ejecutala, pero la pena es que no nos puedas enviar el fichero pedido. En él posiblemente hubieramos encontrado la informacion de lo que buscamos. Piensa que el HJT solo muestra una minima parte del regustro de sistema, y en este caso no vemos las claves que resultaron afectadas, por eso te hago probar una nuieva version, por si las conocieramos por otro lado..

saludos.

ms. 20-5-2006

Mensaje por **msc hotline sat** » 20 May 2006, 20:24

Subida anticipadamente la version 11.72 del ELISTARA, pruebala y nos dices si ha habido suerte...

Aparte nos posteas de nuevo el log de HJT normal, en cualquier caso, gracias

saludos

ms. 20-5-2006

POR CIERTO:

~~[b]~~NOTA: Y RECUERDA [/b]

[url=http://foros.zonavirus.com/viewtopic.php?t=1307]~~[b]~~No despercicies los titulos, dicen mucho[/b][/url]

Verde · Mensaje por **Verde** » 21 May 2006, 04:12

...pude solucionar el problema...

muchas gracias por la ayuda..

Saludos 8)

Mensaje por **maura63** » 21 May 2006, 07:20

Por cierto......

Que antivirus usas, pues brilla por su ausencia.

Saludos

maura63

Verde · Mensaje por **Verde** » 24 May 2006, 18:09

el antivirus que tengo es el AVG...si me recomiendas otro te juro que lo uso..

Saludos

Mensaje por **maura63** » 24 May 2006, 18:26

Peganos un log completo en [color=red]modo normal[/color].

Saludos

maura63

Mensaje por **msc hotline sat** » 24 May 2006, 18:29

Debes actualizar los parches de Windows, ANTE TODO !!!

Platform: Windows XP SP1 (WinNT 5.01.2600)

LANZA UN WINDOWSUPDATE !!!

Y ELIMINA¡ ESTAS CLAVES

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = verdeforever.blogspot.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

SALUDOS

ms, 24-5-2006

Nota: y si nos envias el fichero de marras, podremos eliminar el dichso icono. ms.