Siempre el mismo troyano!! no se como eliminarlo totalmente

[OKTOS]

Siempre que me conecto a internet i pongo el emule, me entra un troyano, se suele llamar wnsec, algsec i ahora tiene otro nombre pero lo acabo de borrar i no me acuerdo. Lo borro de la lista del procexp i lo elimino de su ubicacion, sistem32. Entonces a la siguiente vez que enciendo el ordenador i me conecto a internet aunque no ponga el emule... ya lo vuelo a tener ahi... i me paso todo el dia borrandolos pk se me queda el ordenador que ni me reproduce musica, el internet explorer solo me va para la direccion que tengo de inicio, no me va el msn, no me va na...

Alguien sabe como eliminarlo de "raiz"??



Gracias de antemano, saludos!!



Edito: ya se como se llama pk se me ha puesto otra vez, se llama wsfws. Primero el kaspersky me avisa de dos fotografias en la carpeta de archivos temporales que estan infectadas, las borra i entonces me sale el virus este... estoy ya harto.

[msc hotline sat]

Hay tropecientos mil troyanos y si no da nombre exacto o fichero donde lo detecta y nos puede enviuar muestra, lo tenemos dificil...



De todas formas, lance el ELISTARA y, tras reiniciar, infomenos del resultado posteando el contenido de C:\¡nfosat.txt





ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



saludos



ms, 25-6-2006

[OKTOS]

Ya pase ese programa, i primero me dijo que habia borrado un troyano llamado Alexa. Pero despues kaspersky me volvio a avisar de los archivos temporales infectados por un troyano llamado Packed.win32.tibs.

Aqui dejo lo que pone en infosat.txt:



Sun Jun 25 13:32:15 2006

EliStartPage v11.94 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Jun 25 13:37:01 2006

EliStartPage v11.94 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Theorica Divx ;-) Codecs\THEORICA DIVX ;-) CODECS.EXE --> AutoExtraible

C:\Documents and Settings\All Users\Datos de programa\Kaspersky Anti-Virus Personal\5.0\Bases\Patches\PATCH_PERS_5.0.388_390_TO_5.0.391.EXE --> AutoExtraible

C:\Documents and Settings\Luis\Mis documentos\e-Mule\Kaspersky.Antivirus.Personal.Pro.v5.0.388-FR.Incl-Keys.par.e\KAV5.0.388_PERSONALPROFR.EXE --> AutoExtraible

C:\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible



Sun Jun 25 13:47:58 2006

EliStartPage v11.94 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Jun 25 13:49:16 2006

EliStartPage v11.94 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Theorica Divx ;-) Codecs\THEORICA DIVX ;-) CODECS.EXE --> AutoExtraible

C:\Documents and Settings\All Users\Datos de programa\Kaspersky Anti-Virus Personal\5.0\Bases\Patches\PATCH_PERS_5.0.388_390_TO_5.0.391.EXE --> AutoExtraible

C:\Documents and Settings\Luis\Mis documentos\e-Mule\Kaspersky.Antivirus.Personal.Pro.v5.0.388-FR.Incl-Keys.par.e\KAV5.0.388_PERSONALPROFR.EXE --> AutoExtraible

C:\kav\personal\spanish\KAV5.0.388_PERSONALES.EXE --> AutoExtraible



I tb dejo la lista del procexp.

[msc hotline sat]

Antetodo, si vuelve a detectar malware. no lo borre. renombrelo para que no se ponga en uso en el proximo reinicio y envienoslo para su examen (a virus@satinfo.es )



Por otra parte, posteenos el log del HJT :



[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



y, tras analizarlo, le indicaremos actuacion correspondiente.



saludos



ms, 25-6-2006

[OKTOS]

Aqui esta el contenido:



Logfile of HijackThis v1.99.1

Scan saved at 12:32:47, on 26/06/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Sony\Shared Plug-Ins\Media Manager\MSSQL$SONY_MEDIAMGR\Binn\sqlservr.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\ASUS\Ai Booster\OverClk.exe

C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\DAEMON Tools\daemon.exe

C:\Archivos de programa\Lexmark X1100 Series\lxbkbmgr.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\Archivos de programa\Lexmark X1100 Series\lxbkbmon.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Windows Media Player\wmplayer.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATIPTA] "C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\Run: [Launch Ai Booster] "C:\Archivos de programa\ASUS\Ai Booster\OverClk.exe"

O4 - HKLM\..\Run: [WINCINEMAMGR] "C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe"

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Archivos de programa\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Archivos de programa\Lexmark X1100 Series\lxbkbmgr.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [RealPlayer] "C:\Archivos de programa\Real\RealOne Player\realplay.exe" /RunUPGToolCommandReBoot

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office OneNote 2003 Quick Launch.lnk = C:\Archivos de programa\Microsoft Office\OFFICE11\ONENOTEM.EXE

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {1F831FA6-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - file://C:\Archivos de programa\AutoCAD 2002 Esp\InstFred.ocx

O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (Control de AcDcToday) - file://C:\Archivos de programa\AutoCAD 2002 Esp\AcDcToday.ocx

O16 - DPF: {AE563726-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://C:\Archivos de programa\AutoCAD 2002 Esp\InstBanr.ocx

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (Control AcPreview) - file://C:\Archivos de programa\AutoCAD 2002 Esp\AcPreview.ocx

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: algsec(algsec) (algsec) - Unknown owner - C:\WINDOWS\system32\algsec.exe (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

O23 - Service: kavsvc - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: mnsec(mnsec) (MNSec) - Unknown owner - C:\WINDOWS\system32\mnsec.exe (file missing)

O23 - Service: wnsec(WNSec) (wnsec) - Unknown owner - C:\WINDOWS\system32\wnsec.exe (file missing)

O23 - Service: wsfws(wsfws) (wsfws) - Unknown owner - C:\WINDOWS\system32\wsfws.exe (file missing)

[msc hotline sat]

Lance de nuevo el HJT, marque la casilla de la izquierda de las siguientes claves y eliminelas con FIX CHECKED



O23 - Service: algsec(algsec) (algsec) - Unknown owner - C:\WINDOWS\system32\algsec.exe (file missing) O23 - Service: mnsec(mnsec) (MNSec) - Unknown owner - C:\WINDOWS\system32\mnsec.exe (file missing)



O23 - Service: mnsec(mnsec) (MNSec) - Unknown owner - C:\WINDOWS\system32\mnsec.exe (file missing)



O23 - Service: wnsec(WNSec) (wnsec) - Unknown owner - C:\WINDOWS\system32\wnsec.exe (file missing)



O23 - Service: wsfws(wsfws) (wsfws) - Unknown owner - C:\WINDOWS\system32\wsfws.exe (file missing)





saludos



ms, 26-6-2006

[maura63]

Logfile of HijackThis v1.99.1

Scan saved at 12:32:47, on 26/06/2006

Platform: [color=red]Windows XP SP1 [/color](WinNT 5.01.2600)

MSIE: [color=red]Internet Explorer v6.00 SP1 [/color](6.00.2800.1106)



Y Actualiza via windows update, te falta sl SP2 + parches.



Saludos

maura63