Posible virus w32/threat-hllam, no me deja abrir programas

[alejandroseneca]

Muy buenas, vamos a ver. Explico un poco la historia.
Tengo el Kaspersky 6.0; hace un par de dias, al analizar el sistema con el antivirus, me aparecieron una serie de ventanas, me pedía el antivirus una contraseña para los siguientes archivos comprimidos: serial.tde, serial.zip, wunauclt.tbe, Ad-Aware SE default.ask (este parece que esta en la carpeta de lavasoft) y wunauclt.zip; estos archivos al parecer estaban en c:\archivos de programa\serial.tde,...etc. Busque estos archivos y no estaban en esa carpeta, de hecho no estan en ninguna carpeta, no los encuentro. La contraseña no se cual es, asi que le di a ignorar a todos. No le dí importancia porque el pc me iba bien.
Hoy he instalado una nueva version del emule, por probar. Todo ok; reinicio el sistema y aqui aparecen las sorpresas. Al iniciar el sistema se me inicia el emule solo (no tenía activada la opcion de iniciar con windows, raro raro), cierro el emule porque no lo quería utilizar en ese momento y me doy cuenta de que no se me ha cargado el kaspersky, raro raro. Voy a Inicio-Programas-kaspersky y... al pinchar en el programa en vez de cargarse el antivirus se me vuelve a cargar el emule. Bien, eso sucede con todos los programas que intento ejecutar; el emule se carga cada vez que, por ejemplo, pincho en el icono del messenger, winrar,etc. Decido reiniciar en modo seguro y borro el emule. Vulevo a reiniciar, ya no se carga el emule pero tampoco se carga el antivirus; voy a Inicio... etc, pincho en el antivirus y me sale la ventana de abrir con..., en vez de cargar el programa directamente; así que tengo que pinchar en examinar en la ventana de abrir con... y buscar el archivo .exe del kaspersky en el directorio donde está instalado. Curioso suceso. esto me pasa también con todos los programas, salvo con, por ejemplo, el outlook. El antivirus se carga, yo ya mosqueado, analizo el sistema y me vuelve a salir como siempre lo de los archivos comprimidos. Así que busco en el google (al pinchar en firefox me da el mismo problema, sale abrir con y tengo que buscar el archivo .exe) "wunauclt.tbe" (el archivo más raro); y me remiten a esta página, a un problema de una chica que sufrió este "virús"??; no lo se. He pasado el elistara (que me ha encontrado 2 virus y los ha desinfectado) y el elitriip (ese no ha visto nada). he intentado quitar lo de la restauración, pero al pinchar en configuración no me hace nada. He pasado también el antivirus de la web esa que dabais, no ha visto nada.
Queridos amigos, que tengo?.
P.d.: Siento todo la parrafada, pero he querido ser minucioso para que supieras saber exactamente lo que pasa.

He pasado el Hijathis ese y os paso el log.

Logfile of HijackThis v1.99.1
Scan saved at 0:27:08, on 18/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\ARCHIV~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\Jose\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [kis] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Add to Kaspersky Anti-Banner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\\ie_banner_deny.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Antivirus de la Web - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by106fd.bay106.hotmail.msn.com/r ... nPUpld.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 2534131265
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/viru ... ebscan.cab
O20 - AppInit_DLLs: C:\ARCHIV~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Un saludo y muchas gracias por leermePosible virus

[alejandroseneca]

Buenas.

Amos a ver... Anteriormente pase el Elistara y me desinfectó dos archivos. Ahora he conseguido desactivar la restauracion del sistema y en modo seguro he realizado lo siguiente:

-Analizar otra vez con el Elistara (os dejo el log abajo), 0 archivos infectados.
-Analizar con el etrust, 0 archivos encontrados.
-Analizar con el Spyware doctor 59 archivos detectados (59 infecciones quitadas y 55 en cuarentena, esto no lo entiendo).
-El Adware sólo me encuentra 22 objetos de MRU List que no suponene riesgo, los eliminó también por si acaso.
-El Spybot encuentra 8 problemas (todos so n cookies de seguimiento:Zedo,BFast,etc), eliminadas e inmunizo.



Log del Elistara


Fri Nov 17 23:10:41 2006
EliStartPage v12.74 (c)2006 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Fri Nov 17 23:11:25 2006
EliStartPage v12.74 (c)2006 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Exploración):
C:\Archivos de programa\Archivos comunes\Roxio Shared\SharedCOM\CPSNAVIGATIONBARCONTROL.DLL --> Eliminado, 180Solutions
C:\Archivos de programa\Nero\Nero 7\Nero Vision\NVDV.DLL --> Eliminado, Hotbar

Sat Nov 18 06:27:58 2006
EliStartPage v12.74 (c)2006 S.G.H. / Satinfo S.L.
--------------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminadas las Paginas de Inicio y de Busqueda del IE
Eliminados Ficheros Temporales del IE

Reinicio el sistema.

Editado: Tras reiniciar en modo normal el problema al abrir programas persiste. Yo supongo que será un virus, pero es que el Kaspersky no me encuentra nada, solo el tema ese raro de los archivos comprimidos en c: archivos de programa, archivos que yo no encuentro.

Que puedo hacer??.

Un saludo y muchas gracias a todos.

Se me olvidaba, cuando instale por primera vez el Kaspersky sí que me encontro varios troyanos (el Trojan-Dropper.win32.Peerad.a y el Trojan-Dropper.win32.Adload.dr, que elimino), pero despues de eso funciono bien el pc hasta que salio el tema delos ar. comprimidos.

[msc hotline sat]

El log del HJT ahora está limpio, pero has tenido dropers, downloaders y troyanos que pueden haberte causado la corrupción y eliminación de ficheros del sistema, por lo que empezaría probando una reparación del mismo:

Sugiero que proceda a REPARAR windows, arrancando con el CD de instalación y primero seleccionar instalar, y tras detectar la partición existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate

y tras reiniciar, nos informas del resultado, gracias

saludos

ms, 18-11-2006

[alejandroseneca]

Bien, he hecho todo lo que me dijiste, pero... el instalador de windows se me queda parado a falta de 34min., instalando dispositivos. Lo malo es que no me deja volver a la versión anterior de windows; reinicio, saco el cd y me vuelve a la pantalla de instalación, pidiéndome el cd. Alguna solución, me temo que me toca formatear. Otra cuestión, tengo 2 discos duros, será conveniente también formatear el otro (si no hay más solución) por si el virús se ha expandido?.



Un saludo y miles de gracias.

[msc hotline sat]

Se trata de REPARAR no de reinstalar, quede claro !



Con ello solo se sobreescriben los ficheros de sistema, y lo unico que luego se requiere es que se les actualicen los parches.



Lo hemos hecho cientos de veces y no ha dado problemas, salvo que el disco duro estuviera dañado, que no puede saberse a priori, y por lo que cuenta...



Si ha escogido bien la opcion, REPARAR, no reinstalar, quizas tiene mal el CD si se le para a falta de 34 min. ???



Pero lo que dice de "no me deja volver a la versión anterior de windows" NMMO HAY VERSION ANTERIOR NI POSTERIOR : Es la misma en la que se reparan los ficheros sobreescribiendolos, y se añaden los del sistema que se hubieran borrado, pero nada mas !



Insista volviendo a arrancar desde el CDROM como si fuera a Instalar, y cuando se detecta la particion instalada, indiquele REPARAR, eso es todo ! o debería serlo



Espero que se solucione



saludos



ms, 18-11-2006

[alejandroseneca]

Buenas. Como me dijiste di a la opción de reparar, primero salió la opción instalar, vio la partición donde estaba windows y pulse R, salió la barra de progreso, se reinició y salió la ventana de instalar windows. Ahí, una y otra vez que lo intento se queda a falta de 34min. (instalando dispositivos)



Será el cd que esté dañado o el disco duro defectuoso (sólo tiene 4 o 5 meses, pero no tiene nada que ver). Lo que sí es cierto es que el disco duro hacía un ruido extraño, sería por el virus, no?.



Lo de la versión anterior, bueno, ya sabes a lo que me refería.



En definitiva, con ese cd no voy a ninguna parte. He metido el cd de windows del portatil y aunque ve una partición no me da la opción de reparar. La única solución que veo es instalar este otro windows en una nueva partición y al menos recuperar los datos del disco duro. Cómo lo ves, porque no veo otra solución. El virus podría seguir por ahí. En fin...



Lo que sí me deja hacer es meterme en la consola de recuperación, pero ahí no sé qué puedo hacer. Por si te sirve de algo para poder echarme una mano.



No sé, gracias por tu ayuda.

[msc hotline sat]

No , la consola de recuperacion es para acceder desde una especie de DOS cutre a la zona de datos de NTFS, que arrancando con disquete de sistema no puedes al ser NTFS.



No será que eso de instalando dispositivos te esté pidiendo el CD de los drivers del hardware instalado ... ?? No lo parece por el texto pero...



Y no ! los ruidos no es probable que fueran por el virus !!! Ello normalmente indica averia de algo en movimiento como ventilador, disco duro ...



Reinstalando habrás de volver a instalar todas las aplicaciones y luego pasar los datos a mano, nada recomendable, pero si no hay otro remedio ...m adenas si este disco duro esta dañado, mas te valdria instalar uno nuevo, dejar este como esclavo y hacer el trabajo de instalar aplicaciones y pasar los datos en el nuevo definitivo, sino es posible que tengas que hacer doble trabajo !!!



saludos



ms, 18-11-2006

[alejandroseneca]

Desgraciadamente no me dejó reparar windows, así que opté por formatear los dos discos duros e instalar windows en el otro disco duro; así espero al menos haber liquidado los virus definitivamente hasta la próxima visita. De todas formas no cambié los discos duros, siguen como maestro y esclavo, pero me carga bien windows, puede haber algún problema con ello?.



Muchas gracias por tu ayuda, y felicidades por la web, por lo que veo te implicas mucho y ayudas a mucha gente.



Un abrazo, hasta más ver.

[joseramon]

No eres la primera persona a la que en una reinstalacion de windows o reparacion se le queda "parado" a falta de 34 minutos cuando esta en el proceso de deteccion de dispositivos. No se a que responde, en mi caso en particular, que tengo un ciber, en unos equipos suele tardar mas y en otros menos pero si tienes paciencia se termina completando el proceso.

[msc hotline sat]

En este caso no ha habido paciencia... y se han formateado, pero por voluntad del usuario, asi que muerto el perro ...



Lo malo es que la rabia viniera de otra parte, y eso se verá al instalar aplicaciones y llenar un poco el disco duro y usarlo, y si dá problemas, cambiarlo, pues eso de los ruidos... ni es bueba señal



saludos



ms, 19-11-2006