virus en el messenguer:todo lo que escribo se lee en chino

[iguana]

Tengo un virus en el msn que hace que lo que escribo lo vean mis contactos como caracteres chinos....¡¡¡

En la barra de tareas aparece desde ese día, un icono que consiste en una llave inglesa y un destornillador...



Puede alguien decirme....qué hago ¡¡¡

Gracias

[Nuker]

Pasate este AV Online en modo seguro con funciones de red (solo si tienes router, con modem no arranca). Si no hazlo en Modo Normal, no detecta nada ? Posteanos tu log de HJT para ver de que se trata, abres, le das en scan and save log file, copias contenido de bloc y lo pegas aqui...



AV Online:



https://www.eset.es/analisis-online/



HJT:



http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp



Recuerda:



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

[iguana]

No soy novata...no se nada (sabe mas mi hija de 6o de primaria) no tengo router (normal qué es eso) pero hice lo segundo y te copio los resultados...

Mil y un gracias...

Iguana





Logfile of HijackThis v1.99.1

Scan saved at 11:20:29 p.m., on 02/22/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Archivos de programa\Archivos comunes\Ulead Systems\DVD\ULCDRSvr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\keyhook.exe

C:\WINDOWS\htpatch.exe

C:\Archivos de programa\Winamp\winampa.exe

C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

C:\Archivos de programa\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Archivos de programa\Terminator\Quick TV\Scheduled.exe

C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

C:\Archivos de programa\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe

C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\WINDOWS\vsnpstd.exe

D:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\implus\implus.exe

C:\Archivos de programa\Archivos comunes\DataViz\DvzIncMsgr.exe

C:\Archivos de programa\palmOne\Hotsync.exe

C:\Archivos de programa\IC Media Corp\ICM532\Launchpad.exe

C:\Archivos de programa\Terminator\TV7131 Utilities\P3XRCtl.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Yahoo!\Messenger\ymsgr_tray.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\Angel\CONFIG~1\Temp\Rar$EX50.812\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.t1msn.com.mx/0SEESMX/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://e1.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*http://espanol.search.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?linkid=677

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://espanol.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://e1.rd.yahoo.com/customize/ie/defaults/su/msgr8/*http://espanol.search.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://e1.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*http://espanol.search.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://espanol.yahoo.com

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://e1.rd.yahoo.com/customize/ie/defaults/su/msgr8/*http://espanol.search.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn3\yt.dll

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Archivos de programa\ICQToolbar\toolbaru.dll

O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Archivos de programa\TechSmith\SnagIt 7\SnagItBHO.dll

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn3\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: - {58DA9A9B-B1D5-41FB-855F-6755FA6949F2} - C:\WINDOWS\lbbho.dll (file missing)

O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvce1.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Archivos de programa\ICQToolbar\toolbaru.dll

O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Archivos de programa\TechSmith\SnagIt 7\SnagItIEAddin.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\Archivos de programa\CDG Ripper\msdxm.ocx

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn3\yt.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe

O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [AQ3HelperStartUp] C:\ARCHIV~1\AQUATI~1\AQ3HEL~1.EXE /partner AQ3

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [Quick TV Agent] C:\Archivos de programa\Terminator\Quick TV\Scheduled.exe

O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Archivos de programa\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [MediaGateway] C:\Archivos de programa\MediaGateway\MediaGateway.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe

O4 - HKLM\..\Run: [MacroVirus] C:\Archivos de programa\MacroVirus\MacroVirus.exe -boot

O4 - HKLM\..\Run: [Zone Labs Client] "D:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [CyclingManager3Setup.exe] C:\DOCUME~1\ANGEL\ESCRIT~1\CYCLIN~1.EXE /r

O4 - HKCU\..\Run: [Skype] "E:\Archivos de programa\Phone\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Archivos de programa\Yahoo!\Messenger\YahooMessenger.exe" -quiet

O4 - HKCU\..\Run: [implus] C:\Archivos de programa\implus\implus.exe

O4 - Startup: palmOne Registration.lnk = C:\Archivos de programa\palmOne\register.exe

O4 - Global Startup: DataViz Inc Messenger.lnk = C:\Archivos de programa\Archivos comunes\DataViz\DvzIncMsgr.exe

O4 - Global Startup: HotSync Manager.lnk = C:\Archivos de programa\palmOne\Hotsync.exe

O4 - Global Startup: Launchpad.lnk = ?

O4 - Global Startup: TV Remote Control.lnk = C:\Archivos de programa\Terminator\TV7131 Utilities\P3XRCtl.exe

O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Archivos de programa\ICQToolbar\toolbaru.dll/SEARCH.HTML

O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Yahoo! Servicios - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Archivos de programa\Yahoo!\Common\yiesrvce1.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Run IMVU - {d9288080-1baa-4bc4-9cf8-a92d743db949} - C:\Documents and Settings\Angel\Menú Inicio\Programas\IMVU\Run IMVU.lnk

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab

O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by115w.bay115.mail.live.com/mail/resources/MsnPUpld.cab

O16 - DPF: {511F9316-771B-4953-A268-1C36DA667FE9} - http://ip.spacash.com/cab/2/es/SysWebTelecomInt.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (Control HouseCall) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {8731163E-77B9-4F91-9122-F112521C28AF} (MMSPlayerX Class) - http://mmbox.itelcel.com/mmawap/jsp/composer/player/mmsPlayer.cab

O16 - DPF: {9B03C5F1-F5AB-47EE-937D-A8EDA626F876} (Anonymizer Anti-Spyware Scanner) - http://download.zonelabs.com/bin/promotions/spywaredetector/WebAAS.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msell - {E90F00EC-3694-11D2-99FE-00104B2D62CC} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\REFERE~1\MSELL.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Boonty Games - Unknown owner - C:\Archivos de programa\Archivos comunes\BOONTY Shared\Service\Boonty.exe (file missing)

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: MpService - Canon Inc. - C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE

O23 - Service: Panda anti-virus service (PAVSRV) - Unknown owner - C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\Pavsrv51.exe (file missing)

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Archivos de programa\Archivos comunes\Ulead Systems\DVD\ULCDRSvr.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[lucl]

Mientras nuker duerme ( asi calculando a ojo) vete pasando el elistara, y una cosa, no dupliques post, no cambies, sigue en este que es el primero pues esta prohibido postear en parelelo aunque le cambies el titulo , cuando te salga el log que te deja en C llamado infosat.txt nos lo copias aqui, mediante copiar pegar,





http://www.zonavirus.com/descargas/elistara.asp



a ser posible en modo seguro lo pasas



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



y lanza un windows update pincha aqui



INSTALACION DEL SP1 DEL XP PARA PODER INSTALAR EL SP2: (O SEGUIR CON EL WINDOWSUPDATE)



http://www.microsoft.com/en/us/default.aspxwindowsxp/downloads/updates/sp1/default.mspx

SE DEBE ELEGIR IDIOMA



primero sp1 luego sp2 y actualizaciones posteriores, primero actualiza el pc y despues pasa el elistara si acaso, espero te ayude, nos cuentas los progresos, saludos

saludos

[msc hotline sat]

Envianos este fichero para analizar:



C:\Archivos de programa\implus\implus.exe







Y Elimina estas claves:



O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)



O2 - BHO: - {58DA9A9B-B1D5-41FB-855F-6755FA6949F2} - C:\WINDOWS\lbbho.dll (file missing)



O4 - HKLM\..\Run: [AQ3HelperStartUp] C:\ARCHIV~1\AQUATI~1\AQ3HEL~1.EXE /partner AQ3



O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cab



O16 - DPF: {511F9316-771B-4953-A268-1C36DA667FE9} - http://ip.spacash.com/cab/2/es/SysWebTelecomInt.cab





recordar: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





y tras ello renombre el fichero IMPLUS.EXE a extension .VIR y asi tras reiniciar ya no lo pondrá en uso



Luego, si vemos que es el culpable, ya eliminaremos claves y restos con nuestra utilidad al respecto, de lo cual informaremos



saludos



ms, 23-02-2006

[iguana]

Eso de postear paralelo...mil disculpas ni siquiera sabía que lo estaba haciendo..espero ahora si estar haciendo lo correcto.

Ya les envié la muestra pedida

C:\Archivos de programa\implus\implus.exe

Y realicé todo lo demás que me indicaron...resultando exitoso.

Ya volví a instalar el messenguer y funciona perfecto...

Gracias mil de nuevo....

[iguana]

lucl...gracias :lol:

[lucl]

no me las des solo a mi , somos un equipo!! saludos

msc... las palabras magicas :wink:

[msc hotline sat]

Si, eso del equipo no solo sirve para echar las culpas al otro :lol:



El lunes cuando volvamos a trabajar en SATINFO, analizaremos las muestras e implementaremos su control y eliminacion en la nueva verison del ELISTARA , la cual conviene descargues por la noche del lunes ( >20 pm GMT) y la pruebes, posteandonos tras ello el contenido de C:\infosat.txt para comprobar los resultados. Asi se eliminaran los restos.



saludos



ms, 24-02-2007

[msc hotline sat]

El fichero enviado no ha resultado ser virico, pero en c ambio, rebuscando en el log, vemos este otro que conviene nos envies muestra por haber informacion al respecto:



C:\ARCHIV~1\AQUATI~1\AQ3HEL~1.EXE



http://www.bleepingcomputer.com/startups/AQ3HEL1.EXE-11578.html



envianoslo para poder analizarlo, gracias



De todas formas ya nuker te indicó eliminaras la clave de carga, asi que ya no deberías tener problemas, pero envianoslo de todas formas para poiderlo controlar con el ELISTARA, gracias



saludos



ms, 26-02-2007

[iguana]

Pues nada que ese archivo contiene NADA...está vacío por ello no les he mandado nada....

Y ahora? Tengan excelente ..noche?

Gracias

[msc hotline sat]

Pues vuelve a lanzar el HJT, pero esta vez habiendo arrancado en modo seguro, por si hubiera RootKits, y nos posteas eñ nuevo log, gracias



saludos



ms, 26-02-2007