Se me alentó la PC de golpe (SOLUCIONADO)

[pedunight]

De un dia para otro, la compu se me puso lentísima. En esos días se me habia desactivado el nod32 no se por qué. Ahora anda todo demasiado lento. Tengo un duron 1800, con 256mb y un disco de 60gb. Sé que es poca ram, pero igual venía bien todo. Tengo instalado windows Ue v6 (xp sp2).

Ya probé con un scan completo del ad aware y analicé los discos con el nod32. El nod32 me encuentra un virus o codigo malicioso llamado win32/medbot.hf y dice que lo pone en cuarentena pero luego aparece otra vez.

¿Qué debo hacer?



Muchas gracias

[msc hotline sat]

Eso es un alias del Backdoor CMQ.



Sobre todo desconectalo de la red, y prueba el ELITRIIP:





ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso







Si tienes varias maquinas, limpialas todas antes de volver a conectarlas en red



saludos



ms, 28-02-2007

[pedunight]

muchas gracias por atender mi problema.



te cuento que luego de pasar el elitrip, me dejó este resultado (infosat):





Thu Mar 01 20:40:34 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Thu Mar 01 20:42:11 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\All Users\Documentos\autorun.inf --> Eliminado, DownLoader.Horst (inf)



Thu Mar 01 20:52:11 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\





pero la PC sigue lenta..... hay otra cosa que pueda hacer?? muchas gracias

[pablodgf]

Hola!



Descarga el HijackThis



http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp



Y postea el LOG, así te lo chequean si tiene algo raro.



Saludos!

[Nuker]

[b]Eliminado[/b], DownLoader.Horst (inf)



Comentanos resultados y si persisten posteanos tu log de HJT, Gracias...

[msc hotline sat]

Es importante que nos digas si persiste el problema que indicabas al principio de:



"De un dia para otro, la compu se me puso lentísima. En esos días se me habia desactivado el nod32 no se por qué. Ahora anda todo demasiado lento"



Si es asi, podría ser algun nuevo Bagle, de los que aparecen a diario y que loa antivirus no conocen las nuevas variantes.



En tal caso prueba el ELIBAGLA:



ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp



Y tras reiniciar, nos posteas el contenido de C:\infosat.txt



añade si persisten anomalias y en su caso cuales, gracias



saludos



ms, 2-03-2007

[pedunight]

hola! desde ya muchas gracias por atender mi problema. les comento que luego de pasar el ELITRIP , la pc anduvo mejor, como si se hubiera solucionado el problema. pero al rato el nod-32 volvió a detectar el virus (supuestamente eliminado), y al reiniciar la pc estaba como antes.



acá el log de hijack:



Logfile of HijackThis v1.99.1

Scan saved at 15:48:50, on 03/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16414)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\drivers\KodakCCS.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

C:\Archivos de programa\TuneUp Utilities 2006\MemOptimizer.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\AnalogX\Proxy\proxy.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\hijackthis\HijackThis.exe



R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.windowsue.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowsue.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Archivos de programa\TuneUp Utilities 2006\MemOptimizer.exe" autostart

O4 - Startup: NOD32 Control Center.lnk = C:\Archivos de programa\Eset\nod32kui.exe

O4 - Startup: Speedy.lnk = ?

O4 - Global Startup: Proxy.lnk = C:\Archivos de programa\AnalogX\Proxy\proxy.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Archivos de programa\Titan Poker\casino.exe

O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Archivos de programa\Titan Poker\casino.exe

O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Archivos de programa\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Archivos de programa\ICQ\ICQ.exe

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Archivos de programa\CDPoker\casino.exe

O9 - Extra 'Tools' menuitem: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Archivos de programa\CDPoker\casino.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Fair Poker - {E49E0804-28BE-49ce-9E5F-AA6059B6DC7B} - C:\Poker\Fair Poker\casino.exe

O9 - Extra 'Tools' menuitem: Fair Poker - {E49E0804-28BE-49ce-9E5F-AA6059B6DC7B} - C:\Poker\Fair Poker\casino.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish//kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9997D107-F8EF-49C9-94E8-9991EFDABAEA}: NameServer = 200.51.212.7,200.51.211.7

O17 - HKLM\System\CCS\Services\Tcpip\..\{B3764D9C-FD47-46A6-B6E2-F3B4C67F6B0B}: NameServer = 200.51.212.7 200.51.211.7

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SPTISRV.exe







todavia no pasé el ELIBAGLA, porque el node-32 no me deja bajarlo (dice que es un virus!) que hago? lo desactivo, lo bajo y lo paso?



muchas gracias por la ayuda

[Nuker]

Desactive el residente del antivirus y pasa ELIBAGLA, como cualquier antivirus son falsos positivos, no se alarme ya que la utilidad no cuenta con virus. Paselo y nos pega el log, Gracias.



Analizando su log de HJT:



Mencionenos si ud instalo esto:



O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Archivos de programa\Titan Poker\[b]casino.exe [/b]

O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Archivos de programa\Titan Poker\[b]casino.exe [/b]



Si no fue ud quien lo instalo envie el fichero (en negritas), para su analisis.





Este tambien...



O9 - Extra button: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Archivos de programa\CDPoker\[b]casino.exe [/b]

O9 - Extra 'Tools' menuitem: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Archivos de programa\CDPoker\[b]casino.exe [/b]





Y este...



O9 - Extra button: Fair Poker - {E49E0804-28BE-49ce-9E5F-AA6059B6DC7B} - C:\Poker\Fair Poker\[b]casino.exe [/b]

O9 - Extra 'Tools' menuitem: Fair Poker - {E49E0804-28BE-49ce-9E5F-AA6059B6DC7B} - C:\Poker\Fair Poker\[b]casino.exe [/b]



Ya nos comentara, Gracias.





Como Enviar un fichero ?:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

[pedunight]

hola! gracias nuevamente por la ayuda. les comento:



pase el elibagla y no encontró nada. paso el elitrip cada tanto y vuelve a encontrar el fichero infectado. acá les dejo el infosat:





Sat Mar 03 15:13:31 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\All Users\Documentos\autorun.inf --> Eliminado, DownLoader.Horst (inf)



Sat Mar 03 15:21:38 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\



Sat Mar 03 20:13:38 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Sat Mar 03 20:13:41 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\All Users\Documentos\autorun.inf --> Eliminado, DownLoader.Horst (inf)



Sat Mar 03 21:32:49 2007

EliBagle v10.22 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Sat Mar 03 21:33:20 2007

EliBagle v10.22 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Sat Mar 03 21:37:26 2007

EliBagle v10.22 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\









Los programas de POKER (TITAN POKER, CD POKER Y FAIR POKER) los instalé yo intencionalmente hace ya mucho tiempo y nunca he tenido problemas, así que no hay que preocuparse por ellos.



ya no se que otra cosa hacer... no me va a quedar otra que formatear la pc.. cualquier idea puede ser de ayuda. muchas gracias

[Nuker]

Pasate ELITRIIP en Modo Seguro...



Y prueba esta herramienta tambien en modo seguro por si tuvieras algun otro troyano...



ELISTARA:



http://www.zonavirus.com/descargas/elistara.asp



Nos pega el log como lo hizo antes...



Recuerde pasarlas en Modo Seguro.



Modo Seguro:



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

[msc hotline sat]

Y diganos si usa alguna memoria USB (pen drive) , y si fuera asi, escaneela con el Elitriip, pero pulsando la tecla Shift cuando la inserte, para que en su caso, no se ejecutara el autorun y nos volviera a infectar el PC



saludos



ms, 4-03-2007

[pedunight]

Muchachosss, debo agradecerles por toda la ayuda que me han ido dando......



cuando pasé el ELITRIP y el ELISTARA en el modo seguro, no encontraron nada. la compu parecia andar mejor, pero el nod-32 siguio encontrando el virus y todo se alentaba de nuevo.



hoy decidí hacer un back up de algunas cosas y formatear el disco. asi que ya esta el problema resuelto. ahora la pc anda bien.



gracias por toda la ayuda brindada, nuevamente.



hasta pronto!

[msc hotline sat]

Pues por lo que dice, debía tener el NOD32 infectado y al ejecutarlo le instalaba el malware...



Pero ya que ha terminado con él drasticamente, damos por solucionado el Tema y procedemos a cerrarlo



saludos



ms, 5-03-2007