AYUDAA!! alguien x ai q pueda ayudarme???

[JuanJoC]

ayer me baje el ultimo messenger "messenger discovery" de la misma pagina de messenger y hoy dia mi maquina amanecio infectada de troyanos.. el mcafee trato de eliminarlos pero no pudo con todos y cada vez se expanden mas , tb me aparecio un supuesto programa q yo nunca lo baje a mi computadora se llamaba "brave sentry" supuestamente parecia q tambien estaba eliminando los troyanos pero no elimino nada y ahora creo q era otro troyano mas! xq luego de supuestamente acabar con su funcion comenzaron a aumentar el numero de troyanos elimine la mayoria con el mcafee pero no fue suficiente y ahora creo q elimine un archivo de windows importante xq luego de reiniciar la computadora al iniciar session me dice q me falta este archivo " C:\WINDOWS\ServicePackFiles\services.exe" no tengo idea q es xq no estoy muy metido en esto ... porfa ayudenme que mi computadora cada vez esta peor y ya no se que acer ..

si me pueden ayudar noce orientandome para eliminar los troyanos de mi computadora o decirme q antivirus y anti spyware puedo bajarme ,

gracias x la molestia

saludos!

[Nuker]

Antes que nada no descargar ese Messenger Discover ya que no es seguro, (No lo patrocina Microsoft). Es como el MSN PLUS.



Desinstale el PLug In, desde agregar o quitar programas.



.......................



Pasa Estos 2 programas en Modo Seguro, al terminar le crearan un log en UNidad C, con el nombre de infoSat.txt.



Elistara:

http://www.zonavirus.com/descargas/elistara.asp



Elitriip:

http://www.zonavirus.com/descargas/elitriip.asp



Esperamos logs. Saludos.



Modo Seguro:

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

[JuanJoC]

ya estoy descargandome los programas , y luego procedere a pasarlos en modo seguro aver q pasa

gracias x la respuesta broder!



ya te cuento como me fue...

[JuanJoC]

BRODERRR

sorry de nuevo me olvide de comentarte que tambien me aparecieron estos programas q yo nunca habia visto o talvez no habia notado pero mejor salgo de mi duda son estos,

-Codec Pack de ELISOFT

-Microsoft .NET Framework SDK v2.0

-Microsoft SQL Server 2005

-Microsoft Visual Studio 2005



si sabes algo de que puedan ser archivos peligrosos me avisas si?

muchas gracias de nuevo broder

[JuanJoC]

chevre broder! ahora mi compu esta mejor pero aun sigue extraña igual creo q instalare de nuevo el windows xq el spyware me dejo dolido, el mcafee elimino buena cantidad de archivos y el antivirus q me mandaste elimino a 5 de 6 asi q creo tener uno todavia rondando en mi compu..

ya elimine el messenger , ai t mando una vista de los virus q elimino el programa q me pasaste .. a verdad luego q termino de trabjas me salio ese recuadro q es al costado de la foto q te voy a mandar en el archivo adjunto bueno cualquier ayuda mas q puedas acerme te lo agradeceria xq toddavia tengo un troyano mas en mi compu (de los troyanos que se pueden detectar, no hablo x los q estan escondidos x ahi) , bueno gracias de nuevo y si notas algo en lo q te mando me lo haces saber ps

asta la proxima gracias!

[JuanJoC]

Mon Apr 16 22:41:00 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Entrada Eliminada [HKLM\...\Run] "SYSTEM"="C:\WINDOWS\system32\kernels32.exe"

Linea Eliminada del HOSTS --> 127.0.0.1 bin.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 dynamique.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 es.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 hk.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 jsp.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 nl.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 se.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 support.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 trial.updates.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 ulog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.win-anti-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.win-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantiviruspro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.windrivesafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.google.com

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Apr 16 22:43:32 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Apr 16 22:43:51 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\HP\Temp\{3819891A-030B-4a4e-98ED-B28A649E48AB}\autorun.inf --> Eliminado, BackDoor.CMQ (inf)

C:\Archivos de programa\WinRAR\WinRAR Theme Installer.exe --> Eliminado, Bifrose (dropper)

Exploración Detenida por el Usuario.



Mon Apr 16 22:54:24 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Apr 16 23:02:48 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Apr 16 23:03:10 2007

EliTriIP v3.45 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Mon Apr 16 23:03:15 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\A3DXQ]

Acceso Denegado al fichero

C:\WINDOWS\SYSTEM32\A3DXQ.DLL

Por favor, envienos una muestra del fichero

que podra copiar arrancando en Consola de Recuperación.

C:\WINDOWS\SYSTEM32\WINCOM32.INI --> Eliminado

C:\WINDOWS\MSNLOGM.EXE --> MSNContentPlus Renombrado a .VIR

C:\WINDOWS\MSNLOGS.EXE --> Eliminado MSNContentPlus

C:\I --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\DLH9JKD1Q8.EXE --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\KR_DONE1 --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\svcp.csv --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\Winsub.xml --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "msnsyslog"="C:\WINDOWS\msnlogm.exe"

Entrada Eliminada [HKCU\...\Run] "Windows update loader"="C:\Windows\xpupdate.exe"

Eliminada Class, "{21FFB6C0-0DA1-11D5-A9D5-00500413153C}" -> NULL1

Eliminada Carpeta "%WinDir%\ServicePackFiles"

Eliminada Carpeta "%WinSys%\LogFiles"

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Apr 16 23:06:46 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Codec Pack de ELISOFT\tools\DIVXCALC.EXE --> Eliminado, Spy.Banker.BYU

C:\Archivos de programa\On-line Help Console\INFOVIEW.EXE --> Eliminado, Spy.Delf (BHO)

C:\WINDOWS\MSNLOGM.EXE.VIR --> Acceso Denegado, MSNContentPlus

C:\WINDOWS\system32\drivers\IP6FW.SYS --> Eliminado, Spy-Agent.BV(rootkit)

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart



Mon Apr 16 23:34:47 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\A3DXQ]

Acceso Denegado al fichero

C:\WINDOWS\SYSTEM32\A3DXQ.DLL

Por favor, envienos una muestra del fichero

que podra copiar arrancando en Consola de Recuperación.

C:\Documents and Settings\user\Datos de programa\Install.dat --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "msnsyslog"="C:\WINDOWS\msnlogm.exe"

Entrada Eliminada [HKCU\...\Run] "Windows update loader"="C:\Windows\xpupdate.exe"

Entrada Eliminada [HKCU\...\Run] "xp_system"="C:\WINDOWS\ServicePackFiles\services.exe"

Entrada Eliminada [HKLM\...\Run] "xp_system"="C:\WINDOWS\ServicePackFiles\services.exe"

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Mon Apr 16 23:35:02 2007

EliStartPage v13.74 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Exploración Detenida por el Usuario.





broder no te puedo mandar un archivo adjunto :( se demora un egg weno avlaoz

[JuanJoC]

broderrrrrrr donde estas!!!!

ya le pase tambien el HijackThis, xsiaka te mando el log



Logfile of HijackThis v1.99.1

Scan saved at 12:38:46 , on 17/04/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\Explorer.EXE

c:\archivos de programa\mcafee.com\agent\mcdetect.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

c:\ARCHIV~1\mcafee.com\vso\OasClnt.exe

c:\archivos de programa\mcafee.com\vso\mcvsshld.exe

c:\archiv~1\mcafee.com\vso\mcvsescn.exe

C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

c:\archivos de programa\mcafee.com\agent\mcagent.exe

C:\WINDOWS\comdlg64.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

c:\archiv~1\mcafee.com\vso\mcvsftsn.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\system32\svchost.exe

C:\ARCHIV~1\WinZip\winzip32.exe

C:\DOCUME~1\user\CONFIG~1\Temp\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - Default URLSearchHook is missing

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [LanguageShortcut] "C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe"

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [VSOCheckTask] "C:\ARCHIV~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] C:\Archivos de programa\McAfee.com\VSO\mcvsshld.exe

O4 - HKLM\..\Run: [OASClnt] C:\Archivos de programa\McAfee.com\VSO\oasclnt.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] c:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A

O4 - HKLM\..\RunOnce: [MessengerPlusLiveUninstall] "C:\DOCUME~1\user\CONFIG~1\Temp\MsgPlusUninstall.exe" /Cleanup

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Brave-Sentry] C:\Program Files\BraveSentry\BraveSentry.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/4,0,0,101/mcinsctl.cab

O16 - DPF: {AF2E62B6-F9E1-4D4F-A10A-9DC8E6DCBCC0} (VideoEgg ActiveX Loader) - http://update.videoegg.com/Install/Windows/Initial/VideoEggPublisher.exe

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/1,0,0,26/mcgdmgr.cab

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O21 - SSODL: rxTLVfAWgzHGW - {34466981-9EEC-C32B-092B-8DD263B93792} - C:\WINDOWS\system32\mc.dll (file missing)

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\archivos de programa\mcafee.com\agent\mcdetect.exe

O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Archivos de programa\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe

[lucl]

Pues probablemente nuker este descansando que ya le toca, mandanos este archivo que te pide elistara



C:\WINDOWS\SYSTEM32\A3DXQ.DLL

Por favor, envienos una muestra del fichero

que podra copiar arrancando en Consola de Recuperación.



te dejo link de como hacerlo, saludos



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

[JuanJoC]

broder ai te lo mando ojala este como me dijiste , porque estuvo pendejo pa zipear ese archivo , bueno ai te lo mando x el correo que estaab en el link q puciste!

chevere broder

gracias y haber que encuentras

[admin]

fixee las siguientes entradas con el hijakthis en modo seguro... algunas son programas de inicio no necesarios para su funcinamiento del pc



[color=red]R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [LanguageShortcut] "C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A

O4 - HKLM\..\RunOnce: [MessengerPlusLiveUninstall] "C:\DOCUME~1\user\CONFIG~1\Temp\MsgPlusUninstall.exe" /Cleanup

O4 - HKCU\..\Run: [Brave-Sentry] C:\Program Files\BraveSentry\BraveSentry.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O16 - DPF: {AF2E62B6-F9E1-4D4F-A10A-9DC8E6DCBCC0} (VideoEgg ActiveX Loader) - http://update.videoegg.com/Install/Windows/Initial/VideoEggPublisher.exe

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O21 - SSODL: rxTLVfAWgzHGW - {34466981-9EEC-C32B-092B-8DD263B93792} - C:\WINDOWS\system32\mc.dll (file missing)

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Archivos de programa\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing) [/color]

[Claudia34]

Ademas de lo dicho anteriormente realiza una actualizacion de tu S.O. o sea windows update que no viene mal tampoco hacerlo. Saludos.

[JuanJoC]

Ya elimine los programas innecesarios y al parecer los troyanos ya se fueron pero la computadora se apaga de la nada , ya pase todos los antivirus que me pasaron y tb el mcafee que lo eh pasado mas de mil veces , ahora solo se apaga la computadora y nose porque si tienen alguna idea de porque puede y como me podrian ayudar se los agradeceria.

con respecto a lo de actualizar mi windows update trate de hacerlo metiendome al link que me enviaron pero no pude, me salia que tenia q bajarme el "activex" o algo asi, y cuando trataba de bajarmelo mi computadora lo rechazaba aduciendo que era un arcihvo con un interprete desconocido y no era segura y lo rechazaba automaticamente.

nuevamente gracias por la ayuda ...

saludos

[JuanJoC]

Esta es la ultima pasada de "HijackThis"

Logfile of HijackThis v1.99.1

Scan saved at 10:40:17 , on 17/04/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\Archivos de programa\McAfee.com\VSO\mcvsshld.exe

C:\Archivos de programa\McAfee.com\VSO\oasclnt.exe

c:\archiv~1\mcafee.com\vso\mcvsescn.exe

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

c:\archivos de programa\mcafee.com\agent\mcdetect.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe

C:\WINDOWS\comdlg64.exe

C:\Archivos de programa\Ares\Ares.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\Archivos de programa\Winamp\winamp.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\ARCHIV~1\WinZip\winzip32.exe

C:\DOCUME~1\user\CONFIG~1\Temp\HijackThis.exe

C:\Archivos de programa\Microsoft Office\Office10\EXCEL.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [LanguageShortcut] "C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe"

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [VSOCheckTask] "C:\ARCHIV~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] C:\Archivos de programa\McAfee.com\VSO\mcvsshld.exe

O4 - HKLM\..\Run: [OASClnt] C:\Archivos de programa\McAfee.com\VSO\oasclnt.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [ares] "C:\Archivos de programa\Ares\Ares.exe" -h

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/4,0,0,101/mcinsctl.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/1,0,0,26/mcgdmgr.cab

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\archivos de programa\mcafee.com\agent\mcdetect.exe

O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Archivos de programa\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe



hummm...

[Nuker]

Vaya! solo habia un mensaje cuando me fui a dormir y ahora hay como 7 :lol: .



Bueno aparte de lo que te han dicho los compañeros tienes claves viricas todavia, una clave corrupta que te puede estar dañando el acceso a internet. Te voy a volver a molestar con los envios que ya vi te pidieron de algunos ficheros.



Lo que harás es lo siguiente:



Eliminar estas en Modo Seguro:



O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe



O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll



O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll



-------------



Envias muestras de estos ficheros:



C:\WINDOWS\[b]updater.exe [/b]



C:\WINDOWS\system32\[b]a3dxq.dll [/b]



C:\Documents and Settings\All Users\Documentos\Settings\[b]winsys2f.dll[/b]



C:\WINDOWS\[b]comdlg64.exe [/b]



Recuerda:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



--------------

Eliminaras estos ficheros:



O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll



Pero NO con el HijackThis sino con LSP-FIX, lee el manual que viene en el link para no cebarla.



LSP-FIX:

http://www.zonavirus.com/descargas/lsp-fix.asp



Si tienes dudas mejor pregunta.



--------------



Por ultimo, las claves O20, envia primero el fichero y luego eliminas las claves, si no encontraras dichos ficheros que no creo entonces eliminas las claves.



Y este fichero lo renombras:



C:\WINDOWS\[b]comdlg64.exe [/b]



Click derecho, cambiar nombre, cambias el .exe por .vir y reinicias, nos comentas resultados tras hacer todo esto y nos confirams el envio. Saludos

[JuanJoC]

Broder no puedo eliminar esto en modo seguro :S estoy tratando y no se puede...



O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe



O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll



O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll





y no nose como acer para enviarte esos ficheros ... sorry es que no estoy muy metido en esto, te agradeceria un monton si puedieras ser un poco mas detallado, muchas gracias pro tu ayuda!



"Por ultimo, las claves O20, envia primero el fichero y luego eliminas las claves, si no encontraras dichos ficheros que no creo entonces eliminas las claves. "



como envio estos ficheros :S no entender..

[JuanJoC]

broder estoy tratando tambien repetidas veces de eliminar :



O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll



O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll



con el HijackThis y cuadno le doy scanear me aparecen de nuevo :S



y con respecto a estos dos :



O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll



me dices q los elimine con elm LSP-FIX peor cuadno le doy ejecutar no me sale niguno de lso dos en la "busqueda" , q hago?? , gracias por la ayuda de nuevo

[koga]

Los envios los hace como lo hizo con el anterior, le dejo el link nuevamente de como enviar archivos por si tiene alguna duda:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





Ademas recuerde seguir las instrucciones que le dio Admin,

arranque en modo seguro y lance el HJT, marque la casilla de la izquierda de estas claves y eliminelas con FIX CHECKED:



R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [LanguageShortcut] "C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\updater.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A

O4 - HKLM\..\RunOnce: [MessengerPlusLiveUninstall] "C:\DOCUME~1\user\CONFIG~1\Temp\MsgPlusUninstall.exe" /Cleanup

O4 - HKCU\..\Run: [Brave-Sentry] C:\Program Files\BraveSentry\BraveSentry.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 - DPF: {AF2E62B6-F9E1-4D4F-A10A-9DC8E6DCBCC0} (VideoEgg ActiveX Loader) - http://update.videoegg.com/Install/Windows/Initial/VideoEggPublisher.exe

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O21 - SSODL: rxTLVfAWgzHGW - {34466981-9EEC-C32B-092B-8DD263B93792} - C:\WINDOWS\system32\mc.dll (file missing)

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Archivos de programa\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)



Estas debe hacerlo como indico Nuker:

O10 - Unknown file in Winsock LSP: c:\windows\system32\winhealer.dll

O10 - Unknown file in Winsock LSP:c:\windows\system32\winhealer.dll



Saludos.

[JuanJoC]

hey q tal? gracias

mira ahorita estoy en modo seguro , estoy correidno el HJT marcando las casillas y dandoles fix cheked pero no se eliminan .. me sale un recuadro donde dice q ya an sido elimindas o limpiadas! ...

estos son los que no los puedo eliminar :



O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll



nose que puedo hacer :?

[koga]

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll

[b]Purityscan/Zhelatin variant[/b]



O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documentos\Settings\winsys2f.dll

[b]W32/Xorpix.AR!tr[/b]



Envie muestras de ambos archivos como dice en el enlace que le di, ademas de las muestras pedidas por nuker, para que sea implementado su control en las utilidades de la pagina y poder eliminarlas.





Saludos

[lucl]

de todos modos pasa de nuevo elistara que ya esta actualizado sobre el primer envio que hiciste, y los demas sigue la ruta y encontraras lo que te pide nuker, peganos de nuevo el log de elistara cuando lo pases!!saludos



http://www.zonavirus.com/descargas/elistara.asp