Necesito Ayuda para eliminar un virus en mi messenger

[Victor H. Caspeta Bourdon]

Me llego a travez de un usuario de messenger elsiguiente archivo:



Da uma olhada nas fotos dessa festa... muito legal..

http://f<interceptado>fotos.exe



Me esta bloqueando todos mis usuarios, tuve que abrir otracuenta de correo, ya baje la ayuda queseñalan en esta cuenta pero persiste el problema, envio archivo anexo depues de aplicar la solucion que sugieren en este foro.

[lucl]

Tienes que pegarnos el log aqui , hazlo como respuesta a este tema, y pasa de nuevo el elistara en modo seguro y nos lo pegas tambien saludos



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

[MrKogoyo]

Pues Tienes que copiar el CONTENIDO de InfoSat.txt, tu lo adjuntaste



Procedo a pegar el CONTENIDO:





Wed Feb 14 17:08:16 2007

EliTriIP v3.17 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Wed Feb 14 17:22:49 2007

EliStartPage v13.32 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3CJPEG.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3HTMLMU.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3POPSWT.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3PSSAVR.SCR --> Eliminado

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3REPROX.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3RESTUB.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3SCRCTR.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\F3WPHOOK.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3HTML.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3OUTLCN.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\M3SKIN.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOEMON.EXE --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOEPLG.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\BAR\1.BIN\MWSOESTB.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\MYWEBSEARCH\SRCHASTT\1.BIN\MWSSRCAS.DLL --> Eliminado MyWebSearch

C:\ARCHIVOS DE PROGRAMA\SHOPPERREPORTS\BIN\2.0.20\SHPRRPRT.DLL --> Eliminado ShopprReports

C:\ARCHIVOS DE PROGRAMA\SHOPPERREPORTS\BIN\1.0.5.0\SHPRRPRT.DLL --> Eliminado ShopprReports

Eliminada Class, "{00A6FAF1-072E-44CF-8957-5838F569A31D}" -> C:\Archivos de programa\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

Eliminada Class, "{00A6FAF6-072E-44CF-8957-5838F569A31D}" -> C:\Archivos de programa\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL

Eliminada Class, "{0774F696-D801-4C18-81A7-A3A32B8BEF19}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{07B18EA1-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA3-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EA9-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{07B18EAB-A523-4961-B6BB-170DE4475CCA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{1E6AC766-9094-4BCF-ABD3-39E2EAEA5FCD}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{2178C864-B8BC-41AE-A1FB-EB6A32F87EB1}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{21FFB6C0-0DA1-11D5-A9D5-00500413153C}" -> NULL1

Eliminada Class, "{2A8A997F-BB9F-48F6-AA2B-2762D50F9289}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{3DC201FB-E9C9-499C-A11F-23C360D7C3F8}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{3E720452-B472-4954-B7AA-33069EB53906}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3HTML.DLL

Eliminada Class, "{454B4812-E572-4703-A1BB-63490809EAC0}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{53CED2D0-5E9A-4761-9005-648404E6F7E5}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\MWSBAR.DLL

Eliminada Class, "{580A1F3F-89B4-433B-BBDB-B97AEB13F3FC}" -> C:\Archivos de programa\ShopperReports\Bin\2.0.20\ShprRprt.dll

Eliminada Class, "{63D0ED2C-B45B-4458-8B3B-60C69BBBD83C}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{647B8364-79E0-48E2-A4CA-233ABADA0C2D}" -> C:\Archivos de programa\Error Safe Free\ESSPChck.dll

Eliminada Class, "{7473D292-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D294-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{7473D296-B7BB-4F24-AE82-7E2CE94BB6A9}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3SKIN.DLL

Eliminada Class, "{8C875948-9C60-4381-9248-0DF180542D53}" -> C:\Archivos de programa\HbTools\Bin\4.6.4.1\HbtInstIE.dll

Eliminada Class, "{8E6F1832-9607-4440-8530-13BE7C4B1D14}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{938AA51A-996C-4884-98CE-80DD16A5C9DA}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{98D9753D-D73B-42D5-8C85-4469CDA897AB}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3HTMLMU.DLL

Eliminada Class, "{9AFB8248-617F-460D-9366-D71CDEDA3179}" -> NULL1

Eliminada Class, "{9FF05104-B030-46FC-94B8-81276E4E27DF}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3SCRCTR.DLL

Eliminada Class, "{A798E2B4-B6A0-4B96-8C53-8EC7A3B0895A}" -> C:\Archivos de programa\ShopperReports\Bin\1.0.5.0\ShprRprt.dll

Eliminada Class, "{A9571378-68A1-443D-B082-284F960C6D17}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\F3POPSWT.DLL

Eliminada Class, "{ADB01E81-3C79-4272-A0F1-7B2BE7A782DC}" -> C:\Archivos de programa\MyWebSearch\bar\1.bin\M3OUTLCN.DLL

Eliminada Carpeta "%WinSys%\LogFiles"

Eliminada Carpeta "%Archivos de Programa%\Error Safe Free"

Eliminada Carpeta "%Archivos de Programa%\FunWebProducts"

Eliminada Carpeta "%Archivos de Programa%\HbTools"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Wed Feb 14 17:23:04 2007

EliStartPage v13.32 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Microsoft ActiveSync\HP Image Transfer\UNINST.EXE --> AutoExtraible

C:\Archivos de programa\MSN Messenger\RICHED20.DLL --> Eliminado, MyWebSearch

C:\Archivos de programa\Screensavers.com\Installer\bin\SIUNINST.EXE --> AutoExtraible

C:\Archivos de programa\Starware\STARWAREUNINSTALL.EXE --> AutoExtraible

C:\Documents and Settings\vcaspeta\Configuración local\Temp\AU_SETUPH.DLL --> Eliminado, NavHelper (BHO)

C:\Documents and Settings\vcaspeta\Configuración local\Temp\ERRORSAFESCANNERSETUP.EXE --> Eliminado, ErrorSafe (inst)

C:\Documents and Settings\vcaspeta\Configuración local\Temp\NI.UERSY_0001_N68M0602\SETUP.EXE --> Eliminado, ErrorSafe (inst)

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP129\A0018175.DLL --> Eliminado, ShopprReports

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP143\A0022647.DLL --> Eliminado, ZangoSA (BHO)

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029168.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029169.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029170.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029171.SCR --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029172.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029173.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029174.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029175.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029176.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029177.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029178.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029179.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029180.EXE --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029181.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029182.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029183.DLL --> Eliminado, MyWebSearch

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029184.DLL --> Eliminado, ShopprReports

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029185.DLL --> Eliminado, ShopprReports

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029199.DLL --> Eliminado, ShopprReports

C:\System Volume Information\_restore{FFDD2DDC-2D73-4E81-A162-D536B8AE361E}\RP179\A0029200.DLL --> Eliminado, MyWebSearch

C:\WINDOWS\Downloaded Program Files\F3INITIALSETUP1.0.0.15.INF --> Eliminado, MyWebSearch (inf)

C:\WINDOWS\Downloaded Program Files\UERSY_0001_N68M0602NETINSTALLER.EXE --> Eliminado, ErrorSafe (dldr)

C:\WINDOWS\SYSTEM32\F3PSSAVR.SCR --> Eliminado, MyWebSearch





Pues EliStarA te hizo muy buen limpieza



Ademas te falat la lista por "Acción directa" de EliTriiP, Debes colocarle que SI a todo



[b]Slds. ¡¡

Mr.K.[/b]

[Nuker]

Pues Hola de nuevo :wink: ...



El PWS es controlado perfectamente con EliStarA, ElitriIP es usado para cuestion de gusanos y algunos dialers, procede a usar de nuevo EliStarA, en modo seguro y vuelvenos a pegar el log que este te genere como ya te explicaron los compañeros.



Modo Seguro:



http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp



Puedes pasar si gustas EliTriIP tambien de nuevo, pero hazlo arrancando en modo seguro...

[msc hotline sat]

Como que estan rondando nuevos PWS con un DLLVIRTUAL.EXE, posteanos el log del HJT para ver que no tengas nada nuevo ...



[b]

[color=yellow]HJT : (HiJackThis)[/color][/b]



[i]¿Como utilizar el Hijackthis ?[/i]

Lo primero que debemos hacer es descargarlo en nuestro ordenador y lócalo en una carpeta propia C:\HijackThis\

Ejecútalo y presiona el botón "[b]Do a system scan and save a logfile[/b]"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está.

Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta de este Tema

· [url=http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp][b]Descargar Hijackthis[/b][/url]



Tras analizarlo, informaremos





saludos



ms, 16-02-2007

[Victor H. Caspeta Bourdon]

Les envio la respuesta que me dio la revision que me comentan, el problema continua en la cuenta.



Gracias.





Logfile of HijackThis v1.99.1

Scan saved at 12:09:09 p.m., on 16/02/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16414)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Intel\ASF Agent\ASFAgent.exe

C:\WINDOWS\system32\cisvc.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Dell\OpenManage\Client\Iap.exe

C:\Archivos de programa\CA\eTrust Antivirus\InoRpc.exe

C:\Archivos de programa\CA\eTrust Antivirus\InoRT.exe

C:\Archivos de programa\CA\eTrust Antivirus\InoTask.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\RealVNC\VNC4\WinVNC4.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\hkcmd.exe

C:\ARCHIV~1\MIDNIG~1\ML1HEL~1.EXE

C:\Archivos de programa\HP\HP Software Update\HPWuSchd.exe

C:\Archivos de programa\Archivos comunes\XCPCSync\Translators\LtNts4\NtsAgent.exe

C:\ARCHIV~1\CA\ETRUST~1\realmon.exe

C:\WINDOWS\system32\NWTRAY.EXE

C:\Archivos de programa\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\ARCHIV~1\Sony\SONICS~1\SsAAD.exe

C:\WINDOWS\system32\dllvirtual.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Microsoft ActiveSync\WCESCOMM.EXE

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

C:\Archivos de programa\Samsung\Digimax Viewer 1.0\DigimaxViewer.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

C:\Archivos de programa\3M\PSN2Lite\Psn2Lite.exe

C:\ARCHIV~1\3M\PSN2Lite\PSNGive.exe

C:\Archivos de programa\MSN Messenger\usnsvc.exe

C:\Lotus\Notes\NLNOTES.EXE

C:\Lotus\Notes\naldaemn.EXE

C:\Lotus\Notes\nwrdaemn.EXE

C:\Lotus\Notes\nupdate.EXE

C:\Lotus\Notes\nhldaemn.EXE

C:\Archivos de programa\Visual Matrix\Visual Matrix.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Lotus\Notes\nWEB.EXE

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\DOCUME~1\vcaspeta\CONFIG~1\Temp\Directorio temporal 1 para hijackthis.zip\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.com/la/la/en/gen/default.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://prodigy.msn.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar4.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O2 - BHO: Starware - {CA356D79-679B-4b4c-8E49-5AF97014F4C1} - C:\Archivos de programa\Starware\bin\Starware.dll (file missing)

O3 - Toolbar: Starware - {D49E9D35-254C-4c6a-9D17-95018D228FF5} - C:\Archivos de programa\Starware\bin\Starware.dll (file missing)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar4.dll

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [ML1HelperStartUp] C:\ARCHIV~1\MIDNIG~1\ML1HEL~1.EXE /partner ML1

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\HP\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [EasySync Pro - LtNts4] C:\Archivos de programa\Archivos comunes\XCPCSync\Translators\LtNts4\NtsAgent.exe

O4 - HKLM\..\Run: [EasySync Pro - 3CmPlm] C:\Archivos de programa\Archivos comunes\XCPCSync\Translators\3CmPlm\AutoDet.exe

O4 - HKLM\..\Run: [EasySync Pro - PocketPC] C:\Archivos de programa\Archivos comunes\XCPCSync\Translators\PocketPC\AutoDetect.exe

O4 - HKLM\..\Run: [EasySync Pro - MSWinCE2] C:\Archivos de programa\Archivos comunes\XCPCSync\Translators\MSWinCE2\AutoDetect.exe

O4 - HKLM\..\Run: [EasySync Pro] C:\Archivos de programa\Archivos comunes\XCPCMenu.exe

O4 - HKLM\..\Run: [Realtime Monitor] C:\ARCHIV~1\CA\ETRUST~1\realmon.exe -s

O4 - HKLM\..\Run: [NWTRAY] NWTRAY.EXE

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Archivos de programa\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [SsAAD.exe] C:\ARCHIV~1\Sony\SONICS~1\SsAAD.exe

O4 - HKLM\..\Run: [ ] C:\WINDOWS\system32\dllvirtual.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - Startup: HotSync Manager.LNK = C:\Palm\HOTSYNC.EXE

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Digimax Viewer 1.0.lnk = ?

O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\E_SRCV02.EXE

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NevoMedia Server.lnk = C:\Archivos de programa\Nevo\NevoMedia Server\NevoMediaServer.exe

O4 - Global Startup: Post-it® Software Notes Lite.lnk = C:\Archivos de programa\3M\PSN2Lite\Psn2Lite.exe

O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNxmk904DSMX

O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O9 - Extra button: Crear un favorito móvil - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INetRepl.dll

O9 - Extra 'Tools' menuitem: Crear un favorito móvil... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Archivos de programa\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe (file missing)

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1148318249218

O16 - DPF: {CAFECAFE-0013-0001-0013-ABCDEFABCDEF} (JInitiator 1.3.1.13) - http://10.1.1.4:7778/forms90/jinitiator/jinit.exe

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cea.net

O17 - HKLM\Software\..\Telephony: DomainName = cea.net

O17 - HKLM\System\CCS\Services\Tcpip\..\{094DC0DC-84E4-4D29-9D7B-E454EE04748F}: NameServer = 10.1.1.7,192.168.0.11

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cea.net

O17 - HKLM\System\CS1\Services\Tcpip\..\{094DC0DC-84E4-4D29-9D7B-E454EE04748F}: NameServer = 10.1.1.7,192.168.0.11

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cea.net

O17 - HKLM\System\CS2\Services\Tcpip\..\{094DC0DC-84E4-4D29-9D7B-E454EE04748F}: NameServer = 10.1.1.7,192.168.0.11

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: ASF Agent (ASFAgent) - Intel Corporation - C:\Archivos de programa\Intel\ASF Agent\ASFAgent.exe

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\eEBSVC.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Iap - Dell Computer Corporation - C:\Archivos de programa\Dell\OpenManage\Client\Iap.exe

O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Archivos de programa\CA\eTrust Antivirus\InoRpc.exe

O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Archivos de programa\CA\eTrust Antivirus\InoRT.exe

O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Archivos de programa\CA\eTrust Antivirus\InoTask.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Archivos de programa\Archivos comunes\Sony Shared\AVLib\SSScsiSV.exe

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Archivos de programa\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

[msc hotline sat]

Tal como me pensaba, ahí lo tenemos en uso !!!:



C:\WINDOWS\system32\dllvirtual.exe



Envianos este fichero para analizar y controlar



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



es posible que esté oculto, recuerda:



https://foros.zonavirus.com/viewtopic.php?f=5&t=13245



En cuanto lo recibamos procederemos a implementarlo en la proxima version del ELISTARA



Voy a seguir con el log, pero de momento elimina esta clave:



O4 - HKLM\..\Run: [ ] C:\WINDOWS\system32\dllvirtual.exe





Hecho esto, al reiniciar ya no se pondrá en marcha y no seguirá propagando ni enviando datos, pues piense que estos cazapasswords capturan los paswords bancarios y los envian a los hackers creadores de los malwares, para nada bueno, claro. Tengalo presente y obre en consecuencia con su banco (cambie claves y cuentas si en este ordenador hacia transferencias o consultaba cuentas bancarias)



Voy a mirar el resto del HJT, pero de entrada haga lo indicado, gracias



saludos



ms, 16-02-2007

[msc hotline sat]

Otros ficheros sospechosos a analizar. ENVIENOS MUESTRA DE ELLOS



C:\ARCHIV~1\MIDNIG~1\ML1HEL~1.EXE



C:\Archivos de programa\Visual Matrix\Visual Matrix.exe





RECORDAR: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



Y eliminar estas claves:



R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - (no file)



O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)



O2 - BHO: Starware - {CA356D79-679B-4b4c-8E49-5AF97014F4C1} - C:\Archivos de programa\Starware\bin\Starware.dll (file missing)



O3 - Toolbar: Starware - {D49E9D35-254C-4c6a-9D17-95018D228FF5} - C:\Archivos de programa\Starware\bin\Starware.dll (file missing)



O4 - HKLM\..\Run: [ ] C:\WINDOWS\system32\dllvirtual.exe (ya indicado antes)



O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNxmk904DSMX



O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\WINDOWS\system32\shdocvw.dll



SALUDOS



ms, 16-02-2007

[Victor H. Caspeta Bourdon]

ME SEÑALA QUE EL ARCHIVO TERMINACION .EXE NO ESTA PERMITIDO POR PARTE DEL FORO, EXISTE OTRA FORMA DE ENVIARLO COMO ARCHIVO ANEXO? GRACIAS

[msc hotline sat]

No lo tienes que enviar al foro sino a zonavirus@satinfo.es



y lo debes enviar empaquetado en un ZIP o RAR con password VIRUS , como se indica en:



https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



saludos



ms, 16-02-2007

[msc hotline sat]

Recinida su muestra del DLLVIRTUAL.EXE



Se está analizando y una vez terminado el ensayo se implementará su control y eliminaicon en el ELISTARA de hoy 13.36 que estará disponible a partir de las 20 h



Descarguelo entonces, pruebelo y tras reiniciar, nos postea el contenido de c:\infosat.txt, gracias



saludos



ms, 19-02-2007