VIRUS WIN32/ADWARE MEMORIA OPERATIVA

Coco1000 · Mensaje por **Coco1000** » 02 Mar 2007, 02:17

Hola a todos:

En primer lugar gracias por la paciencia que demostrais con los que,como yo, no estamos muy familiarizados con estos problemas y que tanto nos asustan.

Estoy utilizando el antoviruis NOD32, y me detecta el siguiente virus en la memoria operativa:

C:\windows\system32\jkhni.dll , posiblemente variante modificada de Win32/Adware.Virtumonde.O

Lo que he detectado hasta ahora, que cuando abro el navedador, me salen diversas paginas de amena, y otros servicios a los que yo no he llamado.

Tambien me detecta algunas intrusiones de troyanos sin haber abierto el explorer, solo al arrancar el ordenador, lo cual me preocupa un poco.

Mi conexión es a traves de cable ONO a 4 Mb y mi sitema operativo es Windows XP.

Lo dicho muchas gracias por adelantado a quien pueda ayudarme, ya que no logro desinstalar el dichoso virus.

pablodgf · Mensaje por **pablodgf** » 02 Mar 2007, 02:34

Hola!

Con que lo postearas una vez era suficiente :D Es broma, pasa eso que parece que no sale y despues postea doble :P

Bueno te digo con mi poca experiancia cuales son los pasos en gral:

Pasate esta herramienta en MODO SEGURO

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

EliStarA (dile a todo que SI)

http://www.zonavirus.com/descargas/elistara.asp

Cuando termine de explorar. Reinicia y Posteanos el CONTENIDO de C:/InfoSat.txt

Por otro lado también bájate el HijackThis de aquí:

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

Y postea el log del mismo.

También tienes el antivirus online recomendado :wink:

https://www.virustotal.com/es/

Una vez que postees ambos logs te indican como actuar.

Saludos!

Mensaje por **msc hotline sat** » 02 Mar 2007, 07:52

En la misma carpeta que el ELISTARA, descarga el ELINOTIF.DLL y prueba el ELISTARA, reincia y posteanos el contenido de c:\infosat.txt gracias

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

saludos

ms, 2-03-2007

Coco1000 · Mensaje por **Coco1000** » 02 Mar 2007, 22:52

Bueno, ya testee el equipo tanto con el arranque normal, como a prueba de fallos en modo seguro y este es el resultado:

Mon Nov 27 19:11:17 2006

EliStartPage v12.80 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Mon Nov 27 19:13:18 2006

EliStartPage v12.80 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\illiminable\oggcodecs\UNINST.EXE --> AutoExtraible

C:\Archivos de programa\Room Arranger\UNINSTALL.EXE --> AutoExtraible

C:\Archivos de programa\Samsung\Samsung PC Studio 2.1\Sync ML Desktop Server\DEVICECUSTOMISATION.DLL --> Eliminado, ISTBar

C:\Documents and Settings\Manolo\Mis documentos\Archivos\OGGCODECS_0.71.0946.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\SIMULADORDECORACION.EXE --> AutoExtraible

C:\kav\personal5\spanish\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

C:\RECYCLER\S-1-5-21-1409082233-688789844-725345543-1003\Dc1\ESPCHECK.DLL --> Eliminado, ErrorSafe

Mon Nov 27 19:26:42 2006

EliStartPage v12.80 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

E:\Mis documentos Manolo\PROGRAMAS\Dvd Decrypter - Anydvd - Clonedvd - Copytodvd - Dvd2One - Dvd Shrink\[Pc App Ita] - DVD Decrypter - AnyDVD - CloneDVD - CopyToDVD - DVD2One - DVD Shrink\DVD Decrypter\DVD DECRYPTER 3.1.7.0.EXE --> AutoExtraible

E:\Mis documentos Manolo\PROGRAMAS\Kaspersky_Anti-Virus_Personal_v5.0.227\Kaspersky_Anti-Virus_Personal_v5.0.227\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

E:\Mis documentos Manolo\PROGRAMAS\Kaspersky_Anti-Virus_Personal_v5.0.227_Español_Spanish+Licencia_Key_\Kaspersky_Anti-Virus_Personal_v5.0.227_Español_Spanish+Licencia_Key_\KAV5.0.227_PERSONALES.EXE --> AutoExtraible

Fri Mar 02 01:52:27 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Por favor, envienos una muestra del fichero

C:\Muestras\JKHHI.DLL.Muestra EliStartPage v13.44

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKHHI.DLL --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\IHHKJ.ini --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\IHHKJ.ini2 --> Eliminado (Fichero Complementario).

C:\WINDOWS\SYSTEM32\IHHKJ.tmp --> Eliminado (Fichero Complementario).

Eliminada Class, "{0F01FF26-18F5-4613-BFD6-14DE2FBA24C3}" -> C:\WINDOWS\system32\ljjkhgg.dll

Eliminada Class, "{FD9BF332-FEA1-4396-B571-5AB13B7928D7}" -> C:\WINDOWS\system32\jkhhi.dll

Linea Eliminada del HOSTS --> 127.0.0.1 bin.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 dynamique.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 es.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 hk.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 jsp.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 nl.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 se.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 support.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 trial.updates.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 ulog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.win-anti-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.win-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winantiviruspro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.windrivesafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 http://www.winsoftware.com ## added by CiD

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Fri Mar 02 01:53:19 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\illiminable\oggcodecs\UNINST.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\OGGCODECS_0.71.0946.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\SIMULADORDECORACION.EXE --> AutoExtraible

Instalada Utilidad "ELINOTIF.DLL"

Fri Mar 02 02:10:23 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Fri Mar 02 02:10:27 2007

EliTriIP v3.26 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\drivers\CoachUsb.sys --> Eliminado, RootKit

Fri Mar 02 02:24:43 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\JKHHI]

Por favor, envienos una muestra del fichero

C:\WinLogon\JKHHI.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\JKHHI.DLL.Muestra EliStartPage v13.44

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKHHI.DLL --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\IHHKJ.ini2 --> Eliminado (Fichero Complementario).

Eliminada Class, "{FD9BF332-FEA1-4396-B571-5AB13B7928D7}" -> C:\WINDOWS\system32\jkhhi.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Instalada Utilidad "ELINOTIF.DLL"

Fri Mar 02 03:08:44 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\JKHHI]

Por favor, envienos una muestra del fichero

C:\WinLogon\JKHHI.DLL

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\JKHHI.DLL.Muestra EliStartPage v13.44

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\JKHHI.DLL --> Acceso Denegado.

C:\WINDOWS\SYSTEM32\IHHKJ.ini2 --> Eliminado (Fichero Complementario).

Eliminada Class, "{FD9BF332-FEA1-4396-B571-5AB13B7928D7}" -> C:\WINDOWS\system32\jkhhi.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Instalada Utilidad "ELINOTIF.DLL"

EliNotify v1.7.03.01 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------------

Lista de Acciones:

Detectado Vundo

Elininada KEY "Winlogon\Notify\jkhhi"

Desinstalado EliNotif.dll

Fri Mar 02 20:52:05 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Fri Mar 02 20:52:13 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\illiminable\oggcodecs\UNINST.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\OGGCODECS_0.71.0946.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\SIMULADORDECORACION.EXE --> AutoExtraible

Fri Mar 02 21:11:07 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Fri Mar 02 21:11:11 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad E:\

Fri Mar 02 21:16:06 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Fri Mar 02 21:16:09 2007

EliStartPage v13.44 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\illiminable\oggcodecs\UNINST.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\OGGCODECS_0.71.0946.EXE --> AutoExtraible

C:\Documents and Settings\Manolo\Mis documentos\Archivos\SIMULADORDECORACION.EXE --> AutoExtraible

Logfile of HijackThis v1.99.1

Scan saved at 3:18:23, on 02/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\WgaTray.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\hphmon05.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\Documents and Settings\Manolo\Mis documentos\Archivos\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController

O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\Manolo\Escritorio\Antivirus zona virus\ELISTARA.1032007.EXE

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe" AcPro7_0_8 -reboot 1

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Convertir a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {82F2D6B2-6C58-4404-A930-9DB0FD90D4B1} (Driver_Detective_v43_Non_Member.DD_v43) - http://www.drivershq.com/cab/prod/Driver_Detective_v43_Non_Member.CAB

O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab

O20 - AppInit_DLLs: C:\ARCHIV~1\Google\GOOGLE~1\GOEC62~1.DLL

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

Eso es todo, espero que alguien me pueda ayudar, por cierto, me da un mensaje final de: EQUIPO INFECTADO CON VUNDO.

Un saludo

Nuker · Mensaje por **Nuker** » 02 Mar 2007, 23:33

Envia el fichero de la carpeta con nombre MUESTRAS.

C:\Muestras\~~[b]~~JKHHI.DLL[/b]

Como Enviar ?:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Coco1000 · Mensaje por **Coco1000** » 02 Mar 2007, 23:38

Gracias por contestar Nuker:

Ayer envie el fichero muestras, y me contestaron que lo tendrían en cuenta para el futuro.

Nuker · Mensaje por **Nuker** » 02 Mar 2007, 23:47

Bien pues espera a la actualizacion del ELISTARA para que puedas limpiar los restos del VUNDO y asi ya no te salga la alerta. Saludos..

Coco1000 · Mensaje por **Coco1000** » 03 Mar 2007, 01:26

Disculpa mi ignorancia, ¿cuando sabre que ELISTARA estará disponible con esta actualización? y otra cosa, ¿no se observa nada irregular en el registro de HijackThis ni en el Infosat.txt?

Gracias de antemano por todo.

Nuker · Mensaje por **Nuker** » 03 Mar 2007, 02:03

En el infoSat.txt solo muestran el proceso que realizo a cabo ELISTARA, pero dijo que ya envio el fichero infectado, asi que solo espere respuesta aqui en su tema de un Moderador o del Administrador (MSC) El cual le dira si las muestras fueron viricas, asi tambien te proporcionara el link por el cual podras descargarte la nueva version de ELISTARA en este caso.

En tu log de HJT se ve esto:

O4 - HKLM\..\RunOnce: [ReEXEc] C:\Documents and Settings\Manolo\Escritorio\Antivirus zona virus\ELISTARA.1032007.EXE

Elimanala en Modo Seguro...

---------------------------------------

Tambien se ve esto:

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab

*ESPERA LA AUTORIZACION DE MSC O ALGUN MODERADOR YA QUE NO CONOZCO ESTA CLAVE EN CUESTION.

Coco1000 · Mensaje por **Coco1000** » 03 Mar 2007, 02:27

Gracias Nuker, estaré a la espera de lo que me diga alguno de los moderadores

Mensaje por **msc hotline sat** » 03 Mar 2007, 13:28

La clave O4 del ELISTARA puede eliminarla, señal que no reinició tras probarlo, como se le decía...

Pero la otra O16, No, esta clave es de aeat, agencia tributaria española (Hacienda) , y no se debe borrar

Y sobre lo indicado de "·me contestaron que lo tendrían en cuenta para el futuro." señal que no lo envió a la direccion que indicamos en el foro:

https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

sino que lo debió enviar a virus@satinfo.es en lugar de zonavirus@satinfo.es y ello va por otro camino de usuarios de dicha utilidad, no de foreros de zonavirus que tienen sus privilegios...

Voy a ver si al respecto de JKHHI.DLL veo algo...

No, posiblemente es un nombre aleatorio y no hay nada al respecto.

Enviela de nuevo, pero tal como se indica en el foro (Estas utilidades son para asociados a SATINFO y se pueden probar en zonavirus, bajo las condiciones indicadas en la descarga y en el foro)

saludos

ms, 3-03-2007

Coco1000 · Mensaje por **Coco1000** » 03 Mar 2007, 21:32

msc hotline sat:

Disculpe mi ignorancia, como ven soy algo nuevo en esto, no obstante les remito los archivos que solicitan a la dirección que me han indicado.

Muchas Gracias

Coco1000 · Mensaje por **Coco1000** » 03 Mar 2007, 22:16

He vuelto a testear el equipo con EliStara, apagado el ordenador y le he pasado el HijackThis, con este resultado, por si tuviera algún problemilla:

Logfile of HijackThis v1.99.1

Scan saved at 21:17:46, on 03/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\WgaTray.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\hphmon05.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Manolo\Escritorio\Antivirus zona virus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController

O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe" AcPro7_0_8 -reboot 1

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Convertir a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {82F2D6B2-6C58-4404-A930-9DB0FD90D4B1} (Driver_Detective_v43_Non_Member.DD_v43) - http://www.drivershq.com/cab/prod/Driver_Detective_v43_Non_Member.CAB

O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab

O20 - AppInit_DLLs: C:\ARCHIV~1\Google\GOOGLE~1\GOEC62~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

Gracias por vuestra ayuda.

Nuker · Mensaje por **Nuker** » 03 Mar 2007, 22:18

Espera a los resultados de los ficheros enviados, Gracias.

Mensaje por **msc hotline sat** » 04 Mar 2007, 08:12

Pues mañana, cuando entremos a trabajar en SATINFO, lo analizaremos e informaremos

saludos

ms, 4-03-2007

Mensaje por **msc hotline sat** » 05 Mar 2007, 14:47

Recibidas las muestras, son Vundo ya controladas por la actual version de ELISTARA/ELINOTIF

Descargue las nuevas versiones y pruebelas:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Tras reiniciar posteenos el contenido de c:\infosat.txt gracias

saludos

ms, 5-02-2007

Coco1000 · Mensaje por **Coco1000** » 07 Mar 2007, 00:20

msc hotline sat

Desde que tengo el problema con este supuesto virus, no puedo ver alguna de las páginas web que antes si utilizaba y que incluso tenía en favoritos, no se si tendrá algo que ver.

Espero su respuesta y muchas gracias por las molestias.

Nuker · Mensaje por **Nuker** » 07 Mar 2007, 01:35

[quote]Descargue las nuevas versiones y pruebelas:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Tras reiniciar posteenos el contenido de c:\infosat.txt gracias

saludos [/quote]

Haga lo indicado arriba...

Mensaje por **msc hotline sat** » 07 Mar 2007, 11:54

Pues los VUNDO son unos Downloaders que descargan troyanos con falsas apariencias de antispywares y demas, pero no nos consta que impida visitar paginas como indica ???

Pero cualquier residente puede colisionar con otras aplicaciones y dar problemas, por lo que primero pruebelo para eliminar lo conocido, y si persiste la anomalia, ya investigaremos que mas puede haber

Muy importante que tras reiniciar, y finalizar el proceso, nos postee el contenido de c:\infosat.txt para ver el resultado

saludos

ms, 7-03-2007

Coco1000 · Mensaje por **Coco1000** » 11 Mar 2007, 00:05

[quote="msc hotline sat"]Pues mañana, cuando entremos a trabajar en SATINFO, lo analizaremos e informaremos

saludos

ms, 4-03-2007[/quote]

Me gustaria me informaran si ha encontrado algo digno de mencionar con el problema que tengo.

Gracias

Mensaje por **lucl** » 11 Mar 2007, 11:51

Hola coco, la cita que tu haces de msc es del dia 4 de marzo, prueba como se esta indicando el elistara y elintofill, vuelvo a copiarte.

Publicado: ~~[b]~~Lun Mar 05, 2007 [/b]2:47 pm Título del mensaje:

--------------------------------------------------------------------------------

Recibidas las muestras, son Vundo ya controladas por la actual version de ELISTARA/ELINOTIF

Descargue las nuevas versiones y pruebelas:

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

ELINOTIF.DLL

http://www.zonavirus.com/descargas/elinotif.asp

Tras reiniciar posteenos el contenido de c:\infosat.txt gracias

como ves ya se te indico que lo probases el dia cinco, una vez echo esto peganos el log, y a ver que pasa. saludos

Mensaje por **msc hotline sat** » 11 Mar 2007, 12:09

Le debió pasar desapercibida mi respuesta, como lucl ha hecho ver, y tal como en ella se indica, posteanos tras ello el contenido en C: Infosat.txt , gracias

e informenos si tras ello persiste o no el problema que indicaba "Desde que tengo el problema con este supuesto virus, no puedo ver alguna de las páginas web que antes si utilizaba y que incluso tenía en favoritos, no se si tendrá algo que ver." para obrar en onsecuencia

saludos

ms, 11-03-2007

Coco1000 · Mensaje por **Coco1000** » 11 Mar 2007, 21:00

Buenas tardes:

Espero me sepan disculpar, pero como buen principiante, llevaba varios días mirando únicamente la página 1 de esta linea de foro, por lo que no vi las contestaciones que me daban.

No obstante, una vez revisadas, les envio el contenido el archivo InfoSat.txt.

Sun Mar 11 19:27:35 2007

EliStartPage v13.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Sun Mar 11 19:27:39 2007

EliStartPage v13.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\JKHHI.DLL --> Eliminado, Vundo (notify)

Respecto al visionado de algunas páginas web, les comunico que tras multiples intentos, las que no puedo ver son las que comienzan por https:, el resto que comoenzan con http: únicamente, no tengo problemas. He probado incluso a ponerlas en sitio de confianza, pero ni por esas. Lo he provado tambien despues de haber pasado el EliStar, pero nada. No entiendo de donde sale el problema. Tambien he detectado que esas mismas páginas si las ven el resto de mi familia desde sus cuentas, pero yo soy el único administrador. No sé, a ver si me podeis dar alguna pista.

Muchas gracias de antemano, y espero que acepten mis disculpas.

Coco1000 · Mensaje por **Coco1000** » 11 Mar 2007, 21:03

Hola de nuevo:

En relación a lo anterior, he pasado el HijackThis y este es el resultado, por si vale de algo. Muchas gracias.

Logfile of HijackThis v1.99.1

Scan saved at 20:07:41, on 11/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Bonjour\mDNSResponder.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\Archivos de programa\Eset\nod32krn.exe

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\hphmon05.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\Eset\nod32kui.exe

C:\Archivos de programa\QuickTime\qttask.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\system32\WgaTray.exe

C:\Documents and Settings\Manolo\Escritorio\Antivirus zona virus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;*.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController

O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe" AcPro7_0_8 -reboot 1

O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?

O4 - Global Startup: KODAK Software Updater.lnk = C:\Archivos de programa\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe

O4 - Global Startup: Software Kodak EasyShare.lnk = C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Convertir a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Archivos de programa\Bonjour\ExplorerPlugin.dll

O10 - Unknown file in Winsock LSP: c:\archivos de programa\bonjour\mdnsnsp.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {82F2D6B2-6C58-4404-A930-9DB0FD90D4B1} (Driver_Detective_v43_Non_Member.DD_v43) - http://www.drivershq.com/cab/prod/Driver_Detective_v43_Non_Member.CAB

O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab

O20 - AppInit_DLLs: C:\ARCHIV~1\Google\GOOGLE~1\GOEC62~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

Nuker · Mensaje por **Nuker** » 11 Mar 2007, 21:17

Pues elimina esta en Modo Seguro y comentanos is hay resultados:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;*.local

Saludos.

Mensaje por **lucl** » 11 Mar 2007, 21:21

Bueno ya hemos eliminado el vundo al menos, saludos :lol:

EliStartPage v13.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\JKHHI.DLL --> Eliminado, Vundo (notify)

Mensaje por **msc hotline sat** » 11 Mar 2007, 21:38

Nuker, les tienes mucha mania a los proxys, y dentro de una Red, hay quien los usa para navegar, y si busca el local host, este podria ser un caso...

Revisa tu propuesta y amplianosla, gracias

saludos

ms, 11-03-2007

Coco1000 · Mensaje por **Coco1000** » 11 Mar 2007, 21:43

msc hotline sat

Hola a todos y gracias por vuestras respuestas, pero ¿Debo espera para eliminar el proxy a que Nucker amplie su respuesta o lo hago ya directamente?

Mensaje por **lucl** » 11 Mar 2007, 21:45

Espera un poco que Nuker te lo explicara, esta mas que fundado seguro pero esta bien que sepas el porque de las cosas asi tu decides. Saludos.

Mensaje por **msc hotline sat** » 11 Mar 2007, 21:45

Dice: "las que no puedo ver son las que comienzan por https:, el resto que comienzan con http: únicamente, no tengo problemas"

Esto son paginas seguras...

El hecho de no poder entrar en paginas seguras https posiblemente se deba a que no tienes marcadas las casillas de SSL 2.0 y 3.0 dentro de las opciones avanzadas en opciones de Internet, dentroi de Herramientas del navegador.

Compruebalo, marcalas y comentanos el resultado, gracias

saludos

ms, 11-03-2007