No me ejecuta ningun antivirus que instalo (SOLUCIONADO)

[maferhi]

Tenía istalado el antivirus Avast y por algún motivo me desaparecieron los iconos que salian en la barra de tareas y esque he habian borrado los ejecutables exe.

Lo mismo me hizo con el spybotsd.

Los instalo de nuevo pero los exe no los ejecuta.

le he pasado el HijackThis y me da ésto:



Logfile of HijackThis v1.99.1

Scan saved at 3:11:37, on 21/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd.exe

C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Archivos de programa\THOffice\THOffice.exe

C:\Archivos de programa\Archivos comunes\PCSuite\DataLayer\DataLayer.exe

C:\Archivos de programa\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Archivos de programa\Creative\MediaSource\Detector\CTDetect.exe

C:\Archivos de programa\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\ARCHIV~1\ARCHIV~1\Nokia\MPAPI\MPAPI3s.exe

C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\System32\LVComsX.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\wuauclt.exe

C:\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://es.yahoo.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [HP Component Manager] "C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [DeviceDiscovery] C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - HKLM\..\Run: [THOffice] C:\Archivos de programa\THOffice\THOffice.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DataLayer] C:\Archivos de programa\Archivos comunes\PCSuite\DataLayer\DataLayer.exe

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Archivos de programa\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray

O4 - HKCU\..\Run: [Creative Detector] C:\Archivos de programa\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - HKCU\..\Run: [PcSync] C:\Archivos de programa\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O11 - Options group: [INTERNATIONAL] International*

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1133792866703

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{0530F3CF-F418-42F9-8BDF-931DCA54AB51}: NameServer = 192.168.1.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{0530F3CF-F418-42F9-8BDF-931DCA54AB51}: NameServer = 192.168.1.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{0530F3CF-F418-42F9-8BDF-931DCA54AB51}: NameServer = 192.168.1.1

O17 - HKLM\System\CS3\Services\Tcpip\..\{0530F3CF-F418-42F9-8BDF-931DCA54AB51}: NameServer = 192.168.1.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe



Les agradecería su ayuda.

[msc hotline sat]

En el log solo hay este fichero desconocido:



C:\Archivos de programa\THOffice\THOffice.exe



Si lo conoces y es voluntario, considera el log limpio



Y prueba un AVONLINE:





[url=https://www.eset.es/analisis-online/][b][color=Darknesred]Antivirus ONLINE aconsejado[/color][/b][/url]



y una manera facil y rapida de saber si se tiene virus en memoria es lanzar este escaneo ONLINE que tarda menos de 1 minuto:



testeo ONLINE de virus en memoria





[url=https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus/][b][color=Darknesred]testeo ONLINE de virus en memoria[/color][/b][/url]



y nos comentas el resultado, gracias



ms, 21-08-2007

[maferhi]

He seguido los pasos que me aconsejan y ésto es el resultado:









Esto me sale en el antivirus online aconsejado:



Please wait for signature update to finish







Y esto es del testeo online del virus en memoria:



Se queda clavado en Rastreando procesos malintencianados en ejecución.





















































Se queda clavado y no continua

[msc hotline sat]

Pues pruebalo arrancando en modo seguro con funciones de red, asi no te incordiará algun residente que parece hacerlo, y nos cuentas el resultado, gracias



saludos



ms, 21-08-2007

[maferhi]

He pasado los dos programas y el primero me ha encontrado en el esclavo un fichero infectado:

RemoveWGA.exe infectado con Win32/Pringamb.a

Por lo demás ningún problema

[maferhi]

He pasado los dos programas y el primero me ha encontrado en el esclavo un fichero infectado:

RemoveWGA.exe infectado con Win32/Pringamb.a

Pero persiste el problema y además las aberturas de páginas de internet van muy lentas.

[msc hotline sat]

Y sobre el fichero que comentabamos al principio que puede decirnos: ???



C:\Archivos de programa\THOffice\THOffice.exe



Y si lo conoce y descarta que pueda ser el causante, pruebe de REPARAR WINDOWS:






[quote="para REPARAR WINDOWS, msc"]

Sugiero proceder a REPARAR windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate [/quote]



y nos comenta el resultado, gracias



saludos



ms, 21-08-2007

[maferhi]

Ese fichero corresponde para activar las teclas del nuevo teclado y ya lo tenía desde el principio, por lo que no es.

Además tengo una actualización del media player que no me lo puede instalar tampoco y eso que estoy legal.

[msc hotline sat]

Entonces el log del HJT está limpio ...



Descarga el SPROCES, luego arranca en modo seguro y pruebalo, y tras salir nos posteas el log:







SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Y posteanos el contenido del C:\SPROCLOG.TXT :



saludos



ms, 21-08-2007

[maferhi]

El programa Sproces para procesarlo se apreta en refrescar?

[msc hotline sat]

Simplemente pulsa en Salir y posteanos el informe que habrá generando en C:\SPROCLOG.TXT



saludos



ms, 22-08-2007

[maferhi]

Esto es lo que sale:

Wed Aug 22 04:32:42 2007

SProces v2.8 (c)2007 S.G.H. / Satinfo S.L.

-------------------------------------------

Sistema Operativo: Microsoft Windows XP (v5.1.2600) Service Pack 2

Internet Explorer: (v7.0.5730.11) 0



Procesos Activos:

C:\WINDOWS\SYSTEM32\SMSS.EXE

C:\WINDOWS\SYSTEM32\WINLOGON.EXE

C:\WINDOWS\SYSTEM32\SERVICES.EXE

C:\WINDOWS\SYSTEM32\LSASS.EXE

C:\WINDOWS\SYSTEM32\SVCHOST.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM32\CTFMON.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\EXPLORER.EXE

F:\PELICULAS\DIRECTOS\BAJADOS\SPROCES.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://es.yahoo.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,

O1 - Hosts: 127.0.0.1 localhost

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar3.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar3.dll

O4 - HKLM\..\Run: [Creative Detector] C:\Archivos de programa\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - HKLM\..\Run: [PcSync] C:\Archivos de programa\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - HKLM\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKLM\..\Run: [SpyBrowser] "C:\Archivos de programa\SpyBro\SpyBro.exe" /autostart

O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\Hewlett-Packard\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [HP Component Manager] "C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [DeviceDiscovery] C:\Archivos de programa\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - HKLM\..\Run: [THOffice] C:\Archivos de programa\THOffice\THOffice.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DataLayer] C:\Archivos de programa\Archivos comunes\PCSuite\DataLayer\DataLayer.exe

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Archivos de programa\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray

O4 - Startup: desktop.ini

O4 - Global Startup: desktop.ini

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: DirectAnimation Java Classes - file://C:\WINDOWS\Java\classes\dajava.cab

O16 - DPF: Microsoft XML Parser for Java - file://C:\WINDOWS\Java\classes\xmldso.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc3.cab

O16 - DPF: {525019DF-8282-40DC-A0E0-13C076889F66} (InstallerSf Control) - http://www.softonic.com/sinespias/installer.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1133792866703

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www.ca.com/us/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//cabs/nanoinst.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{0530F3CF-F418-42F9-8BDF-931DCA54AB51}: NameServer = 192.168.1.1

O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Archivos de programa\HP\hpcoretech\comp\hpuiprot.dll

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\10\OWC10.DLL

O18 - Protocol: mso-offdap11 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\ARCHIV~1\ARCHIV~1\MICROS~1\WEBCOM~1\11\OWC11.DLL

O20 - Winlogon Notify: WGALOGON - WGALOGON.DLL

O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll

O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - C:\WINDOWS\system32\webcheck.dll

O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\System32\stobject.dll

O22 - SharedTaskScheduler: {438755C2-A8BA-11D1-B96B-00A0C90312E1} - Precargador Browseui - %SystemRoot%\System32\browseui.dll

O22 - SharedTaskScheduler: {8C7461EF-2B13-11d2-BE35-3078302C2030} - Demonio de caché de las categorías de componente - %SystemRoot%\System32\browseui.dll



Información Adicional:

----------------------



Listado de Servicios (Carga Automatica):

----------------------------------------

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: BtCap, WDM Video Capture (BT848) - Unknown owner - C:\WINDOWS\SYSTEM32\drivers\BT848.sys

O23 - Service: BtTuner, WDM TvTuner (BTTUNER) - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\drivers\BTTUNER.sys

O23 - Service: BtXBar, WDM Crossbar (BTXBAR) - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\drivers\BTXBAR.sys

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: Iniciador de procesos de servidor DCOM (DcomLaunch) - Unknown owner - C:\WINDOWS\system32\svchost -k DcomLaunch (file missing)

O23 - Service: Fallback - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_FALL.sys

O23 - Service: Fsks - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_FSKS.sys

O23 - Service: K56 - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_K56K.sys

O23 - Service: mdmxsdk - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\mdmxsdk.sys

O23 - Service: Llamada a procedimiento remoto(RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)

O23 - Service: SoftFax - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_FAXX.sys

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Tones - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_TONE.sys

O23 - Service: V124 - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_V124.sys



Listado de Servicios (Carga Manual):

------------------------------------

O23 - Service: aeaudio - Andrea Electronics Corporation - C:\WINDOWS\SYSTEM32\drivers\aeaudio.sys

O23 - Service: ati2mtag - ATI Technologies Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ati2mtag.sys

O23 - Service: basic2 - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_BSC2.sys

O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Microsoft Corp., VERITAS Software - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: HSFHWBS2 - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\HSFBS2S2.sys

O23 - Service: HSF_DP - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\HSFDPSP2.sys

O23 - Service: hsf_msft - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_MSFT.sys

O23 - Service: Jukebox3 - Creative Technology Ltd. - C:\WINDOWS\SYSTEM32\DRIVERS\ctpdusb.sys

O23 - Service: Logitech USB Monitor Filter (LVUSBSta) - Logitech Inc. - C:\WINDOWS\SYSTEM32\drivers\lvusbsta.sys

O23 - Service: Nokia USB Generic - Nokia - C:\WINDOWS\SYSTEM32\drivers\nmwcdc.sys

O23 - Service: Nokia USB Modem - Nokia - C:\WINDOWS\SYSTEM32\drivers\nmwcdcm.sys

O23 - Service: Nokia USB Phone Parent - Nokia - C:\WINDOWS\SYSTEM32\drivers\nmwcd.sys

O23 - Service: PavSRK.sys - Unknown owner - C:\WINDOWS\system32\PavSRK.sys (file missing)

O23 - Service: Controlador de vínculo paralelo directo (Ptilink) - Parallel Technologies, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\ptilink.sys

O23 - Service: Logitech QuickCam Communicate (QCMerced) - Logitech Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\LVCM.sys

O23 - Service: Rksample - Conexant - C:\WINDOWS\SYSTEM32\DRIVERS\HSF_SAMP.sys

O23 - Service: Controlador de Windows NT del adaptador Fast Ethernet PCI basado en Realtek RTL8139(A/B/C) (rtl8139) - Realtek Semiconductor Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\RTL8139.SYS

O23 - Service: Secdrv - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\secdrv.sys

O23 - Service: smwdm - Analog Devices, Inc. - C:\WINDOWS\SYSTEM32\drivers\smwdm.sys

O23 - Service: Controlador de filtro USB de Sony (SONYPVU1) (SONYPVU1) - Sony Corporation - C:\WINDOWS\SYSTEM32\DRIVERS\SONYPVU1.SYS

O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)

O23 - Service: VICPRT00 - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\VICPRT00.SYS (file missing)

O23 - Service: winachsf - Conexant Systems, Inc. - C:\WINDOWS\SYSTEM32\DRIVERS\HSFCXTS2.sys



Listado de Servicios (Deshabilitados):

--------------------------------------

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: dmboot - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmboot.sys

O23 - Service: dmio - Microsoft Corp., Veritas Software - C:\WINDOWS\SYSTEM32\drivers\dmio.sys

O23 - Service: dmload - Microsoft Corp., Veritas Software. - C:\WINDOWS\SYSTEM32\drivers\dmload.sys



42 Servicios.

15 de Carga Automatica.

23 de Carga Manual.

4 Deshabilitados.

[msc hotline sat]

Pues elimina estas claves:



O4 - HKLM\..\Run: [SpyBrowser] "C:\Archivos de programa\SpyBro\SpyBro.exe" /autostart



O23 - Service: Llamada a procedimiento remoto(RPC) (RpcSs) - Unknown owner - C:\WINDOWS\system32\svchost -k rpcss (file missing)



O23 - Service: PavSRK.sys - Unknown owner - C:\WINDOWS\system32\PavSRK.sys (file missing)



O23 - Service: Servicios de Terminal Server (TermService) - Unknown owner - C:\WINDOWS\System32\svchost -k DComLaunch (file missing)



O23 - Service: VICPRT00 - Unknown owner - C:\WINDOWS\SYSTEM32\DRIVERS\VICPRT00.SYS (file missing)





Especialmente elimina la primera de ellas, pues las demas igual solo son restos inocuos



->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



Si no apareciera con el HJT para eliminarla, prueba el BUSCAREG entrando a buscar SPYBRO:



[size=150][color=darkblue][b]BuscaReg[/b][/color][/size] (SATInfo)

Busca una cadena dentro del registro de windows, una vez encontradas permite borrarlas con tan solo pinchar encima de cada entrada encontrada, ademas realiza la exportacion de las claves eliminadas por si se necesitan restaurar las claves borradas.



[url=http://www.zonavirus.com/descargas/buscareg.asp][b]Descargar BuscaReg[/b][/url]



y tras reiniciar, nos cuentas el resultado, gracias



saludos



ms, 22-08-2007

[maferhi]

He borrado la clave del SpyBrowser con HJT y despues le he pasado el BuscaReg. Este no ha encontrado ninguna otra clave.

Pero el resultado es el mismo:

Pruebo a instalar la actualización:

Actualización de seguridad para el Reproductor de Windows Media 10 para Windows XP (KB936782) y no se me instala por lo que no pruebo de instalar de nuevo los antivirus, etc.

[msc hotline sat]

Pues vea que no se trate de la version de Macromedia Flash Player instalada... :



http://support.microsoft.com/kb/936782



saludos



ms, 22-08-2007

[maferhi]

Me sale una pagina en ingles de microsof: ¿Que es lo que tengo que hacer? Gracias

[msc hotline sat]

Pues mira la traducción:


[quote]MS07-047: Una vulnerabilidad en el Reproductor de Windows Media podría permitir la ejecución remota de código

Ver los productos a los que se aplica este artículo

Id. de artículo : 936782

Última revisión : lunes, 20 de agosto de 2007

Versión : 1.2

En esta página



INTRODUCCIÓN



Más información



Problemas conocidos con esta actualización de seguridad

INTRODUCCIÓN

Microsoft ha publicado el boletín de seguridad MS07-047. El boletín de seguridad contiene toda la información relevante acerca de esta actualización de seguridad. Esta información incluye la lista detallada de archivos y las opciones de implementación. Para ver el boletín de seguridad completo, visite uno de los siguientes sitios web de Microsoft: • Usuarios domésticos:

http://www.microsoft.com/en/us/default.aspxspain/athome/security/update/bulletins/200708.mspx (http://www.microsoft.com/en/us/default.aspxspain/athome/security/update/bulletins/200708.mspx)

• Profesionales de IT:

http://www.microsoft.com/en/us/default.aspxspain/technet/security/bulletin/ms07-047.mspx (http://www.microsoft.com/en/us/default.aspxspain/technet/security/bulletin/ms07-047.mspx)



Volver al principio



Más información

Problemas conocidos con esta actualización de seguridad

Después de aplicar esta actualización de seguridad, no puede abrir archivos .swf en el Reproductor de Windows Media. Aparece un mensaje de error similar al siguiente:

debe instalar una versión posterior de Macromedia Flash Player...

Para obtener más información al respecto, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

941197 (http://support.microsoft.com/kb/941197/) Después de aplicar la actualización de seguridad 936782, no puede abrir archivos .swf en el Reproductor de Windows Media

Volver al principio





--------------------------------------------------------------------------------



La información de este artículo se refiere a:

• Microsoft Windows Media Player 11 sobre las siguientes plataformas

Windows Vista Home Basic

Windows Vista Home Premium

Windows Vista Ultimate

Windows Vista Business

Windows Vista Enterprise

Windows Vista Starter

Windows Vista Home Basic 64-bit edition

Windows Vista Home Premium 64-bit edition

Windows Vista Ultimate 64-bit edition

Windows Vista Enterprise 64-bit edition

Microsoft Windows XP Service Pack 2

Microsoft Windows XP Home Edition

Microsoft Windows XP Professional

Microsoft Windows XP Professional x64 Edition



• Microsoft Windows Media Player 10 sobre las siguientes plataformas

Microsoft Windows Server 2003 Service Pack 2

Microsoft Windows Server 2003 Service Pack 1

Microsoft Windows Server 2003, Standard Edition (32-bit x86)

Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)

Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)

Microsoft Windows Server 2003, Web Edition

Microsoft Windows Server 2003, Standard x64 Edition

Microsoft Windows Server 2003, Enterprise x64 Edition

Microsoft Windows Server 2003, Datacenter x64 Edition

Microsoft Windows XP Service Pack 2

Microsoft Windows XP Home Edition

Microsoft Windows XP Professional

Microsoft Windows XP Professional x64 Edition



• Microsoft Windows Media Player 9 Series sobre las siguientes plataformas

Microsoft Windows 2000 Professional Edition

Service Pack 4 de Microsoft Windows 2000

Microsoft Windows 2000 Advanced Server

Microsoft Windows 2000 Datacenter Server

Microsoft Small Business Server 2000 Standard Edition

Microsoft Windows XP Home Edition

Microsoft Windows XP Professional



• Microsoft Windows Media Player 7.1 sobre las siguientes plataformas

Microsoft Windows 2000 Professional Edition

Service Pack 4 de Microsoft Windows 2000

Microsoft Windows 2000 Advanced Server

Microsoft Windows 2000 Datacenter Server

Microsoft Small Business Server 2000 Standard Edition


[/quote]

ms.

[msc hotline sat]

y la del link que en ella se indica:



http://support.microsoft.com/kb/941197/


[quote]Después de aplicar la actualización de seguridad 936782, no puede abrir archivos .swf en el Reproductor de Windows Media

Ver los productos a los que se aplica este artículo

Id. de artículo : 941197

Última revisión : lunes, 20 de agosto de 2007

Versión : 1.0

Síntomas

Después de aplicar la actualización de seguridad 936782, no puede abrir los archivos .swf en el Reproductor de Windows Media. También recibe un mensaje de error similar al siguiente:

debe instalar una versión posterior de Macromedia Flash Player...

Volver al principio



Causa

Este problema se produce después de aplicar la actualización de seguridad que se describe en el siguiente artículo de Knowledge Base:

936782 (http://support.microsoft.com/kb/936782/) MS07-047: Una vulnerabilidad en el Reproductor de Windows Media podría permitir la ejecución remota de código

Volver al principio



Solución

Para evitar este problema, instale una versión más reciente de Adobe Flash Player. Por ejemplo, instale Flash Player v.9.0.47.0.



Nota: el 18 de abril de 2005, Adobe Systems Incorporated adquirió Macromedia. Macromedia Flash Player fue sustituido por Adobe Flash Player.



Para instalar la versión más reciente de Adobe Flash Player, visite el siguiente sitio web de Adobe:

http://www.adobe.es (http://www.adobe.es)

Microsoft proporciona información de contacto de otros proveedores para ayudarle a encontrar asistencia técnica. Esta información de contacto puede cambiar sin previo aviso. Microsoft no ofrece ninguna garantía con respecto a la exactitud de esta información de contacto con otros proveedores.



Los productos de terceros que se analizan en este artículo están fabricados por compañías independientes de Microsoft. Microsoft no otorga ninguna garantía, implícita o de otro tipo, con respecto al rendimiento o la confiabilidad de estos productos.

Volver al principio





--------------------------------------------------------------------------------



La información de este artículo se refiere a:

• Microsoft Windows Media Player 11 sobre las siguientes plataformas

Windows Vista Enterprise

Windows Vista Business

Windows Vista Home Basic

Windows Vista Home Premium

Windows Vista Ultimate

Windows Vista Starter

Windows Vista Ultimate 64-bit edition

Windows Vista Home Premium 64-bit edition

Windows Vista Home Basic 64-bit edition

Windows Vista Enterprise 64-bit edition

Microsoft Windows XP Service Pack 2

Microsoft Windows XP Professional x64 Edition



• Microsoft Windows Media Player 10 sobre las siguientes plataformas

Microsoft Windows XP Professional x64 Edition

Microsoft Windows XP Service Pack 2

Microsoft Windows Server 2003 Service Pack 1

Microsoft Windows Server 2003 Service Pack 2

Microsoft Windows Server 2003, Datacenter x64 Edition

Microsoft Windows Server 2003, Enterprise x64 Edition

Microsoft Windows Server 2003, Standard x64 Edition



• Microsoft Windows Media Player 9 Series sobre las siguientes plataformas

Microsoft Windows 2000 Advanced Server

Microsoft Windows 2000 Datacenter Server

Microsoft Windows 2000 Professional Edition

Service Pack 4 de Microsoft Windows 2000

Microsoft Small Business Server 2000 Standard Edition

Microsoft Windows XP Home Edition

Microsoft Windows XP Professional



• Microsoft Windows Media Player 7.1 sobre las siguientes plataformas

Microsoft Windows 2000 Advanced Server

Microsoft Windows 2000 Datacenter Server

Microsoft Windows 2000 Professional Edition

Service Pack 4 de Microsoft Windows 2000

Microsoft Small Business Server 2000 Standard Edition


[/quote]

ms.

[maferhi]

Dejando aparte este problema persiste el otro de los antivirus y del SpybotSD.exe.

He vuelto a instalar este programa y no se ejecuta el exe aunque está es su directorio.

Me pareceque me pasa lo mismo que asusuario SerPan.

Hay algo que les impide ejecutarse y no tenemos protección.

[msc hotline sat]

Pues por si fuera causado por la degradacion de algun fichero de sistema, pruebe REPARAR WINDOWS:




[quote="para REPARAR WINDOWS, msc"]

Sugiero proceder a REPARAR windows, arrancando con el CD de instalacion y primero seleccionar instalar, y tras detectar la particion existente, escoger REPARAR, no reinstalar para no perder las aplicaciones instaladas, y finalizar con un windowsupdate [/quote]



Y NOS COMENTA EL RESULTADO, GRACIAS



saludos



ms, 22-08-2007

[maferhi]

Por fin y despues de probar cosas he podido quitarme el virus.

Me lo ha detectado el Dr. Web y el virus era el Win32.HLLM

Despues de arrancar de nuevo y poder instalar el avast lo pasé al reiniciarse y tambien me encontró otro fichero contaminado que estaba en systen32/activescan y era el pskavs.dll y lo borró.

He instalado también el spybotsd14.exe pero se bloquea el ordenador al darle para solucionar problemas.

Me falta solucionar ésto u encontrar otro programa que lo suplante.

Por lo demás está cerrado.

[lucl]

dependiendo de cuando instalaras el spybot igual hubo algun problema y no se pudo instalar bien, prueba de desinstalarlo, reiniciar, instalar de nuevo, actualizar, inmunizar y ver si lo solucionas, nos lo comentas, saludos

[SerPan]

Aquí estamos Maferhi, para darte ánimos.

Desde luego lo de inutilizar el antivirus y spybot coincidimos. En mi caso nod32 y curiosamente el antivirus que he adoptado ahora es Avast!. Ya no me fío de nod32. De todas formas utilicé el antivirus online de nod32 como análisis final del sistema.

Has logrado determinar el tipo de virus que te entró ? Me refiero al archivo original causante.

[maferhi]

Por fin y despues de probar cosas he podido quitarme el virus.

Me lo ha detectado el Dr. Web y el virus era el Win32.HLLM

Despues de arrancar de nuevo y poder instalar el avast lo pasé al reiniciarse y tambien me encontró otro fichero contaminado que estaba en systen32/activescan y era el pskavs.dll y lo borró.

He instalado también el spybotsd14.exe pero se bloquea el ordenador al darle para solucionar problemas.

Me falta solucionar ésto u encontrar otro programa que lo suplante.

Por lo demás está cerrado.

[maferhi]

El primer virus que me detectó el Dr. Web era el fichero pci32.sys que estaba en la carpeta dricers del systen32.

El que me detecto el avast ya lo he comentado.

El spybotsd14.exe lo instalé después instalar el avast yde desinfectar todo. Por eso no me explico que se bloquee el ordenador.

Otra cosa que he detectado es que no se apaga el ordenador cuando arranco en modo seguro y sí que lo hace cuando lo hago en modo seguro con conexiones a redes.

[SerPan]

[quote="maferhi"]El primer virus que me detectó el Dr. Web era el fichero pci32.sys que estaba en la carpeta dricers del systen32.

El que me detecto el avast ya lo he comentado.

El spybotsd14.exe lo instalé después instalar el avast yde desinfectar todo. Por eso no me explico que se bloquee el ordenador.

Otra cosa que he detectado es que no se apaga el ordenador cuando arranco en modo seguro y sí que lo hace cuando lo hago en modo seguro con conexiones a redes.[/quote]

Maferhi, el último párrafo me cuesta entenderlo.

En alguna parte he leido que algunos virus-spyware-troyanos son muy recidivivos por lo que no hay que bajar la guardia. Que no te funcione bien spybot es un síntoma.

Tienes activado Restaurar Sistema ?

[maferhi]

El restaurar el sistema lo anulé desde el principio y todavía no lo he activado

[SerPan]

En mi caso lo que hice fue una defensa combinada. Como dispones de dos particiones de sistema puedes actuar desde una hacia la otra con medidas antivirus, antispyware,etc.

Un detalle : los reinicios. De alguna forma mi virus expandió sus efectos de forma más limitada a las otras particiones. Creo que lo hizo en los reinicios. En algún sitio leí que es mejor el apagado. Tras esperar un poco, encender y entrar en el otro sistema.

Incluso en sistemas afectados en uno de los apagados el bicho se resistía. Al encender y entrar en una partición recibía el mensaje de que "el sistema no se había iniciado bien". Yo suelo tener el ordenador durante días encendido y reiniciarlo mediante un script que de forma abreviada me introduce en otra partición de sistema. De esa manera creo que propicié la propagación de sus efectos.



En cuanto al último párrafo de tu aporte sigo sin entender lo que quieres decir.



Saludos

[msc hotline sat]

Pues es una gran noticia el que detectaras este PCI32.SYS que el Dr Web ha eliminado, atribuyendo que detecta un Win32.HLLM



En otras partes se le reconoce como Bagle, y no había aparecido en ninguno de los logs que has posteado, y no sé si probaste estas dos utilidades, pero en cualquier caso hazlo para eliminar los restos que hubieran podido quedar, haber si con ello se resuelve tu problema:



Prueba ELIBAGLA Y ELISTARA y nos comentas el resultado, gracias:





ELIBAGLA:

http://www.zonavirus.com/descargas/elibagla.asp



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



Tras probarlos, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



De todas formas no veo que este fichero pci32.sys haya sido nunca reportado ni consecuentemente analizado, por lo que pudiera tratarse de una nueva variante no contolada. Si fuera el caso de que lo encontraras en alguna copia de seguridad o respaldo, envianoslo para analizarlo y asi poder implementar su control y eliminacion en nuevas versiones de nuestras utilidades, gracias:





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



y de todas formas posteanos el contenido del infosat.txt resultante y tus progresos al respecto, a ver si de una vez te logramos librar de este engendro.



saludos



ms, 23-08-2007



Nota: Y como que el Bagle utiliza RootKit, mira de arrancar en modo seguro para ello, no sea que sea sus tecnicas de ocultacion las que no nos permitan verlo. ms.

[maferhi]

Siguiendo vuestra recomendación he pasado los dos programas en modo seguro y éste es el resultado:





Fri Aug 24 20:04:26 2007

EliBagle v10.47 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Fri Aug 24 20:04:29 2007

EliBagle v10.47 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Fri Aug 24 20:07:38 2007

EliBagle v10.47 (c)2007 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad F:\



Fri Aug 24 20:10:36 2007

EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Fri Aug 24 20:10:55 2007

EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Programas directos\PandaLabel\FRANCES.DLL --> Eliminado, BanLoad(dldr)



Fri Aug 24 20:13:47 2007

EliStartPage v14.50 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad F:\

F:\Documents and Settings\Mario.MARIO-KPGD8DYNI\Configuración local\Temp\nsp3.tmp\SYSTEM.DLL --> Eliminado, Yazzle1122

F:\Programas directos\PandaLabel\FRANCES.DLL --> Eliminado, BanLoad(dldr)

Ya me dirán qué es lo que es. Pero de todas maneras lo que encuentro todavía es que al abrir las páginas de internet tarda un rato en abrirlas y antes no lo hacía.