WinAdTools y WinRatchet

[Didac]

Hola, me gustaria saber que funcion tienen estos procesos:

WinAdTools.exe y WinRatchet.exe



En agregar o quitar programas, intento desinstalar el WinAdTools pero no me deja... :x



Desde que tengo esos procesos, me sale continuamente el mensaje de Windows ha detectado un problema en Explorer y debe cerrarse...., y claro, se cierra :cry:



Tambien, me sale (ahora mismo acaba de salirme, mientras escribo este post), una pagina web de Cool Search...



He intentado hacer (he hecho) todo lo que aconsejais en esta web, o sea, iniciar en modo seguro, pasar el antivirus online, pasar en ad-aware, el spybot, spywareblaster, etc... y nada... la cosa sigue igual :cry:



Aqui dejo el log de Hijackthis, por si es de ayuda:



Logfile of HijackThis v1.98.2

Scan saved at 11:01:11, on 01/11/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\savedump.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

C:\Program Files\Windows AdTools\WinAdTools.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Windows AdTools\WinRatchet.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Documents and Settings\Didi\Escritorio\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [x7mP3nR] mmdclass.exe

O4 - HKLM\..\Run: [Windows AdTools] C:\Program Files\Windows AdTools\WinAdTools.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [gw5FRhd4e] creml3.exe

O4 - HKCU\..\Run: [Iarb] C:\Documents and Settings\Didi\Datos de programa\neoc.exe

O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /0

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {1D0D9077-3798-49BB-9058-393499174D5D} - file://c:\counter.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096135035107

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {D03A1C33-1913-4533-A8C1-F2C8D13045DE} - http://www.cjb.net/search.cab



Espero que podais ayudarme ya que no se que mas puedo hacer...

Gracias de antenamo! :)

[maura63]

Nada bueno, pasa estos programas.



Eliminacion de adwares y spywares

Pasos a seguir una ver descargados es instalarlos, actualizados (update) y escanear el sistema





Sitio 1 - Descargar Spybot - Search & Destroy 1.3

http://kujoe.com/freeware/spybot.php

----------------------------------------------------------------

Sitio 2 - Descargar Spybot - Search & Destroy 1.3 desde zonavirus.com

http://www.zonavirus.com/descargas/spybot-sd.asp









Ad-Aware SE Personal Build 1.05 + Parche en español

http://www.infospyware.com/





Descarga, actualiza y los pasas y luego conecta con windows update y actualiza tu sistema operativo.



Saludos

maura63

[Didac]

Vale, he vuelto ha hacer lo que me dices, pero nada, me sigue dando error el explorer.exe, y sigue saliendome esta puñetera página cuando pincho a un enlace sobretodo, esta: http://www.coolsearch.biz/search.htm.

Los WinAdTools me los he cargado a lo bestia, o sea, encontré una carpeta en Program Files con ese nombre y la borré; y de momento ya no salen como procesos. Pero por lo que veo ese no era el problema....

En cuanto a lo de actualizar el sistema operativo en Windows Update, me falta el SP2, pero lo instalé hace un mes y no me iba internet... por lo que lo desinstalé.... :roll:

Recomiendas que lo vuelva a instalar????

Gracias por el interés :)



Pongo aquí el log y startuplist de Hijackthis:



Logfile of HijackThis v1.98.2

Scan saved at 14:58:19, on 02/11/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Documents and Settings\Didi\Escritorio\HijackThis.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [x7mP3nR] mmdclass.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [gw5FRhd4e] creml3.exe

O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /0

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O16 - DPF: {1D0D9077-3798-49BB-9058-393499174D5D} - file://c:\counter.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O16 - DPF: {D03A1C33-1913-4533-A8C1-F2C8D13045DE} - http://www.cjb.net/search.cab





***Aqui pego el StartUpList***************************************



StartupList report, 02/11/2004, 14:58:56

StartupList version: 1.52.2

Started from : C:\Documents and Settings\Didi\Escritorio\HijackThis.EXE

Detected: Windows XP (WinNT 5.01.2600)

Detected: Internet Explorer v6.00 (6.00.2600.0000)

* Using default options

==================================================



Running processes:



C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Documents and Settings\Didi\Escritorio\HijackThis.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE



--------------------------------------------------



Checking Windows NT UserInit:



[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

UserInit = C:\WINDOWS\system32\userinit.exe,



--------------------------------------------------



Autorun entries from Registry:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run



NvCplDaemon = RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

nwiz = nwiz.exe /install

SoundMan = SOUNDMAN.EXE

SunJavaUpdateSched = C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe

NeroFilterCheck = C:\WINDOWS\system32\NeroCheck.exe

x7mP3nR = mmdclass.exe



--------------------------------------------------



Autorun entries from Registry:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run



CTFMON.EXE = C:\WINDOWS\System32\ctfmon.exe

MSMSGS = "C:\Archivos de programa\Messenger\msmsgs.exe" /background

NvMediaCenter = RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

gw5FRhd4e = creml3.exe

SpySweeper = "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /0



--------------------------------------------------



Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:



Shell=*INI section not found*

SCRNSAVE.EXE=*INI section not found*

drivers=*INI section not found*



Shell & screensaver key from Registry:



Shell=Explorer.exe

SCRNSAVE.EXE=C:\WINDOWS\System32\logon.scr

drivers=*Registry value not found*



Policies Shell key:



HKCU\..\Policies: Shell=*Registry key not found*

HKLM\..\Policies: Shell=*Registry value not found*



--------------------------------------------------





Enumerating Browser Helper Objects:



(no name) - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F}

(no name) - C:\WINDOWS\System32\CustomIE32.dll - {CBEFB350-ED5B-4115-B846-C1041676B377}



--------------------------------------------------



Enumerating Download Program Files:



[Shockwave ActiveX Control]

InProcServer32 = C:\WINDOWS\system32\Macromed\Director\SwDir.dll

CODEBASE = http://active.macromedia.com/director/cabs/sw.cab



[{1D0D9077-3798-49BB-9058-393499174D5D}]

CODEBASE = file://c:\counter.cab



[Symantec AntiVirus scanner]

InProcServer32 = C:\WINDOWS\Downloaded Program Files\avsniff.dll

CODEBASE = http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab



[Symantec RuFSI Utility Class]

InProcServer32 = C:\WINDOWS\Downloaded Program Files\rufsi.dll

CODEBASE = http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab



[HouseCall Control]

InProcServer32 = C:\WINDOWS\DOWNLO~1\xscan53.ocx

CODEBASE = http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab



[Update Class]

InProcServer32 = C:\WINDOWS\System32\iuctl.dll

CODEBASE = http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38293.2406481481



[BerbCln Object]

InProcServer32 = C:\WINDOWS\Downloaded Program Files\BerbCln.dll

CODEBASE = http://www.microsoft.com/en/us/default.aspxsecurity/controls/Berbew/0/BerbCln.CAB



[{D03A1C33-1913-4533-A8C1-F2C8D13045DE}]

CODEBASE = http://www.cjb.net/search.cab



[Shockwave Flash Object]

InProcServer32 = C:\WINDOWS\System32\macromed\flash\Flash.ocx

CODEBASE = http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab



--------------------------------------------------



Enumerating ShellServiceObjectDelayLoad items:



PostBootReminder: C:\WINDOWS\system32\SHELL32.dll

CDBurn: C:\WINDOWS\system32\SHELL32.dll

WebCheck: C:\WINDOWS\System32\webcheck.dll

SysTray: C:\WINDOWS\System32\stobject.dll



--------------------------------------------------

End of report, 5.128 bytes

Report generated in 0,030 seconds



Command line options:

/verbose - to add additional info on each section

/complete - to include empty sections and unsuspicious data

/full - to include several rarely-important sections

/force9x - to include Win9x-only startups even if running on WinNT

/forcent - to include WinNT-only startups even if running on Win9x

/forceall - to include all Win9x and WinNT startups, regardless of platform

/history - to list version history only





Gracias!!

[maura63]

En modo seguro elimina estas entradas con hijackthis marcandolas y pulsa FIX, desactiva restaurar sistema antes.



O4 - HKLM\..\Run: [x7mP3nR] mmdclass.exe

O4 - HKCU\..\Run: [gw5FRhd4e] creml3.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k



O16 - DPF: {1D0D9077-3798-49BB-9058-393499174D5D} - file://c:\counter.cab

O16 - DPF: {D03A1C33-1913-4533-A8C1-F2C8D13045DE} - http://www.cjb.net/search.cab



Saludos

maura63

[msc hotline sat]

Mientras existan problemas con la subida de utilidades a esta web, y poder utilizar el ELISTARA ultimo que controlaría este trpyano, sugiero te descargues el CWSHREDDER y arranques en modo seguro y lo lances, ytas lo cual al final, pulses en FIX:



_________



CWSHREDDER 2.0



http://www.softpedia.com/public/cat/10/17/10-17-150.shtml



_________



saludos



ms, 2-11-2004

[Didac]

Hecho, este se me resiste:



O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k



lo borro, pero al reiniciar la máquina, vuelve a aparecer. :cry:



Este no me salió en Modo Seguro, lo borre en modo normal...:



O4 - HKCU\..\Run: [gw5FRhd4e] creml3.exe



y de momento no aparece.



Sigo teniendo el mismo problema con explorer.exe, una vez reiniciada la máquina, al querer ir a MiPc o MisDocumentos... o cualquier sitio de C:/ me sale el error y se cierra el explorer.exe, lo que hago es ejecutarlo desde el Administrador de tareas y entonces ya no me da más problemas, hasta que reinicio otra vez... :(



La pagina http://www.coolsearch.biz/search.htm. de momento no ha vuelto ha salir, cosa que me produce un gran alivio... :wink:



CWSHREDDER 2.0 no me detecta nada malicioso.



Deduzco que la raiz del problema puede ser la dichosa entrada:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k



No?



A ver si sabeis como eliminarla...

Gracias por vuestro interés!





EDITO-> Me acaba de salir la dichosa página ahora mismo pinchando en uno de vuestros hilos... mi gozo en un pozo :( Vamos, que sigo igual...

[msc hotline sat]

Mira en:



http://www.wheresjames.com/index.php?page=sa&fname=dumprep%200%20-k&company=&show=1



he de irme. Mañana seguimos si otros no te han contetsado



saludos



ms, 2-11-2004

[Didac]

El link que me has dejado explica lo que significa esa entrada: "dumprep.exe corresponde a Windows Error Dump Reporting Tool, que se refiere a la ventana de notificacion de error al descargar o

aplicar una herramienta determinada" y recomienda que compre jejej el WinTasks.



Investigano por ahí he conseguido borrar la entrada, siguiendo esta información:



Filename: dumprep 0 -k dumprep 0 -u

Program Title: kernelfaultcheck

Rating: 2 ( Not Required at Startup - Application Launcher, Microsoft Office Application )

Comments: Used in connection with memory dumps - you can disable these by - right clicking on My Computer, selecting Properties and then the Advanced tab. Click on the Settings button in 'Startup and Recovery'. In the bottom pane - under 'Write debugging information' - click on the down arrow and then select 'None' - OK your way out



Ahora bien, no se si he hecho lo correcto. La entrada ya no aparece...



Y bueno.... el problema con explorer.exe continua y la página http://www.coolsearch.biz/search.htm sigue saliendo... :x



Siento ser tan pesado, pero antes de formatear la pc :cry: quiero estar seguro de que he hecho todo lo posible por arreglar el problema.



Espero vuestra desinteresada ayuda :wink:

[msc hotline sat]

Esta tarde subiremos un nuevo ELISTARA.EXE v 3.9 que contempla el coolsearch.biz. Pruebala.



saludos



ms, 3-11-2004

[maura63]

Parasito CWS



Field Value

GUID {CBEFB350-ED5B-4115-B846-C1041676B377}

Filename CustomIE.dll, CustomIE32.dll

Status X BHO

Description CoolWebSearch parasite variant





O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll



Te falta el SP1 en el XP e IE, has conectado con windows update :?:



Saludos

maura63

[Didac]

Por fin! :D

He borrado la entrada que mencionas en modo seguro con Hijackthis: O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll



y adios a todos los problemas. Parece mentira que una puñetera linea pueda causar tantos problemas....



Pues ya está, lo habeis conseguido!!!! y sin necesidad de pasar utilidad alguna, solo con borrarla con Hijackthis desaparece.



Que yo sepa...si instalé el SP1. Cuando conecto a Windows Update me dice que me falta el SP2, pero ya comente que lo instalé anteriormente y me daba problemas con internet, vamos, que no me funcionaba.

Instalo el SP2 o no??? (Ahora tengo otro modem, por el cambio de velocidad y tal...)



Gracias de nuevo. Cómo diria Annibal:

[img]http://www.the-ateam.tv/smallpics/hannibalmenu.gif[/img]

Me gusta que los planes salgan bien...

[msc hotline sat]

Pues solucionado el problema, se cierra el Tema. Gracias por indicarnos el resultado de las pruebas



saludos



ms, 4-11-2004