Afectado por el trj/ezones.a (Solucionado)

[Arcangel]

Hola, sabe alguien como eliminar este virus, hace que la pagina de inicio me cambie y aunque intente poner lo de google al reiniciar el navegador me vuelve a cambiar, creo que habia una utilidad por ahi que servia para evitar cambios de pagina de inicio, que lo bloqueaba en el registro o algo asi ¿como se llamaba?

[maura63]

No nos dices que sistema operativo usas, ni tipo de conexcion.

Si tienes adsl intenta arrancar en modo seguro con funciones de red y pasa este antivirus de Pnada online que al parecer lo detecta y limpia.



· Panda Software

http://www.pandasoftware.es/activescan/es/activescan_principal.htm





Saludos

maura63

[maura63]

Pasa tambien estos anti-spyware



Eliminacion de adwares y spywares



Spybot S&D



Sitio 1 - Descargar Spybot - Search & Destroy 1.3

http://kujoe.com/freeware/spybot.php

----------------------------------------------------------------

Sitio 2 - Descargar Spybot - Search & Destroy 1.3 desde zonavirus.com

http://www.zonavirus.com/descargas/spybot-sd.asp



Ad_Aware SE



Ad-Aware SE Personal Build 1.05 + Parche en español

http://www.infospyware.com/





Eliminación de paginas de inicio en el internet explorer y no restaurables,dialers,secuestros del navegador, etc:





CWSHREDDER 2.0



http://www.softpedia.com/public/cat/10/17/10-17-150.shtml





Pasos a seguir una ver descargados es instalarlos, actualizados (update) y escanear el sistema siempre en modo seguro o modo a prueba de fallos segun sistema operativo y finalizar solucionando problemas o eliminar todo lo que detecten. No olvidar en el caso de Spybot pulsar sobre inmunizar hasta que nos indique que todos los elementos malignos estan bloqueados.



********************************************

Luego arranca el ordenador y comprueba de resultado, de no haberse arreglado descarga este otro y sigue las instrucciones.



· Hijackthis version: 1.98.2



Sitio 1 - Descargar Hijackthis

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

-------------------------------------------------------------

Sitio 2 - Descargar Hijackthis desde zonavirus.com

http://www.zonavirus.com/descargas/hijackthis.zip





Descarga y descomprimes, con todos los programas cerrados incluso el internet explorer, lo ejecutas, pulsa scan y luego en save, se abrira un fichero log txt con el resultado, haz un copiar y pegas el resultado como respuesta a este tema.





Saludos

maura63

[Arcangel]

Perdonarme, se me olvido completamente, realmente le ha pasado a un compañero mio, os detallo los datos



S.O.:win98

Conexion: Telefonica tarifa plana(no adsl)

Antivirus: Panda titanium 7 (no el especializado en internet)

Me comento que habia pasado el antivirus online de panda(ese mismo que poneis) y no le detecto nada, quiza no lo paso en modo seguro pero....win 98 ¿tiene modo seguro?, me parece que tiene modo a prueba de fallos ¿sera lo mismo no?

El spybot tambien se lo paso y no le dice que tenga nada, solo me falta el adware, veremos que tal le va.

Gracias de todos modos a los dos por contestar

¿conoceis este virus o os suena de algo? por que he estado buscando por internet y no he encontrado mucho relacionado con esto.

Nada mas

Saludos

[maura63]

Con windows 98 es en modo a prueba de fallos y no puede aunque tuviera adsl pasar con funciones de red.



Que antivirus o programa le detecto el nombre en concreto :?:



Que pase todos los programas que no haran ningun daño y de seguir el problema utilizad el hijackthis y pegar el log.

Efectivamente hay poca informacion.



Mira en c: si tiene algo parecido a [color=red]zone0[/color]



Comprueba con windows update que no le falten actualizaciones, y mira si hay algo raro en la carpeta favoritos.



Saludos

maura63

[Arcangel]

Hola, ahora estoy en la casa del amigo, espero me podais responder antes de que me vaya.

De momento no he encontrado nada parecido a zone0 en C: pero si he encontrado en arhivos temporales de internet/content.ie5 un archivo llamado zone02[1].exe, he pasado el programa que me comentais y este es el log que ha salido, otra cosa la informacion del virus fue sacada del panda titanium 7

Este es el log



Logfile of HijackThis v1.98.2

Scan saved at 12:37:50, on 19/11/04

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\ARCHIVOS DE PROGRAMA\PANDA ANTIVIRUS TITANIUM\APVXDWIN.EXE

C:\WINDOWS\LOADQM.EXE

C:\WINDOWS\SYSTEM\LP7M6TDGZFTHD.EXE

C:\WINDOWS\SYSTEM\XUTJ1D7IGU99X.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\ARCHIVOS DE PROGRAMA\PANDA ANTIVIRUS TITANIUM\PAVPROXY.EXE

C:\SEGURIDAD INFORMATICA\HIJACKTHIS.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=31130

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.telefonica.net/bienvenida/default.cfm?canal=5119

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer proporcionado por Telefónica Net

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\SYSTEM\JKWFSP~1.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [Control handler] C:\WINDOWS\SYSTEM\LP7M6TDGZFTHD.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKCU\..\Run: [romahere3] C:\WINDOWS\SYSTEM\XUTJ1D7IGU99X.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {4B0999FD-6937-11D5-8FEC-00606779369C} (NetConf) -

O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://greg-tut.com/G7/chm10.chm::/ieloader.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab



La primera linea del registro he probado a borrarla pero al reiniciar el navegador vuelve a aparecer el cambio de pagina.

Pues nada mas, espero podais ayudarnos.

Saludos

[carolxsiempre]

Marca las siguientes entradas y pulsa fix para eliminarlas:



C:\WINDOWS\SYSTEM\LP7M6TDGZFTHD.EXE

C:\WINDOWS\SYSTEM\XUTJ1D7IGU99X.EXE



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=31130

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.telefonica.net/bienvenida/default.cfm?canal=5119

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\SYSTEM\JKWFSP~1.DLL

C:\WINDOWS\SYSTEM\LP7M6TDGZFTHD.EXE

C:\WINDOWS\SYSTEM\XUTJ1D7IGU99X.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://greg-tut.com/G7/chm10.chm::/ieloader.exe



Saludos

Carolxsiempre

[Arcangel]

Bueno ante todo muchas gracias, gracias a lo que has puesto hemos conseguido solucionarlo, parece que por fin ya no aparece la dichosa pagina esa rara de inicio.

Gracias otra vez

Saludos

[maura63]

Solucionado el tema lo cerramos.



Saludos

maura63