Spywares invisibles... (TERMINADO)

[manunavafer]

Recientemente he tenido problemas de virus y spywares con mi pc y creia que ya lo tenia todo solucionado. Le he pasado a mi equipo el spybot y el ad-aware y no me encuentran nada. Tambien he actualizado mi equipo con el sp2 y todas las actualizaciones prioritarias y recomendadas. (como se me ha recomendado en el foro), en definitiva mi equipo parece estar al dia. Sin embargo, le he pasado el panda active scan y me detecta hasta 18 spywares( que no han sido eliminados), 1 virus (que me ha eliminado) y un dialer ( que no ha sido eliminado). Por otra parte, mi antivirus AVG free edition, de vez en cuando me detecta 4 o 5 virus (que me parece que son siempre los mismos) los cuales alguno me lo deja eliminar y otros simplemente poner en cuarentena. Tambien le he pasado utilidades como elistar, elitempo, elitrip, cwshredder, (todo bajo supervision del foro) y no me han encontrado nada. Os envio el resultado de active scan para que le hecheis un vistazo y me comenteis que puedo hacer. Gracias y saludos.





Incidencia Estado Elemento



Adware:adware/superspider No desinfectado C:\WINDOWS\SYSTEM32\a.exe

Spyware:spyware/bridge No desinfectado C:\WINDOWS\SYSTEM32\bridge.dll

Dialer:dialer.bb No desinfectado C:\WINDOWS\SYSTEM32\dktibs.exe

Adware:adware/virmaid No desinfectado C:\WINDOWS\SYSTEM32\perfcii.ini

Adware:adware/craft No desinfectado C:\WINDOWS\SYSTEM32\web.exe

Adware:adware/ist.istbar No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\ISTprotect.inf

Adware:adware/sbsoft No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\webdlg32.inf

Adware:adware/cws No desinfectado C:\Documents and Settings\Manuel\Favoritos\ONLINE GAMBLING\Online Gambling.url

Adware:adware/popuper No desinfectado C:\Documents and Settings\Manuel\Favoritos\Black Jack Online.url

Adware:adware/cws.searchmeup No desinfectado C:\WINDOWS\mstasks1.exe

Adware:adware/msxmidi No desinfectado C:\WINDOWS\msxmidi.exe

Adware:adware/startpage.id No desinfectado C:\WINDOWS\nem216.dll

Adware:adware/wupd No desinfectado Registro de Windows

Virus:Trj/Downloader.FJJ Desinfectado C:\System Volume Information\_restore{7B878FF8-D5FD-48FA-9796-9FEA411AD4CE}\RP1\A0000051.exe

Adware:Adware/AzeSearch No desinfectado C:\System Volume Information\_restore{7B878FF8-D5FD-48FA-9796-9FEA411AD4CE}\RP1\A0000086.dll

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.1\webdlg32.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.2\webdlg32.inf

Adware:Adware/IST.ISTBar No desinfectado C:\WINDOWS\Downloaded Program Files\ISTprotect.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\webdlg32.inf

Adware:Adware/MediaTickets No desinfectado C:\WINDOWS\system32\web.exe

[msc hotline sat]

Baja el elistara.exe



Arranca en modo seguro, deshanilitala restauracion de sistema si usas XP y lanza el elistara



Me esperan para ir a almorzar. A la vuelñta estudio tu post.



saludos



ms, 19-10-2005

[msc hotline sat]

Bueno, visto con calma tu informe se observa que dos de los adwares los tienes en system volume information, asi que debes deshabilitar la restauracion de sistema para eliminarlos, además de arrancar en modo seguro, pues de lo contrario no podrías eliminarlos.



Con el ELISTARA es posible que hayas podido eliminar alguno de ellos, como el ISTBAR, depende de la variante. Si tras ello persisten las incidencias, kanza en dicho modo el SPYWARE y el AD_AWARE actualizados, segun se indica en el manual de antispywares:



https://foros.zonavirus.com/viewtopic.php?t=4795



Y con ello debería quedar solucionado el problema,



Si no es el caso, tras todo ello te pediremos nos envies un lof del HiJackThis de entonces.



Mantennos informados como respuesta de este Tema, gracias



saludos



ms, 19-10-2005

[manunavafer]

le he pasado el elistara actualizado en modo seguro y me ha encontrado 2 archivos infectados que me ha eliminado. Despues le he pasado (tambien en modo seguro) el ad-aware actualizado y el spybot y no han encontrado nada. Sin embargo, he vuelto a realizar un scaneo online con el panda Active scan y me ha encontrado 17 spyware y un dialer. estos son los resultados:





Incidencia Estado Elemento



Adware:adware/superspider No desinfectado C:\WINDOWS\SYSTEM32\a.exe

Spyware:spyware/bridge No desinfectado C:\WINDOWS\SYSTEM32\bridge.dll

Dialer:dialer.bb No desinfectado C:\WINDOWS\SYSTEM32\dktibs.exe

Adware:adware/virmaid No desinfectado C:\WINDOWS\SYSTEM32\perfcii.ini

Adware:adware/craft No desinfectado C:\WINDOWS\SYSTEM32\web.exe

Adware:adware/ist.istbar No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\ISTprotect.inf

Adware:adware/sbsoft No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\webdlg32.inf

Adware:adware/cws No desinfectado C:\Documents and Settings\Manuel\Favoritos\ONLINE GAMBLING\Online Gambling.url

Adware:adware/popuper No desinfectado C:\Documents and Settings\Manuel\Favoritos\Black Jack Online.url

Adware:adware/cws.searchmeup No desinfectado C:\WINDOWS\mstasks1.exe

Adware:adware/msxmidi No desinfectado C:\WINDOWS\msxmidi.exe

Adware:adware/startpage.id No desinfectado C:\WINDOWS\nem216.dll

Adware:adware/wupd No desinfectado Registro de Windows

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.1\webdlg32.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.2\webdlg32.inf

Adware:Adware/IST.ISTBar No desinfectado C:\WINDOWS\Downloaded Program Files\ISTprotect.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\webdlg32.inf

Adware:Adware/MediaTickets No desinfectado C:\WINDOWS\system32\web.exe







Tambien os mando mi log actual para que le hecheis un vistazo. Gracias y saludos.



Logfile of HijackThis v1.99.1

Scan saved at 0:59:17, on 20/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\system32\CTHELPER.EXE

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE

C:\Archivos de programa\iTunes\iTunesHelper.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Documents and Settings\Manuel\Mis documentos\Programas Bajados de la red\Cacheman 5.11\CacheMan en Castellano\Cacheman.exe

C:\Archivos de programa\Palm\HOTSYNC.EXE

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\CTsvcCDA.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\system32\fxssvc.exe

C:\WINDOWS\system32\slrundll.exe

C:\Archivos de programa\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Archivos de programa\Outlook Express\msimn.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Limpiar\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar2.dll

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKCU\..\Run: [Cacheman] C:\Documents and Settings\Manuel\Mis documentos\Programas Bajados de la red\Cacheman 5.11\CacheMan en Castellano\Cacheman.exe

O4 - Startup: hotsync manager.lnk = C:\Archivos de programa\Palm\HOTSYNC.EXE

O8 - Extra context menu item: &Búsqueda en Google - res://c:\windows\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://c:\windows\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1127937370562

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS1\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS2\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Servicio del iPod (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE

[msc hotline sat]

Lanza de nuevo el HJT, marca estas claves y eliminalas con FIX:



O8 - Extra context menu item: &Traducir palabra inglesa - res://c:\windows\GoogleToolbar2.dll/cmwordtrans.html



O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar2.dll/cmcache.html



O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar2.dll/cmsimilar.html



O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar2.dll/cmbacklinks.html





O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)







y estas dos son soispechosas, si no las conoces, eliminalas tambien:



O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe



O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE





Luego reinicia y mira si se han elimimnado las anomalias y nos lo cuentas como repuesta de este tema, gracias



saludos



ms, 20-10-2005

[manunavafer]

He eliminado las entradas que me habeis dicho (excepto la ultima, pues se trata de mi antigua conexion a la red) y he vuelto a realizar un scaneo online con el Panda Active Scan con unos resultados iguales o similares (17 spywares y 1 dialer) y con la eliminacion de las entradas me ha desaparecido la barra de google que tenia en el navagador. Cuando arranco windows en modo normal me carga mi configuracion y empiezo a funcionar, pero cuando arranco en modo seguro, tengo que elegir entre 2 usarios (uno soy yo y otro el administrador(que supogo que sera el tecnico que me miro el pc cuando lo compre) ), el caso es que bajo mi nombre me aparece que tengo 14 mensajes sin leer, pero al meterme lo unico que me aparece es mi escritorio. Os lo comento por si tiene algo que ver con el tema. Os posteo mi nuevo log y os mando los resultados de active scan y espero noticias sobre como eliminar los spywares y el dialer. Gracias y saludos.







Incidencia Estado Elemento



Adware:adware/superspider No desinfectado C:\WINDOWS\SYSTEM32\a.exe

Spyware:spyware/bridge No desinfectado C:\WINDOWS\SYSTEM32\bridge.dll

Dialer:dialer.bb No desinfectado C:\WINDOWS\SYSTEM32\dktibs.exe

Adware:adware/virmaid No desinfectado C:\WINDOWS\SYSTEM32\perfcii.ini

Adware:adware/craft No desinfectado C:\WINDOWS\SYSTEM32\web.exe

Adware:adware/ist.istbar No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\ISTprotect.inf

Adware:adware/sbsoft No desinfectado C:\WINDOWS\DOWNLOADED PROGRAM FILES\webdlg32.inf

Adware:adware/cws No desinfectado C:\Documents and Settings\Manuel\Favoritos\ONLINE GAMBLING\Online Gambling.url

Adware:adware/popuper No desinfectado C:\Documents and Settings\Manuel\Favoritos\Black Jack Online.url

Adware:adware/cws.searchmeup No desinfectado C:\WINDOWS\mstasks1.exe

Adware:adware/msxmidi No desinfectado C:\WINDOWS\msxmidi.exe

Adware:adware/startpage.id No desinfectado C:\WINDOWS\nem216.dll

Adware:adware/wupd No desinfectado Registro de Windows

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.1\webdlg32.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\CONFLICT.2\webdlg32.inf

Adware:Adware/IST.ISTBar No desinfectado C:\WINDOWS\Downloaded Program Files\ISTprotect.inf

Adware:Adware/SBSoft No desinfectado C:\WINDOWS\Downloaded Program Files\webdlg32.inf

Adware:Adware/MediaTickets No desinfectado C:\WINDOWS\system32\web.exe









Logfile of HijackThis v1.99.1

Scan saved at 22:55:47, on 20/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Limpiar\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar2.dll

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKCU\..\Run: [Cacheman] C:\Documents and Settings\Manuel\Mis documentos\Programas Bajados de la red\Cacheman 5.11\CacheMan en Castellano\Cacheman.exe

O4 - Startup: hotsync manager.lnk = C:\Archivos de programa\Palm\HOTSYNC.EXE

O8 - Extra context menu item: &Búsqueda en Google - res://c:\windows\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Traducir palabra inglesa - res://c:\windows\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\windows\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\windows\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\windows\GoogleToolbar2.dll/cmbacklinks.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1127937370562

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS1\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS2\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Servicio del iPod (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE

[flacoroo]

1.- Enciende tu computadora en modo seguro, y deshabilita Restaurar Sistema.



2.- Spybot debe estar actualizado.



3.- Abre tu Spybot …sigue estos pasos:



a).- en el menú modo toma la opción avanzado.

b).- entras en la pestaña herramientas

c).- del lado derecho te aparecerán varias opciones, habilitas todas

d).- después entras a información de desinstalación y vas uno por uno buscando programas que creas que no haz instalado o programas que pueden llevarte a que sea lenta la computadora o tenga fallas, como toolsbars, programas gratuitos para mejorar el puntero del Mouse, emoticons, etc…

e).- También debes eliminar cadenas de programas que están solas o que no hagan referencia a un programa especifico.

Ejemplo: mxhsjxhsga1237493021%dffg$$$hdhdhsjs



f).-Después entras en Inicio de sistemas

g:- Ahí veras a todos los programas que se cargan al comenzar Windows…de lado derecho hay una imagen como un pequeño teclado dale clic para que se abra una ventana…y ahora iras de arriba hacia abajo o inversa…chécando uno por uno cada archivo y ayudándote con la información que te sale lado derecho donde dice base de datos iras haciendo lo siguiente:

1.- deshabiltar todas las que te digan NO NECESARIO…

2.- Eliminar todas las que te digan : virus, troyano, innecesario, etc.

3.-en caso de que no te salga información sobre un programa, debes de ver de que programa es, si vez que es un programa conocido pues no lo deshabilites, en la parte de abajo hay unos archivos que dicen WINLOGON esos no los deshabilites (en caso de tenerlos)

h).- de ahí te iras a la opción Partes Internas del Sistemas y oprimes la opción comprobar y si te sale algo en la ventana de abajo le das reparar los problemas seleccionado y le das borrar a todos.

i).- de ahí te vas a la opción BHOs y eliminas las cadenas que no están en verde

j).- de ahí también el mismo procedimiento a la siguiente opción ActiveX



y de ahí corres el spybot y eliminas todo lo que te salga y inmunizas….





nos dices como te fue.....

[maura63]

Esta si la borraste vuelve a aparecer



O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)



Saludos

maura63

[manunavafer]

He hecho todo lo que me habeis dicho y he vuelto a realizar un scaneo online con los mismos resultados.(spwares y un dialer) En el spybot he tenido que hacer alguna de las cosas mencionados, pero muy pocas, pues todo parecía estar ok. Confio en que podais ayudarme. Gracias y saludos

[MAGO OSCURO]

mira unas de las tantas recomendasiones este que primero limpies bien tu registro



http://regseeker.softonic.com/ie/23620



muy importante tener marcado con una palomita "backup antes de suprimir" OK



luego elimina los archivos temporales



http://ccleaner.softonic.com/ie/32736



y pues realmente miren esto ultimo pues no se si es aconsejaple pero bueno has intentado eliminar manualmente los archivos????? claro en modo seguro y pues con la restauracion del sistema desactivada claro esta y despues de esto un limpieza del registro para elimar rastro alguno de los bichos y como ultima opcion a largo plaso pues consiguete un buen conrtafuego el de windows no sirve le hase los mandados a los virus yo te aconsegu zonealrm y pues espero que te vaya muy bien con este problema.



y porcierto lo re sorprendas si en los analis de registro te detecta no se 200 o 300 o el elimador de archivos temporales de marca talves que va a a eliminar como 200 MB ya veras como tu pc buena por la nuves despues de esto...

[msc hotline sat]

Para este dialer resistente ydemas, podrías probar el CWSHREDDER arrancando en modo seguro:



_________



CWSHREDDER 2.14





http://cwshredder.net/bin/CWShredder.exe

_________



y nos comentas el resultado, gracias



saludos



ms, 22-10-2005

[manunavafer]

Le he pasado el regseeker y me ha eliminado muchas entradas invalidas (más de 600), tambien le he vuelto a pasar el cwrshredder sin que me halla encontrado nada. El ccleaner es uno de los programas que utilizo frecuentemente para limpiar mi pc. Noto mi ordenador quizás algo mas rápido que antes y su funcionamiento parece bueno, no noto ninguna anomalia, pero los spywares y el dialer siguen ahi (cuando analizo con panda active scan). Tambien he probado a eliminarlos manualmente, pero sólo he podido eliminar uno. Espero vuestra ayuda. Gracias y un saludo.

[msc hotline sat]

Pues posteanos un nuevo log del HJT, a ver como lo tienes ahora...





saludos



ms, 28-10-2005

[manunavafer]

Os mando mi log actual. Saludos y gracias.

Logfile of HijackThis v1.99.1

Scan saved at 0:53:37, on 29/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\CTsvcCDA.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\system32\fxssvc.exe

C:\WINDOWS\system32\slrundll.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Limpiar\HijackThis.exe



R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\windows\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\windows\googletoolbar2.dll

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

O8 - Extra context menu item: &Búsqueda en Google - res://c:\windows\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1127937370562

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS1\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O17 - HKLM\System\CS2\Services\Tcpip\..\{22F94163-3D31-4B00-B086-FE26DC08C37B}: NameServer = 80.58.61.250,80.58.61.254

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Servicio del iPod (iPodService) - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE

[msc hotline sat]

Unicamente debes ver si conoces estas aplicaciones, y sino, eliminalas:



O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Archivos de programa\Virtual CD v4 SDK\system\vcssecs.exe



O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Archivos de programa\WinPoET Broadband Connection\WrOS.EXE



saludos



ms, 29-10-2005



NOTA: Al respecto del WROS.EXE, Wilkinson indica:


[quote="wilkinson"]
WROS / WinPPPoverEhernet

Archivo Fabricante: wros.exe / WinPPPoverEthernet.exe (iVasion)



Que es: Es la aplicacion encargada de realizar conexiones de banda ancha de iVasion. Este software en Colombia se usa para realizar conexiones a travez de banda ancha ADSL de ETB. Solo Windows NT4/2000/XP.

Autor: iVasion, a Routerware Company

Hace parte de: WinPOET Broadband Conection

Es un proceso del Sistema de Windows: NO

Riesgo a la seguridad: NO

Se conecta a Internet ó Red: SI

Observaciones: Este proceso es parte integral del servicio de conexion a Internet, si lo cierra bloqueara su conexion.

Permitir que se cargue automaticamente al inicio: Permitir [/quote]



y sonre la otra, hay esta informacion:



http://castlecops.com/o23list-114.html





Por lo que ninguna de las dos parece ser malware...



Sugerencias Lance el ELISTARA a ver si detecta algo mas, elimine temporales, desactive el mensajero del messenger,... ms.

[manunavafer]

Esas entradas son conocidas para mi. Ya le he pasado todos los programas y aplicaciones recomendados pr el foro y esos spywares y el dialer siguen en mi pc. Por otra parte, el ordenador parece funcionar con normalidad excepto alguna vez que me queda colgado y me da un error en dwrn32.exe( o algo asi). Cuando esto me ocurre la unica solucion es apagar y encender de nuevo el pc, pues este no responde a nada. Si teneis alguna solucion mas, ruego me lo comuniqueis. Saludos y gracias.

[msc hotline sat]

Por el nombre que nos ha indicado )dwrn32.exe) no hay informacion. O es otro y nos lo indica con exactitud, o nos envia el fichero (mejor), anexado a un mail dirigido a zonavirus@satinfo.es en cuyo texto omdique referencia "REF dwrn32" y lo analizaremos e informaremos como respuesta de este Tema



Ya olvidese del log del HJT pues esta limpio.



Mire en todo caso las aplicaciones instaladas en Panel de control -> Afregar o Quitar programas, a ver si ve alguna que no conoce y nos lo dice.



saludos



ms, 5-12-2005

[manunavafer]

Hace varios dias que envie un archivo para se analizado y aun no he obtenido respuesta. El archivo a analizar era drwtsn32.exe. Ruego me mantegais informado a la mayor brevedad. Gracias y saludos

[msc hotline sat]

CLaro. no encontramos en su monento el Tema donde contestar por discrepar la referencia indicada en su mail con la de este Tema.



Nos indicó DRWN32 y en el Tema figuraba DWRN32 y los buscadores son tontos, un intercambio de letras no lo aceptan :lol: :lol: :lol:



El ficherorecibido es identico al del sistema operativo, y en consecuencia no hay ninguna traza virica.



saludos



ms, 11-11-2005

[manunavafer]

Puesto que no consigo eliminar esos bichos de ninguna forma y el pc me funciona correctamente, si quereis, podemos dar el tema por cerrado. En caso de que me aparezca alguna anomalia os lo comunicaré para intentar solucionarlo. Muchas gracias por vuestra ayuda y saludos.

[msc hotline sat]

Pues damos por terminado el Tema a su voluntad, procedeindo a cerrar el Tema en consecuencia, y si necesita de nuevo de nosotros, ya sabe donde estamos



saludos



ms, 18-11-2005