Pensaba que me encontraba protegido de cualquier amenaza por tener un antivirus (NOD32), un Firewall (ZoneAlarm), un AntiSpyware (SpywareDoctor) y la herramienta de Windo*s: Windo*s Defender, pero no!
Creo que fué por intentar instalar un permiso para ver un video (que arrepentido estoy
).
En fin me di cuenta porque comenzaron ha abrirce páginas en el Internet Explorer, mientras navegaba con Firefox y NOD32 muestra (aunlo hace) los siguientes avisos:
Cita:
Hora Módulo Objeto Nombre Amenaza Acción predeterminada Usuario Información general del sistema
21/03/2007 12:26:42 p.m. IMON Archivo http://82.98.235.61/ms_s_2.dll?uid=6CDE87BAD31211DB9B920015C55D3487&gu id=bcbaf056+2D36A19DC193448CBB4072B716072697 Win32/Spy.VBStat.J (Troyano) Puesto en cuarentena - Conexión terminada SISTEM\Usuario
21/03/2007 12:26:35 p.m. AMON Archivo C:\DOCUME~1\Usuario\CONFIG~1\Temp\nifysuub.dll Win32/Adware.Virtumonde.HB aplicación Puesto en cuarentena - Eliminado SISTEM\Usuario Suceso ocurrido cuando se produjo un intento de crear un archivo por la aplicación C:\WINDOWS\Explorer.EXE. El archivo ha sido movido a la carpeta Cuarentena. Puede cerrar esta ventana.
21/03/2007 12:26:32 p.m. IMON Archivo http://82.98.235.61/nauj/really.dll?uid=6CDE87BAD31211DB9B920015C55D3487&gu id=bcbaf056+2D36A19DC193448CBB4072B716072697 Win32/BHO.G (Troyano) Puesto en cuarentena - Conexión terminada SISTEM\Usuario
21/03/2007 12:26:23 p.m. IMON Archivo http://82.98.235.61/ffa/midas20070305.dll?uid=6CDE87BAD31211DB9B920015C55D 3487&guid=bcbaf056+2D36A19DC193448CBB4072B71607269 7 Win32/Adware.Virtumonde.HB aplicación Puesto en cuarentena - Conexión terminada SISTEM\Usuario
21/03/2007 12:26:12 p.m. AMON Archivo C:\DOCUME~1\Usuario\CONFIG~1\Temp\wojnlosh.exe Win32/Adware.Toolbar.SearchColours aplicación Puesto en cuarentena - Eliminado SISTEM\Usuario Suceso ocurrido cuando se produjo un intento de crear un archivo por la aplicación C:\WINDOWS\Explorer.EXE. El archivo ha sido movido a la carpeta Cuarentena. Puede cerrar esta ventana.
21/03/2007 12:26:05 p.m. IMON Archivo http://82.98.235.61/execpyd.exe?uid=6CDE87BAD31211DB9B920015C55D3487&g uid=bcbaf056+2D36A19DC193448CBB4072B716072697 Win32/Adware.Toolbar.SearchColours aplicación Puesto en cuarentena - Conexión terminada SISTEM\Usuario
21/03/2007 10:55:30 a.m. AMON Archivo C:\DOCUME~1\Usuario\CONFIG~1\Temp\qxdrmyxh.dll Win32/Adware.Virtumonde.HB aplicación Puesto en cuarentena - Eliminado SISTEM\Usuario Suceso ocurrido cuando se produjo un intento de crear un archivo por la aplicación C:\WINDOWS\explorer.exe. El archivo ha sido movido a la carpeta Cuarentena. Puede cerrar esta ventana.
21/03/2007 10:55:26 a.m. IMON Archivo http://82.98.235.61/ffa/midas20070305.dll?uid=6CDE87BAD31211DB9B920015C55D 3487&guid=bcbaf056+2D36A19DC193448CBB4072B71607269 7 Win32/Adware.Virtumonde.HB aplicación Puesto en cuarentena - Conexión terminada SISTEM\Usuario
21/03/2007 10:55:06 a.m. AMON Archivo C:\DOCUME~1\Usuario\CONFIG~1\Temp\lskaindf.exe Win32/Adware.Toolbar.SearchColours aplicación Puesto en cuarentena - Eliminado SISTEM\Usuario Suceso ocurrido cuando se produjo un intento de crear un archivo por la aplicación C:\WINDOWS\explorer.exe. El archivo ha sido movido a la carpeta Cuarentena. Puede cerrar esta ventana.
|
Decidí escanear con todo lo que tengo y NOD32 no detectaba nada, el Spyware detectaba algunos y los eliminaba, y volvían a aparecer las amenazas en NOD32.
Entre a ver unos foros de ustedes y seguí algunos pasos, el resultado de Panda ActiveScan es el siguiente:
Cita:
Incidencia Estado Elemento
Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\hggefcd.dll
Herramienta potencialmente no deseada:application/mywebsearch No desinfectado hkey_classes_root\clsid\{9AFB8248-617F-460d-9366-D71CDEDA3179}
Virus:Trj/BHO.A Desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\abyqrbds.dll
Adware:Adware/WinAntivirus2006 No desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\berfpvqe.dll
Virus:Trj/BHO.A Desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\nemhhnml.dll
Adware:Adware/WinAntivirus2006 No desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\qjhoipws.dll
Adware:Adware/WinAntivirus2006 No desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\tysuired.dll
Adware:Adware/WinAntivirus2006 No desinfectado C:\Documents and Settings\Usuario\Configuración local\Temp\ujwfceto.dll
Spyware:Cookie/YieldManager No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@ad.yieldmanager[1].txt
Spyware:Cookie/Azjmp No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@azjmp[2].txt
Spyware:Cookie/Casalemedia No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@casalemedia[1].txt
Spyware:Cookie/FastClick No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@fastclick[1].txt
Spyware:Cookie/Mediaplex No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@mediaplex[1].txt
Spyware:Cookie/Winantivirus No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@winantivirus[2].txt
Spyware:Cookie/Winantivirus No desinfectado C:\Documents and Settings\Usuario\Cookies\usuario@www.winantivirus[1].txt
Spyware:Cookie/Mediaplex No desinfectado C:\Documents and Settings\Usuario\Datos de programa\Mozilla\Firefox\Profiles\ek5qnesu.default \cookies.txt[.mediaplex.com/]
Spyware:Spyware/Virtumonde No desinfectado C:\WINDOWS\system32\pmnkhgg.dll
|
El resultado de Norton Scan es el siguiente:
Cita:
C:\WINDOWS\system32\ddabb.dll está infectado con Trojan.Vundo
C:\WINDOWS\system32\hggefcd.dll está infectado con Trojan.Vundo
C:\WINDOWS\system32\pmnkhgg.dll está infectado con Trojan.Vundo
|
El log que me muestra HijackThis es el siguiente:
Cita:
Logfile of HijackThis v1.99.1
Scan saved at 08:38:21 a.m., on 22/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Archivos de programa\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe
C:\Archivos de programa\Java\jre1.5.0_11\bin\jusched.exe
C:\Archivos de programa\Eset\nod32kui.exe
C:\Archivos de programa\Windows Defender\MSASCui.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIA CL.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe
C:\Archivos de programa\Free Download Manager\fdm.exe
C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexStoreSvr.exe
C:\Archivos de programa\Spyware Doctor\swdoctor.exe
C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
C:\ARCHIV~1\Mozilla Firefox\firefox.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Microsoft Office\OFFICE11\POWERPNT.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Archivos de programa\HJT\HijackThis.exe
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O4 - HKLM\..\Run: [RaidTool] C:\Archivos de programa\VIA\RAID\raid_to
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe
O4 - HKLM\..\Run: [SW24] C:\WINDOWS\system32\sw24.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Windows Defender] "C:\Archivos de programa\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [\\ADMINISTRATIVO\EPSON Stylus CX3700 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIA CL.EXE /P43 "\\ADMINISTRATIVO\EPSON Stylus CX3700 Series" /O6 "USB001" /M "Stylus CX3700"
O4 - HKLM\..\Run: [Detectando automáticamente EPSON Stylus CX3700 Series en ADMINISTRATIVO] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIA CL.EXE /P71 "Detectando automáticamente EPSON Stylus CX3700 Series en ADMINISTRATIVO" /O28 "\\ADMINISTRATIVO\EPSONStylus" /M "Stylus CX3700"
O4 - HKLM\..\Run: [Detectando automáticamente EPSON Stylus CX3700 Series en ADMINISTRATIVO (Copiar 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIA CL.EXE /P82 "Detectando automáticamente EPSON Stylus CX3700 Series en ADMINISTRATIVO (Copiar 1)" /O25 "\\ADMINISTRATIVO\EPSONSty" /M "Stylus CX3700"
O4 - HKLM\..\Run: [Detectando automáticamente EPSON Stylus CX3700 Series en LIT_DIRECTION] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIA CL.EXE /P70 "Detectando automáticamente EPSON Stylus CX3700 Series en LIT_DIRECTION" /O26 "\\LIT_DIRECTION\Impresora5" /M "Stylus CX3700"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Free Download Manager] C:\Archivos de programa\Free Download Manager\fdm.exe -autorun
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Archivos de programa\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Descargar con Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dllink.htm
O8 - Extra context menu item: Descargar la selección con Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Descargar todo con Free Download Manager - file://C:\Archivos de programa\Free Download Manager\dlall.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\ARCHIV~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Archivos de programa\Spyware Doctor\sdhelp.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
|
Hice lo de desactivar Restaurar Sistema, ingrese en modo seguro pase el antivirus y el Doctor Spyware eliminando todo lo que encontraba instale tambien el Ad-Aware, limpie todos los temporales con DiskCleaner, reinicie el equipo y NADA de NADA sigo con esos metidos en el equipo, ayudenme por favor.