=s aka esta el reporte del combo fix:
ComboFix 08-07-13.14 - user 2008-07-14 17
25.5 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.3082.18.552 [GMT -5:00]
Se ejecuta desde: C:\problems\ComboFix.exe
* Creado un nuevo punto de restauración
* Resident AV is active
ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.
(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\Archivos de programa\AXPDefender
C:\Autorun.inf
C:\Documents and Settings\user\Datos de programa\AXPDefender
C:\WINDOWS\system32\mprmsgse.axz
C:\WINDOWS\system32\winupdate.exe
C:\WINDOWS\tempaq
D:\Autorun.inf
E:\Autorun.inf
.
(((((((((((((((((( Archivos creados desde 2008-06-14 - 2008-07-14 )))))))))))))))))))))))))))))))))
.
2008-07-13 17:15 . 2008-07-13 17:15 <DIR> d-------- C:\Archivos de programa\GizmoPlugin
2008-07-13 17:15 . 2008-07-13 17:15 86,016 --a------ C:\WINDOWS\system32\GizmoPluginCPL.cpl
2008-07-06 18:38 . 2008-07-06 18:36 512,096 --a------ C:\WINDOWS\system32\drivers\amon.sys
2008-07-06 18:38 . 2008-07-06 18:36 298,104 --a------ C:\WINDOWS\system32\imon.dll
2008-07-06 18:38 . 2008-07-06 18:36 15,424 --a------ C:\WINDOWS\system32\drivers\nod32drv.sys
2008-06-21 17:24 . 2008-06-21 18:51 <DIR> d-------- C:\hack actualizad
.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-07-14 22:01 --------- d-----w C:\Archivos de programa\Mu Magdalena
2008-07-13 19:16 --------- d-----w C:\Archivos de programa\DelPSGuard
2008-07-13 06:40 --------- d-----w C:\Archivos de programa\ESET
2008-07-12 19:21 30,546 --sha-w C:\WINDOWS\system32\AADFLA.exe
2008-07-12 19:21 30,546 --sha-w C:\MSRSD.PIF
2008-07-12 19:21 30,546 --sh--w C:\WINDOWS\system32\wauc11.exe
2008-07-03 22:15 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\WLInstaller
2008-06-21 22:25 33,824 ----a-w C:\WINDOWS\system32\drivers\oreans32.sys
2008-06-13 00:05 --------- d-----w C:\Archivos de programa\Google
2008-03-09 00:05 25,600 ----a-w C:\Documents and Settings\user\usbsermptxp.sys
2008-03-09 00:05 22,768 ----a-w C:\Documents and Settings\user\usbsermpt.sys
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"E07EDXRC_9493156"="C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium\EDICT.EXE" [2006-06-12 21:01 351000]
"SpybotSD TeaTimer"="C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 08:42 15360]
"msnmsgr"="C:\Archivos de programa\MSN Messenger\msnmsgr.exe" [2007-01-19 12:55 5674352]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"IgfxTray"="C:\WINDOWS\system32\igfxtray.exe" [2007-02-25 21:34 131072]
"HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe" [2007-02-25 21:34 155648]
"Persistence"="C:\WINDOWS\system32\igfxpers.ex e" [2007-02-25 21:33 131072]
"SSBkgdUpdate"="C:\Archivos de programa\Archivos comunes\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-09-28 13:16 185896]
"OpwareSE4"="C:\Archivos de programa\ScanSoft\OmniPageSE4.0\OpwareSE4.exe" [2006-10-11 12:45 75304]
"WinampAgent"="C:\Archivos de programa\Winamp\winampa.exe" [2008-04-01 13:49 36352]
"ISUSPM Startup"="C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" [2005-08-11 16:30 249856]
"nod32kui"="C:\Archivos de programa\Eset\nod32kui.exe" [2008-07-06 18:36 949376]
"SigmatelSysTrayApp"="sttray.exe" [2007-05-06 04:10 405504 C:\WINDOWS\sttray.exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-19 08:42 15360]
C:\Documents and Settings\All Users\Men£ Inicio\Programas\Inicio\
Wireless Configuration Utility HW.15.lnk - C:\Archivos de programa\802.11 Wireless LAN\802.11g Wireless Adapter HW.15 V.1.00\WlanCU.exe [2006-11-19 23:04:12 634880]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.X264"= x264vfw.dll
"msacm.avis"= ff_acm.acm
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\GFUpd.EXE]
Debugger=C:\WINDOWS\system32\wauc11.exe
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\RavUpdate.EXE]
Debugger=C:\WINDOWS\system32\wauc11.exe
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\Vgi50.sys]
@="Driver"
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Adobe Gamma Loader.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Adobe Gamma Loader.lnk
backup=C:\WINDOWS\pss\Adobe Gamma Loader.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Adobe Reader Synchronizer.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Adobe Reader Synchronizer.lnk
backup=C:\WINDOWS\pss\Adobe Reader Synchronizer.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^AutoCAD Startup Accelerator.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\AutoCAD Startup Accelerator.lnk
backup=C:\WINDOWS\pss\AutoCAD Startup Accelerator.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Inicio rápido de Adobe Reader.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Inicio rápido de Adobe Reader.lnk
backup=C:\WINDOWS\pss\Inicio rápido de Adobe Reader.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^WinZip Quick Pick.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\WinZip Quick Pick.lnk
backup=C:\WINDOWS\pss\WinZip Quick Pick.lnkCommon Startup
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
--a------ 2006-10-27 00:47 31016 C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD]
--a------ 2007-02-12 12:19 1050112 C:\Archivos de programa\Nero\Nero 7\InCD\InCD.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSPM Startup]
--a------ 2005-08-11 16:30 249856 C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSScheduler]
--a------ 2005-08-11 16:30 81920 C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut]
--a------ 2006-12-05 22:55 54832 C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2006-01-12 15:40 155648 C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]
--------- 2006-11-23 15:10 56928 C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SecurDisc]
--a------ 2007-02-12 12:23 1620480 C:\Archivos de programa\Nero\Nero 7\InCD\NBHGui.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
--a------ 2008-04-01 13:49 36352 C:\Archivos de programa\Winamp\winampa.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
-r------- 2006-06-20 00:42 577536 C:\WINDOWS\soundman.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTimer]
-ra------ 2005-03-06 22:33 53248 C:\WINDOWS\system32\VTTimer.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTrayp]
-ra------ 2005-10-30 23:15 163840 C:\WINDOWS\system32\VTTrayp.exe
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001
[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"C:\\Archivos de programa\\softnyx\\GunboundWC\\GunBound.gme"=
"C:\\Archivos de programa\\Ares\\Ares.exe"=
"D:\\juegos\\Quake III Arena\\quake3.exe"=
"C:\\Archivos de programa\\Microsoft Games\\Age of Mythology\\aom.exe"=
"D:\\juegos\\Warcraft III\\Warcraft III.exe"=
"C:\\Archivos de programa\\softnyx\\Rakion\\Bin\\rakion.bin"=
"C:\\Archivos de programa\\DNA\\btdna.exe"=
"C:\\Westwood\\RA2\\game.exe"=
"C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe"=
"C:\\Archivos de programa\\MSN Messenger\\livecall.exe"=
"C:\\Archivos de programa\\Messenger\\msmsgs.exe"=
[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\GloballyOpenPorts\List]
"6112:UDP"= 6112:UDP:war udp
"6112:TCP"= 6112:TCP:war tcp
R0 videX32;videX32;C:\WINDOWS\system32\DRIVERS\videX3 2.sys [2006-02-22 22:38]
R0 xfilt;VIA SATA IDE Hot-plug Driver;C:\WINDOWS\system32\DRIVERS\xfilt.sys [2006-02-22 22:39]
R1 oreans32;oreans32;C:\WINDOWS\system32\drivers\orea ns32.sys [2008-06-21 17:25]
R2 Gizmo Plugin;Gizmo VoIP Service;C:\Archivos de programa\GizmoPlugin\GizmoPlugin.exe [2008-07-13 17:15]
R3 SjyPkt;SjyPkt;C:\WINDOWS\System32\Drivers\SjyPkt.s ys [2002-10-02 09:57]
S3 FET5X86V;VIA Rhine-Family Fast-Ethernet Adapter Driver Service;C:\WINDOWS\system32\DRIVERS\fetnd5bv.sys [2006-12-20 02:00]
[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{746c72b7-54fa-11dc-83a5-806d6172696f}]
\Shell\AutoRun\command - F:\autorun.exe
[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{9d00ab5b-bf7d-11dc-88d2-0019211af1f6}]
\Shell\AutoRun\command - G:\h0s2.bat
\Shell\explore\Command - G:\h0s2.bat
\Shell\open\Command - G:\h0s2.bat
*Newly Created Service* - SJYPKT
.
- - - - ORPHANS REMOVED - - - -
MSConfigStartUp-Windows Update - c:\windows\system32\Kernel36.exe
************************************************** ************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-14 17:11:26
Windows 5.1.2600 Service Pack 2 NTFS
escaneando procesos ocultos ...
escaneando entradas ocultas de autostart ...
escaneando archivos ocultos ...
el escaneo se completo con exito
archivos ocultos: 0
************************************************** ************************
.
--------------------- DLLs cargados bajo los procesos en ejecución ---------------------
PROCESS: C:\WINDOWS\system32\lsass.exe
-> C:\Archivos de programa\Eset\pr_imon.dll
.
Tiempo completado: 2008-07-14 17:12:48
ComboFix-quarantined-files.txt 2008-07-14 22:12:34
14 dirs 13,382,193,152 bytes libres
17 dirs 13,531,611,136 bytes libres
169 --- E O F --- 2008-03-21 22:55:47
PERO POR SI LAS DUDAS LE PASE OTRA VES EL KASPERSKY Y SALIO:
KASPERSKY ONLINE SCANNER INFORME
lunes, 14 de julio de 2008 18:25:28
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.1
Ultima actualización: 14/07/2008
Registros en la base antivirus: 849964
Configuración del análisis
Analizar usando las siguientes bases standard
Analizar archivos verdadero
Analizar bases de correo verdadero
Objetivo a analizar Mi PC
C:\
D:\
E:\
F:\
Estadísticas
Número de objeros analizados 64726
Virus encontrados 7
Objetos infectados 54 / 0
Objetos sospechosos 0
Duración del análisis 00:58:22
Bombre del objeto infectado Nombre del virus Última acción
C:\Archivos de programa\ESET\cache\CACHE.NDB Object is locked saltado
C:\Archivos de programa\ESET\cache\FND0.NFI Infectados: Worm.Win32.Downloader.ri saltado
C:\Archivos de programa\ESET\infected\LATI4VBA.NQF Infectados: Worm.Win32.Downloader.rm saltado
C:\Archivos de programa\ESET\infected\OIQ0DJBA.NQF Infectados: Worm.Win32.Downloader.ri saltado
C:\Archivos de programa\ESET\logs\virlog.dat Object is locked saltado
C:\Archivos de programa\ESET\logs\warnlog.dat Object is locked saltado
C:\Archivos de programa\Mu Magdalena\3DCamer.dll Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Archivos de programa\Mu Magdalena\MuError.log Object is locked saltado
C:\AUTORUN.INF Infectados: Worm.Win32.AutoRun.dlw saltado
C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\ntuser.dat Object is locked saltado
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\user\Configuración local\Archivos temporales de Internet\Content.IE5\01EJ4XYN\eav_nt32_enu[1].msi Object is locked saltado
C:\Documents and Settings\user\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\Logs\Dfsr00005.log Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\pending.dat Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\Working\database_DA1C_6145_1C61_1 DAF\dfsr.db Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\Working\database_DA1C_6145_1C61_1 DAF\fsr.log Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\Working\database_DA1C_6145_1C61_1 DAF\fsrtmp.log Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Messenger\dante3264@hotmail.com \SharingMetadata\Working\database_DA1C_6145_1C61_1 DAF\tmp.edb Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\dante3264@hotmail.com\real\members.stg Object is locked saltado
C:\Documents and Settings\user\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\dante3264@hotmail.com\shadow\members.stg Object is locked saltado
C:\Documents and Settings\user\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\user\Configuración local\Historial\History.IE5\MSHist0120080714200807 15\index.dat Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\fla2F8.tmp Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\~DF9059.tmp Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\~DFBD19.tmp Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\~DFBD27.tmp Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\~DFE0FF.tmp Object is locked saltado
C:\Documents and Settings\user\Configuración local\Temp\~DFE10A.tmp Object is locked saltado
C:\Documents and Settings\user\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena\Mu_Magdalena_1[1].02N.rar/Mu Magdalena 1.02N.exe/3DCamer.dll Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena\Mu_Magdalena_1[1].02N.rar/Mu Magdalena 1.02N.exe Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena\Mu_Magdalena_1[1].02N.rar RAR: infectado - 2 saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena.rar/Mu_Magdalena_1[1].02N.rar/Mu Magdalena 1.02N.exe/3DCamer.dll Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena.rar/Mu_Magdalena_1[1].02N.rar/Mu Magdalena 1.02N.exe Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena.rar/Mu_Magdalena_1[1].02N.rar Infectados: Backdoor.Win32.PowerSpider.bt saltado
C:\Documents and Settings\user\Mis documentos\Mis archivos recibidos\Mu Magdalena.rar RAR: infectado - 3 saltado
C:\Documents and Settings\user\ntuser.dat Object is locked saltado
C:\Documents and Settings\user\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\user\UserData\index.dat Object is locked saltado
C:\MSRSD.PIF Infectados: Worm.Win32.Downloader.rx saltado
C:\QooBox\Quarantine\C\AUTORUN.INF.vir Infectados: Worm.Win32.AutoRun.dlw saltado
C:\QooBox\Quarantine\C\WINDOWS\system32\winupdate. exe.vir Infectados: Trojan-Downloader.Win32.Zlob.nik saltado
C:\QooBox\Quarantine\C\WINDOWS\tempaq.vir Infectados: Trojan-Downloader.Win32.Hmir.ekf saltado
C:\QooBox\Quarantine\D\AUTORUN.INF.vir Infectados: Worm.Win32.AutoRun.dlw saltado
C:\QooBox\Quarantine\E\AUTORUN.INF.vir Infectados: Worm.Win32.AutoRun.dlw saltado
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000010.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000011.PIF Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000012.INF Infectados: Worm.Win32.AutoRun.dlw saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000075.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000076.PIF Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000077.INF Infectados: Worm.Win32.AutoRun.dlw saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000097.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000098.PIF Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000099.INF Infectados: Worm.Win32.AutoRun.dlw saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000111.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000112.PIF Infectados: Worm.Win32.Downloader.rx saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000113.INF Infectados: Worm.Win32.AutoRun.dlw saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000119.exe Infectados: Trojan-Downloader.Win32.Zlob.nik saltado
C:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\change.log Object is locked saltado
C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
C:\WINDOWS\SchedLgU.Txt Object is locked saltado
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado
C:\WINDOWS\Sti_Trace.log Object is locked saltado
C:\WINDOWS\system32\AADFLA.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\default Object is locked saltado
C:\WINDOWS\system32\config\default.LOG Object is locked saltado
C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado
C:\WINDOWS\system32\config\OSession.evt Object is locked saltado
C:\WINDOWS\system32\config\SAM Object is locked saltado
C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\SECURITY Object is locked saltado
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
C:\WINDOWS\system32\config\software Object is locked saltado
C:\WINDOWS\system32\config\software.LOG Object is locked saltado
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\system Object is locked saltado
C:\WINDOWS\system32\config\system.LOG Object is locked saltado
C:\WINDOWS\system32\h323log.txt Object is locked saltado
C:\WINDOWS\system32\wauc11.exe Infectados: Worm.Win32.Downloader.rx saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
C:\WINDOWS\wiadebug.log Object is locked saltado
C:\WINDOWS\wiaservc.log Object is locked saltado
C:\WINDOWS\WindowsUpdate.log Object is locked saltado
D:\AUTORUN.INF Infectados: Worm.Win32.AutoRun.dlw saltado
D:\MSRSD.PIF Infectados: Worm.Win32.Downloader.rx saltado
D:\Qoobox\Quarantine\D\AUTORUN.INF.vir Infectados: Worm.Win32.AutoRun.dlw saltado
D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000013.PIF Infectados: Worm.Win32.Downloader.rx saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000014.INF Infectados: Worm.Win32.AutoRun.dlw saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000078.PIF Infectados: Worm.Win32.Downloader.rx saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000079.INF Infectados: Worm.Win32.AutoRun.dlw saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000100.PIF Infectados: Worm.Win32.Downloader.rx saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000101.INF Infectados: Worm.Win32.AutoRun.dlw saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000114.PIF Infectados: Worm.Win32.Downloader.rx saltado
D:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000115.INF Infectados: Worm.Win32.AutoRun.dlw saltado
E:\MSRSD.PIF Infectados: Worm.Win32.Downloader.rx saltado
E:\Qoobox\Quarantine\E\AUTORUN.INF.vir Infectados: Worm.Win32.AutoRun.dlw saltado
E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000015.PIF Infectados: Worm.Win32.Downloader.rx saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000016.INF Infectados: Worm.Win32.AutoRun.dlw saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000080.PIF Infectados: Worm.Win32.Downloader.rx saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000081.INF Infectados: Worm.Win32.AutoRun.dlw saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000102.PIF Infectados: Worm.Win32.Downloader.rx saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP1\A0000103.INF Infectados: Worm.Win32.AutoRun.dlw saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000116.PIF Infectados: Worm.Win32.Downloader.rx saltado
E:\System Volume Information\_restore{7BEFCB9A-E713-4D43-A413-3DE4AC59D69C}\RP2\A0000117.INF Infectados: Worm.Win32.AutoRun.dlw saltado
Análisis completado.
LUEGO LE VOLVI A PASAR EL COMBOFIX:
ComboFix 08-07-13.14 - user 2008-07-14 18:47:04.6 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.3082.18.532 [GMT -5:00]
Se ejecuta desde: C:\problems\ComboFix.exe
* Resident AV is active
ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.
(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\autorun.inf
D:\Autorun.inf
.
(((((((((((((((((( Archivos creados desde 2008-06-14 - 2008-07-14 )))))))))))))))))))))))))))))))))
.
2008-07-13 17:15 . 2008-07-13 17:15 <DIR> d-------- C:\Archivos de programa\GizmoPlugin
2008-07-13 17:15 . 2008-07-13 17:15 86,016 --a------ C:\WINDOWS\system32\GizmoPluginCPL.cpl
2008-07-06 18:38 . 2008-07-06 18:36 512,096 --a------ C:\WINDOWS\system32\drivers\amon.sys
2008-07-06 18:38 . 2008-07-06 18:36 298,104 --a------ C:\WINDOWS\system32\imon.dll
2008-07-06 18:38 . 2008-07-06 18:36 15,424 --a------ C:\WINDOWS\system32\drivers\nod32drv.sys
2008-06-21 17:24 . 2008-06-21 18:51 <DIR> d-------- C:\hack actualizad
.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-07-14 23:15 --------- d-----w C:\Archivos de programa\Mu Magdalena
2008-07-13 19:16 --------- d-----w C:\Archivos de programa\DelPSGuard
2008-07-13 06:40 --------- d-----w C:\Archivos de programa\ESET
2008-07-12 19:21 30,546 --sha-w C:\WINDOWS\system32\AADFLA.exe
2008-07-12 19:21 30,546 --sha-w C:\MSRSD.PIF
2008-07-12 19:21 30,546 --sh--w C:\WINDOWS\system32\wauc11.exe
2008-07-03 22:15 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\WLInstaller
2008-06-21 22:25 33,824 ----a-w C:\WINDOWS\system32\drivers\oreans32.sys
2008-06-13 00:05 --------- d-----w C:\Archivos de programa\Google
2008-03-09 00:05 25,600 ----a-w C:\Documents and Settings\user\usbsermptxp.sys
2008-03-09 00:05 22,768 ----a-w C:\Documents and Settings\user\usbsermpt.sys
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"E07EDXRC_9493156"="C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium\EDICT.EXE" [2006-06-12 21:01 351000]
"SpybotSD TeaTimer"="C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 08:42 15360]
"msnmsgr"="C:\Archivos de programa\MSN Messenger\msnmsgr.exe" [2007-01-19 12:55 5674352]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"IgfxTray"="C:\WINDOWS\system32\igfxtray.exe" [2007-02-25 21:34 131072]
"HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe" [2007-02-25 21:34 155648]
"Persistence"="C:\WINDOWS\system32\igfxpers.ex e" [2007-02-25 21:33 131072]
"SSBkgdUpdate"="C:\Archivos de programa\Archivos comunes\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-09-28 13:16 185896]
"OpwareSE4"="C:\Archivos de programa\ScanSoft\OmniPageSE4.0\OpwareSE4.exe" [2006-10-11 12:45 75304]
"WinampAgent"="C:\Archivos de programa\Winamp\winampa.exe" [2008-04-01 13:49 36352]
"ISUSPM Startup"="C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe" [2005-08-11 16:30 249856]
"nod32kui"="C:\Archivos de programa\Eset\nod32kui.exe" [2008-07-06 18:36 949376]
"SigmatelSysTrayApp"="sttray.exe" [2007-05-06 04:10 405504 C:\WINDOWS\sttray.exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-19 08:42 15360]
C:\Documents and Settings\All Users\Men£ Inicio\Programas\Inicio\
Wireless Configuration Utility HW.15.lnk - C:\Archivos de programa\802.11 Wireless LAN\802.11g Wireless Adapter HW.15 V.1.00\WlanCU.exe [2006-11-19 23:04:12 634880]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.X264"= x264vfw.dll
"msacm.avis"= ff_acm.acm
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\GFUpd.EXE]
Debugger=C:\WINDOWS\system32\wauc11.exe
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\RavUpdate.EXE]
Debugger=C:\WINDOWS\system32\wauc11.exe
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\Vgi50.sys]
@="Driver"
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Adobe Gamma Loader.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Adobe Gamma Loader.lnk
backup=C:\WINDOWS\pss\Adobe Gamma Loader.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Adobe Reader Synchronizer.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Adobe Reader Synchronizer.lnk
backup=C:\WINDOWS\pss\Adobe Reader Synchronizer.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^AutoCAD Startup Accelerator.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\AutoCAD Startup Accelerator.lnk
backup=C:\WINDOWS\pss\AutoCAD Startup Accelerator.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^Inicio rápido de Adobe Reader.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\Inicio rápido de Adobe Reader.lnk
backup=C:\WINDOWS\pss\Inicio rápido de Adobe Reader.lnkCommon Startup
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menú Inicio^Programas^Inicio^WinZip Quick Pick.lnk]
path=C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\WinZip Quick Pick.lnk
backup=C:\WINDOWS\pss\WinZip Quick Pick.lnkCommon Startup
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
--a------ 2006-10-27 00:47 31016 C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD]
--a------ 2007-02-12 12:19 1050112 C:\Archivos de programa\Nero\Nero 7\InCD\InCD.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSPM Startup]
--a------ 2005-08-11 16:30 249856 C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\ISUSPM.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSScheduler]
--a------ 2005-08-11 16:30 81920 C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut]
--a------ 2006-12-05 22:55 54832 C:\Archivos de programa\CyberLink\PowerDVD\Language\Language.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2006-01-12 15:40 155648 C:\Archivos de programa\Archivos comunes\Ahead\Lib\NeroCheck.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]
--------- 2006-11-23 15:10 56928 C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SecurDisc]
--a------ 2007-02-12 12:23 1620480 C:\Archivos de programa\Nero\Nero 7\InCD\NBHGui.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
--a------ 2008-04-01 13:49 36352 C:\Archivos de programa\Winamp\winampa.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
-r------- 2006-06-20 00:42 577536 C:\WINDOWS\soundman.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTimer]
-ra------ 2005-03-06 22:33 53248 C:\WINDOWS\system32\VTTimer.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTrayp]
-ra------ 2005-10-30 23:15 163840 C:\WINDOWS\system32\VTTrayp.exe
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001
[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"C:\\Archivos de programa\\softnyx\\GunboundWC\\GunBound.gme"=
"C:\\Archivos de programa\\Ares\\Ares.exe"=
"D:\\juegos\\Quake III Arena\\quake3.exe"=
"C:\\Archivos de programa\\Microsoft Games\\Age of Mythology\\aom.exe"=
"D:\\juegos\\Warcraft III\\Warcraft III.exe"=
"C:\\Archivos de programa\\softnyx\\Rakion\\Bin\\rakion.bin"=
"C:\\Archivos de programa\\DNA\\btdna.exe"=
"C:\\Westwood\\RA2\\game.exe"=
"C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe"=
"C:\\Archivos de programa\\MSN Messenger\\livecall.exe"=
"C:\\Archivos de programa\\Messenger\\msmsgs.exe"=
[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\GloballyOpenPorts\List]
"6112:UDP"= 6112:UDP:war udp
"6112:TCP"= 6112:TCP:war tcp
R0 videX32;videX32;C:\WINDOWS\system32\DRIVERS\videX3 2.sys [2006-02-22 22:38]
R0 xfilt;VIA SATA IDE Hot-plug Driver;C:\WINDOWS\system32\DRIVERS\xfilt.sys [2006-02-22 22:39]
R1 oreans32;oreans32;C:\WINDOWS\system32\drivers\orea ns32.sys [2008-06-21 17:25]
R2 Gizmo Plugin;Gizmo VoIP Service;C:\Archivos de programa\GizmoPlugin\GizmoPlugin.exe [2008-07-13 17:15]
S3 FET5X86V;VIA Rhine-Family Fast-Ethernet Adapter Driver Service;C:\WINDOWS\system32\DRIVERS\fetnd5bv.sys [2006-12-20 02:00]
[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{746c72b7-54fa-11dc-83a5-806d6172696f}]
\Shell\AutoRun\command - F:\autorun.exe
[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{9d00ab5b-bf7d-11dc-88d2-0019211af1f6}]
\Shell\AutoRun\command - G:\h0s2.bat
\Shell\explore\Command - G:\h0s2.bat
\Shell\open\Command - G:\h0s2.bat
.
************************************************** ************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-14 18:48:01
Windows 5.1.2600 Service Pack 2 NTFS
escaneando procesos ocultos ...
escaneando entradas ocultas de autostart ...
escaneando archivos ocultos ...
el escaneo se completo con exito
archivos ocultos: 0
************************************************** ************************
.
--------------------- DLLs cargados bajo los procesos en ejecución ---------------------
PROCESS: C:\WINDOWS\system32\lsass.exe
-> C:\Archivos de programa\Eset\pr_imon.dll
.
Tiempo completado: 2008-07-14 18:48:48
ComboFix-quarantined-files.txt 2008-07-14 23:48:39
ComboFix2.txt 2008-07-14 22:12:49
14 dirs 13,503,815,680 bytes libres
17 dirs 13,501,075,456 bytes libres
159 --- E O F --- 2008-03-21 22:55:47
NU C por que en el kasperky figuran 7 i el fix nu los encuentra ?¿?¿