Ver la Versión Completa : Ad-aware y Norton internet security bloqueados por un spyware
Tomillo1970 05/09/05, 12:07:19 Buenas tardes a todos, lo primero de todo es felicitaros por la magnifica información que se puede leer en vuestro web.
Lo segundo y motivo de mi escritura es que se me ha instalado un Spyware que no logro identificar ya que Norton Internet security 2005 y Ad-aware se me quedan colgados desde la infección. Curiosamente Nortón lo identificó, pero al momento lo dejo bloqueado.
Para más Inry la barra de explorer la ha modificado y en favoritos tengo enlaces a un sin fín de páginas de diferentes contenidos. También en el escritorio se me ha generado un icono de un supuesto antispyware el cual supongo que es una trampa. Por último en la barra de herramientas sale un icono con el siguiente mensaje:
Your computer might be at risk
Your virus protection status is bad
Spyware Activity Detected
Click this baloon to fix this problem
Además sale un mensaje cada dos por tres advirtiéndome que la información de mis cuentas de correo y mis datos financieros corren peligro. La verdad es que estoy bastante asustado y no se por donde empezar, he leido casi todos los temas de los foros y he visto algo parecido, pero no estoy seguro de que sea mi caso. Todavía no he realizado ninguna acción en el PC hasta recibir vuestra instrucciones, ya que según el Spyware que me haya infectado hay que hacer una serie de cosas y no se cual procede.
Recibir un cordial saludo y para cualquier dato adicional que preciséis estoy a vuestra disposición
NeoByte 05/09/05, 14:03:33 Hola Tomillo1970
Vamos a ir haciendo una serie de pasos para hacer un poco de limpieza.
Ves a *windowsupdate (http://www.microsoft.com/downloads/wwlist.aspx?DisplayLang=en) y AQUI (http://www.microsoft.com/windows/ie_intl/es/download/default.mspx) y comprueba q tienes todos los parches puestos.
Preparate todas las herramientas q vas a necesitar,las actualizas pero no las ejecutes aún.
Realiza todos los pasos sin saltarte ninguno,por favor.
Apaga tu ruter/moden y desconecta el cable de tf. de la torre.
*Ver archivos ocultos en todos los Windows (http://www.forospyware.com/showpost.php?p=46&postcount=3)
*Apagar Restaurar Sistema (Systema Restore) (http://www.forospyware.com/showpost.php?p=45&postcount=2)
*Reinicia el PC en Modo a prueba de fallos (http://www.forospyware.com/showpost.php?p=47&postcount=4)
Pasa tu antivirus previamente actualizado
Y estas herramientas:
*EWIDO (http://www.infospyware.com/Anti-Spywares.htm)y el manual (http://www.daboweb.com/index.php?option=com_content&task=view&id=395&Itemid=149)
*Disk Cleaner (http://www.infospyware.com/Herramientas.htm) para limpiar cookis y temporales
* RegSeeker (http://www.infospyware.com/) para limpiar el registro y su manual (http://www.forospyware.com/t713.html) pasalo varias veces hasta q ya no te salga nada.
Instalate el *SpywareBlaster 3.4 (http://www.infospyware.com/Anti-Spywares.htm) manual (http://www.forospyware.com/showpost.php?p=26690)
Reinicia y te conectas a la red.Y reactiva la opción de restaurar el sistema.
Pasas *2 antivirus online (http://www.forospyware.com/announcement.php?f=12)
El *Spybot S.D. (http://www.infospyware.com/Anti-Spywares.htm)
y otra vez el * RegSeeker (http://www.infospyware.com/) para limpiar el registro y su manual (http://www.forospyware.com/t713.html) pasalo varias veces hasta q ya no te salga nada.
Nos dices si solucionastes el problema.
*Si tienes alguna duda,puedes imprimir las instrucciones.
saludos :adios:
Jonathan) 05/09/05, 19:38:49 Hola me infiltro en vuestra conversación, ya que todo lo que as escrito me resulta muy familiar, sobre todo estos mensajes.
Your computer might be at risk
Your virus protection status is bad
Spyware Activity Detected
Te puedo decir, que gracias ala ayuda de estos expertos mi problema parece solucionado.
En mi caso la solucion vino depues de seguir paso a paso todas las intrucciones eliminando las siguientes entradas de hijackthis.
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.176.158,85.255.112.8
O20 - Winlogon Notify: style2 - C:\WINDOWS\Q910180_DISK.DLL
O16 - DPF: {9658F2EC-3A20-48C1-9442-23CFEBE18334} (LiveLauncher Control) -
Podrias comparar si tienes estas entradas, de todas formas no realices NADA sin la autorizacion de los expertos ;) , yo todo esto te lo escribo para que puedas comparar y que los expertos vean si hay similitudes,
Un saludo y espero que puedas Acabar con tus problemas.
Tomillo1970 06/09/05, 08:45:07 Muchas gracias Jonathan, Neobyte.
Voy esta tarde a empezar a realizar todas las acciones indicadas y os diré con todo detalle la evolución de las mismas. Espero haber acabado el viernes, ya que dispongo de poco tiempo.
Sois unos pedazo de profesionales.
Gracias de nuevo
Tomillo1970 13/09/05, 08:43:52 Hola Neobyte.
Realicé todos los pasos que me facilitaste y te voy comentando por partes:
.- Intenté actualizar windows y el explorer 6.1 e instalar todos los parches que me dijiste, el problema es que la página es poco intuitiva y no encontre exactamente que es lo que tenía que actualizar. Por lo que no sé si hice bien este paso.
.- Después me baje las herramientas que me dijiste y al intentar actualizarlas no me dejaba, no conectaba con el servidor ni de ewido ni de spybot, quizás fuera porque el Firewalll de Norton Intenet security lo impedía. ( Recuerda que lo tenía como bloqueado)
.- Inicie el Pc en Modo prueba de fallos, pero no me dejo pasar el antivirus de Norton, si que pude pasar Ewido sin actualizar el cual me encontró al menos 26 cosas raras (incluido el coldwebsearch) las cuales las dejo en cuarentena. Leí que la licencia era de 15 días de prueba eso significa que a los 15 días Ewido va a dejar de funcionar y lo que tenía en cuarentena va a volver a mi PC?
.- Después de pasar ewido pase el programa de clean disk y regseeker, no se si es normal, pero tarde muchísimas horas en dejar el registro limpio.
.- Con respecto a Spywareblaster 3.4 , no se muy bien lo que tenía que hacer con el, simplemente lo instale.
.- reinicie el PC y restauré el sistema pasando dos antivirús On-line, en concreto los dos primeros que recomendáis y el primero me detecto esto " Trojan.win32.vb.tu ó Bck/tictacwin.c, pero este antivirús solo lo detecta no lo elimina, ¿ verdad?, con el segundo antivirus me detectó " ADWBADBITOR", y este aparentemente si que lo eliminó.
Después no puede pasar Spybot porque no podía actualizarlo, aunque Nortón empezó a funcionar. Limpié el registro de nuevo y el resultado de esto es:
.- Parece que salvo el Trojan.win32.vb está todo eliminado
.- Cuando reinicio el PC me sale una pantalla de windows que dice lo siguiente y parece que se vuelve loca, como si estubiera inestable el sistema: " Insert de Trayapp disk and click Ok" y también me sale " insert de instantshare disk and click ok", desconozco que es esto, an solo se que no deja apagar el equipo ni con un botonazo, solo puedo apagarlo si lo desenchufo directamente de la red eléctrica. Ayer descubrí que en el administrador de tareas puedo finalizar estás dos cosas y de esta manera puedo apagar el equipo, no obstante me sale que espere que se tiene que finalizar el programa ccApp que tampoco tengo ni idea de que es. Curiosamente esto está influyendo en que Norton al brirlo se queda como pensando todo el rato, como si hubiera un proceso raro que hiciera que no funcione.
Por favor podéis decirme que es todo eso?
Lamento lo extendo del mensaje pero necesitaba describiros con pelos y señales todo lo que me ha ocurrido. He estado más de 15horas con el tema y no he acabado todavía.
Millones de gracias por vuestra ayuda y comprensión.
NeoByte 13/09/05, 11:43:42 Hola Tomillo1970
Parece ser q tenia mal puesto el enlace ya lo he revisado y funciona bien.
Es este *windowsupdate para tu S.O. (http://update.microsoft.com/windowsupdate/v6/default.aspx?ln=es) y AQUI PARA EL I.E. (http://www.microsoft.com/windows/ie_intl/es/default.mspx)
El Trayapp,q te sale es porque tienes algun dispositivo de Hewlett-Packard y te pide q le instales los drivers. Al iniciar el sistema, mete antes el disco de los drivers HP y luego vas siguiendo los pasos.
Es normal lo q te paso con el RegSeeker,si nunca lo habias hecho.
No se si tienes un *Cortafuegos/Firewall (http://www.infospyware.com/Firewall/Cortafuegos.htm) y aqui podrias elegir uno (http://www.infospyware.com/Firewall/)
Ahora pon un log del *HijackThis (http://www.forospyware.com/t42.html) aqui para analizarlo. Pulsa en "Ver video en flash para Generar un log de HijackThis"
saludos :adios:
Tomillo1970 14/09/05, 16:42:09 Hola Neobyte.
Te adjunto como me has solicitado el Log de Hijackthis. Además te adelanto que cuando inicio el PC Ewido me dice que tengo un spyware ntfsnlpa.ex en sistem32 spywaremsnagent y también rdsndin.exe en sistem32 spyware.findspy, le doy a limpiar y desaprece, pero al inicar el Pc vuelve a ocurrir.
Te adjunto el log:
Logfile of HijackThis v1.99.1
Scan saved at 22:35:46, on 14/09/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Norton Internet Security\ISSVC.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
C:\Archivos de programa\ewido\security suite\ewidoguard.exe
C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Archivos de programa\HP\Digital Imaging\Unload\hpqcmon.exe
C:\WINDOWS\System32\hphmon05.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\ALCXMNTR.EXE
C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\WkUFind.exe
C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\rundll32.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\System32\msiexec.exe
C:\Archivos de programa\Microsoft Office\Office\3082\msoffice.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NSMdtr.exe
C:\Archivos de programa\Microsoft Office\Office\WINWORD.EXE
C:\Archivos de programa\HJT\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://es9.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-es9.hpwis.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: (no name) - {BAB8F773-CD17-C81F-75AD-8BF455C26EF5} - (no file)
R3 - URLSearchHook: (no name) - {05B0C64E-7C66-0FBA-57B9-184E693F9565} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: HP View - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - C:\Archivos de programa\HP\Digital Imaging\bin\HPDTLK02.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file)
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [CamMonitor] c:\Archivos de programa\HP\Digital Imaging\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [UpdateManager] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [Sunkist2k] C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MSctlWin] c:\windows\system32\MsCtlWin60\MSctlWin.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [br0ken] iesetupdll.exe
O4 - HKLM\..\Run: [PasswdMon] UserSp1.exe
O4 - HKLM\..\Run: [mozilla-text] newbreed.exe
O4 - HKLM\..\Run: [sysconf16] 321102.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BackupNotify] c:\Archivos de programa\HP\Digital Imaging\bin\backupnotify.exe
O4 - HKCU\..\Run: [WareOut] "C:\Archivos de programa\WareOut\WareOut.exe"
O4 - HKCU\..\Run: [uio] runload32.exe
O4 - HKCU\..\Run: [ssweeper] MSTCPDLL.exe
O4 - HKCU\..\Run: [TorontoMail] Testimonials.exe
O4 - HKCU\..\Run: [EXE32EXE] sound64.exe
O4 - HKCU\..\Run: [FLKPT] xwiz.exe
O4 - HKCU\..\Run: [UserSp1] MNTP.exe
O4 - Startup: PowerReg Scheduler V3.exe
O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Inicio rápido de HP Image Zone.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O12 - Plugin for .mp3: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin4.dll
O12 - Plugin for .mpeg: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} - http://www.contenidospc.com/ruboskizo2.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1126214427069
O17 - HKLM\System\CCS\Services\Tcpip\..\{14243194-303B-49C8-90FD-AF7ABB5A1BEF}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F9B957D-A891-4963-AC6E-9AE6EFEB2AB1}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{439C04A2-B98C-446B-8650-DC732E47F132}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{A89DDD18-D94D-48B2-B159-01C0AA8100E3}: NameServer = 195.95.218.51 85.255.112.12
O17 - HKLM\System\CS1\Services\Tcpip\..\{14243194-303B-49C8-90FD-AF7ABB5A1BEF}: NameServer = 195.95.218.51,85.255.112.12
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ISSVC.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
Muchas gracias de nuevo
NeoByte 15/09/05, 00:50:02 Hola Tomillo1970
Realiza todos los pasos sin saltarte ninguno,por favor.
Apaga tu ruter/moden y desconecta el cable de tf. de la torre.
*Ver archivos ocultos en todos los Windows (http://www.forospyware.com/showpost.php?p=46&postcount=3)
*Apagar Restaurar Sistema (Systema Restore) (http://www.forospyware.com/showpost.php?p=45&postcount=2)
*Reinicia el PC en Modo a prueba de fallos (http://www.forospyware.com/showpost.php?p=47&postcount=4)
*Ves al Panel de Control/ Agregar o Quitar Programas y desinstalas estos programas si existen:
WareOut
Ejecuta el hijackthis y con todos lo programas cerrados marca las siguientes entradas y pulsa en FIX Checked:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://es9.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-es9.hpwis.com/
R3 - URLSearchHook: (no name) - {BAB8F773-CD17-C81F-75AD-8BF455C26EF5} - (no file)
R3 - URLSearchHook: (no name) - {05B0C64E-7C66-0FBA-57B9-184E693F9565} - (no file)
O3 - Toolbar: HP View - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - C:\Archivos de programa\HP\Digital Imaging\bin\HPDTLK02.dll
O3 - Toolbar: (no name) - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file)
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\Run: [MSctlWin] c:\windows\system32\MsCtlWin60\MSctlWin.exe
O4 - HKLM\..\Run: [br0ken] iesetupdll.exe
O4 - HKLM\..\Run: [PasswdMon] UserSp1.exe
O4 - HKLM\..\Run: [mozilla-text] newbreed.exe
O4 - HKLM\..\Run: [sysconf16] 321102.exe
O4 - HKCU\..\Run: [WareOut] "C:\Archivos de programa\WareOut\WareOut.exe"
O4 - HKCU\..\Run: [uio] runload32.exe
O4 - HKCU\..\Run: [ssweeper] MSTCPDLL.exe
O4 - HKCU\..\Run: [TorontoMail] Testimonials.exe
O4 - HKCU\..\Run: [EXE32EXE] sound64.exe
O4 - HKCU\..\Run: [FLKPT] xwiz.exe
O4 - HKCU\..\Run: [UserSp1] MNTP.exe
O4 - Startup: PowerReg Scheduler V3.exe
O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} - http://www.contenidospc.com/ruboskizo2.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{14243194-303B-49C8-90FD-AF7ABB5A1BEF}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F9B957D-A891-4963-AC6E-9AE6EFEB2AB1}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{439C04A2-B98C-446B-8650-DC732E47F132}: NameServer = 195.95.218.51,85.255.112.12
O17 - HKLM\System\CCS\Services\Tcpip\..\{A89DDD18-D94D-48B2-B159-01C0AA8100E3}: NameServer = 195.95.218.51 85.255.112.12
O17 - HKLM\System\CS1\Services\Tcpip\..\{14243194-303B-49C8-90FD-AF7ABB5A1BEF}: NameServer = 195.95.218.51,85.255.112.12
Resulta que te hackearon el dominio, por lo que el hijacker cambió los servidores DNS de tu pc para que este apunte a los propios servidores del hijacker, de manera que te pueden dirigir al sitio que ellos quieran.Entradas 017.
Sin reiniciar,busca y elimina estos archivos/carpetas.Utiliza el KillBox (http://www.forospyware.com/showpost.php?p=49&postcount=6) si no puedes eliminarlos.
Le vas poniendo que NO a reiniciar hasta que pongas el ultimo y ahi le pones que SI para que reinicie y elimine estos archivos infectados.
C:\WINDOWS\ALCXMNTR.EXE
c:\windows\system32\MsCtlWin60\MSctlWin.exe
iesetupdll.exe
UserSp1.exe
newbreed.exe
321102.exe
C:\Archivos de programa\WareOut\WareOut.exe
runload32.exe
MSTCPDLL.exe
Testimonials.exe
sound64.exe
xwiz.exe
MNTP.exe
Pasa estas herramientas:
*EWIDO (http://www.infospyware.com/Anti-Spywares.htm)
*Disk Cleaner (http://www.infospyware.com/Herramientas.htm) para limpiar cookis y temporales
* RegSeeker (http://www.infospyware.com/) para limpiar el registro y su manual (http://www.forospyware.com/t713.html) pasalo varias veces hasta q ya no te salga nada.
Reinicia y te conectas a la red.Y reactiva la opción de restaurar el sistema.
Y pasas el *Spybot S.D. (http://www.infospyware.com/Anti-Spywares.htm) Y otra vez el * RegSeeker (http://www.infospyware.com/) para limpiar el registro y su manual (http://www.forospyware.com/t713.html) pasalo varias veces hasta q ya no te salga nada.
Pones otro log para ver como esta todo y nos cuentas los resultados.
*Si tienes alguna duda,puedes imprimir las instrucciones.
Tienes q actualizar el I.E.
saludos :adios:
Tomillo1970 19/09/05, 08:31:15 Hola Neobyte.
Te adjunto el nuevo log, pero antes te cuento mis experiencias después de haber dado todos los pasos que me dijiste.
.- Lo primero que tenía que hacer es ir al panel de control y eliminar el programa WareOut. Decirte que este programa no lo encontré.
.- Posteriormente me dijiste que eliminara diferentes entradas con hijackthis, las eliminé todas, pero no encontré una que es la siguiente.O17 - HKLM\System\CCS\Services\Tcpip\..\{A89DDD18-D94D-48B2-B159-01C0AA8100E3}: NameServer = 195.95.218.51 85.255.112.12
A89DDD18-D94D-48B2-B159-01C0AA8100E3
.- Luego tenía que eliminar con Killbox diferentes archivos y carpetas, pero no encontré los siguientes:
iesetupdll.exe. En concreto de este encontré el mismo texto, pero si el .exe
UserSp1.exe
newbreed.exe
321102.exe
C:\Archivos de programa\WareOut\WareOut.exe
runload32.exe
MSTCPDLL.exe
Testimonials.exe
sound64.exe
xwiz.exe
MNTP.exe
¿ Cual es la ruta exacta?
Después pasé Ewido y no me encontró nada, pase el diskclean y el regseeker. Reinicie el PC y al reiniciar Ewido me dió un mensaje de alerta para limpiar algo en system32, pero no cogí el nombre exacto. Pase el Spybot y me detectó lo siguiente, lo cual procedí a reparar:
Dialerweb ruboskizo; coolwwwsearch.Yexe; Alexa related; FindSpy.A; Coolwwwsearch;CWS.WinsecurityCenter.
Posteriormente volví a pasar SpyBot y ya no me detectó nada.
Por último te adjunto el nuevo log.
Muchas gracias y disculpa lo extenso de estos correos. Me da miedo conectarme a Intenet, por lo que el cable lo tengo desenchufado de la Roseta.
Saludos. El log es:
Logfile of HijackThis v1.99.1
Scan saved at 19:08:08, on 17/09/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Norton Internet Security\ISSVC.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
C:\Archivos de programa\ewido\security suite\ewidoguard.exe
C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\windows\system\hpsysdrv.exe
C:\Archivos de programa\HP\Digital Imaging\Unload\hpqcmon.exe
C:\WINDOWS\System32\hphmon05.exe
C:\HP\KBD\KBD.EXE
C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\WkUFind.exe
C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\System32\rundll32.exe
C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Archivos de programa\Microsoft Office\Office\3082\msoffice.exe
C:\Archivos de programa\HJT\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.es/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Archivos de programa\Archivos comunes\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [CamMonitor] c:\Archivos de programa\HP\Digital Imaging\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [UpdateManager] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [Sunkist2k] C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Archivos de programa\Archivos comunes\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Archivos de programa\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BackupNotify] c:\Archivos de programa\HP\Digital Imaging\bin\backupnotify.exe
O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Inicio rápido de HP Image Zone.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O12 - Plugin for .mp3: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin4.dll
O12 - Plugin for .mpeg: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1126214427069
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\ISSVC.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe
NeoByte 19/09/05, 14:45:21 Hola Tomillo1970
Esto ha mejorado mucho,no se ven ya ninguna entrada sospechosa,pero le vas a pasar *2 antivirus online (http://www.forospyware.com/announcement.php?f=12)( el panda y el rav) haber si te detectan algo extraño.Nos pones solo las entradas sospechosas.
Cuentanos como funciona ahora tu pc,y pones otro log.
saludos :adios:
Tomillo1970 21/09/05, 09:12:55 Hola NeoByte, tan animado estaba tras tu último mensaje que la decepción ha sido muy grande. Te cuento:
.- Al encender el PC salto una alarma en ewido con lo siguiente: " Archivo infectadodmzz.exe, C/windows/sistem32 trojan.Ysearch
.- Le di a limpiar y antes de conectarme a Internet decidí desinstalar Norton Intenet Security, ya que el proceso ccApp.exe realativo a este programa me estaba dando muchos problemas. Logré desinstalar Norton internet security y volví a reinstalarlo. El progrma me pidió conectarme a la red para actualizarse y cuando me conecté, el PC dió un mensaje de que cerrará todos los programas que se iba a reiniciar el equipo por "Isass.exe". Desde ese instante cada tres minutos más o menos el Pc se reinicia solo, no pudiendo hacer nada. Creo que es el virus Sasser....
En fin hoy me estoy leyendo la instrucciones de HP para restaurar el sistema formateando el disco duro.
¿ Que consejo me das?, ¿ Recupero el sistema formateando el disco?
Gracias siempre por tu ayuda.
choche7.7 23/09/05, 17:47:18 Tomillo, compadre una buena solución para evitar más infecciones es que cambies el antivirus, he sabido que muchos han tenido problemas con Norton, mi recomendación es que lo cambies y pruebes con NOD32 v2.50.39 y trates de configurarlo bien para evitar nuevas infecciones y nunca está demás mantener actualizados todos los limpiadores de basuras como Ad-aware, antivirus y antyspyware, y pasarlos después de cadanavegación por internet.
| |