Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

hola, gracias por la ayuda, aunque aun queda un problema parecido. Se abre la pagina http://h-1.us/cream.html y despues de un rato la conexion se bloquea, aparece un archivo llamado SCSIupdate32.exe en C:\, igual que aparecen procesos solos, como ccSetMgr, ccEvtMgr, atiupdxx.exe, etc.

De repente estoy navegando se me cambia la pagina a la misma pagina porno de antes (la de mi anterior problema (http://amateur.freegayspace.com/mattmp3/vatenam.html))

El Norton encuentra continuamente esto:

Nombre de Objeto: C:\Windows\system32\o
Nombre de virus: Download.Trojan
Acción realizada: Se borró el archivo automáticamente.

y frecuentemente me salen avisos de que mi sistema tiene spyware etc etc y que visite tal pagina. aqui esta mi log.

Logfile of HijackThis v1.99.1
Scan saved at 0:26:13, on 28-02-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\ARCHIV~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\Archivos de programa\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\ARCHIV~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\System32\cmd16.exe
C:\WINDOWS\System32\wregistry.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
C:\WINDOWS\System32\scvhost.exe
C:\WINDOWS\System32\navupdaterx.exe
C:\WINDOWS\System32\crsss.exe
C:\WINDOWS\System32\bling.exe
C:\WINDOWS\System32\wregistry.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\cmd16.exe
C:\WINDOWS\System32\scvhost.exe
C:\WINDOWS\System32\navupdaterx.exe
C:\WINDOWS\System32\crsss.exe
C:\WINDOWS\System32\mpdat.exe
C:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/temas-solucionados/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
F2 - REG:system.ini: Shell=Explorer.exe mpdat.exe
O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)
O3 - Toolbar: Barra de Herramientas MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Toolbar\01.01.1601.0\es\msntb.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Archivos de programa\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Dynamic Dns Binary] cmd16.exe
O4 - HKLM\..\Run: [Microsoft Windows Registry Service] wregistry.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SpyBlocker] C:\Archivos de programa\SpyBlocker Software\spyblocker.exe
O4 - HKLM\..\Run: [Regmgr] scvhost.exe
O4 - HKLM\..\Run: [NAV Auto Updates] navupdaterx.exe
O4 - HKLM\..\Run: [Windows media service] crsss.exe
O4 - HKLM\..\Run: [Windows pack service] bling.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\RunServices: [ATIUpdater] atiupdxx.exe
O4 - HKLM\..\RunServices: [NT Service] ntoksrnl.exe
O4 - HKLM\..\RunServices: [Dynamic Dns Binary] cmd16.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Registry Service] wregistry.exe
O4 - HKLM\..\RunServices: [Regmgr] scvhost.exe
O4 - HKLM\..\RunServices: [NAV Auto Updates] navupdaterx.exe
O4 - HKLM\..\RunServices: [Windows media service] crsss.exe
O4 - HKLM\..\RunServices: [Windows pack service] bling.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Dynamic Dns Binary] cmd16.exe
O4 - HKCU\..\Run: [Regmgr] scvhost.exe
O4 - HKCU\..\Run: [NAV Auto Updates] navupdaterx.exe
O4 - HKCU\..\Run: [Windows media service] crsss.exe
O4 - HKCU\..\RunServices: [ATIUpdater] atiupdxx.exe
O4 - HKCU\..\RunServices: [Regmgr] scvhost.exe
O4 - Global Startup: Image Transfer.lnk = ?
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O14 - IERESET.INF: START_PAGE_URL=http://www.olidata.cl
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {1F831FA6-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - file://C:\Archivos de programa\AutoCAD 2002 Esp\InstFred.ocx
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (Control de AcDcToday) - file://C:\Archivos de programa\AutoCAD 2002 Esp\AcDcToday.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {AE563726-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://C:\Archivos de programa\AutoCAD 2002 Esp\InstBanr.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (Control AcPreview) - file://C:\Archivos de programa\AutoCAD 2002 Esp\AcPreview.ocx
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~2\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton SystemWorks\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\ARCHIV~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Windows Network Controller (Win32) - Unknown owner - C:\WINDOWS\System32\winmms32.exe" -netsvcs (file missing)

Hola

Bueno, veamos ese log y vamos por partes...



Recuerda seguir estos pasos para la reparación.

1. Ver los archivos ocultos de tu sistema
2. Desactivar la restauración del sistema
3. Iniciar el sistema en el modo «a prueba de fallos» o «modo seguro»

Deberás marcar estas líneas en el Hijackthis para reparar:

• C:\WINDOWS\System32\wregistry.exe
• C:\WINDOWS\System32\scvhost.exe
• C:\WINDOWS\System32\crsss.exe
• C:\WINDOWS\System32\bling.exe
• C:\WINDOWS\System32\mpdat.exe
• F2 - REG:system.ini: Shell=Explorer.exe mpdat.exe
• O2 - BHO: (no name) - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - (no file)
• O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)
• O4 - HKLM\..\Run: [Regmgr] scvhost.exe
• O4 - HKLM\..\Run: [Windows media service] crsss.exe
• O4 - HKLM\..\Run: [Windows pack service] bling.exe
• O4 - HKLM\..\RunServices: [Windows media service] crsss.exe
• O4 - HKLM\..\RunServices: [Windows pack service] bling.exe
• O4 - HKCU\..\Run: [Regmgr] scvhost.exe
• O4 - HKCU\..\Run: [Windows media service] crsss.exe
• O4 - HKCU\..\RunServices: [Regmgr] scvhost.exe
• O4 - Global Startup: Image Transfer.lnk = ?
• O14 - IERESET.INF: START_PAGE_URL=http://www.olidata.cl
• O23 - Service: Windows Network Controller (Win32) - Unknown owner - C:\WINDOWS\System32\winmms32.exe" -netsvcs (file missing)

Deberás borrar estos archivos y carpetas

• C:\WINDOWS\System32\wregistry.exe
• C:\WINDOWS\System32\scvhost.exe
• C:\WINDOWS\System32\crsss.exe
• C:\WINDOWS\System32\bling.exe
• C:\WINDOWS\System32\wregistry.exe
• C:\WINDOWS\System32\mpdat.exe

Esto no lo conozco, deberás revisar sus propiedades y ver si pertenece a algo que hayas instalado, si no es así, renómbralo y observa el funcionamiento de tu sistema durante un par de días, si nada va mal, bórralo.

• C:\WINDOWS\System32\cmd16.exe

Si borras esos archivos, deberás marcar esto en el hijackthis para reparar

• C:\WINDOWS\System32\cmd16.exe

Parece que tienes o has tenido varios virus pululando por tu máquina, así que te recomiendo que tan pronto puedas, hagas al menos dos de estos análisis en línea. Si encuentran cosas que no puedan eliminar, péganos aquí mismo el resultado de sus análisis.

Después de haber hecho esas reparaciones, no estaría de más que ejecutaras estas otras aplicaciones por si se le ha pasado algo al HijackThis:

• Ad-aware SE
• Spybot Search and Destroy
• RegSeeker. De este programa deberás usar principalmente la opción de «limpiar el registro»

Bueno, ya nos contarás como va la cosa, pero por ahora tiene un rato de trabajo.

Por cierto, puede que entre tantas líneas me haya despistado, pero me parece que no tienes ningún firewall trabajando, si es así, te recomien doque instales el Sygate Personal Firewall.

SUerte

Felicidad