Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola,

Necesito ayuda en el PC de la oficina, ultimamente va superlento y en los procesos aun sin abrir nada suelen aparecer IEXPLORE.EXE, como 4 o 5 procesos de los cuales uno no puedo cerrarlo ya que se vuelve a abrir solo siempre, y tambien aparece el WINWORD.EXE aun sin tener el word abierto. Ya os digo el PC va superlento, os mando el log del HijackThis.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 8:58:09, on 08/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\WINNT\SYSTEM32\DWRCST.exe
C:\WINNT\system32\quickres.exe
C:\WINNT\system32\e-buroUI.exe
C:\program files\InterVideo\Powercinema\PCMService.exe
C:\Program Files\McAfee\Common Framework\UdaterUI.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\system32\ctfmon.exe
C:\Program Files\SlickRun\sr.exe
C:\Program Files\McAfee\Common Framework\McTray.exe
C:\Program Files\Microsoft Office97\Office\OSA.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\ClarifyCRM_SIRIO\ClarifyClient\clarify.exe
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://busca.wanadoo.es/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://tuintranet.in.es.francetelecom.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://tuintranet.in.es.francetelecom.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://tuintranet.in.es.francetelecom.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by e-buro
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,AutoConfigURL = http://proxywnet.si.orange.es/Uni2.pac
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.21\ShoppingReport.dll
O2 - BHO: H - {C9905EF0-610F-4404-9030-A3F345D069F5} - C:\WINNT\system32\comi.dll (file missing)
O3 - Toolbar: donkeymails.com - {0C2DE3EC-DB84-4eeb-9FC1-69B5153C4239} - C:\Program Files\Internet Explorer\PLUGINS\toolbar4198185.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [USRPKGS] c:\winnt\usrpkgs\launch.vbs
O4 - HKLM\..\Run: [eburoUI] "C:\WINNT\system32\e-buroUI.exe"
O4 - HKLM\..\Run: [PrintScreen] "C:\Program Files\printscreen\pscreen.vbs"
O4 - HKLM\..\Run: [PCMService] "c:\program files\InterVideo\Powercinema\PCMService.exe"
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [{0F659AB0-99B0-134B-0703-030704020001}] C:\Documents and Settings\jmsimon\Application Data\dllfiles.exe
O4 - HKCU\..\Run: [SlickRun] "C:\Program Files\SlickRun\sr.exe"
O4 - HKLM\..\Policies\Explorer\Run: [1] quickres.exe
O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'Default user')
O4 - Global Startup: Inicio de Office.lnk = C:\Program Files\Microsoft Office97\Office\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI08C9~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://tuintranet.in.es.francetelecom.com/
O15 - Trusted Zone: http://*.editoes.wnet
O15 - Trusted Zone: http://editorialp.in.mad.eresmas.com
O15 - Trusted Zone: http://tuintranet.in.es.francetelecom.com
O15 - Trusted Zone: http://www.agence.francetelecom.com
O15 - Trusted Zone: http://ca.maquette.ocisi.francetelecom.fr
O15 - Trusted Zone: http://chooser.sso.francetelecom.fr
O15 - Trusted Zone: http://emulations.lille.francetelecom.fr
O15 - Trusted Zone: http://emulations.lyon.francetelecom.fr
O15 - Trusted Zone: http://emulations.melun.francetelecom.fr
O15 - Trusted Zone: http://emulations.nanterre.francetelecom.fr
O15 - Trusted Zone: http://emulations.nantes.francetelecom.fr
O15 - Trusted Zone: http://emulations.ocisi.francetelecom.fr
O15 - Trusted Zone: http://emulations.si.francetelecom.fr
O15 - Trusted Zone: http://emulations.strasbourg.francetelecom.fr
O15 - Trusted Zone: http://emulations.toulouse.francetelecom.fr
O15 - Trusted Zone: http://gassi.francetelecom.fr
O15 - Trusted Zone: http://gassi.sso.francetelecom.fr
O15 - Trusted Zone: http://intranoo.francetelecom.fr
O15 - Trusted Zone: http://siroco-crm.francetelecom.fr
O15 - Trusted Zone: http://*.editoes.wnet (HKLM)
O15 - Trusted Zone: http://editorialp.in.mad.eresmas.com (HKLM)
O15 - Trusted Zone: http://tuintranet.in.es.francetelecom.com (HKLM)
O15 - Trusted Zone: http://www.agence.francetelecom.com (HKLM)
O15 - Trusted Zone: http://ca.maquette.ocisi.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://chooser.sso.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.lille.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.lyon.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.melun.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.nanterre.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.nantes.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.ocisi.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.si.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.strasbourg.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://emulations.toulouse.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://gassi.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://gassi.sso.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://intranoo.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://pki-archimede.sso.francetelecom.fr (HKLM)
O15 - Trusted Zone: http://siroco-crm.francetelecom.fr (HKLM)
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=67633
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1157376074311
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game08.zylom.com/activex/zylomgamesplayer.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cosmos.es.ftgroup
O17 - HKLM\Software\..\Telephony: DomainName = cosmos.es.ftgroup
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cosmos.es.ftgroup
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: SMS Agent Host (CcmExec) - Unknown owner - C:\WINNT\system32\CCM\CcmExec.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\program files\InterVideo\Powercinema\Kernel\TV\CLCapSvc.ex e
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\program files\InterVideo\Powercinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
O23 - Service: DameWare NT Utilities 2.6 (DNTUS26) - DameWare Development LLC - C:\WINNT\SYSTEM32\DNTUS26.EXE
O23 - Service: DameWare Mini Remote Control (DWMRCS) - DameWare Development LLC - C:\WINNT\SYSTEM32\DWRCS.EXE
O23 - Service: Service e-buro (eburo) - France Telecom - C:\WINNT\system32\e-buro.exe
O23 - Service: IBM Ayudame (IBMFORTH) - Unknown owner - c:\Program Files\IBM\Ayudame Utility\ayudame.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - McAfee, Inc. - C:\Program Files\McAfee\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Active Directory Migration Agent (OnePointDomainAdminService) - Unknown owner - C:\WINNT\OnePointDomainAgent\DCTAgentService.exe (file missing)

--
End of file - 9625 bytes

Hola, brubeiker.

Realiza estos pasos y recuerda dejarnos los reportes que te pido:

1.- Deshabilita el Restaurar Sistema

2.- Activa la opción Ver Archivos Ocultos

3.- Reinicia en Modo a Prueba de Fallos

4.- Desinstala estos programas desde 'Agregar/Quitar programas':

ShoppingReport

5.- Cierra todos los programas, ejecuta HijackThis y dale "Fix Cheked" a estas entradas:

O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.21\ShoppingReport.dll

O2 - BHO: H - {C9905EF0-610F-4404-9030-A3F345D069F5} - C:\WINNT\system32\comi.dll (file missing)

O3 - Toolbar: donkeymails.com - {0C2DE3EC-DB84-4eeb-9FC1-69B5153C4239} - C:\Program Files\Internet Explorer\PLUGINS\toolbar4198185.dll

6.- Sin reiniciar, busca y elimina estos archivos, si no se dejan eliminar descarga el programa "Killbox" y sigue las indicaciones del mensaje, copia y pega los archivos para que los elimine al reiniciar.

C:\Program Files\ShoppingReport\ ---> borra esta carpeta con todo su contenido

C:\WINNT\system32\comi.dll

C:\Program Files\Internet Explorer\PLUGINS\toolbar4198185.dll

7.- Pasa estas herramientas:

- TZ-Kill

- Ad-Aware 1.06 SE Personal (manual)

- Descarga CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

8.- Reinicia el pc

- Instálate el SpywareBlaster 3.4 manual

9.- Pasa los antivirus online ewido y kaspersky y nos pegas el reporte que te generen.

10.- Analiza estos archivos con VirusTotal y nos pegas el reporte que te genere cada uno:

C:\Documents and Settings\jmsimon\Application Data\dllfiles.exe

C:\WINNT\system32\e-buroUI.exe

c:\winnt\usrpkgs\launch.vbs

11.- Comprueba los resultados y nos pegas un nuevo log para comprobar que quedó limpio.

De preferencia, imprime las indicaciones para que se te haga más fácil seguirlas.

Saludos
Reitxelle