Amigos del foro:
¿Podrá alguno ayudarme a detectar un posible gusano que hace que mi pc intente mandar emails sin que yo los haya escrito?
Mi antivirus es el Mc Afee y realizé un escaneo en el safe mode no detectando nada. Solo aparecen reiteradas alertas sobre una supuesta actividad de un gusano. "Potential Worm Activity Detected".
Desde la isla de Chiloe, Chile, un gran saludo
Molulco

Hola molulco y bienvenido al foro, sigue estos pasos:

- Es muy importante visitar windowsupdate con regularidad para mantener actualizado el sistema, este paso es muy importante porque va a proveer a nuestro sistema de los parches de seguridad necesarios y actualizaciones criticas
- Sigue los 11 pasos fundamentales para una buena eliminacion, no te saltes ningun paso.
- Pasa el Regseeker para Limpiar el Registro pásalo hasta q no quede nada para eliminar.
- Reinicia la maquina y nos cuentas los resultados.
- De persistir el problema pasa el Hijackthis y pega tu log en este mismo mensaje para su analisis.

Saludos

Logfile of HijackThis v1.99.1
Scan saved at 12:57:14, on 12/10/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe
C:\ARCHIV~1\mcafee.com\agent\mcagent.exe
c:\archiv~1\mcafee.com\vso\mcvsescn.exe
C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\WINDOWS\System32\VTTimer.exe
C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe
C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\Sharp\Sharpdesk\SharpTray.exe
C:\Archivos de programa\SHARP\Button Manager B\btnman.exe
C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
C:\Archivos de programa\ewido\security suite\ewidoguard.exe
c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe
C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Webroot\Spy Sweeper\WRSSSDK.exe
c:\ARCHIV~1\mcafee.com\vso\mcshield.exe
C:\Archivos de programa\AnalogX\Proxy\proxy.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Archivos de programa\WinRAR\WinRAR.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PrintMe - {97387E2B-B2FA-4E4A-A607-F3B5C134F71C} - C:\Archivos de programa\EFI\PrintMeToolbar\htpmcap.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll
O3 - Toolbar: PrintMe - {97387E2B-B2FA-4E4A-A607-F3B5C134F71C} - C:\Archivos de programa\EFI\PrintMeToolbar\htpmcap.dll
O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\McUpdate.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Archivos de programa\Winamp\winampa.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [Smapp] C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SharpTray] "C:\Archivos de programa\Sharp\Sharpdesk\SharpTray.exe"
O4 - Global Startup: Button Manager B.lnk = C:\Archivos de programa\SHARP\Button Manager B\btnman.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,90/mcinsctl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1129045758125
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,23/mcgdmgr.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4592/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F2C3E94-F3F9-49AD-A1D3-349005BC9545}: NameServer = 216.155.73.40,216.155.73.41
O17 - HKLM\System\CCS\Services\Tcpip\..\{B05D83B2-4245-4FBC-8811-0E3BE9F124F3}: NameServer = 216.155.73.154 216.155.73.40
O17 - HKLM\System\CS1\Services\Tcpip\..\{2F2C3E94-F3F9-49AD-A1D3-349005BC9545}: NameServer = 216.155.73.40,216.155.73.41
O17 - HKLM\System\CS2\Services\Tcpip\..\{2F2C3E94-F3F9-49AD-A1D3-349005BC9545}: NameServer = 216.155.73.40,216.155.73.41
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Archivos de programa\Webroot\Spy Sweeper\WRSSSDK.exe



Apliqué exaustivamente los 11 pasos. Ahora se está comenzando a pegar
Gracias por su valiosísima colaboración
Un gran saludo

Muevo tu post al mensaje donde se te solicito el log.

El log está limpio y no muestra nada "raro".

Si utilizas proxy y al compartir la conexión de internet con otras máquinas puede que al conectarse las demás estaciones originen un ralentizamiento de tu máquina, veo que tienes el AnalogX proxy:

C:\Archivos de programa\AnalogX\Proxy\proxy.exe

Verifica en que momento se causa los ralentizamientos (se pone lenta la máquina) y verifica si los mails que supuestamente se envían desde tu máquina no sean de una de las estaciones.

No abras nuevos mensajes hasta dar por terminado este.

Saludos

Hola de nuevo:
He mandado un par de mensajes respecto de los resultados obtenidos con mi problema y no aparecen publicados. ¿Será que estoy usando mal el foro? pues si así haganmelo saber para redimirme.
Volviendo al tema de mis resultados: el tema de la velocidad es variable en este momento pereciera estar normal. Todos los pcs de la red los limpié simultaneamente con los 11 pasos. En todos aparecieron amenazas simillares, entre otras "alexa", tracking cookies y algunos troyanos (casi nada je je je). Resumiendo: Todos los pcs aparecen como "limpios", pero el pc que tiene la función de servidor (con el proxi) sigue con los avisos emergentes de Mc Afee denunciando la actividad de un gusano. El aviso dice que se están enviando emails y los subject de los mails parecieran ser aleatorios por lo variado.
Espero que podamos identificar prontamente de que se trata este problema.
Nuevamente un gran saludo.

El log de Hijackthis no mostraba infecciones, asi que descárgate la herramienta Mwav.exe y déjanos un log de esta herramienta. Esta herramienta genera un log muy largo por lo que solo copia las entradas reconocidas como infectadas.

Saludos

Amigo GPastor:
Aquí te mando el log que me solicitaste.
saludos

File C:\ARCHIV~1\AnalogX\Proxy\proxy.exe tagged as not-a-virus:Server-Proxy.Win32.AnalogX.414. No Action Taken.
Object "ezula Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "whenu.savenow Spyware/Adware" found in File System! Action Taken: No Action Taken.
Entry "HKCR\CLSID\{9BE8D7B2-329C-442A-A4AC-ABA9D7572602}" refers to invalid object "c:\archivos de programa\mcafee.com\agent\submgr\5,1,0,1\mcsubmgr. dll". Action Taken: No Action Taken.
Entry "HKCR\Hacha\shell\open\command" refers to invalid object "\\PC-3\documentos\hacha\hacha.exe %1". Action Taken: No Action Taken.
File C:\Archivos de programa\AnalogX\Proxy\proxy.exe tagged as not-a-virus:Server-Proxy.Win32.AnalogX.414. No Action Taken.

Bien,

- Apaga Restaurar Sistema

- Pasa el Ad-aware actualizado, Ver whenu.savenow

- Escanea tu sistema con 2 Antivirus Online de preferencia Ewido y Panda Online.

- Pasa el Disk Cleaner para limpiar cookies y temporales y vacía la papelera de reciclaje y la cuarentena de tu antivirus.

- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

- Reinicia y nos cuentas como te fue.

Saludos

Hola:
Sigo con los problemas no puedo sacar el "whenu.savenow" y los avisos de emails fantasmas me tienen loco
Saludos