Hola!
Para empezar gracias por adelantado.
Hace un mes empecé con una infección con redirecciones de búsquedas de google y ventanitas en el área de notificación del escritorio, después de eliminar un montón de parásitos y no precisamente con mi antivirus (Panda Security 2008) me queda un habitante, que despierta al reiniciar windows.

De momento he encontrado 24 archivos .exe modificados, según los localizo los mando a Panda y me los confirman infectados.
Parece que se infecta cualquier ejecutable que haya en inicio.
El virtumonde se dedica a incluir un espacio delante del punto de (.exe) y duplica el archivo con el código del malware añadido al original,así que si lo ejecutas sale el enano de dentro.
En mi caso sale a continuación el Panda a comérselo pero parece que no elimina la rama de nuevos archivos que genera.
El superAntispyware lo detecta pero creo que no todo porque al reiniciar se vuelve a generar lo eliminado.

Lo más pesado son las ventanitas de aviso de windows advirtiendo del acceso denegado a (ddaby.dll ) la librería de ddaby.exe que panda ha eliminado anteriormente y que te inunda el escritorio si no la vuelves a eliminar con el fileassessain, cuando hay suerte.

He seguido las instrucciones de el ultimo post llamado Virus-vundo y os pego los resultados a ver si conseguís sacarme este habitante tan molesto.


ANALYSIS: 2008-01-20 16:00:33
PROTECTIONS: 1
MALWARE: 1
SUSPECTS: 0
;************************************************* ************************************************** ************************************************** ******************************
PROTECTIONS
Description Version Active Updated
;================================================= ================================================== ================================================== ==============================
Panda Internet Security 2008 12.00.00 Yes Yes
;================================================= ================================================== ================================================== ==============================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;================================================= ================================================== ================================================== ==============================
02890793 Spyware/Virtumonde Spyware No 1 Yes No C:\WINDOWS\system32\ddaby.dll
;================================================= ================================================== ============

Hola quemao

• Descarga VundoFix.exe en el escritorio de Windows y haz doble-click al archivo VundoFix.exe para activarlo.
  • Presione el botón "Remove Vundo"
  • Recibiras un mensaje preguntado si desea quitar los archivos y ponle YES
  • Una vez presionado YES tú escritorio parpadeara en blanco ya que esta quitando el parasito.
  • Cuando termines presionar en OK para reiniciar el equipo en modo normal, pegano el reporte que se situa en C:\Vundofix.txt

Descarga las siguientes herramientas pero no las ejecutes aun:

SuperAntispyware Actualizado
DelPSGuard [Última version] <--- Pegas el reporte

VundoFix.exe

• *Nota* Para ejecutar la herramienta VundoFix.exe siga estos pasos:
  
• Descarga en el escritorio de Windows y haz doble-click al archivo VundoFix.exe para activarlo.
  • Presione el botón "Remove Vundo"
  • Recibiras un mensaje preguntado si desea quitar los archivos y ponle YES
  • Una vez presionado YES tú escritorio parpadeara en blanco ya que esta quitando el parasito.
  • Cuando termines presionar en OK para reiniciar el equipo en modo normal, pegano el reporte que se situa en C:\Vundofix.txt

Ejecutalas de a una en Modo a Prueba de Fallos y nos dejas los resportes de delpsguard, vundofix y uno del Panda ActiveScan Online

Salu2

__________________
Donde menos se piensa, salta la liebre

Hize todo lo solicitado antes de poner el post, no puse los informes de DelPsguard por resultar negativo y Vundufix por no encontrar nada ,el Panda ya lo tienes.


DelPSGuard v 4.8.7
by www.ForoSpyware.com
Reporte Creado: 13:57:03.90, 2008-01-20
SO: Microsoft Windows XP [Versión 5.1.2600]
Modo de Inicio: Seguro
_________________________________________


»»»»»»»»»»»» Carpetas y Archivos infectados »»»»»»»»»»»»


»»»»»»»»»»»» Programas Malwares »»»»»»»»»»»»



»»»»»»»»»»»» FIN »»»»»»»»»»»»

Ok cuando tengas el del panda lo pegas aqui para ver que encontro, pero recuerda que es el del panda online y no el del antivirus panda que tienes instalado en tu pc

__________________
Donde menos se piensa, salta la liebre

El informe de panda on-line es el que adjunto en el primer post.

1. Descarga el SilentRunner (dale click con el boton derecho del ratón al enlace y luego en Guardar enlace cómo, Save as o Save Link as....)
   
2. Ejecuta el script, al hacerlo, te hará unas preguntas, en dichas preguntas contesta 'No' y 'Si' (en ese orden)....
   
3. Luego, deberás esperar (aunque parezca que no hace nada) a que te aparezca un mensaje con el botón OK
   
4. En la misma carpeta que ejecutes el script aparecerá un archivo llamado Reporte el cual deberás colocarlo aquí (si lo abres o envías antes de ver el mensaje con el botón Ok, no estará completo)

__________________
Donde menos se piensa, salta la liebre

"Silent Runners.vbs", revision 55, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \ {++}
"APVXDWIN" = ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\APVXDWIN.EXE" /s" ["Panda Software International"]
"SCANINICIO" = ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\Inicio.exe"" ["Panda Software International"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Once\ {++}
"Panda_cleaner" = "C:\Archivos de programa\Panda Security\TotalScan\pavdr.exe "C:\Archivos de programa\Panda Security\TotalScan\d0a886b3a1c27eef6361b666fd080b7 9pavdr.act"" ["Panda Software International"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Aplicación auxiliar de vínculos de Adobe PDF Reader"
\InProcServer32\(Default) = "C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
-> {HKLM...CLSID} = "SSVHelper Class"
\InProcServer32\(Default) = "C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll" ["Sun Microsystems, Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\She ll Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extensión de paneo de pantalla del Panel de control"
-> {HKLM...CLSID} = "Extensión de paneo de pantalla del Panel de control"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extensión de icono de HyperTerminal"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{9ED66769-A198-41FE-8615-601691C68846}" = "TouchPad Property Sheet"
-> {HKLM...CLSID} = "TouchPad PropSheet Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\TPprop.dll" ["COMPAL ELECTRONIC INC."]
"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
-> {HKLM...CLSID} = "RealOne Player Context Menu Class"
\InProcServer32\(Default) = "C:\Archivos de programa\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]
"{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF}" = "iTunes"
-> {HKLM...CLSID} = "iTunes"
\InProcServer32\(Default) = "C:\Archivos de programa\iTunes\iTunesMiniPlayer.dll" ["Apple Computer, Inc."]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Archivos de programa\Microsoft Office\Office10\msohev.dll" [MS]
"{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}" = "TuneUp Shredder Shell Extension"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Archivos de programa\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
"{44440D00-FF19-4AFC-B765-9A0970567D97}" = "TuneUp Theme Extension"
-> {HKLM...CLSID} = "TuneUp Theme Extension"
\InProcServer32\(Default) = "C:\WINDOWS\System32\uxtuneup.dll" ["TuneUp Software GmbH"]
"{65756541-C65C-11CD-0000-4B656E696100}" = "Panda Antivirus"
-> {HKLM...CLSID} = "Panda Antivirus"
\InProcServer32\(Default) = "C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PavOLE.dll" ["Panda Software"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\ShellExecuteHooks\
<<!>> "{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}" = (no title provided)
-> {HKLM...CLSID} = "SABShellExecuteHook Class"
\InProcServer32\(Default) = "C:\Archivos de programa\SUPERAntiSpyware\SASSEH.DLL" ["SuperAdBlocker.com"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\She llServiceObjectDelayLoad\
"WPDShServiceObj" = "{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"
-> {HKLM...CLSID} = "WPDShServiceObj Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\WPDShServiceObj.dll" [MS]

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\
<<!>> "load" = "C:\WINDOWS\system32\ddaby.exe" [file not found]

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
<<!>> "BootExecute" = "autocheck autochk *"|"pfdnnt C:\Archivos de programa\Panda Security\Panda Internet Security 2008\6e21bd90bb6e481ad37945676481f543pfdnnt.act" ["Panda Software International"]|"pfdnnt C:\Archivos de programa\Panda Security\TotalScan\d0a886b3a1c27eef6361b666fd080b7 9pfdnnt.act" ["Panda Software International"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> !SASWinLogon\DLLName = "C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll" ["SUPERAntiSpyware.com"]
<<!>> avldr\DLLName = "avldr.dll" ["Panda Software International"]
<<!>> igfxcui\DLLName = "igfxdev.dll" ["Intel Corporation"]
<<!>> tuvtsro\DLLName = "tuvtsro.dll" [file not found]
<<!>> wintmh32\DLLName = "wintmh32.dll" [file not found]

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandler s\
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandler s\
Panda Antivirus\(Default) = "{65756541-C65C-11CD-0000-4B656E696100}"
-> {HKLM...CLSID} = "Panda Antivirus"
\InProcServer32\(Default) = "C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PavOLE.dll" ["Panda Software"]
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Archivos de programa\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMen uHandlers\
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Archivos de programa\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHa ndlers\
Panda Antivirus\(Default) = "{65756541-C65C-11CD-0000-4B656E696100}"
-> {HKLM...CLSID} = "Panda Antivirus"
\InProcServer32\(Default) = "C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PavOLE.dll" ["Panda Software"]

HKLM\SOFTWARE\Classes\AllFilesystemObjects\shellex \ContextMenuHandlers\
FAExt\(Default) = "{05672D66-9736-42F5-8BEB-FA1DD3CA51C4}"
-> {HKLM...CLSID} = "FAExt Class"
\InProcServer32\(Default) = "C:\ARCHIV~1\FILEAS~1\FILEAS~1.DLL" ["Malwarebytes"]


Group Policies {policy setting}:
--------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\

"NoBandCustomize" = (REG_DWORD) dword:0x00000000
{Disable customizing browser toolbars}

"NoMovingBands" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"NoCloseDragDropBands" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"NoSetTaskbar" = (REG_DWORD) dword:0x00000000
{Prevent changes to Taskbar and Start Menu Settings}

"NoToolbarsOnTaskbar" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"ClearRecentDocsOnExit" = (REG_BINARY) hex:00 00 00 00 00 00 00 00
{unrecognized setting}

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Pol icies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be enabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\ShellState


Enabled Scheduled Tasks:
------------------------

"Mantenimiento con 1 clic" -> launches: "C:\Archivos de programa\TuneUp Utilities 2007\SystemOptimizer.exe /schedulestart" ["TuneUp Software GmbH"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Pa rameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Pa rameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
C:\Archivos de programa\Panda Security\Panda Internet Security 2008\pavlsp.dll ["Panda Software International"], 01 - 03, 19
%SystemRoot%\system32\mswsock.dll [MS], 04 - 06, 09 - 18
%SystemRoot%\system32\rsvpsp.dll [MS], 07 - 08


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\
"{327C2873-E90D-4C37-AA9D-10AC9BABA46C}" = "Easy-WebPrint"
-> {HKLM...CLSID} = "Easy-WebPrint"
\InProcServer32\(Default) = "C:\Archivos de programa\Canon\Easy-WebPrint\Toolband.dll" [null data]

Explorer Bars

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\

HKLM\SOFTWARE\Classes\CLSID\{03C1C47F-0538-4645-8372-D3109B9FC636}\(Default) = "Easy-WebPrint"
Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]
InProcServer32\(Default) = "C:\Archivos de programa\Canon\Easy-WebPrint\Toolband.dll" [null data]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Consola de Sun Java"
"CLSIDExtension" = "{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in 1.6.0_03"
\InProcServer32\(Default) = "C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll" ["Sun Microsystems, Inc."]
-> {HKLM...CLSID} = "Java Plug-in 1.6.0_03"
\InProcServer32\(Default) = "C:\Archivos de programa\Java\jre1.6.0_03\bin\npjpi160_03.dll" ["Sun Microsystems, Inc."]

{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}\
"MenuText" = "Spybot - Search & Destroy Configuration"
"CLSIDExtension" = "{53707962-6F74-2D53-2644-206D7942484F}"


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

ConfigFree Service, CFSvcs, "C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe" ["TOSHIBA CORPORATION"]
Intel(R) PROSet/Wireless Event Log, EvtEng, "C:\Archivos de programa\Intel\Wireless\Bin\EvtEng.exe" ["Intel Corporation"]
Intel(R) PROSet/Wireless Registry Service, RegSrvc, "C:\Archivos de programa\Intel\Wireless\Bin\RegSrvc.exe" ["Intel Corporation"]
Intel(R) PROSet/Wireless Service, S24EventMonitor, "C:\Archivos de programa\Intel\Wireless\Bin\S24EvMon.exe" ["Intel Corporation "]
Machine Debug Manager, MDM, ""C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe"" [MS]
Panda anti-virus service, PAVSRV, ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\pavsrv51.exe"" ["Panda Software International"]
Panda Antispam Engine, pmshellsrv, "C:\Archivos de programa\Panda Security\Panda Internet Security 2008\AntiSpam\pskmssvc.exe" ["Panda Software International"]
Panda Function Service, PAVFNSVR, ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PavFnSvr.exe"" ["Panda Software International"]
Panda Host Service, PSHost, ""c:\archivos de programa\panda security\panda internet security 2008\firewall\PSHOST.EXE"" ["Panda Software International"]
Panda IManager Service, PSIMSVC, ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PsImSvc.exe"" ["Panda Software International"]
Panda Process Protection Service, PavPrSrv, ""C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe"" ["Panda Software"]
Panda Software Controller, Panda Software Controller, ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\PsCtrls.exe"" ["Panda Software International"]
Panda TPSrv, TPSrv, ""C:\Archivos de programa\Panda Security\Panda Internet Security 2008\TPSrv.exe"" ["Panda Software International"]
TOSHIBA Optical Disc Drive Service, TODDSrv, "C:\WINDOWS\system32\TODDSrv.exe" ["TOSHIBA Corporation"]
TuneUp Ampliación del thema, UxTuneUp, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\uxtuneup.dll" ["TuneUp Software GmbH"]}


Print Monitors:
---------------

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monito rs\
Canon BJ Language Monitor PIXMA iP1500\Driver = "CNMLM5y.DLL" ["CANON INC."]


---------- (launch time: 2008-01-20 19:05:11)
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 108 seconds.
---------- (total run time: 144 seconds)

Edito Has lo siguiente:

Descargate OTMoveIt lo guardas en el Escritorio.

• Haz un doble clic sobre OTMoveIt.exe para ejecutarlo.
• Asegurate que este marcado "Unregister Dll's and Ocx's".
• Copia el texto que se encuentra en el cuadrado más abajo, y pega el texto en el marco de izquierdo de OTMoveIt nombrado Paste List of Filas / Folders to be moved.

• Haz clic en MoveIt! Para lanzar la supresión.
• Cuando el resultado aparece en el marco Results, hace clic en Exit.
• Reinicia el PC (Este paso es muy importante).

Envía el informe (reporte) de OTMoveIt situado sobre C: \ _ OTMoveIt\MovedFiles.

Salu2

__________________
Donde menos se piensa, salta la liebre

Hola!
Miientras esperaba, oia un poco de musica con el winap me ha salido la ventana de actualizacion advirtiendo de posibles problemas de seguridad y con la paranoya ,lo he actualizado y al reiniciar windows ,parece que ahora no se carga el ddaby.exe.

Al reiniciar me han salido dos ventanas buscando los dichosos ddaby,luego apareció el panda zampandose al ddaby.dll y la operación con el OTMoveIt
fracasó con este resultado.


File/Folder C:\WINDOWS\system32\ddaby.exe not found.
LoadLibrary failed for C:\WINDOWS\system32\ddaby.dll
C:\WINDOWS\system32\ddaby.dll NOT unregistered.
File move failed. C:\WINDOWS\system32\ddaby.dll scheduled to be moved on reboot.

Created on 01-20-2008 20:56:50

realiza lo siguiente:
Descarga el SUPERantispyware y realiza un escaneo profundo de tu equipo eliminando lo que encuentre.
luego realiza lo siguiente:

• Descarga la herramienta ComboFix.
• Has doble click en el archivo combofix.exe y sigue los avisos, es IMPORTANTE que para que trabaje correctamente no utilices ninguna otra aplicacion mientras él analiza.
• Cuando termine este generara un reporte el cual debes pegar aqui.
• Nota* Puede que algunos Antivirus como Panda detecten un falso positivo en ComboFix pero no hay que preocuparse por esto.

nos dejas el reporte del CF.

__________________
Linux User Registered #453948
Ubuntu User #20783