se supone que es un componente de sahagent y se supone que borre ese virus o porlomenos ningun antivirus(entre ellos el adaware de lavasoft) lo vuelve a encontrar, pero el archivo sigue ahi ...
¿que puedo hacer?

Hola gela y bienvenida al foro, sigue estos pasos:

- Sigue los 11 pasos fundamentales para una buena eliminacion, no te saltes ningun paso.

- Pasa el Regseeker para Limpiar el Registro pásalo hasta q no quede nada para eliminar.

- Reinicia la maquina y nos cuentas los resultados.

- De persistir el problema pasa el Hijackthis y pega tu log en este mismo mensaje para su analisis.

Saludos

no me funciono asique aqui esta el log de hijack this

no me funciono asique aqui esta el log de hijack this
Logfile of HijackThis v1.99.1
Scan saved at 03:53:35 p.m., on 01/11/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\ARCHIVOS DE PROGRAMA\WINPOET BROADBAND CONNECTION\WINPPPOVERETHERNET.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\LAUNCHER.EXE
C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\ARCHIVOS DE PROGRAMA\HJT\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\JCCATCH.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FGIEBAR.DLL
O4 - HKLM\..\Run: [z-WrDialer] C:\ARCHIVOS DE PROGRAMA\WINPOET BROADBAND CONNECTION\WrDialer.exe
O4 - HKLM\..\Run: [a-winpoet-service] "C:\Archivos de programa\WinPoET Broadband Connection\winpppoverethernet.exe"
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [PrimaLauncher] C:\WINDOWS\SYSTEM\Launcher.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE" /background
O4 - Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Search - http://kz.bar.need2find.com/KZ/menusearch.html?p=KZ
O8 - Extra context menu item: Download using FlashGet - C:\ARCHIVOS DE PROGRAMA\FLASHGET\jc_link.htm
O8 - Extra context menu item: Download All by FlashGet - C:\ARCHIVOS DE PROGRAMA\FLASHGET\jc_all.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FLASHGET.EXE
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FLASHGET.EXE
O16 - DPF: Yahoo! Literati - http://download.games.yahoo.com/games/clients/y/tt3_x.cab
O16 - DPF: Yahoo! Pyramids - http://download.games.yahoo.com/games/clients/y/pyt1_x.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by20fd.bay20.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: Yahoo! Gin - http://download.games.yahoo.com/games/clients/y/nt1_x.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: Yahoo! Cribbage - http://download.games.yahoo.com/games/clients/y/it1_x.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_ansi.cab
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

No te olvides de pasar por WindowsUpdate periódicamente para tener actualizado el sistema, desinstala el Winpoet ya que agrega spyware, luego sigue estos pasos:

1.- Apaga el "Restaurar Sistema"

2.- Reinicia en Modo a Prueba de Fallos

3.- Cierra todos los programas, ejecuta HijackThis y dale "Fix Cheked" a estas entradas:

R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [z-WrDialer] C:\ARCHIVOS DE PROGRAMA\WINPOET BROADBAND CONNECTION\WrDialer.exe

O8 - Extra context menu item: &Search - http://kz.bar.need2find.com/KZ/menusearch.html?p=KZ

4.- Sin reiniciar, busca y elimina estos archivos, si no se dejan eliminar descarga el programa "Killbox" y sigue las indicaciones del mensaje, copia y pega los archivos para que los elimine al reiniciar.

C:\ARCHIVOS DE PROGRAMA\WINPOET BROADBAND CONNECTION<-- Elimina la carpeta y todo su contenido

5.- Pasa el Disk Cleaner para limpiar cookies y temporales

6.- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

7.- Pasa el Ad-Aware SE actualizado e instala SpywareBlaster

8.- Reinicia la maquina y pega otro log de Hijackthis aqui mismo, luego nos cuentas como te fue.

De preferencia imprime las indicaciones para que se te haga mas facil seguirlas.

Saludos

aqui esta mi log

Logfile of HijackThis v1.99.1
Scan saved at 06:01:03 p.m., on 02/11/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\LAUNCHER.EXE
C:\ARCHIVOS DE PROGRAMA\WINPOET BROADBAND CONNECTION\WINPPPOVERETHERNET.EXE
C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE
C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\ARCHIVOS DE PROGRAMA\HJT\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\JCCATCH.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FGIEBAR.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [PrimaLauncher] C:\WINDOWS\SYSTEM\Launcher.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [z-wrdialer] "C:\Archivos de programa\WinPoET Broadband Connection\wrdialer.exe"
O4 - HKLM\..\Run: [a-winpoet-service] "C:\Archivos de programa\WinPoET Broadband Connection\winpppoverethernet.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\ARCHIVOS DE PROGRAMA\MSN MESSENGER\MSNMSGR.EXE" /background
O4 - Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe
O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Download using FlashGet - C:\ARCHIVOS DE PROGRAMA\FLASHGET\jc_link.htm
O8 - Extra context menu item: Download All by FlashGet - C:\ARCHIVOS DE PROGRAMA\FLASHGET\jc_all.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FLASHGET.EXE
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIVOS DE PROGRAMA\FLASHGET\FLASHGET.EXE
O16 - DPF: Yahoo! Literati - http://download.games.yahoo.com/games/clients/y/tt3_x.cab
O16 - DPF: Yahoo! Pyramids - http://download.games.yahoo.com/games/clients/y/pyt1_x.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by20fd.bay20.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: Yahoo! Gin - http://download.games.yahoo.com/games/clients/y/nt1_x.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: Yahoo! Cribbage - http://download.games.yahoo.com/games/clients/y/it1_x.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_ansi.cab
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab


pero de todas maneras el archivo ljmb35er esta en el pc, y porque tenia q borrar la carpeta del winpoet?? obviamente lo hice pero tuve que volver a isntalar el winpoet porque con ese programa me conecto a internet!!

Bueno, el log de Hijackthis no muestra signos del archivo que mencionas, busca la ubicación del archivo en mención y lo subes a la página de VirusTotal y pegas el reporte aquí mismo para su análisis.

Saludos

este archivo tb trae un wordpad con esta informacion

[Files]
SAHAgent=ljmb35er.exe
SahHtml=mkdnds99.exe
SAHUninstall=lpn9uhk7.exe
lsp=ma7kkbgj.dll
WEBInstaller=WEBInstaller.dll
vp=66vpduif.dat
vu=m01hrqot.dat
vh=6r2a9mua.dat
vb=ml43oi4o.dat
lsp_setup=zfxedct97.exe
[SAHAgent]
AdServing=N
PrefsServer=www.shopathomeselect.com
PrefsXML=/agent4/agentprefs4_.sah
PrefsPath=agent4/
GUID=GUID={5D25B3E0-3F4B-11DA-B547-00115B500A56}
EulaDate=2005-10-17 20:19:50
EulaStatus=displayed4106b
CookieUserAgent=iexplorer
BrowserType=Bundle
UniqueBundleKey=owner=isearchtech1008
UniqueBundleID=refer=250828905
ReadyToInstall=complete
BundleInstall=ready
BundlePath=C:\WINDOWS\TEMP\SAHAGENT.EXE
PackageLocation=downloads.shopathomeselect.com
PackageName=/v4030/setup4030.cab
InitRegRule=1000010
FileSahUnInstall=70tovmto
NamedBy=MadAdam
RelaunchDog=
CreateDate=2005-10-17
HtmlName=C:\WINDOWS\SYSTEM\02tk9820.html
UnInstallExecute=disable
UnInstallRequest=disable
DateToSendNextHeartbeat=2005-11-30 21:58:23
DateOfCheckForNewValidate=2005-11-30 21:21:34
LastPrefs=Mon, 24 Oct 2005 21:07:36 GMT
LastBce=Mon, 24 Oct 2005 21:07:36 GMT
ValidateXMLversion={8496A6E5-7190-4166-A04F-41C849F7DE9A}
RenameFiles=no
FileSahAgent=gah95on6
FileSahHtml=bln02nqv
FileLsp=2b3fsk0h
FileV=tm97pj39
FileVP=p1fumi62
FileVG=kdlmjh8r
FileVU=goreggbk
FileVH=b315cfed
TemplatePath=
FullImages=downloads.shopathomeselect.com/images/mrchntimages/
Images=/images/mrchntimages/
PopupCloseButton=close.gif
PopupDefaultImage=popupDefault.gif
RedirectTo=http://www.shopathomeselect.com/frameset4.asp
Categories=
Popup=
AgentVersion=4.0.3.2
LSPVersion=1.1.1.1
SiteNotAvailablePeriod=10
ResponseTime=20
SuppressTimeout=10
PongTimeout=180
RetryDays=5
PrefsXMLversion={8496A6E5-7190-4166-A04F-41C849F7DE9A}
Suppress1=afsrc=1
Suppress2==notused=
IncUpdateEnabled=no
SearchEngineEnabled=no
SearchPopunderCount=2
InitRegDelayTime=10
BcePath=/agent/bce.sah
ServiceDomain=gr4.cc
AdServeDomain=199.221.131.142/adserve.dll
SuperPanDomain=199.221.134.83/superpan/superpan.dll
ServicePath=s.dll
NumberOfDaysNextHearbeart=30
NumberOfDaysNextValidate=30
NumberOfDaysNextUpdate=30
validate=Y
validateURL=www.shopathomeselect.com/agent4/
update=Y
updateURL=downloads.shopathomeselect.com/v4030/setup4030.cab
LspSetupName=EulaUpgrade.exe
IP=201.222.189.227
UID=1003603137
DateToCheckForNewUpdate=2005-11-30 21:21:34
RetryModeFinish=
GlobalXMLversion={8496A6E5-7190-4166-A04F-41C849F7DE9A}
AttemptDownloadPrefs=ok

[SAHPopup]
main=612
popunder=
top=

y supuestamente al sahagent ya lo mate

Este es el resultado de analizar el archivo "ljmb35er.exe" que VirusTotal ha procesado el dia 03/11/2005 a las 00:33:50 (CET).
Antivirus Version Actualización Resultado
AntiVir 6.32.0.6 02.11.2005 no ha encontrado virus
Avast 4.6.695.0 02.11.2005 Win32:Adan-003
AVG 718 01.11.2005 Adware Generic.GJW
Avira 6.32.0.6 02.11.2005 no ha encontrado virus
BitDefender 7.2 03.11.2005 no ha encontrado virus
CAT-QuickHeal 8.00 02.11.2005 no ha encontrado virus
ClamAV devel-20050917 02.11.2005 Adware.Shopathome
DrWeb 4.33 02.11.2005 no ha encontrado virus
eTrust-Iris 7.1.194.0 02.11.2005 no ha encontrado virus
eTrust-Vet 11.9.1.0 02.11.2005 no ha encontrado virus
Fortinet 2.48.0.0 02.11.2005 Adware/SahAgent
F-Prot 3.16c 02.11.2005 no ha encontrado virus
Ikarus 0.2.59.0 02.11.2005 no ha encontrado virus
Kaspersky 4.0.2.24 02.11.2005 no ha encontrado virus
McAfee 4618 02.11.2005 potentially unwanted program Adware-SAHAgent
NOD32v2 1.1274 03.11.2005 probably a variant of Win32/Adware.SAHAgent
Norman 5.70.10 02.11.2005 no ha encontrado virus
Panda 8.02.00 02.11.2005 no ha encontrado virus
Sophos 3.99.0 02.11.2005 no ha encontrado virus
Symantec 8.0 02.11.2005 no ha encontrado virus
TheHacker 5.9.1.027 02.11.2005 no ha encontrado virus
VBA32 3.10.4 02.11.2005 Adware.SAHAgent



eso dice

- Busca y elimina ese archivo, si no se deja eliminar utiliza el programa Killbox y sigue las indicaciones del mensaje, copia y pega el archivo para que lo elimine al reiniciar.

ljmb35er.exe

- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

- Pasa el Ad-Aware SE y Spybot Search & Destroy actualizados

Luego nos cuentas como te fue.

Saludos