Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Saludos y muchas gracias por la ayuda...
FIREWALL estuvo ayudandome con este virus pero me remitio a esta seccion con el animo de obtener ayuda del especialista...

Ya no se que hacer!! el pc de un momento a otro dejo de reconocer el antivirus ( tengo el nod32 2.70) salia mensaje de alerta de seguridad de windows diciendome que no tengo antivirus instalado y que ademas mi firewall esta desactivado (yo nunk lo desactive)... pense que alguno de mis hermanos lo habia hecho pero cuando busque el antivirus ahi estaba en mis programas instalados, pero cuando intente abrirlo no abre!!! le doy click y click y nada!! no se abre.. le pase el dlpsguard y me sale que busco los programas malwares y que elimino una entrada que dice c/system 32/....meex.com lo extraño es que sigo sin tener antivirus ni firewall y no se dejan abriri....
he corrido el delpsguard en modo a prueba de fallos y vuelve y lo encuentra y dice eliominado..pero cuando lo reinicio vuelve y aparece... cuando reactivo el firewall sale activado pero un minuto despues vuelve y se desactiva...

SEGUI UNOS PASOS DE DESINFECCION QUE ME DIO FIREWALL y luego el analisis online me dio esto:

Bueno les cuento que pase el kaspersky online y les pego el reporte..
entre en modo a prueba de fallos y corri el delpsguard, el ccleaner, regseeker y limpie todo lo posible antes de correr el antivirus online. cuando reinicie en modo normal: sorpresa! ya estaba desbloqueado el nod32 y el firewall, le di correr al nod despues de actualizarlo y no encontro nada. pero cuando le di pasar el antivirus on line este es el reporte que me dice que sigo teniendo virus:

sábado, 16 de febrero de 2008 14:45:43
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.1
Ultima actualización: 16/02/2008
Registros en la base antivirus: 527086
Objetivo a analizar Mi PC
A:\
C:\
D:\
E:\
F:\

Estadísticas
Número de objeros analizados 69778
Virus encontrados 1
Objetos infectados 4 / 0
Objetos sospechosos 0
Duración del análisis 01:27:12

Bombre del objeto infectado Nombre del virus Última acción
C:\!KillBox\jtrwonw.exe Infectados: Trojan-PSW.Win32.Nilage.avu saltado

C:\!KillBox\lvblkbg.exe Infectados: Trojan-PSW.Win32.Nilage.avu saltado

C:\!KillBox\meex.com Infectados: Trojan-PSW.Win32.Nilage.avu saltado

C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\logs\starwind.2008-02-16.12-42-35.log Object is locked saltado

C:\Archivos de programa\ESET\cache\CACHE.NDB Object is locked saltado

C:\Archivos de programa\ESET\logs\virlog.dat Object is locked saltado

C:\Archivos de programa\ESET\logs\warnlog.dat Object is locked saltado

C:\Archivos de programa\Nero\Nero8\Nero BackItUp\BIU1.txt Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado

C:\Documents and Settings\All Users\Datos de programa\Nero\Nero8\Nero BackItUp\Cache\NeroBackItUpScheduler3.log Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\ntuser.dat Object is locked saltado

C:\Documents and Settings\Juan Fuentes\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat Object is locked saltado

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado

C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado

C:\WINDOWS\Sti_Trace.log Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado

C:\WINDOWS\system32\config\OSession.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\drivers\sptd.sys Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\Tasks\SCHEDLGU.TXT Object is locked saltado

C:\WINDOWS\wiadebug.log Object is locked saltado

C:\WINDOWS\wiaservc.log Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado

D:\wuksftu.exe Infectados: Trojan-PSW.Win32.Nilage.avu saltado

Análisis completado.

LUEGO ME DIO ESTAS Y OTRAS INDICACIONES LAS CUALES SEGUI AL PIE DE LA LETRA
Busca y elimina este archivo:
C:\!KillBox\jtrwonw.exe
C:\!KillBox\lvblkbg.exe
C:\!KillBox\meex.com
D:\wuksftu.exe
Si se resiste, usa File Assassin para eliminarlo

este virus no se deja eliminar...aparentemente uno busca los archivos y los elimina pero cuando reinicia el pc vuelven y renacen!!! aaaaaaaaa les habia contado que el nod volvio a funcionar..pues se volvio a bloquear igual q el firewall! no se que mas hacer!!! segui las inidicaciones al pie de la letra pero nada! incluso el ewido on line las detecto pero le di eliminar pero parece que no surtio efecto porque volvieron a salir...
el reporte del ewido no aparecio como tal pero me dio el nombre de lo que encontro que es :

worm.delf.cm salieron 2 archivos con el mismo nombre para el ewido pero diferentes nombres pero en la misma carpeta system32 (creo que son los mismos que pegue en el reporte anterior
C:\system32\jtrwonw.exe
C:\system32\lvblkbg.exe D:\wuksftu.exe ) en mi pc.
Ahh de nuevo les puedo contar que de repente se abre una pagina en el internet explorer (de la nada aparece) y la direccion es: http://www.onefordvd.com/ pero esta escrita toda en chino!!!
le he pasado todos los antivirus que he encontrado !!! y al parecer lo eliminan pero cuando reinicio....ahi esta otra vez el antivirus bloqueado igual que el firewall...
Por favor ayudenme ya no se que hacer!!!

Si claro use EL FILEASSASIN! primero lo use de manera convencional para eliminarlos y no hubo problema...crei que lo habia logrado.. pero luego, al reiniciar volvieron a salir... asi que lo use de nuevo pero dandole en eliminar al reiniciar... y nada sigue igual!!!

es que descubri unas cosas...
ESTANDO EN MODO A PRUEBA DE FALLOS!!La primera es que buscando los archivos manualmente le di en mostrar archivos ocultos. la sorpresa fue que cuando volvi a abrir la pestaña estaba la opcion desmarcada y poniendo en ocultar los archivos ocultos(cosa que yo no hice), por esto pense que debia estar algun proceso activo (suponia que en el modo a prueba de fallos solo estaban ejecutandose lo necesario del sistema) y sorpresa!!! abri el administrador de tareas y ahi estaban!!! el proceso jtrwonw.exe wuksftu.exe y lvblkbg.exe con diferentes recursos pero el que mas gastaba era el wuksftu.exe como con 8 mb de ram!!!
les di terminar proceso muchas veces pero fue inutil pues se volvian a abrir.
les volvi a dar con el fileassasin pero no me dejo! asi que le di la opcion borrar al reiniciar windows.
la seguanda fue que utilice el regseeker en modo a prueba de fallosy cuando me meti a la pestaña startup me salieron los antivirus y sorpresa!! estaban en el inicio automatico los procesos lvblkbg.exe y wuksftu.exe!! los quite de ahi `pero al parecer no sirvio de nada porque cuando lo reinicie (esperaba que con el file assasin se borraran los que yo le di eliminar) ahi estaban otra vezª!! todo bloqueado.
instale el spybot y el residente cada vez que reinicio me dice que kohhdpk esta modificando archivos dandole valor agregado le doy bloquear esa accion pero al parecer tampoco sirve de nada.
estuve mirando en internet y ese nombre (kohhdpk.exe) es al parecer la mama de este virus y lei que hace un monton de cosas entre esas que crea copias de su propio archivo!!aaaaaaaaaaa
ya no se que hacer!!
LUEGO EL ME DIJO ESTO:
Tendre que mandarte con los expertos en cosas asi entra aqui Foro Oficial de HijackThis en español - Foro de Spyware

ahora estoy en sus manos por favor ayudenme que he intentado de todo y nada funciona!!!

muchas gracias y en espera de una respuesta!!!

Hola sebastianfuen65,

Para que te podamos ayudar en este sector tendrías que dejarnos un reporte de
*HijackThis 2.0.2 en este mismo mensaje.

Salu2

Saludos y gracias por la respuesta!!


olvide mencionarles que tambien tengo bloqueado el hijackthis!!!!
lo instalo y lo instalo y cuando lo abro espera un segundo y me dice: error
windows no puede encontrar el archivo especificado (muestra toda la ruta) asegurese que la ruta y el nombre de archivo este escrito correctamente y vuelva a intentarlo. para buscar un archivo de click en inicio buscar.

ya no se que hacer!
hay alguna manera de neutralizar ese virus mientras ejecuto el hijackthis??
en espera de una respuesta!! muchas gracias

Hacele un escaneo rápido con:

• Malwarebytes' Anti-Malware

Saludos y gracias por la respuesta!!

no se como lo hice pero logre desbloquear el antivirus otra vez!!!
en cuanto al hijackthis pase el antimalware que me dijeron y encontro une entrada en el registro infectada!!! la elimine y cuando lo volvi a instalar: funciono!!!!!!!!!
el log que me dio lo adjunto ( le hice mil cosas en modo a prueba de fallos. le pase lo que encontre de antivirus y todo y asi lo pude desbloquear y buscando uno por uno los archivos que investigue hacen parte de este virus) espero que si queda algo por favor me lo digan para eliminarlo de una vez por todas!!

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9:28:32, on 20/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Estadísticas del componente Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://chivotron.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {55027008-315F-4F45-BBC3-8BE119764741} (Slide Image Uploader Control) - http://www.slide.com/uploader/SlideImageUploader.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-LA/a-UNO1/GAME_UNO1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1181159264734
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://chivotron.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD91E71B-3AF1-400A-B832-1B0A2A736056}: NameServer = 201.221.151.31,201.221.151.32
O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\ARCHIV~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Archivos de programa\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Nero\Lib\NMIndexingService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Archivos de programa\Windows Live\installer\WLSetupSvc.exe

--
End of file - 6466 bytes


GRACIAS!!!

Hola, el log esta limpio y si no hay mas problemas, damos el tema por solucionado.

Para evitar este tipo de infecciones te recomiendo usar un navegador mas seguro como Firefox

Salu2