Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Se me pone como fondo de pantalla azul y un texto que pone Warning: Spyware threat has been detected in your PC. Your computer has several fatal errors due to spyware activity. It is strowly recomended to install and antispyware software to close all security vulnerability. Antispyware software help protected your Pc against spyware another security threats. Clik here to scan your pc for spyware.... Este es un archivo que se llama default.htm y se graba en c:/windows. Tantas veces lo borro tantas veces lo vuelve a poner.
Si apretamos allí se abre una pagina de Internet con una información Top rated spyware removers.
Entre todo esto de vez en cuando se abre una pantalla de Windows Security center system warning con la detección de:
c:/windows/ati2dvag32.dll
c:/windows/temp/salm.exe
c:/windows/msapasrc.dll
c:/windows/saiemod.dll
trojandownloader.xs

También a mano derecha inferior de la pantalla se coloca un icono amarillo con un signo de exclamación y de él sale un globo que en su interior incluye alguno de estos mensajes:
- Internet attack attempt detected, somebody's trying to infected your pc with spyware or harmful viruses. Run FULL SYSTEM SCAN now to protect your system from internet attacks, hijackthing attempts and spyware.!
- Your computer is working slowly. Slow operation speednight have been caused by spyware. Download latest antispyware software and run FULL SYSTEM SCAN to remove viruses and spyware.!
- Warning. Your computer is infected with spyware. Help to protect your computer and remove spyware.!
- Your computer is infected with spyware windows has detected spyware infection on your pc. It is recommended to update your antispyware protection to prevent data loss. Click here to download and install the most up-to-date antispyware for you.!
- Your security and privancy are at risk! Spyware has been detected on your computer! Click here to run a FULL SYSTEM SCAN to protect your data.!
- Your computer is not protected against spyware. Spywareable to steal your data including passwords, credit card numbers, etc. Scan your computer for spyware immediately.!

He pasado el panda online y no ha detectado ningun error. He pasado el Adaware y me ha detectado 6 troyanos y ya estan eliminados pero continua saliendo todo esto. Soy novata y estoy un poco perdida. He intentado hacer los pasos que indicais pero todos han sido nulos. Por favor os ruego que me ayudeis, ya que es el ordenador del trabajo y mi jefe me lo hace reparar a mi. No se como ha pasado todo esto pero es un caos.

He ejecutado el programa hijackthis y este es el log que ha salido.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:23:38, on 19/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Safe mode

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\mgmrwmrv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.terra.es/
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\mgmrwmrv.exe,
O2 - BHO: (no name) - {00000250-0320-4dd4-be4f-7566d2314352} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: e404 helper - {0D574C9F-71F9-4F3C-BA6D-CF9C0E1E3EE8} - C:\Archivos de programa\Helper\1205914344.dll
O2 - BHO: (no name) - {13197ace-6851-45c3-a7ff-c281324d5489} - (no file)
O2 - BHO: (no name) - {15651c7c-e812-44a2-a9ac-b467a2233e7d} - (no file)
O2 - BHO: (no name) - {4e1075f4-eec4-4a86-add7-cd5f52858c31} - (no file)
O2 - BHO: (no name) - {4e7bd74f-2b8d-469e-92c6-ce7eb590a94d} - (no file)
O2 - BHO: (no name) - {5929cd6e-2062-44a4-b2c5-2c7e78fbab38} - (no file)
O2 - BHO: (no name) - {5dafd089-24b1-4c5e-bd42-8ca72550717b} - (no file)
O2 - BHO: (no name) - {5fa6752a-c4a0-4222-88c2-928ae5ab4966} - (no file)
O2 - BHO: (no name) - {622cc208-b014-4fe0-801b-874a5e5e403a} - (no file)
O2 - BHO: (no name) - {8674aea0-9d3d-11d9-99dc-00600f9a01f1} - (no file)
O2 - BHO: (no name) - {965a592f-8efa-4250-8630-7960230792f1} - (no file)
O2 - BHO: (no name) - {9c5b2f29-1f46-4639-a6b4-828942301d3e} - (no file)
O2 - BHO: (no name) - {cf021f40-3e14-23a5-cba2-717765728274} - (no file)
O2 - BHO: (no name) - {fc3a74e5-f281-4f10-ae1e-733078684f3c} - (no file)
O2 - BHO: (no name) - {ffff0001-0002-101a-a3c9-08002b2f49fb} - (no file)
O2 - BHO: Her - {FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C} - C:\WINDOWS\system32\marwin32.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: CACHE.lnk = C:\CacheSys\Bin\csystray.exe
O4 - Global Startup: Configuración de usuario.lnk = C:\Archivos de programa\ccs\ot\otalconf.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://www5.aeat.es/es13/h/cactivex.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = GABINET.INT
O17 - HKLM\Software\..\Telephony: DomainName = GABINET.INT
O17 - HKLM\System\CCS\Services\Tcpip\..\{9D496D7E-8C42-4931-B205-12FBDB71E956}: NameServer = 192.168.0.10,194.179.76.2
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = GABINET.INT
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = GABINET.INT
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: CbEvtSvc - Unknown owner - C:\WINDOWS\System32\CbEvtSvc.exe
O23 - Service: CcEvtSvc - Unknown owner - C:\WINDOWS\System32\CcEvtSvc.exe

--
End of file - 4592 bytes

Hola ELOVIU, te doy la bienvenida al Foro de InfoSpyware.

Paso 1- Descarga estas herramientas pero no las ejecutes aun:

• ComboFix.exe
• Malwarebytes' Anti-Malware

Paso 2- Con todos los programas cerrados ejecuta el HijackThis y dale "FIX Cheked" a estas entradas:


F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\mgmrwmrv.exe,

O2 - BHO: (no name) - {00000250-0320-4dd4-be4f-7566d2314352} - (no file)


O2 - BHO: e404 helper - {0D574C9F-71F9-4F3C-BA6D-CF9C0E1E3EE8} - C:\Archivos de programa\Helper\1205914344.dll

O2 - BHO: (no name) - {13197ace-6851-45c3-a7ff-c281324d5489} - (no file)
O2 - BHO: (no name) - {15651c7c-e812-44a2-a9ac-b467a2233e7d} - (no file)
O2 - BHO: (no name) - {4e1075f4-eec4-4a86-add7-cd5f52858c31} - (no file)
O2 - BHO: (no name) - {4e7bd74f-2b8d-469e-92c6-ce7eb590a94d} - (no file)
O2 - BHO: (no name) - {5929cd6e-2062-44a4-b2c5-2c7e78fbab38} - (no file)
O2 - BHO: (no name) - {5dafd089-24b1-4c5e-bd42-8ca72550717b} - (no file)
O2 - BHO: (no name) - {5fa6752a-c4a0-4222-88c2-928ae5ab4966} - (no file)
O2 - BHO: (no name) - {622cc208-b014-4fe0-801b-874a5e5e403a} - (no file)
O2 - BHO: (no name) - {8674aea0-9d3d-11d9-99dc-00600f9a01f1} - (no file)
O2 - BHO: (no name) - {965a592f-8efa-4250-8630-7960230792f1} - (no file)
O2 - BHO: (no name) - {9c5b2f29-1f46-4639-a6b4-828942301d3e} - (no file)
O2 - BHO: (no name) - {cf021f40-3e14-23a5-cba2-717765728274} - (no file)
O2 - BHO: (no name) - {fc3a74e5-f281-4f10-ae1e-733078684f3c} - (no file)
O2 - BHO: (no name) - {ffff0001-0002-101a-a3c9-08002b2f49fb} - (no file)

O2 - BHO: Her - {FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C} - C:\WINDOWS\system32\marwin32.dll





Paso 3- Ejecuta estas herramientas, de a una:

• Malwarebytes' Anti-Malware
  *Nota* Es importante que envíes a "Cuarentena" todo lo que este detecte antes de copiar y pegarnos su reporte.

• Antes de usar ComboFix....
• Desactiva temporalmente el Antivirus y/o Antispyware.
• Cierra todas las ventanas abiertas.
• Hacele doble clic al archivo ComboFix.exe y seguí las instrucciones.
• Cuando termine, generara un registro en C:\ComboFix.txt.
  • *Nota* Mientras CF este trabajando no mover el mouse ya que pararía su proceso.
  • *Nota* ComboFix puede reiniciar automáticamente el PC para completar el proceso de eliminación.

Paso 4- Descarga CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

Reinicia y nos contas los resultados. junto con el reporte de

Paso 5- Reinicia en modo normal y nos dejas los reportes de:

• Malwarebytes' Anti-Malware
• C:\ComboFix.txt en este mismo mensaje.

**Nota**
- Para mayor comodidad imprime los pasos.
- Recuerda regresar y contarnos los resultados.

Salu2

Muchisisisisisimas gracias.
He hecho todos los pasos que me has dicho. Inicialmente hace buena pinta. Creo que esta solucionado pero a ver como va durante el dia y te lo asegurare.
El registro de malwarebyte's:
Malwarebytes' Anti-Malware 1.09
Versión de la Base de Datos: 509

Tipo de examen : Examen Completo (C:\|)
Objetos examinados: 68590
Tiempo transcurrido: 16 minute(s), 30 second(s)

Procesos en Memoria Infectados: 2
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 3
Valores del Registro Infectados: 0
Elementos de Datos del Registro Infectados: 0
Carpetas Infectadas: 2
Ficheros Infectados: 59

Procesos en Memoria Infectados:
C:\WINDOWS\system32\CbEvtSvc.exe (Trojan.Agent) -> Unloaded process successfully.
C:\WINDOWS\system32\CcEvtSvc.exe (Trojan.Agent) -> Unloaded process successfully.

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\CbEvtSvc (Backdoor.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\CcEvtSvc (Trojan.MyDoom) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\E404.e404mgr (Trojan.BHO) -> Quarantined and deleted successfully.

Valores del Registro Infectados:
(No se han detectado elementos maliciosos)

Elementos de Datos del Registro Infectados:
(No se han detectado elementos maliciosos)

Carpetas Infectadas:
C:\Archivos de programa\Helper (Adware.BHO) -> Quarantined and deleted successfully.
C:\WINDOWS\FLEOK (Fake.Dropped.Malware) -> Quarantined and deleted successfully.

Ficheros Infectados:
C:\Archivos de programa\Trend Micro\HijackThis\backups\backup-20080320-083949-839.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{A05CC1B4-8D40-4E10-BC02-1278F9A379A7}\RP222\A0027605.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\marwin32.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\FLEOK\180ax.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\Drivers\grande48.sys (Rootkit.Srizbi) -> Quarantined and deleted successfully.
C:\WINDOWS\avifile32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\avisynthex32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\aviwrap32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\bjam.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\bokja.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\browserad.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\cdsm32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\changeurl_30.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\didduid.ini (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\msa64chk.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\msapasrc.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\mspphe.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\123messenger.per (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\mssvr.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\ntnut.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\saiemod.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\salm.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\shdocpe.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\shdocpl.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\stcloader.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\swin32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\updatetc.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\voiceip.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\winsb.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\MSIXU.DLL (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\MSNSA32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ntnut32.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\shdocpe.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\SIPSPI32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\WER8274.DLL (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\Installer\id53.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\180ax.exe (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\2020search.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\2020search2.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\apphelp32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\asferror32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\asycfilt32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\athprxy32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\ati2dvaa32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\ati2dvag32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\audiosrv32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\autodisc32.dll (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
C:\WINDOWS\licencia.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\telefonos.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\textos.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\pharma.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\other.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\finance.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\adult.txt (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\sft.res (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\CbEvtSvc.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\winfrun32.bin (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mgmrwmrv.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\CcEvtSvc.exe (Trojan.Agent) -> Quarantined and deleted successfully.

El registro de Combofix:
ComboFix 08-03-18.1 - Natalia 2008-03-20 9:03:54.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.3082.18.685 [GMT 1:00]
Se ejecuta desde: C:\Documents and Settings\Natalia\Escritorio\ComboFix.exe
* Creado un nuevo punto de restauración

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\default.htm
C:\WINDOWS\knight.exe
C:\WINDOWS\recover.reg
C:\WINDOWS\TEMP\salm.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_CCEVTSVC


(((((((((((((((((( Archivos creados desde 2008-02-20 - 2008-03-20 )))))))))))))))))))))))))))))))))
.

2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Documents and Settings\Natalia\Datos de programa\Malwarebytes
2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Malwarebytes
2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Archivos de programa\Malwarebytes' Anti-Malware
2008-03-19 12:10 . 2008-03-19 12:10 <DIR> d-------- C:\Archivos de programa\Trend Micro
2008-03-19 11:09 . 2008-03-19 11:10 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Lavasoft
2008-03-19 11:09 . 2008-03-19 11:09 <DIR> d-------- C:\Archivos de programa\Lavasoft
2008-03-19 10:56 . 2008-03-19 11:08 <DIR> d-------- C:\WINDOWS\system32\ActiveScan
2008-03-19 10:56 . 2008-03-19 10:56 30,590 --a------ C:\WINDOWS\system32\pavas.ico
2008-03-19 10:56 . 2008-03-19 10:56 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-19 10:56 . 2008-03-19 10:56 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-19 09:12 . 2008-03-19 09:12 107,008 --a------ C:\Documents and Settings\LocalService\Datos de programa\1193887337.exe
2008-03-18 19:12 . 2008-03-18 19:12 29 --a------ C:\WINDOWS\system32\uaeudqod.tmp
2008-03-18 19:11 . 2008-03-19 17:47 147,456 --a------ C:\Documents and Settings\LocalService\Datos de programa\907608617.exe
2008-03-18 19:11 . 2008-03-18 19:11 107,008 --a------ C:\Documents and Settings\LocalService\Datos de programa\1001789598.exe
2008-03-10 17:26 . 2008-03-10 17:39 57 --a------ C:\WINDOWS\rtn07.INI
2008-03-06 12:00 . 2008-03-06 12:00 <DIR> d-------- C:\Archivos de programa\MSECache
2008-02-27 10:30 . 2008-02-27 10:30 49,152 --a------ C:\FINIQUITO RAFAEL MORENO.doc
2008-02-27 10:29 . 2008-02-27 10:29 123,904 --a------ C:\CERTIFICADO EMPRESA.doc

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-03-19 10:09 --------- d-----w C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}]
C:\WINDOWS\system32\marwin32.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 14:42 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.e xe" [2001-07-09 09:50 155648]
"SunJavaUpdateSched"="C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe" [2004-09-28 19:26 32881]
"Disk Knight"="C:\WINDOWS\Knight.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-19 14:42 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R2 U3sHlpDr;U3sHlpDr;C:\WINDOWS\System32\Drivers\U3sH lpDr.sys [2007-10-24 12:55]
R2 UxTuneUp;Ampliación del diseño de TuneUp;C:\WINDOWS\System32\svchost.exe [2004-08-19 14:43]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{9e64585c-f5a9-11dc-bd8b-00138f1911d3}]
\Shell\auto\command - E:\Knight.exe open
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Knight.exe open
\Shell\explore\command - E:\Knight.exe open
\Shell\find\command - E:\Knight.exe open
\Shell\install\command - E:\Knight.exe open
\Shell\open\command - E:\Knight.exe open

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{e1728a24-f4ba-11db-bc3d-00138f1911d3}]
\Shell\AutoRun\command - E:\LaunchU3.exe

.
Contenido de carpeta 'Tareas Programadas'
"2008-03-14 16:16:25 C:\WINDOWS\Tasks\Mantenimiento con 1 clic.job"
- C:\Archivos de programa\TuneUp Utilities 2007\SystemOptimizer.exe
.
************************************************** ************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-20 09:08:21
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

C:\WINDOWS\system32\drivers\Llri57.sys 167936 bytes executable

el escaneo se completo con exito
archivos ocultos: 1

************************************************** ************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\L lri57]

.
------------------------ Other Running Processes ------------------------
.
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\CacheSys\Bin\csystray.exe
C:\Archivos de programa\ccs\ot\otalconf.exe
C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
.
************************************************** ************************
.
Tiempo completado: 2008-03-20 9:09:46 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-20 08:09:44
.
2008-03-19 09:01:56 --- E O F ---

El registro de Ccleaner:
Windows Registry Editor Version 5.00


[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\FileExts\.FAN]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\FileExts\.FAN\OpenWithList]
"a"="WSCOTIZA.EXE"
"MRUList"="a"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\FileExts\.tmp]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\FileExts\.tmp\OpenWithList]
"a"="WINWORD.EXE"
"MRUList"="a"

[HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}]
@="Her"

[HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}\InprocServer32]
@="C:\\WINDOWS\\system32\\marwin32.dll"
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}\ProgID]
@="H.1"

[HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}\TypeLib]
@="{FFFFFFFF-47BD-4400-BF3F-EAE8E4626FE8}"

[HKEY_CURRENT_USER\Software\Wget]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"Disk Knight"="C:\\WINDOWS\\Knight.exe"

Espero que seas tu quien me digas que esta todo perfecto, yo aparentemente lo doy por solucionado. Tu eres el experto y supongo que con los registros anteriores podras apreciar si esta o no todo limpito.

De verdad que muchas muchas gracias.

Hola, ComboFix detecto y elimino ya algunos Malwares, pero todavía le quedaron algunas cosas para sacar siguiendo estos pasos:

A) - Abrir el Notepad (Bloc de Notas)

• Ir a INICIO > EJECUTAR >
• Y ahí pones notepad.exe y ACEPTAR

B) - Ahora copia y pega estos archivos dentro del Notepad

C) - Graba este archivo con el nombre CFScript.txt y déjalo en tu escritorio.

D) - Arrastrar y soltar el archivo CFScript.txt dentro del archivo ComboFix.exe como lo muestra la animación de abajo. Esto activara ComboFix nuevamente.

• Reinicia tu PC y nos dejas un el nuevo reporte de ComboFix, comentándonos como esta funcionado todo actualmente?

Salu2

Te mando el nuevo reporter de Combofix una vez realizado los pasos que me comentas.
El ordenador ahora funciona bien, muy bien. No da error por ningun lado.
Espero que ahora este ya todo limpito como los chorros del oro. Espero tu OK.

ComboFix 08-03-18.1 - Natalia 2008-03-25 10:28:13.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.3082.18.708 [GMT 1:00]
Se ejecuta desde: C:\Documents and Settings\Natalia\Escritorio\ComboFix.exe
Command switches used :: C:\Documents and Settings\Natalia\Escritorio\CFScript.txt.txt
* Creado un nuevo punto de restauración

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!

FILE ::
C:\Documents and Settings\LocalService\Datos de programa\1001789598.exe
C:\Documents and Settings\LocalService\Datos de programa\1193887337.exe
C:\Documents and Settings\LocalService\Datos de programa\907608617.exe
C:\Documents and Settings\Natalia\Datos de programa\Malwarebytes
C:\WINDOWS\system32\marwin32.dll
C:\WINDOWS\system32\uaeudqod.tmp
E:\Knight.exe
.
TimedOut: Windir.dat
TimedOut: progfile.dat

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\LocalService\Datos de programa\1001789598.exe
C:\Documents and Settings\LocalService\Datos de programa\1193887337.exe
C:\Documents and Settings\LocalService\Datos de programa\907608617.exe
C:\WINDOWS\system32\uaeudqod.tmp

.
(((((((((((((((((( Archivos creados desde 2008-02-25 - 2008-03-25 )))))))))))))))))))))))))))))))))
.

2008-03-25 10:33 . 2008-03-25 10:33 29 --a------ C:\WINDOWS\system32\qrfdapiu.tmp
2008-03-20 12:05 . 2008-03-25 10:16 3,508 --a------ C:\WINDOWS\Gisscide.ini
2008-03-20 09:31 . 2008-03-20 09:31 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Yahoo! Companion
2008-03-20 09:12 . 2008-03-20 09:12 <DIR> d-------- C:\Archivos de programa\Yahoo!
2008-03-20 09:12 . 2008-03-20 09:13 <DIR> d-------- C:\Archivos de programa\CCleaner
2008-03-20 09:09 . 2008-03-20 09:09 <DIR> d-------- C:\WINDOWS\system32\config\systemprofile\Configura ción local
2008-03-20 09:09 . 2008-03-20 09:09 <DIR> d-------- C:\Documents and Settings\NetworkService\Configuración local
2008-03-20 09:09 . 2008-03-20 09:09 <DIR> d-------- C:\Documents and Settings\Natalia\Configuración local
2008-03-20 09:09 . 2008-03-20 09:09 <DIR> d-------- C:\Documents and Settings\Matalia1\Configuración local
2008-03-20 09:09 . 2008-03-20 09:09 <DIR> d-------- C:\Documents and Settings\LocalService\Configuración local
2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Documents and Settings\Natalia\Datos de programa\Malwarebytes
2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Malwarebytes
2008-03-20 08:43 . 2008-03-20 08:43 <DIR> d-------- C:\Archivos de programa\Malwarebytes' Anti-Malware
2008-03-19 12:10 . 2008-03-19 12:10 <DIR> d-------- C:\Archivos de programa\Trend Micro
2008-03-19 11:09 . 2008-03-19 11:10 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Lavasoft
2008-03-19 11:09 . 2008-03-19 11:09 <DIR> d-------- C:\Archivos de programa\Lavasoft
2008-03-19 10:56 . 2008-03-19 11:08 <DIR> d-------- C:\WINDOWS\system32\ActiveScan
2008-03-19 10:56 . 2008-03-19 10:56 30,590 --a------ C:\WINDOWS\system32\pavas.ico
2008-03-19 10:56 . 2008-03-19 10:56 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-19 10:56 . 2008-03-19 10:56 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-10 17:26 . 2008-03-10 17:39 57 --a------ C:\WINDOWS\rtn07.INI
2008-03-06 12:00 . 2008-03-06 12:00 <DIR> d-------- C:\Archivos de programa\MSECache
2008-02-27 10:30 . 2008-02-27 10:30 49,152 --a------ C:\FINIQUITO RAFAEL MORENO.doc
2008-02-27 10:29 . 2008-02-27 10:29 123,904 --a------ C:\CERTIFICADO EMPRESA.doc

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-03-19 10:09 --------- d-----w C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 14:42 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.e xe" [2001-07-09 09:50 155648]
"SunJavaUpdateSched"="C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe" [2004-09-28 19:26 32881]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-19 14:42 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R2 U3sHlpDr;U3sHlpDr;C:\WINDOWS\System32\Drivers\U3sH lpDr.sys [2007-10-24 12:55]
R2 UxTuneUp;Ampliación del diseño de TuneUp;C:\WINDOWS\System32\svchost.exe [2004-08-19 14:43]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

.
Contenido de carpeta 'Tareas Programadas'
"2008-03-14 16:16:25 C:\WINDOWS\Tasks\Mantenimiento con 1 clic.job"
- C:\Archivos de programa\TuneUp Utilities 2007\SystemOptimizer.exe
.
************************************************** ************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-25 10:35:32
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

C:\WINDOWS\system32\drivers\Llri57.sys 167936 bytes executable

el escaneo se completo con exito
archivos ocultos: 1

************************************************** ************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\L lri57]

.
------------------------ Other Running Processes ------------------------
.
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\CacheSys\Bin\csystray.exe
C:\Archivos de programa\ccs\ot\otalconf.exe
C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\userinit.exe
.
************************************************** ************************
.
Tiempo completado: 2008-03-25 10:36:20 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-25 09:36:18
.
2008-03-19 09:01:56 --- E O F ---

Hola, ComboFix ya se encargo de eliminar los archivos de malwares encontrados en tu PC, por lo que si todo esta funcionado bien, damos por terminado el tema.

Para terminar solo te quedaría desinstalar CF de la siguiente manera:

• Ir a Inicio > Ejecutar
• Escribir lo siguiente: ComboFix /u como muestra la imagen debajo:
  
  
  • 
• Esto activara el desinstalador de ComboFix abriendo su pantalla principal y luego de unos segundos veras ("ComboFix is uninstalled")

Salu2