estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Buscar

		Foro de Spyware » Spyware - Adware - Hijackers - Malwares » Foro Oficial de HijackThis en español
estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

InfoSpyware sortea una T-Shirts

Participa en el sorteo por una "Camiseta Oficial de InfoSpyware" gracias al amigo Enjuto Mojamuto

Para evitar Virus, Spyware y ventanas emergentes, en InfoSpyware recomendamos navegar con: FIREFOX

Foro Oficial de HijackThis en español Analizamos tu log de HijackThis para eliminar Hijackers, Spyware, Adware, ToolBars, Virus, Troyanos y Malwares en gral. Antes lea las Políticas del Foro de HijackThis.

Página 1 de 2

Herramientas

post #1 (permalink)

16/05/08, 22:54:18

noeljarod

Usuario

Registrado: ene 2007

Ubicación: nicaragua

Mensajes: 86

estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Porfavor el ad-aware me detecto la infección....los sintomas son los siguientes:

1. Acceso lento a internet
2. No se puede aactivar ver carpetas y archivos ocultos.
3. Por lo que investigué se que se carga ahún estando en modo a prueba de
fallos(lo cual comprobe ya que al tratar de eliminar una entrada de registro
infectada con el adaware, esta reaparece, ahún desactivado restaurar
sistema)
4. la entrada de registro infectada no se puede ver.....es decir no sale visible en el registro

Aquí mi LOG de Hijackthis.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:46:34, on 16/05/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Panda Antivirus 2008\pavsrv51.exe
C:\Archivos de programa\Panda Antivirus 2008\AVENGINE.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
D:\Archivos de Programa (D)\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Archivos de programa\eBoostr\EBstrSvc.exe
C:\Archivos de programa\Panda Antivirus 2008\PsCtrls.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Archivos de programa\Panda Antivirus 2008\psimsvc.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Archivos comunes\VMware\VMware Virtual Image Editing\vmount2.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Archivos de programa\VMware\VMware Workstation\vmware-authd.exe
C:\Archivos de programa\Archivos comunes\Stardock\SDMCP.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Panda Antivirus 2008\APVXDWIN.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe
C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe
C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
C:\Archivos de programa\Stardock\CursorXP\CursorXP.exe
D:\Archivos de Programa (D)\Avedesk\AVEDESK.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\eBoostr\eBoostrCP.exe
C:\Archivos de programa\Panda Antivirus 2008\WebProxy.exe
C:\Archivos de programa\Panda Antivirus 2008\AvltMain.exe
C:\WINDOWS\System32\TuneUpDefragService.exe
C:\Archivos de programa\Spybot - Search & Destroy\SpybotSD.exe
C:\ARCHIV~1\Mozilla Firefox\firefox.exe
C:\Archivos de programa\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 172.16.0.254:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Archivos de programa\Internet Download Manager\IDMIECC.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Archivos de programa\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Loader Class - {F880A4A8-C436-4AC4-AFD1-AA0BDC9552DD} - D:\Archivos de Programa (D)\Findexer\FindeXer.dll
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Archivos de programa\Styler\TB\StylerTB.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: QT TabBar - {d2bf470e-ed1c-487f-a333-2bd8835eb6ce} - mscoree.dll (file missing)
O3 - Toolbar: QT Tab Standard Buttons - {D2BF470E-ED1C-487F-A666-2BD8835EB6CE} - mscoree.dll (file missing)
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Antivirus 2008\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [vmware-tray] "C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe"
O4 - HKLM\..\Run: [VMware hqtray] "C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [CursorXP] C:\Archivos de programa\Stardock\CursorXP\CursorXP.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Archivos de programa\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [AVEDESK] "D:\Archivos de Programa (D)\Avedesk\AVEDESK.EXE"
O4 - Global Startup: eBoostr Control Panel.lnk = C:\Archivos de programa\eBoostr\eBoostrCP.exe
O8 - Extra context menu item: Append to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Download all links with IDM - C:\Archivos de programa\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download FLV video content with IDM - C:\Archivos de programa\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Download with IDM - C:\Archivos de programa\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Archivos de programa\Microsoft Office\Office12\GrooveSystemServices.dll
O20 - Winlogon Notify: !SASWinLogon - D:\Archivos de Programa (D)\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - D:\Archivos de Programa (D)\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Archivos de programa\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762# # (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: eBoostr Service (EBOOSTRSVC) - Unknown owner - C:\Archivos de programa\eBoostr\EBstrSvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Panda Software Controller - Panda Software International - C:\Archivos de programa\Panda Antivirus 2008\PsCtrls.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software International - C:\Archivos de programa\Panda Antivirus 2008\pavsrv51.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software International - C:\Archivos de programa\Panda Antivirus 2008\psimsvc.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: VMware Agent Service (ufad-ws60) - VMware, Inc. - C:\Archivos de programa\VMware\VMware Workstation\vmware-ufad.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Archivos de programa\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware Virtual Mount Manager Extended (vmount2) - VMware, Inc. - C:\Archivos de programa\Archivos comunes\VMware\VMware Virtual Image Editing\vmount2.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

--
End of file - 11592 bytes

post #2 (permalink)

16/05/08, 23:33:57

GuillermoTell GuillermoTell está offline

Moderador

Registrado: abr 2006

Ubicación: Colombia

Mensajes: 5.191

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Hola noeljarod por favor realiza los siguientes pasos en modo normal:

Paso 1

Apaga el "Restaurar Sistema" (solo en Win Me y XP) y activa ver archivos ocultos.
Descargue, instale y/o actualice los siguientes programas (pero no los ejecute aun).

Malwarebytes' Anti-Malware <---instalalo y actualizalo pero no lo ejecutes todavia.
NOTA: Si despues de instalarlo el lenguaje esta en Ingles ve a la pestaña "Settings" y lo cambias a Español.

ComboFix.exe y guárdala en el escritorio.

CCleaner

Paso 2

A continuación con todos los programas cerrados ejecuta Hijackthis y dale a las siguientes entradas:

O3 - Toolbar: QT TabBar - {d2bf470e-ed1c-487f-a333-2bd8835eb6ce} - mscoree.dll (file missing)

O3 - Toolbar: QT Tab Standard Buttons - {D2BF470E-ED1C-487F-A666-2BD8835EB6CE} - mscoree.dll (file missing)

Paso 3
Ejecuta estos programas (de a uno).

Malwarebytes' Anti-Malware

A continuación realiza un escaneo completo del PC y elimina las infecciones que este detecte como lo indica su Manual.

El reporte queda guardado en la pestaña "Logs" o "Registros" en español, abres el reporte y copias el contenido para pegarlo en este tema.

Usa el CCleaner para limpiar el sistema.
Primero utiliza la opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos.
Luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

Paso 4

Antes de usar ComboFix....
Desactiva temporalmente el Antivirus y/o Antispyware.
Cierra todas las ventanas abiertas.
Hacele doble clic al archivo combofix.exe y seguí las instrucciones.
Cuando termine, generara un registro en C:\ComboFix.txt.
- *Nota* Mientras CF este trabajando no mover el mouse ya que pararía su proceso.
- *Nota* ComboFix puede reiniciar automáticamente el PC para completar el proceso de eliminación.
Pega el reporte de ComboFix.txt en este mismo mensaje.

Cita:

Atención!! No use ComboFix a menos que se le haya indicado específicamente en su mensaje por un integrante de nuestro Staff. Es una herramienta de gran alcance destinada por su creador a ser usada bajo la orientación y supervisión de un experto, no para uso privado. El uso de ComboFix incorrectamente podría generar problemas en su sistema. Por favor, lea las "Negaciones de la Garantía" de ComboFix.

Reinicia y nos dejas los reportes de Combofix, Malwarebytes un nuevo reporte de Ad-aware para analizarlos.

NOTA:
-Para mayor comodidad imprime los pasos.
-Al terminar los pasos esconde los archivos ocultos y activa restaurar sistema.
-Recuerda volver y contarnos los resultados.

Novedades del Foro | Antivirus Online | Eliminar Malwares | Políticas del Foro | Blog

* Ayúdanos haciendo una DONACIÓN para poder seguir Ayudando.
* Para evitar Virus y Spywares al navegar por internet, USE FIREFOX !!
* No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

post #3 (permalink)

17/05/08, 00:04:28

noeljarod

Usuario

Registrado: ene 2007

Ubicación: nicaragua

Mensajes: 86

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Ok .....procedere....sólo que antes te recuerdo que no puedo Activar el "ver archivos y carpetas ocultos" como lo mencione antes; el malwareBytes ya lo tengo instalado...lo pase y no detectó nada...pero me dispongo a pasarlo de nuevo y pegar su log aquí, y luego bajaré el combofix y ha´re lo que me dijiste....sin embargo Aquí está la entrada de registro que no se deja eliminar ni en modo a prueba de fallos:

Esto es como el ad-aware lo reportó...

<Family:Win32.Trojan.Agent>
<Item ="Root: HKLM Path: SYSTEM\ControlSet001\Control\SafeBoot\Minimal\\ctl_w32.sys"/>

post #4 (permalink)

17/05/08, 16:30:56

GuillermoTell GuillermoTell está offline

Moderador

Registrado: abr 2006

Ubicación: Colombia

Mensajes: 5.191

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Si el Malwarebytes no te detcto nada pasa al siguiente paso y ejecuta el Combofix y me pegas su reporte para analizarlo.

post #5 (permalink)

17/05/08, 16:42:41

noeljarod

Usuario

Registrado: ene 2007

Ubicación: nicaragua

Mensajes: 86

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Buenas nuevamente....Aquí los logs de los programas recomendados...

Malwarebytes' Anti-Malware 1.12
Versión de la Base de Datos: 756

Tipo de examen : Examen Completo (A:\|C:\|D:\|E:\|F:\|G:\|)
Objetos examinados: 317067
Tiempo transcurrido: 50 minute(s), 54 second(s)

Procesos en Memoria Infectados: 0
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 0
Valores del Registro Infectados: 0
Elementos de Datos del Registro Infectados: 0
Carpetas Infectadas: 0
Ficheros Infectados: 1

Procesos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
(No se han detectado elementos maliciosos)

Valores del Registro Infectados:
(No se han detectado elementos maliciosos)

Elementos de Datos del Registro Infectados:
(No se han detectado elementos maliciosos)

Carpetas Infectadas:
(No se han detectado elementos maliciosos)

Ficheros Infectados:
D:\SOFTWARE DESCARGADO\Software MULTIMEDIA\Winamp PRO\Winamp Pro v5.5.3.1924 Multilanguage\CORE10k.EXE (Trojan.Agent) -> No action taken.

No elimine este archivo detectado por el Malwarebytes, porque es un keygen y nisiquiera lo he tocado...pero si me dicen que lo debo borrar pues ni modo.

ComboFix 08-05-15.3 - Noel Rodriguez 2008-05-17 1:26:58.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.3082.18.472 [GMT -6:00]
Se ejecuta desde: C:\Documents and Settings\Noel Rodriguez\Escritorio\ComboFix.exe
* Creado un nuevo punto de restauración

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF
-------\Legacy_SROSA

(((((((((((((((((( Archivos creados desde 2008-04-17 - 2008-05-17 )))))))))))))))))))))))))))))))))
.

2008-05-15 22:57 . 2008-05-15 22:57 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\McAfee
2008-05-15 01:38 . 2008-05-15 02:04 <DIR> d-------- C:\Archivos de programa\pebuilder3110a
2008-05-14 02:15 . 2008-05-14 02:16 <DIR> d-------- C:\Archivos de programa\VIDEOTODO
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\Noel Rodriguez\NTUSER.DAT_TU_42925.LOG
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\NetworkService\NTUSER.DAT_TU_93441.LOG
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\LocalService\NTUSER.DAT_TU_76710.LOG
2008-05-08 21:31 . 2008-05-08 21:34 <DIR> d-------- C:\WINDOWS\ServicePackFiles
2008-05-08 21:25 . 2006-12-29 00:31 19,569 --a------ C:\WINDOWS\002794_.tmp
2008-05-08 12:47 . 2008-05-08 12:47 0 --a------ C:\WINDOWS\nsreg.dat
2008-05-07 03:41 . 2008-05-07 03:41 <DIR> d-------- C:\Documents and Settings\Administrador\Datos de programa\Malwarebytes
2008-05-06 11:06 . 2008-05-05 20:46 27,048 --a------ C:\WINDOWS\system32\drivers\mbamcatchme.sys
2008-05-06 11:06 . 2008-05-05 20:46 15,864 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-05-05 17:21 . 2008-05-05 17:21 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\Malwarebytes
2008-05-05 17:21 . 2008-05-05 17:21 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Malwarebytes
2008-05-05 17:21 . 2008-05-06 11:06 <DIR> d-------- C:\Archivos de programa\Malwarebytes' Anti-Malware
2008-05-04 10:51 . 2008-05-04 10:51 0 --a------ C:\WINDOWS\system32\drivers\ShldDrv.sys
2008-05-02 15:36 . 2008-05-02 15:36 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\Auslogics
2008-04-28 04:12 . 2008-02-15 09:12 206,256 --a------ C:\WINDOWS\system32\idmmbc.dll
2008-04-25 21:35 . 2008-04-25 21:35 <DIR> d-------- C:\Documents and Settings\Administrador\Datos de programa\Auslogics
2008-04-25 21:35 . 2008-04-25 21:35 <DIR> d-------- C:\Archivos de programa\AusLogics Disk Defrag
2008-04-19 12:49 . 2008-04-19 12:49 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\IndigoRose
2008-04-19 12:46 . 2008-04-19 12:46 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\IndigoRose

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-05-17 07:32 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\VMware
2008-05-17 07:31 --------- d-----w C:\Documents and Settings\LocalService\Datos de programa\VMware
2008-05-17 07:31 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\VMware
2008-05-17 07:29 --------- d-----w C:\Archivos de programa\Panda Antivirus 2008
2008-05-17 07:24 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\DMCache
2008-05-17 07:19 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\SiteAdvisor
2008-05-16 22:37 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\eboostr
2008-05-14 16:01 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\Microsoft Help
2008-05-11 07:09 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys
2008-05-07 19:51 --------- d-----w C:\Archivos de programa\Unlocker
2008-05-01 18:16 --------- d-----w C:\Archivos de programa\Archivos comunes\Adobe
2008-05-01 15:36 --------- d-----w C:\Archivos de programa\Advanced WindowsCare V2
2008-05-01 15:21 --------- d-----w C:\Archivos de programa\Internet Download Manager
2008-04-26 20:13 --------- d-----w C:\Archivos de programa\Google
2008-04-26 03:30 --------- d-----w C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
2008-04-22 18:26 --------- d-----w C:\Archivos de programa\Archivos comunes\ACD Systems
2008-04-19 18:46 --------- d-----w C:\Archivos de programa\AutoPlay Media Studio 7.0
2008-04-15 22:38 --------- d-----w C:\Archivos de programa\UltraISO
2008-04-15 22:38 --------- d-----w C:\Archivos de programa\Archivos comunes\EZB Systems
2008-04-14 14:31 --------- d---a-w C:\Documents and Settings\All Users\Datos de programa\TEMP
2008-04-14 13:49 70,144 ----a-w C:\WINDOWS\notepad.exe
2008-04-14 13:49 40,840 ----a-w C:\WINDOWS\system32\drivers\termdd.sys
2008-04-14 13:49 32,866 ------w C:\WINDOWS\slrundll.exe
2008-04-14 13:49 286,720 ----a-w C:\WINDOWS\winhlp32.exe
2008-04-14 13:49 21,896 ----a-w C:\WINDOWS\system32\drivers\tdtcp.sys
2008-04-14 13:49 152,064 ----a-w C:\WINDOWS\regedit.exe
2008-04-14 13:49 139,656 ----a-w C:\WINDOWS\system32\drivers\rdpwd.sys
2008-04-14 13:49 12,040 ----a-w C:\WINDOWS\system32\drivers\tdpipe.sys
2008-04-14 13:49 10,752 ----a-w C:\WINDOWS\hh.exe
2008-04-14 13:28 80,256 ----a-w C:\WINDOWS\system32\drivers\parport.sys
2008-04-14 13:28 73,472 ----a-w C:\WINDOWS\system32\drivers\sr.sys
2008-04-14 13:28 68,992 ----a-w C:\WINDOWS\system32\drivers\pci.sys
2008-04-14 13:28 46,976 ----a-w C:\WINDOWS\system32\drivers\p3.sys
2008-04-14 13:28 120,448 ----a-w C:\WINDOWS\system32\drivers\pcmcia.sys
2008-04-14 13:25 800,256 ----a-w C:\WINDOWS\system32\drivers\dmboot.sys
2008-04-14 13:25 25,088 ----a-w C:\WINDOWS\system32\drivers\kbdclass.sys
2008-04-14 13:25 154,240 ----a-w C:\WINDOWS\system32\drivers\dmio.sys
2008-04-14 13:25 14,720 ----a-w C:\WINDOWS\system32\drivers\kbdhid.sys
2008-04-14 13:24 40,960 ----a-w C:\WINDOWS\system32\drivers\crusoe.sys
2008-04-14 13:24 40,576 ----a-w C:\WINDOWS\system32\drivers\intelppm.sys
2008-04-14 13:24 37,760 ----a-w C:\WINDOWS\system32\drivers\isapnp.sys
2008-04-14 13:23 65,792 ----a-w C:\WINDOWS\system32\drivers\serial.sys
2008-04-14 13:22 53,504 ----a-w C:\WINDOWS\system32\drivers\i8042prt.sys
2008-04-14 13:21 58,880 ----a-w C:\WINDOWS\system32\drivers\redbook.sys
2008-04-14 13:21 53,248 ----a-w C:\WINDOWS\system32\drivers\volsnap.sys
2008-04-14 13:21 273,408 ------w C:\WINDOWS\system32\drivers\bthport.sys
2008-04-14 13:21 25,728 ------w C:\WINDOWS\system32\drivers\hidbth.sys
2008-04-14 13:20 44,672 ----a-w C:\WINDOWS\system32\drivers\fips.sys
2008-04-14 13:20 40,064 ----a-w C:\WINDOWS\system32\drivers\processr.sys
2008-04-14 13:20 327,168 ------w C:\WINDOWS\system32\drivers\ati2mtaa.sys
2008-04-14 13:19 41,984 ----a-w C:\WINDOWS\system32\drivers\amdk7.sys
2008-04-14 13:19 41,600 ----a-w C:\WINDOWS\system32\drivers\amdk6.sys
2008-04-14 13:19 30,336 ----a-w C:\WINDOWS\system32\drivers\modem.sys
2008-04-14 13:19 23,552 ----a-w C:\WINDOWS\system32\drivers\mouclass.sys
2008-04-14 13:18 189,056 ----a-w C:\WINDOWS\system32\drivers\acpi.sys
2008-04-14 06:58 175,744 ----a-w C:\WINDOWS\system32\drivers\rdbss.sys
2008-04-14 06:51 162,816 ----a-w C:\WINDOWS\system32\drivers\netbt.sys
2008-04-14 06:50 91,520 ----a-w C:\WINDOWS\system32\drivers\ndiswan.sys
2008-04-14 06:50 361,344 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-04-14 06:50 182,656 ----a-w C:\WINDOWS\system32\drivers\ndis.sys
2008-04-14 06:49 75,264 ----a-w C:\WINDOWS\system32\drivers\ipsec.sys
2008-04-14 06:49 51,328 ----a-w C:\WINDOWS\system32\drivers\rasl2tp.sys
2008-04-14 06:49 48,384 ----a-w C:\WINDOWS\system32\drivers\raspptp.sys
2008-04-14 06:49 146,048 ----a-w C:\WINDOWS\system32\drivers\portcls.sys
2008-04-14 06:49 138,112 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-04-14 06:47 83,072 ----a-w C:\WINDOWS\system32\drivers\wdmaud.sys
2008-04-14 06:47 456,576 ----a-w C:\WINDOWS\system32\drivers\mrxsmb.sys
2008-04-14 06:47 105,344 ----a-w C:\WINDOWS\system32\drivers\mup.sys
2008-04-14 06:46 49,536 ----a-w C:\WINDOWS\system32\drivers\classpnp.sys
2008-04-14 06:46 141,056 ----a-w C:\WINDOWS\system32\drivers\ks.sys
2008-04-14 06:45 60,800 ----a-w C:\WINDOWS\system32\drivers\sysaudio.sys
2008-04-14 06:45 574,976 ----a-w C:\WINDOWS\system32\drivers\ntfs.sys
2008-04-14 06:45 334,848 ----a-w C:\WINDOWS\system32\drivers\srv.sys
2008-04-14 06:44 63,744 ----a-w C:\WINDOWS\system32\drivers\cdfs.sys
2008-04-14 06:44 143,744 ----a-w C:\WINDOWS\system32\drivers\fastfat.sys
2008-04-14 06:30 225,664 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-04-14 06:30 19,072 ----a-w C:\WINDOWS\system32\drivers\tdi.sys
2008-04-14 06:27 41,472 ----a-w C:\WINDOWS\system32\drivers\raspppoe.sys
2008-04-14 06:27 40,576 ----a-w C:\WINDOWS\system32\drivers\ndproxy.sys
2008-04-14 06:27 34,560 ----a-w C:\WINDOWS\system32\drivers\wanarp.sys
2008-04-14 06:27 20,864 ----a-w C:\WINDOWS\system32\drivers\ipinip.sys
2008-04-14 06:27 152,832 ----a-w C:\WINDOWS\system32\drivers\ipnat.sys
2008-04-14 06:27 14,336 ----a-w C:\WINDOWS\system32\drivers\asyncmac.sys
2008-04-14 06:27 10,112 ----a-w C:\WINDOWS\system32\drivers\ndistapi.sys
2008-04-14 06:26 88,320 ----a-w C:\WINDOWS\system32\drivers\nwlnkipx.sys
2008-04-14 06:26 69,120 ----a-w C:\WINDOWS\system32\drivers\psched.sys
2008-04-14 06:26 35,072 ----a-w C:\WINDOWS\system32\drivers\msgpc.sys
2008-04-14 06:26 34,688 ----a-w C:\WINDOWS\system32\drivers\netbios.sys
2008-04-14 06:26 30,592 ----a-w C:\WINDOWS\system32\drivers\rndismp.sys
2008-04-14 06:26 30,592 ------w C:\WINDOWS\system32\drivers\rndismpx.sys
2008-04-14 06:26 14,592 ----a-w C:\WINDOWS\system32\drivers\ndisuio.sys
2008-04-14 06:26 12,800 ----a-w C:\WINDOWS\system32\drivers\usb8023.sys
2008-04-14 06:26 12,800 ------w C:\WINDOWS\system32\drivers\usb8023x.sys
2008-04-14 06:26 12,288 ----a-w C:\WINDOWS\system32\drivers\tunmp.sys
2008-04-14 06:25 202,624 ----a-w C:\WINDOWS\system32\drivers\rmcast.sys
2008-04-14 06:24 11,264 ----a-w C:\WINDOWS\system32\drivers\irenum.sys
2008-04-14 06:23 71,552 ----a-w C:\WINDOWS\system32\drivers\bridge.sys
2008-04-14 06:23 40,320 ----a-w C:\WINDOWS\system32\drivers\nmnt.sys
2008-04-14 06:23 36,608 ----a-w C:\WINDOWS\system32\drivers\ip6fw.sys
2008-04-14 06:23 264,832 ----a-w C:\WINDOWS\system32\drivers\http.sys
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vac¡as & entradas leg¡timas predeterminadas no son mostradas

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"SpybotSD TeaTimer"="C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]
"CursorXP"="C:\Archivos de programa\Stardock\CursorXP\CursorXP.exe" [2005-01-19 16:44 140288]
"AlcoholAutomount"="C:\Archivos de programa\Alcohol Soft\Alcohol 120\axcmd.exe" [2008-02-22 09:58 217544]
"AVEDESK"="D:\Archivos de Programa (D)\Avedesk\AVEDESK.EXE" [2005-10-25 23:44 1424896]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-01-09 15:25 16859648 C:\WINDOWS\RTHDCPL.exe]
"vmware-tray"="C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe" [2008-03-03 20:10 72240]
"VMware hqtray"="C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe" [2008-03-03 20:10 55856]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\policies\explorer]
"NoResolveSearch"= 1 (0x1)

[hkey_local_machine\software\microsoft\windows\curr entversion\explorer\shellexecutehooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= D:\Archivos de Programa (D)\SUPERAntiSpyware\SASSEH.DLL [2006-12-20 13:55 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"UIHost"="C:\\WINDOWS\\system32\\logonui.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
D:\Archivos de Programa (D)\SUPERAntiSpyware\SASWINLO.dll 2007-04-19 13:41 294912 D:\Archivos de Programa (D)\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avldr]
avldr.dll 2007-02-15 20:02 50736 C:\WINDOWS\system32\avldr.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\MCPClient]
C:\Archivos de programa\Archivos comunes\Stardock\mcpstub.dll 2005-01-31 15:13 49152 C:\Archivos de programa\Archivos comunes\Stardock\MCPStub.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WBSrv]
C:\Archivos de programa\Stardock\Object Desktop\WindowBlinds\wbsrv.dll 2008-01-12 03:16 229376 C:\Archivos de programa\Stardock\Object Desktop\WindowBlinds\WbSrv.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=wbsys.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.YV12"= yv12vfw.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\sglfb.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\tga.sys]
@="Driver"

[HKLM\~\startupfolder\C:^Documents and Settings^Noel Rodriguez^Menú Inicio^Programas^Inicio^Styler.lnk]
backup=C:\WINDOWS\pss\Styler.lnkStartup

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"
"_7b12541d"=C:\Documents and Settings\Noel Rodriguez\Datos de programa\Microsoft\Installer\{E9ECF354-2422-4FDB-9ABF-D8ADAC0EF941}\_7b12541d.exe
"Rainlendar2"=D:\Archivos de Programa (D)\Rainlendar2\Rainlendar2.exe
"Steam"="D:\Archivos de Programa (D)\Steam\Steam.exe" -silent

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run-]
"GrooveMonitor"="C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe"
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.ex e
"HP Software Update"=C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
"vmware-tray"=C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe
"VMware hqtray"="C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe"
"Acrobat Assistant 8.0"="C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
"WheelMouse"=C:\Archivos de programa\A4Tech\Mouse\Amoumain.exe
"LogonStudio"="C:\Archivos de programa\Stardock\LogonStudio\logonstudio.exe" /RANDOM
"UnlockerAssistant"="C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"
"Alcmtr"=ALCMTR.EXE

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"D:\\Archivos de Programa (D)\\Emule\\emule.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Archivos de programa\\Bonjour\\mDNSResponder.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar13\\day of defeat\\hl.exe"=
"D:\\Archivos de Programa (D)\\The All-Seeing Eye\\eye.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar\\day of defeat\\hl.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar\\counter-strike\\hl.exe"=
"D:\\SOFTWARE DESCARGADO\\Utilidades INTERNET\\Instaladores P2P\\utorrent 1.7.7.exe"=
"C:\\Archivos de programa\\Unreal Tournament 3\\Binaries\\UT3.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar13\\day of defeat source\\hl2.exe"=
"C:\\Archivos de programa\\Hamachi\\hamachi.exe"=
"C:\\Archivos de programa\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Archivos de programa\\Windows Live\\Messenger\\livecall.exe"=

R0 eBoost;eBoostr caching filter driver;C:\WINDOWS\system32\drivers\eBoost.sys [2007-12-25 11:19]
R1 ShldDrv;Panda File Shield Driver;C:\WINDOWS\system32\DRIVERS\ShlDrv51.sys [2008-02-07 13:17]
R2 EBOOSTRSVC;eBoostr Service;"C:\Archivos de programa\eBoostr\EBstrSvc.exe" [2007-12-25 11:19]
R2 PavProc;Panda Process Protection Driver;C:\WINDOWS\system32\DRIVERS\PavProc.sys [2008-02-07 13:17]
R2 UxTuneUp;TuneUp Ampliación del thema;C:\WINDOWS\System32\svchost.exe [2008-04-14 07:49]
R3 es1969;ESS ES1946_1938 Audio Driver (WDM);C:\WINDOWS\system32\drivers\es1969.sys [2003-04-06 03:39]
R3 ip100xp;IC Plus IP100 10/100 Fast Ethernet Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\ipfnd51.sys [2007-04-02 18:00]
S0 Si3112;Si3112;C:\WINDOWS\system32\drivers\Si3112.s ys [2007-04-02 18:00]
S3 TuneUp.Defrag;TuneUp Drive Defrag Service;C:\WINDOWS\System32\TuneUpDefragService.ex e [2008-04-12 13:26]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{793c1781-9548-11dc-85f1-000854ddce1e}]
\Shell\AutoRun\command - F:\PortableApps\PortableAppsMenu\PortableAppsMenu. exe

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{ae3a5be8-126b-11dd-8745-005056c00008}]
\Shell\AutoRun\command - H:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{de8c86d4-1950-11dd-875c-005056c00008}]
\Shell\AutoRun\command - H:\du08sout.cmd
\Shell\explore\Command - H:\du08sout.cmd
\Shell\open\Command - H:\du08sout.cmd

.
Contenido de carpeta 'Tareas Programadas'
"2008-05-16 23:17:31 C:\WINDOWS\Tasks\1-Click Maintenance.job"
- C:\Archivos de programa\TuneUp Utilities 2008\OneClick.exe
.
************************************************** ************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-17 01:32:03
Windows 5.1.2600 Service Pack 3 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

el escaneo se completo con exito
archivos ocultos: 0

************************************************** ************************
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\ati2evxx.exe
C:\Archivos de programa\Panda Antivirus 2008\PAVSRV51.EXE
C:\Archivos de programa\Panda Antivirus 2008\AVENGINE.EXE
C:\WINDOWS\system32\ati2evxx.exe
D:\Archivos de Programa (D)\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\PavPrSrv.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Archivos de programa\Panda Antivirus 2008\PsImSvc.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\Archivos de programa\Archivos comunes\VMware\VMware Virtual Image Editing\vmount2.exe
C:\WINDOWS\system32\vmnat.exe
C:\Archivos de programa\Panda Antivirus 2008\PsCtrlS.exe
C:\Archivos de programa\VMware\VMware Workstation\vmware-authd.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Archivos de programa\Archivos comunes\Stardock\SDMCP.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\eBoostr\eBoostrCP.exe
.
************************************************** ************************
.
Tiempo completado: 2008-05-17 1:35:58 - machine was rebooted [Noel Rodriguez]
ComboFix-quarantined-files.txt 2008-05-17 07:35:54

11 dirs 35,454,738,432 bytes libres
16 dirs 35,322,216,448 bytes libres

291 --- E O F --- 2008-05-14 16:02:03

Esto creo me solucionó el prblema de ver lños archivos ocultos pero; tuve inconvenientes...al hacerse el reinicio el panda primero detecto la infección con psexesvc.exe.....el panda lo elimino supuestamente...pero ante la curiosidad encontre informacion de este aquí http://www.vsantivirus.com/deloder.htm y de toda esa info encontre una de las entradas de registro infectadas mencionadas en estos pasos ( 7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\Software
\ORL

8. Pinche en la carpeta "ORL" y bórrela.

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\ORL
) realmente no recuerdo cual de las dos fue la que encontre , luego el spybot empezó a mandarme muuuchas ventans de cambio en el registro....y mi problema es el siguiente yo le di que bloquerara a casi todas estas modificaciones porque me imaginé que eran cambios del virus...pero como puedo saberlo yo? a lo mejor eran cambios realizados por el combofix y no me daba cuenta .....así que habría denegado las reparaciones que este hizo!.....algunas me parecieron muy sospechosas como una que decía algo del regedit y aparecia con signos de porcentaje %1 % o algo así y cambiaba de ese valor ahacia uno nuevo o al reves la verdad no recuerdo....por favor diganme si debo hacer un nuevo scan con el combofix??? o que más!????

Ahora hice un LIVECD de kaspersky actualizado al 17 de mayo del 2008, lo hice con la laptop de mi papá, luego lo corrí en mi pc y este encontro dos amenazas pero igual que en otra ocasión no los puede eliminar.....aquí les dejo un screenshot de lo que me apareció:

post #6 (permalink)

17/05/08, 17:04:19

GuillermoTell GuillermoTell está offline

Moderador

Registrado: abr 2006

Ubicación: Colombia

Mensajes: 5.191

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Por favor no realices ningun procedimiento por tu cuenta ya que manipular el rergistro de esa forma puede dañar el sistema si no sabes lo que estas haciendo.

Cita:

VNC (Virtual Network Computing), es un sistema legítimo (y gratuito) creado por la Universidad de Cambridge, que permite visualizar en forma remota el entorno de otra computadora conectada en red (a través de Internet, etc.), conectando entre si una gran variedad de arquitecturas diferentes.

El componente "backdoor", utiliza esta aplicación para acceder y controlar en forma remota el sistema. Para impedir ser identificado, el troyano oculta el icono de la herramienta de la bandeja del sistema, cuando ésta se ejecuta.

A través del uso malicioso de esta herramienta, un intruso puede tomar el control de los sistemas infectados.

El archivo CYGWIN1.DLL, es un emulador UNIX (Cygwin Posix Emulation DLL), que provee de funciones de interface API de UNIX al troyano. Este archivo no contiene ningún código maligno, y es una herramienta legítima, usada maliciosamente por el troyano.

La configuración de la utilidad VNC se almacena en las siguientes claves (y subclaves):

HKEY_LOCAL_MACHINE\Software\ORL
HKEY_CURRENT_USER\Software\ORL

El troyano agrega las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema:

HKEY_LOCAL_MACHINE\Software\Windows\CurrentVersion \Run
TaskMan = C:\Windows\Fonts\rundll32.exe

HKEY_LOCAL_MACHINE\Software\Windows\CurrentVersion \Run
Explorer = C:\Windows\Fonts\explorer.exe

Estabas intentando eliminar unas entradas de registro usadas por un programa legitimo

Lo que te puse en rojo son las entradas que si crea ese malware y el reporte de Combofix no muestra rastros de esa infección en el sistema. por otra parte una de la funciones de combofix es reparar la opción de ver archivos ocultos.

Realiza los siguientes pasos al pie de la letra:

1.-Abrir el Notepad (Bloc de Notas)

Ir a INICIO > EJECUTAR >
Y ahí pones notepad.exe y ACEPTAR

2.-Ahora copia y pega estos archivos dentro del Notepad

Código:

KillAll::

File::
C:\WINDOWS\002794_.tmp
D:\SOFTWARE DESCARGADO\Software MULTIMEDIA\Winamp PRO\Winamp Pro v5.5.3.1924 Multilanguage\CORE10k.EXE



Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{de8c86d4-1950-11dd-875c-005056c00008}]

3.- Graba este archivo con el nombre CFScript.txt y déjalo en tu escritorio.

4.-

Antes de usar el CFScript....

Desactiva temporalmente el Antivirus y/o Antispyware..
Cierra todas las ventanas abiertas..

Cita:

A continuación arrastrar y soltar el archivo CFScript.txt dentro del archivo ComboFix.exe como lo muestra la animación de abajo. Esto activara ComboFix nuevamente.

Reinicia tu PC y nos dejas un nuevo reporte de ComboFix y un reporte completo de Kaspersky Online Scanner, comentándonos como esta funcionado todo actualmente?

post #7 (permalink)

18/05/08, 03:23:46

noeljarod

Usuario

Registrado: ene 2007

Ubicación: nicaragua

Mensajes: 86

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Bueno ya pase el Combofix y me sucedio casi lo mismo que antes sólo que ahora el panda me detecto otro virus(concretamente este psexec.a recuerden que tengo panda antivirus)...lo elimino...pero el spybot bloqueo al panda para ser ejecutado en cada reinicio o carga del sistema(eso lo solucione manualmente con el tuneup startup manager). Ahora me apareció de nuevo los cambios los cuales denegué...no se si hice bien porque esto no me lo respondieron anteriormente pero aquí dejo las screen de lo que denegué...

Porfavor decirme si lo que hice está bien y, y en cuanto a lo de la entrada HKLM de VNC ORL pues ya la borré antes de que me respondieran el anterior mensaje aquí posteado..será que tendre problemas????

Aquí el reporte de ConboFIX en cuanto pueda subo el de Kaspersky...

ComboFix 08-05-15.3 - Noel Rodriguez 2008-05-17 15:27:11.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.3082.18.545 [GMT -6:00]
Se ejecuta desde: C:\Documents and Settings\Noel Rodriguez\Escritorio\ComboFix.exe
Command switches used :: C:\Documents and Settings\Noel Rodriguez\Escritorio\CFScript.txt
* Creado un nuevo punto de restauración

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!

FILE ::
C:\WINDOWS\002794_.tmp
D:\SOFTWARE DESCARGADO\Software MULTIMEDIA\Winamp PRO\Winamp Pro v5.5.3.1924 Multilanguage\CORE10k.EXE
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\002794_.tmp
D:\SOFTWARE DESCARGADO\Software MULTIMEDIA\Winamp PRO\Winamp Pro v5.5.3.1924 Multilanguage\CORE10k.EXE

.
(((((((((((((((((( Archivos creados desde 2008-04-17 - 2008-05-17 )))))))))))))))))))))))))))))))))
.

2008-05-17 01:36 . 2008-05-17 01:36 <DIR> d-------- C:\WINDOWS\system32\config\systemprofile\Configura ción local
2008-05-17 01:36 . 2008-05-17 01:36 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Configuración local
2008-05-17 01:36 . 2008-05-17 01:36 <DIR> d-------- C:\Documents and Settings\NetworkService\Configuración local
2008-05-17 01:36 . 2008-05-17 01:36 <DIR> d-------- C:\Documents and Settings\LocalService\Configuración local
2008-05-17 01:36 . 2008-05-17 01:36 <DIR> d-------- C:\Documents and Settings\Administrador\Configuración local
2008-05-15 22:57 . 2008-05-15 22:57 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\McAfee
2008-05-15 01:38 . 2008-05-15 02:04 <DIR> d-------- C:\Archivos de programa\pebuilder3110a
2008-05-14 02:15 . 2008-05-14 02:16 <DIR> d-------- C:\Archivos de programa\VIDEOTODO
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\Noel Rodriguez\NTUSER.DAT_TU_42925.LOG
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\NetworkService\NTUSER.DAT_TU_93441.LOG
2008-05-11 11:22 . 2008-05-11 11:22 0 --ah----- C:\Documents and Settings\LocalService\NTUSER.DAT_TU_76710.LOG
2008-05-08 21:31 . 2008-05-08 21:34 <DIR> d-------- C:\WINDOWS\ServicePackFiles
2008-05-08 12:47 . 2008-05-08 12:47 0 --a------ C:\WINDOWS\nsreg.dat
2008-05-07 03:41 . 2008-05-07 03:41 <DIR> d-------- C:\Documents and Settings\Administrador\Datos de programa\Malwarebytes
2008-05-06 11:06 . 2008-05-05 20:46 27,048 --a------ C:\WINDOWS\system32\drivers\mbamcatchme.sys
2008-05-06 11:06 . 2008-05-05 20:46 15,864 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-05-05 17:21 . 2008-05-05 17:21 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\Malwarebytes
2008-05-05 17:21 . 2008-05-05 17:21 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\Malwarebytes
2008-05-05 17:21 . 2008-05-06 11:06 <DIR> d-------- C:\Archivos de programa\Malwarebytes' Anti-Malware
2008-05-04 10:51 . 2008-05-04 10:51 0 --a------ C:\WINDOWS\system32\drivers\ShldDrv.sys
2008-05-02 15:36 . 2008-05-02 15:36 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\Auslogics
2008-04-28 04:12 . 2008-02-15 09:12 206,256 --a------ C:\WINDOWS\system32\idmmbc.dll
2008-04-25 21:35 . 2008-04-25 21:35 <DIR> d-------- C:\Documents and Settings\Administrador\Datos de programa\Auslogics
2008-04-25 21:35 . 2008-04-25 21:35 <DIR> d-------- C:\Archivos de programa\AusLogics Disk Defrag
2008-04-19 12:49 . 2008-04-19 12:49 <DIR> d-------- C:\Documents and Settings\Noel Rodriguez\Datos de programa\IndigoRose
2008-04-19 12:46 . 2008-04-19 12:46 <DIR> d-------- C:\Documents and Settings\All Users\Datos de programa\IndigoRose

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))) )
.
2008-05-17 21:30 --------- d-----w C:\Documents and Settings\LocalService\Datos de programa\VMware
2008-05-17 21:30 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\VMware
2008-05-17 21:29 --------- d-----w C:\Archivos de programa\Panda Antivirus 2008
2008-05-17 21:21 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\SiteAdvisor
2008-05-17 21:04 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\eboostr
2008-05-17 19:44 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\VMware
2008-05-17 07:24 --------- d-----w C:\Documents and Settings\Noel Rodriguez\Datos de programa\DMCache
2008-05-14 16:01 --------- d-----w C:\Documents and Settings\All Users\Datos de programa\Microsoft Help
2008-05-11 07:09 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys
2008-05-07 19:51 --------- d-----w C:\Archivos de programa\Unlocker
2008-05-01 18:16 --------- d-----w C:\Archivos de programa\Archivos comunes\Adobe
2008-05-01 15:36 --------- d-----w C:\Archivos de programa\Advanced WindowsCare V2
2008-05-01 15:21 --------- d-----w C:\Archivos de programa\Internet Download Manager
2008-04-26 20:13 --------- d-----w C:\Archivos de programa\Google
2008-04-26 03:30 --------- d-----w C:\Archivos de programa\Archivos comunes\Wise Installation Wizard
2008-04-22 18:26 --------- d-----w C:\Archivos de programa\Archivos comunes\ACD Systems
2008-04-19 18:46 --------- d-----w C:\Archivos de programa\AutoPlay Media Studio 7.0
2008-04-15 22:38 --------- d-----w C:\Archivos de programa\UltraISO
2008-04-15 22:38 --------- d-----w C:\Archivos de programa\Archivos comunes\EZB Systems
2008-04-14 14:31 --------- d---a-w C:\Documents and Settings\All Users\Datos de programa\TEMP
2008-04-14 13:49 70,144 ----a-w C:\WINDOWS\notepad.exe
2008-04-14 13:49 40,840 ----a-w C:\WINDOWS\system32\drivers\termdd.sys
2008-04-14 13:49 32,866 ------w C:\WINDOWS\slrundll.exe
2008-04-14 13:49 286,720 ----a-w C:\WINDOWS\winhlp32.exe
2008-04-14 13:49 21,896 ----a-w C:\WINDOWS\system32\drivers\tdtcp.sys
2008-04-14 13:49 152,064 ----a-w C:\WINDOWS\regedit.exe
2008-04-14 13:49 139,656 ----a-w C:\WINDOWS\system32\drivers\rdpwd.sys
2008-04-14 13:49 12,040 ----a-w C:\WINDOWS\system32\drivers\tdpipe.sys
2008-04-14 13:49 10,752 ----a-w C:\WINDOWS\hh.exe
2008-04-14 13:28 80,256 ----a-w C:\WINDOWS\system32\drivers\parport.sys
2008-04-14 13:28 73,472 ----a-w C:\WINDOWS\system32\drivers\sr.sys
2008-04-14 13:28 68,992 ----a-w C:\WINDOWS\system32\drivers\pci.sys
2008-04-14 13:28 46,976 ----a-w C:\WINDOWS\system32\drivers\p3.sys
2008-04-14 13:28 120,448 ----a-w C:\WINDOWS\system32\drivers\pcmcia.sys
2008-04-14 13:25 800,256 ----a-w C:\WINDOWS\system32\drivers\dmboot.sys
2008-04-14 13:25 25,088 ----a-w C:\WINDOWS\system32\drivers\kbdclass.sys
2008-04-14 13:25 154,240 ----a-w C:\WINDOWS\system32\drivers\dmio.sys
2008-04-14 13:25 14,720 ----a-w C:\WINDOWS\system32\drivers\kbdhid.sys
2008-04-14 13:24 40,960 ----a-w C:\WINDOWS\system32\drivers\crusoe.sys
2008-04-14 13:24 40,576 ----a-w C:\WINDOWS\system32\drivers\intelppm.sys
2008-04-14 13:24 37,760 ----a-w C:\WINDOWS\system32\drivers\isapnp.sys
2008-04-14 13:23 65,792 ----a-w C:\WINDOWS\system32\drivers\serial.sys
2008-04-14 13:22 53,504 ----a-w C:\WINDOWS\system32\drivers\i8042prt.sys
2008-04-14 13:21 58,880 ----a-w C:\WINDOWS\system32\drivers\redbook.sys
2008-04-14 13:21 53,248 ----a-w C:\WINDOWS\system32\drivers\volsnap.sys
2008-04-14 13:21 273,408 ------w C:\WINDOWS\system32\drivers\bthport.sys
2008-04-14 13:21 25,728 ------w C:\WINDOWS\system32\drivers\hidbth.sys
2008-04-14 13:20 44,672 ----a-w C:\WINDOWS\system32\drivers\fips.sys
2008-04-14 13:20 40,064 ----a-w C:\WINDOWS\system32\drivers\processr.sys
2008-04-14 13:20 327,168 ------w C:\WINDOWS\system32\drivers\ati2mtaa.sys
2008-04-14 13:19 41,984 ----a-w C:\WINDOWS\system32\drivers\amdk7.sys
2008-04-14 13:19 41,600 ----a-w C:\WINDOWS\system32\drivers\amdk6.sys
2008-04-14 13:19 30,336 ----a-w C:\WINDOWS\system32\drivers\modem.sys
2008-04-14 13:19 23,552 ----a-w C:\WINDOWS\system32\drivers\mouclass.sys
2008-04-14 13:18 189,056 ----a-w C:\WINDOWS\system32\drivers\acpi.sys
2008-04-14 06:58 175,744 ----a-w C:\WINDOWS\system32\drivers\rdbss.sys
2008-04-14 06:51 162,816 ----a-w C:\WINDOWS\system32\drivers\netbt.sys
2008-04-14 06:50 91,520 ----a-w C:\WINDOWS\system32\drivers\ndiswan.sys
2008-04-14 06:50 361,344 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-04-14 06:50 182,656 ----a-w C:\WINDOWS\system32\drivers\ndis.sys
2008-04-14 06:49 75,264 ----a-w C:\WINDOWS\system32\drivers\ipsec.sys
2008-04-14 06:49 51,328 ----a-w C:\WINDOWS\system32\drivers\rasl2tp.sys
2008-04-14 06:49 48,384 ----a-w C:\WINDOWS\system32\drivers\raspptp.sys
2008-04-14 06:49 146,048 ----a-w C:\WINDOWS\system32\drivers\portcls.sys
2008-04-14 06:49 138,112 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-04-14 06:47 83,072 ----a-w C:\WINDOWS\system32\drivers\wdmaud.sys
2008-04-14 06:47 456,576 ----a-w C:\WINDOWS\system32\drivers\mrxsmb.sys
2008-04-14 06:47 105,344 ----a-w C:\WINDOWS\system32\drivers\mup.sys
2008-04-14 06:46 49,536 ----a-w C:\WINDOWS\system32\drivers\classpnp.sys
2008-04-14 06:46 141,056 ----a-w C:\WINDOWS\system32\drivers\ks.sys
2008-04-14 06:45 60,800 ----a-w C:\WINDOWS\system32\drivers\sysaudio.sys
2008-04-14 06:45 574,976 ----a-w C:\WINDOWS\system32\drivers\ntfs.sys
2008-04-14 06:45 334,848 ----a-w C:\WINDOWS\system32\drivers\srv.sys
2008-04-14 06:44 63,744 ----a-w C:\WINDOWS\system32\drivers\cdfs.sys
2008-04-14 06:44 143,744 ----a-w C:\WINDOWS\system32\drivers\fastfat.sys
2008-04-14 06:30 225,664 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-04-14 06:30 19,072 ----a-w C:\WINDOWS\system32\drivers\tdi.sys
2008-04-14 06:27 41,472 ----a-w C:\WINDOWS\system32\drivers\raspppoe.sys
2008-04-14 06:27 40,576 ----a-w C:\WINDOWS\system32\drivers\ndproxy.sys
2008-04-14 06:27 34,560 ----a-w C:\WINDOWS\system32\drivers\wanarp.sys
2008-04-14 06:27 20,864 ----a-w C:\WINDOWS\system32\drivers\ipinip.sys
2008-04-14 06:27 152,832 ----a-w C:\WINDOWS\system32\drivers\ipnat.sys
2008-04-14 06:27 14,336 ----a-w C:\WINDOWS\system32\drivers\asyncmac.sys
2008-04-14 06:27 10,112 ----a-w C:\WINDOWS\system32\drivers\ndistapi.sys
2008-04-14 06:26 88,320 ----a-w C:\WINDOWS\system32\drivers\nwlnkipx.sys
2008-04-14 06:26 69,120 ----a-w C:\WINDOWS\system32\drivers\psched.sys
2008-04-14 06:26 35,072 ----a-w C:\WINDOWS\system32\drivers\msgpc.sys
2008-04-14 06:26 34,688 ----a-w C:\WINDOWS\system32\drivers\netbios.sys
2008-04-14 06:26 30,592 ----a-w C:\WINDOWS\system32\drivers\rndismp.sys
2008-04-14 06:26 30,592 ------w C:\WINDOWS\system32\drivers\rndismpx.sys
2008-04-14 06:26 14,592 ----a-w C:\WINDOWS\system32\drivers\ndisuio.sys
2008-04-14 06:26 12,800 ----a-w C:\WINDOWS\system32\drivers\usb8023.sys
2008-04-14 06:26 12,800 ------w C:\WINDOWS\system32\drivers\usb8023x.sys
2008-04-14 06:26 12,288 ----a-w C:\WINDOWS\system32\drivers\tunmp.sys
2008-04-14 06:25 202,624 ----a-w C:\WINDOWS\system32\drivers\rmcast.sys
2008-04-14 06:24 11,264 ----a-w C:\WINDOWS\system32\drivers\irenum.sys
2008-04-14 06:23 71,552 ----a-w C:\WINDOWS\system32\drivers\bridge.sys
2008-04-14 06:23 40,320 ----a-w C:\WINDOWS\system32\drivers\nmnt.sys
2008-04-14 06:23 36,608 ----a-w C:\WINDOWS\system32\drivers\ip6fw.sys
2008-04-14 06:23 264,832 ----a-w C:\WINDOWS\system32\drivers\http.sys
.

((((((((((((((((((((((((((((( snapshot@2008-05-17_ 1.35.32.09 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-05-17 07:30:32 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-05-17 21:29:53 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-05-17 21:30:20 16,384 ----atw C:\WINDOWS\TEMP\Perflib_Perfdata_56c.dat
+ 2008-05-17 21:30:28 16,384 ----atw C:\WINDOWS\TEMP\Perflib_Perfdata_640.dat
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* entradas vac¡as & entradas leg¡timas predeterminadas no son mostradas

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"CursorXP"="C:\Archivos de programa\Stardock\CursorXP\CursorXP.exe" [2005-01-19 16:44 140288]
"AlcoholAutomount"="C:\Archivos de programa\Alcohol Soft\Alcohol 120\axcmd.exe" [2008-02-22 09:58 217544]
"AVEDESK"="D:\Archivos de Programa (D)\Avedesk\AVEDESK.EXE" [2005-10-25 23:44 1424896]
"SpybotSD TeaTimer"="C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-01-09 15:25 16859648 C:\WINDOWS\RTHDCPL.exe]
"vmware-tray"="C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe" [2008-03-03 20:10 72240]
"VMware hqtray"="C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe" [2008-03-03 20:10 55856]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\policies\explorer]
"NoResolveSearch"= 1 (0x1)

[hkey_local_machine\software\microsoft\windows\curr entversion\explorer\shellexecutehooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= D:\Archivos de Programa (D)\SUPERAntiSpyware\SASSEH.DLL [2006-12-20 13:55 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"UIHost"="C:\\WINDOWS\\system32\\logonui.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
D:\Archivos de Programa (D)\SUPERAntiSpyware\SASWINLO.dll 2007-04-19 13:41 294912 D:\Archivos de Programa (D)\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avldr]
avldr.dll 2007-02-15 20:02 50736 C:\WINDOWS\system32\avldr.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\MCPClient]
C:\Archivos de programa\Archivos comunes\Stardock\mcpstub.dll 2005-01-31 15:13 49152 C:\Archivos de programa\Archivos comunes\Stardock\MCPStub.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WBSrv]
C:\Archivos de programa\Stardock\Object Desktop\WindowBlinds\wbsrv.dll 2008-01-12 03:16 229376 C:\Archivos de programa\Stardock\Object Desktop\WindowBlinds\WbSrv.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=wbsys.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.YV12"= yv12vfw.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\sglfb.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\tga.sys]
@="Driver"

[HKLM\~\startupfolder\C:^Documents and Settings^Noel Rodriguez^Menú Inicio^Programas^Inicio^Styler.lnk]
backup=C:\WINDOWS\pss\Styler.lnkStartup

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"
"_7b12541d"=C:\Documents and Settings\Noel Rodriguez\Datos de programa\Microsoft\Installer\{E9ECF354-2422-4FDB-9ABF-D8ADAC0EF941}\_7b12541d.exe
"Rainlendar2"=D:\Archivos de Programa (D)\Rainlendar2\Rainlendar2.exe
"Steam"="D:\Archivos de Programa (D)\Steam\Steam.exe" -silent

[HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run-]
"GrooveMonitor"="C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe"
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.ex e
"HP Software Update"=C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
"vmware-tray"=C:\Archivos de programa\VMware\VMware Workstation\vmware-tray.exe
"VMware hqtray"="C:\Archivos de programa\VMware\VMware Workstation\hqtray.exe"
"Acrobat Assistant 8.0"="C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
"WheelMouse"=C:\Archivos de programa\A4Tech\Mouse\Amoumain.exe
"LogonStudio"="C:\Archivos de programa\Stardock\LogonStudio\logonstudio.exe" /RANDOM
"UnlockerAssistant"="C:\Archivos de programa\Unlocker\UnlockerAssistant.exe"
"Alcmtr"=ALCMTR.EXE

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Archivos de programa\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"D:\\Archivos de Programa (D)\\Emule\\emule.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Archivos de programa\\Bonjour\\mDNSResponder.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"C:\\Archivos de programa\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar13\\day of defeat\\hl.exe"=
"D:\\Archivos de Programa (D)\\The All-Seeing Eye\\eye.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar\\day of defeat\\hl.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar\\counter-strike\\hl.exe"=
"D:\\SOFTWARE DESCARGADO\\Utilidades INTERNET\\Instaladores P2P\\utorrent 1.7.7.exe"=
"C:\\Archivos de programa\\Unreal Tournament 3\\Binaries\\UT3.exe"=
"D:\\Archivos de Programa (D)\\Steam\\steamapps\\noeljar13\\day of defeat source\\hl2.exe"=
"C:\\Archivos de programa\\Hamachi\\hamachi.exe"=
"C:\\Archivos de programa\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Archivos de programa\\Windows Live\\Messenger\\livecall.exe"=

R0 eBoost;eBoostr caching filter driver;C:\WINDOWS\system32\drivers\eBoost.sys [2007-12-25 11:19]
R1 ShldDrv;Panda File Shield Driver;C:\WINDOWS\system32\DRIVERS\ShlDrv51.sys [2008-02-07 13:17]
R2 EBOOSTRSVC;eBoostr Service;"C:\Archivos de programa\eBoostr\EBstrSvc.exe" [2007-12-25 11:19]
R2 PavProc;Panda Process Protection Driver;C:\WINDOWS\system32\DRIVERS\PavProc.sys [2008-02-07 13:17]
R2 UxTuneUp;TuneUp Ampliación del thema;C:\WINDOWS\System32\svchost.exe [2008-04-14 07:49]
R3 es1969;ESS ES1946_1938 Audio Driver (WDM);C:\WINDOWS\system32\drivers\es1969.sys [2003-04-06 03:39]
R3 ip100xp;IC Plus IP100 10/100 Fast Ethernet Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\ipfnd51.sys [2007-04-02 18:00]
S0 Si3112;Si3112;C:\WINDOWS\system32\drivers\Si3112.s ys [2007-04-02 18:00]
S3 TuneUp.Defrag;TuneUp Drive Defrag Service;C:\WINDOWS\System32\TuneUpDefragService.ex e [2008-04-12 13:26]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{793c1781-9548-11dc-85f1-000854ddce1e}]
\Shell\AutoRun\command - F:\PortableApps\PortableAppsMenu\PortableAppsMenu. exe

[HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2\{ae3a5be8-126b-11dd-8745-005056c00008}]
\Shell\AutoRun\command - H:\LaunchU3.exe

.
Contenido de carpeta 'Tareas Programadas'
"2008-05-16 23:17:31 C:\WINDOWS\Tasks\1-Click Maintenance.job"
- C:\Archivos de programa\TuneUp Utilities 2008\OneClick.exe
.
************************************************** ************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-17 15:31:04
Windows 5.1.2600 Service Pack 3 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

el escaneo se completo con exito
archivos ocultos: 0

************************************************** ************************
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\ati2evxx.exe
C:\Archivos de programa\Panda Antivirus 2008\PAVSRV51.EXE
C:\Archivos de programa\Panda Antivirus 2008\AVENGINE.EXE
C:\WINDOWS\system32\ati2evxx.exe
D:\Archivos de Programa (D)\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\PavPrSrv.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Archivos de programa\Panda Antivirus 2008\PsImSvc.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\Archivos de programa\Archivos comunes\VMware\VMware Virtual Image Editing\vmount2.exe
C:\WINDOWS\system32\vmnat.exe
C:\Archivos de programa\Panda Antivirus 2008\PsCtrlS.exe
C:\Archivos de programa\VMware\VMware Workstation\vmware-authd.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Archivos de programa\Archivos comunes\Stardock\SDMCP.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\eBoostr\eBoostrCP.exe
.
************************************************** ************************
.
Tiempo completado: 2008-05-17 15:35:33 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-17 21:35:28

11 dirs 35,321,167,872 bytes libres
16 dirs 35,313,967,104 bytes libres

300 --- E O F --- 2008-05-14 16:02:03

Última edición por noeljarod fecha: 18/05/08 a las 03:42:52.

post #8 (permalink)

18/05/08, 21:35:07

GuillermoTell GuillermoTell está offline

Moderador

Registrado: abr 2006

Ubicación: Colombia

Mensajes: 5.191

Re: estoy infectado con rootkit!!! no se deja eliminar y se carga en Modo Seguro!

Hola, el problema que tienes es claramente un conflicto entre esas dos herramientas con su protección residente por que la una bloquea los cambios que la otra hace. Desinstala el Spybot y realiza la limpieza la con tu Antivirus y me comnetas los resultados.