Hola a tod@s, sucede que tenia KAS y tuve que desintalarlo por vencerme la licencia, en ese tiempo comenzaron los problemas, a continuación les comento los sintomas de mi pc (Toshiba Satellite 2450-101 XP Home Edition Version 2002 Service Pack 2), he leido varios casos y problemas solucionados, he intentado pero:

Algun programa maligno me elimina el fichero KLIF.SYS al detectarlo en el pc

Intento entrar en MODO SEGURO y dice (Press ESC to cancel loading SPTD.SYS), hace como un volcado de memoria o pantalla azul y se reinicia, sucede igual con las demas opciones, hasta que selecciono entrar en MODO NORMAL(segun he leido aqui es un virus que cambia de nombre)

El Ctrol+Alt+Del no funciona, me dice (El Administrador de Tareas ha sido desabilitado por un Administrador), lo desabilitado del menu contextual también.

No me deja instalar ningun antivirus, diciendo que no tengo suficientes privilegios administrativos, estando en sesión de Administrador.

Siguiendo soluciones de problemas anteriores aqui expuesto, instale el Malwarebytes' Anti-Malware 1.24 y me alerta de la activación de WINTEMS.EXE en el SYSTEM32, claro que lo busco y no se ve.

Instale el AVG ANTI-ROOTKIT FREE, al ajecutarlo me dice que NO ES UNA APLICACION DE WIN32 VALIDA, así me sucede también al intentar ejecutar el HITJACKTHIS.

También en algunas ocaciones me elimina el icono de Volumen del lado del reloj y no me permite reproducir MP3 y el audio de archivos de video, entro por el panel de control y me dice que no existe ningun Dispositivo Mezclador cuando si existe.

Informe de Malwarebytes' Anti-Malware 1.24

Malwarebytes' Anti-Malware 1.24
Versión de la Base de Datos: 1052
Windows 5.1.2600 Service Pack 2

15:42:35 14/08/2008
mbam-log-8-14-2008 (15-42-35).txt

Tipo de examen : Examen Rápido
Objetos examinados: 44531
Tiempo transcurrido: 10 minute(s), 34 second(s)

Procesos en Memoria Infectados: 0
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 4
Valores del Registro Infectados: 1
Elementos de Datos del Registro Infectados: 3
Carpetas Infectadas: 1
Ficheros Infectados: 4

Procesos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
HKEY_CLASSES_ROOT\CLSID\{66186f05-bbbb-4a39-864f-72d84615c679} (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{66186f05-bbbb-4a39-864f-72d84615c679} (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{ffffffff-bbbb-4146-86fd-a722e8ab3489} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{ffffffff-bbbb-4146-86fd-a722e8ab3489} (Trojan.BHO) -> Quarantined and deleted successfully.

Valores del Registro Infectados:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\webproxy (Trojan.Agent) -> Quarantined and deleted successfully.

Elementos de Datos del Registro Infectados:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Secondary_Page_URL (Hijack.Homepage) -> Bad: (file://c:/windows/homepage.html ) Good: (http://www.google.com/) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Secondary Start Pages (Hijack.Homepage) -> Bad: (file://c:/windows/homepage.html ) Good: (http://www.google.com/) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.Homepage) -> Bad: (file://c:/windows/homepage.html) Good: (http://www.google.com/) -> Quarantined and deleted successfully.

Carpetas Infectadas:
C:\WINDOWS\system32\drivers\downld (Trojan.Agent) -> Quarantined and deleted successfully.

Ficheros Infectados:
C:\WINDOWS\system32\sockins32.dll (Trojan.BHO) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\wintems.exe (Trojan.Spammer) -> Delete on reboot.
C:\WINDOWS\system32\sft.res (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\index.html (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Gracias de ante mano a todos por cualquier ayuda que me puedan dar.

Se me habia pasado comentarles que he instalado las siguientes herramientas:

ATF-CLEANER
SUPERANTISPYWARE
CCLEANER

el motivo de este comentario es debido a que no puedo entrar en MODO SEGURO para ejecutarlas como recomiendan en algunos donde ayudan a otros afectados.

Espero no haber incurrido en alguna infracción, nuevamente muchas gracias.

Realiza lo siguiente:

• Apaga el Restaurar Sistema (solo en Win Me/XP y Vista).
  
• Descarga FS - FixBagle.BETA.exe en el escritorio.
  
• Actualiza Malwarebytes' Anti-Malware.

• Reinicia en modo seguro (a prueba de fallos).
  Nota 1: Si tienes problemas con el inicio en modo seguro realiza lo indicado en el siguiente tutorial.
  Nota 2: En caso de no poder iniciar en modo seguro realiza el proceso de desinfección en modo normal.
  
  
  1. Ejecuta Malwarebytes' Anti-Malware;
     • Realiza un examen completo del PC y elimina las infecciones que este detecte.
     • El reporte queda guardado en la pestaña "Logs" o "Registros" en español, abres el reporte y copias el contenido para pegarlo en este tema.
  2. Ejecuta FS - FixBagle,
     1. Abre la Carpeta Fix - Bagle
     2. Ejecuta FS - FixBagle.exe
     3. Elije la opción "A", Desinfectar el Sistema Operativo.
     4. Una vez presionado A el Escritorio parpadera, debido a que está eliminando el Bagle. Una vez que éste termine el proceso, tu Escritorio se reestablecerá.
     5. FS - FixBagle.BETA.exe, genera un reporte, el cual se encuentra generalmente en C:\BagleReport.txt. Lo pegas aqui mismo
  3. Ejecuta el Ccleaner.
     • Usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos.
     • Después usa su opción de "Registro" para limpiar todo el registro de Windows.
  
  
• Reinicia en modo normal y realiza un análisis completo con: Panda ActiveScan 2.0.

* Nota *
- Al terminar reactiva el "restaurar sistema".
- Pega los reportes de Malwarebytes' Anti-Malware, FixBagle.BETA y Panda para revisarlos.

Saludos.

Hola Maco1128 , muchas gracias por tu orientación.

Este es el reporte de Malwarebytes' Anti-Malware

Malwarebytes' Anti-Malware 1.25
Versión de la Base de Datos: 1065
Windows 5.1.2600 Service Pack 2

14:11:21 Leonardo 18/08/2008
mbam-log-08-18-2008 (14-11-21).txt

Tipo de examen : Examen Completo (C:\|)
Objetos examinados: 117917
Tiempo transcurrido: 1 hour(s), 3 minute(s), 55 second(s)

Procesos en Memoria Infectados: 0
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 5
Valores del Registro Infectados: 2
Elementos de Datos del Registro Infectados: 1
Carpetas Infectadas: 1
Ficheros Infectados: 4

Procesos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\s rosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\s rosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s rosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\s rosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.

Valores del Registro Infectados:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\german.exe (Trojan.Spammer) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\mule_st_key (Trojan.Agent) -> Quarantined and deleted successfully.

Elementos de Datos del Registro Infectados:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Carpetas Infectadas:
C:\WINDOWS\system32\drivers\downld (Trojan.Agent) -> Quarantined and deleted successfully.

Ficheros Infectados:
C:\Archivos de programa\Nuclear Coffee\VideoGet\uninstall.exe (BHO.Baidu) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\wintems.exe (Trojan.Spammer) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\hldrrr.exe (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\srosa.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.



Report de Fs-FixBagle.
BagleReport Creado: 14:19:48,26, 18/08/2008
Sistema Operativo: Microsoft Windows XP [Versi¢n 5.1.2600]


»»»»»»»»»»»» Objetos Eliminados »»»»»»»»»»»»

C:\WINDOWS\system32\drivers\mdelk.exe
C:\WINDOWS\exefld


»»»»»»»»»»»» Catchme Detector »»»»»»»»»»»»

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-18 14:19:50
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0



»»»»»»»»»»»» FIN »»»»»»»»»»»»

El paso del antivirus online, lo aborte, pues tras 12 horas mas o menos iba por el 29% algo que no me parecio nomal, también Malwarebyte´s me estaba alertando de estos Trojan.Agent:

C:\windows\system32\drivers\downld\1364532.exe
C:\windows\system32\drivers\downld\1506466.exe
C:\windows\system32\drivers\downld\16159165.exe
C:\windows\system32\drivers\downld\16193545.exe
C:\windows\system32\drivers\downld\16247262.exe
C:\windows\system32\drivers\downld\31660425.exe
C:\windows\system32\drivers\downld\32684417.exe
C:\windows\system32\drivers\downld\32689064.exe
C:\windows\system32\drivers\downld\47276640.exe
C:\windows\system32\drivers\downld\47281677.exe
C:\windows\system32\drivers\downld\47363404.exe
C:\windows\system32\drivers\downld\61994994.exe
C:\windows\system32\drivers\downld\62075389.exe
C:\windows\system32\drivers\downld\62109428.exe

Al cancelar me salio este reporte:

Amenazas con desinfección gratuita (3)

Peligrosidad alta (1)

W32/Bagle.KV.worm Virus Activo Ver + Info

1. C:\WINDOWS\system32\drivers\hldrrr.exe
2. C:\WINDOWS\SYSTEM32\DRIVERS\MDELK.EXE


Peligrosidad baja (2)

W32/Bagle.RP.worm Virus Latente Ver + Info

1. C:\WINDOWS\system32\drivers\srosa.sys

W32/Bagle.RP.worm Virus Latente Ver + Info

1. C:\WINDOWS\SYSTEM32\DRIVERS\DOWNLD\16193545.EXE
2. C:\WINDOWS\SYSTEM32\DRIVERS\DOWNLD\1506466.EXE
3. C:\WINDOWS\SYSTEM32\DRIVERS\DOWNLD\16247262.EXE


Amenazas con desinfección de pago (0)
Sólo disponible en versión de pago.

Archivos sospechosos (0)

Vulnerabilidades (20)

MS07-061 Alta + Info
MS08-002 Media + Info
MS07-035 Alta + Info
MS08-001 Media + Info
MS07-033 Alta + Info
MS07-069 Alta + Info
MS07-022 Alta + Info
MS07-031 Alta + Info
MS07-021 Alta + Info
MS07-067 Alta + Info
MS07-050 Alta + Info
MS07-020 Alta + Info
MS07-019 Alta + Info
MS07-058 Alta + Info
MS07-064 Alta + Info
MS07-057 Alta + Info
MS07-027 Alta + Info
MS07-046 Alta + Info
MS07-045 Alta + Info
MS07-043 Alta + Info

Ya puedo entrar en MODO SEGURO, se ha activado la opción de ADMINISTRADOR DE TAREAS igualmente se ha activado en el menu contextual, las alertas que me deba Malwarebytes de WINTEMS.EXE no me ha salido, pero los demas problemas permanecen.

Elementos que se encuentran en la Cuarentena de Malwarebyte´s Anti-Malware:

14/08/2008

HKEY_CLASSES_ROOT\CLSID\{66186f05-bbbb-4a39-864f-72d84615c679} (Trojan.Agent)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{66186f05-bbbb-4a39-864f-72d84615c679} (Trojan.Agent)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\webproxy (Trojan.Agent)

HKEY_CLASSES_ROOT\CLSID\{ffffffff-bbbb-4146-86fd-a722e8ab3489} (Trojan.BHO)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{ffffffff-bbbb-4146-86fd-a722e8ab3489} (Trojan.BHO)

C:\WINDOWS\system32\sockins32.dll (Trojan.BHO)

C:\WINDOWS\system32\wintems.exe (Trojan.Spammer)

C:\WINDOWS\system32\sft.res (Malware.Trace)

C:\WINDOWS\index.html (Trojan.FakeAlert)

17/08/2008

C:\WINDOWS\system32\drivers\downld (Trojan.Agent)

C:\WINDOWS\system32\wintems.exe (Trojan.Spammer)

18/08/2008

C:\Archivos de programa\Nuclear Coffee\VideoGet\uninstall.exe (BHO.Baidu)

C:\WINDOWS\system32\drivers\downld (Trojan.Agent)

C:\WINDOWS\system32\wintems.exe (Trojan.Spammer)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\german.exe (Trojan.Spammer)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\mule_st_key (Trojan.Agent)

C:\WINDOWS\system32\drivers\hldrrr.exe (Rootkit.Agent)

C:\WINDOWS\system32\drivers\srosa.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\s rosa (Rootkit.Bagle)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\s rosa (Rootkit.Bagle)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s rosa (Rootkit.Bagle)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\s rosa (Rootkit.Bagle)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa (Rootkit.Bagle)

Hola ManCaribe.

Si se solucionó el problema nos lo indicas para cerrar el tema

Saludos.