Antes que nada felicidades por su labor

Tengo un pequeño problema
los popups me traen loco hace algunos dias, no se como ni cuando me
engancharon, el problema es que hago para librarme de ellos ...

El problema, primero me aparecio una pantalla azul bla bla bla, tras haber
leido al respecto supe que era el spy sheriff (ya habia borrado la carpeta
del DD, sin averiguar ).

Use Window Washer, XsofSpy y AVG antivirus, nunca habia tenido problemas
hasta hace unos dias.

Ya corri las utilerias (en modo normal y seguro), pero el problema sigue.

Otro detalle, por si les sirve de pista, las páginas de los popups son
estas casi siempre:

www.daoliotoday.com/normal/yyy102.html
www.hug-ediscounts.com/normal/yyy102.html
www.buyer-shabit.com/normal/yyy102.html
www.intern-etadvertising.com/normal/yyy102.html
www.realcoupon-s.com/normal/yyy65.html

y varias mas, pero todas después del .com tienen /normal/yyy###.html
### = Un número cualquiera.

En fin, aqui les dejo un log del HJT después de todo lo que le he hecho a
la PC (que ya no se que tanto he hecho )

Saludos y gracias de antemano

Logfile of HijackThis v1.99.1
Scan saved at 10:27:17 p.m., on 21/12/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wwSecure.exe
C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe
C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe
C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe
C:\Archivos de programa\Messenger\MSMSGS.EXE
C:\Archivos de programa\Webroot\Washer\wwDisp.exe
C:\Archivos de programa\Common Files\VCClient\VCClient.exe
C:\Archivos de programa\Common Files\VCClient\VCMain.exe
C:\WINDOWS\system32\rundll32.exe
C:\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [MediaFace Integration] C:\Archivos de programa\Fellowes\MediaFACE 4.0\SetHook.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [Window Washer] C:\Archivos de programa\Webroot\Washer\wwDisp.exe
O4 - HKCU\..\Run: [CU1] C:\Archivos de programa\Common Files\VCClient\VCClient.exe
O4 - HKCU\..\Run: [CU2] C:\Archivos de programa\Common Files\VCClient\VCMain.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_04\bin\npjpi150_04.dll
O16 - DPF: {044123B5-35DF-4C4E-BAED-26B8ED964342} - https://update3.globalhauri.com/Custom/LiveSuite/BANAMEX/web/HLiveRobotWeb.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\lv4009hme.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: W2k PCtel speaker phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: Washer AutoComplete (wwSecSvc) - Webroot Software, Inc. - C:\WINDOWS\System32\wwSecure.exe

actualiza tu windows y tu I.E.
S.O.
I.E.

Antes que nada sigue estos pasos y descarga cada herramienta que ahi se te ofrece.

ya que completes los 11 pasos continua con RegSeeker pasos 1 y 9 solamente.

al final de todo esto haz un log de hijack this y tenlo por ahi guardado no lo postees, si siguieras con problemas eso log nos ayudara.

seguimos al tanto de tu problema

Gracias por la respuesta tan rapida.

Seguire las indicaciones al pie de la letra.

Una vez terminados los pasos volvere a postear ya sea
para comentarles si se soluciono el problema o si persiste.

Gracias nuevamente.

Saludos,
Cristian

Kasperky me arrojo lo siguiente en el primer scan ...

-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Thursday, December 22, 2005 09:23:27
Operating System: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky On-line Scanner version: 5.0.67.0
Kaspersky Anti-Virus database last update: 22/12/2005
Kaspersky Anti-Virus database records: 168504
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - Critical Areas:
C:\WINDOWS
C:\DOCUME~1\Chely\CONFIG~1\Temp\

Scan Statistics:
Total number of scanned objects: 17881
Number of viruses found: 5
Number of infected objects: 10
Number of suspicious objects: 0
Duration of the scan process: 1672 sec

Infected Object Name - Virus Name
C:\WINDOWS\hosts Infected: Trojan.Win32.Qhost.el
C:\WINDOWS\iconu.exe Infected: not-a-virus:AdWare.Win32.Zestyfind
C:\WINDOWS\system32\dfprov.dll Infected: not-a-virus:AdWare.Win32.Look2Me.ab
C:\WINDOWS\system32\dlactfrm.dll Infected: not-a-virus:AdWare.Win32.Look2Me.ab
C:\WINDOWS\system32\guard.tmp Infected: not-a-virus:AdWare.Win32.Look2Me.ab
C:\WINDOWS\system32\scmt16.exe Infected: Trojan-Downloader.Win32.PassAlert.e
C:\WINDOWS\system32\wqbvw.dll Infected: not-a-virus:AdWare.Win32.Look2Me.ab
C:\WINDOWS\system32\wybcheck.dll Infected: not-a-virus:AdWare.Win32.Look2Me.ab
C:\WINDOWS\Temp\bw2.com Infected: not-a-virus:AdWare.Win32.Zestyfind
C:\WINDOWS\tool2.exe Infected: Trojan-Clicker.Win32.Spywad.n

Scan process completed.

Pero como era la herramienta on-line necesito instalarlo para poder borrarlos, supongo. ¿ Otra cosa, según yo el AVG era un buen antivirus, por que no los detectó ?

Saludos.

Esto es lo que tengo en mi archivo hosts:

127.0.0.5 n-glx.s-redirect.com
127.0.0.5 x.full-tgp.net
127.0.0.5 counter.sexmaniack.com
127.0.0.5 autoescrowpay.com
127.0.0.5 www.autoescrowpay.com
127.0.0.5 www.awmdabest.com
127.0.0.5 www.sexfiles.nu
127.0.0.5 awmdabest.com
127.0.0.5 sexfiles.nu
127.0.0.5 allforadult.com
127.0.0.5 www.allforadult.com
127.0.0.5 www.iframe.biz
127.0.0.5 iframe.biz
127.0.0.5 www.newiframe.biz
127.0.0.5 newiframe.biz
127.0.0.5 www.vesbiz.biz
127.0.0.5 vesbiz.biz
127.0.0.5 www.pizdato.biz
127.0.0.5 pizdato.biz
127.0.0.5 www.awmcash.biz
127.0.0.5 awmcash.biz
127.0.0.5 buldog-stats.com
127.0.0.5 www.buldog-stats.com
127.0.0.5 fregat.drocherway.com
127.0.0.5 slutmania.biz
127.0.0.5 www.slutmania.biz
127.0.0.5 toolbarpartner.com
127.0.0.5 www.toolbarpartner.com
127.0.0.5 www.megapornix.com
127.0.0.5 megapornix.com
127.0.0.5 www.sp2fucked.biz
127.0.0.5 sp2fucked.biz
127.0.0.5 greg-tut.com
127.0.0.5 www.greg-tut.com
127.0.0.5 nylonsexy.com
127.0.0.5 www.nylonsexy.com
127.0.0.5 vparivalka.com
127.0.0.5 www.vparivalka.com
127.0.0.5 iframeprofit.com
127.0.0.5 www.iframeprofit.com
127.0.0.5 topsearch10.com
127.0.0.5 www.topsearch10.com
127.0.0.5 statscash.biz
127.0.0.5 www.statscash.biz
127.0.0.5 vxiframe.biz
127.0.0.5 www.vxiframe.biz
127.0.0.5 crazy-toolbar.com
127.0.0.5 www.crazy-toolbar.com
127.0.0.5 topcash.biz
127.0.0.5 www.topcash.biz
127.0.0.5 loadcash.biz
127.0.0.5 www.loadcash.biz
127.0.0.5 txiframe.biz
127.0.0.5 www.txiframe.biz
127.0.0.5 procounter.biz
127.0.0.5 www.procounter.biz
127.0.0.5 advadmin.biz
127.0.0.5 www.advadmin.biz
127.0.0.5 trafficbest.net
127.0.0.5 www.trafficbest.net
127.0.0.5 besthvac.com
127.0.0.5 www.besthvac.com
127.0.0.5 traff4.com
127.0.0.5 www.traff4.com
127.0.0.5 ambush-script.com
127.0.0.5 www.ambush-script.com
127.0.0.5 beehappyy.biz
127.0.0.5 www.beehappyy.biz
127.0.0.5 tracktraff.cc
127.0.0.5 www.tracktraff.cc
127.0.0.5 allcount.net
127.0.0.5 www.allcount.net
127.0.0.5 onedayoffer.biz
127.0.0.5 www.onedayoffer.biz

Todos con la misma IP, la pregunta es ¿ Que pasa si los borro todos ?

Gracias de antemano.

desintalar el Xoft Spy ya que es un falso antispyware

primeramente que nada actualiza tu sistema:
S.O.
I.E.

Apagar Restaurar el Sistema
Ver archivos ocultos
Iniciar en modo a prueba de fallos

Ejecuta Hijack This y con todos los programas cerrados marca la siguiente entrada y pulsa FIX CHECKED:

O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\lv4009hme.dll

busca y elimina estos archivo utiliza el KillBox si no puedes eliminarlo dale la opcion de "Delete on Reboot" y no le des si hasta que ya hayas puesto todos:

Archivos encontrados por Kaspersky Online
C:\WINDOWS\system32\dfprov.dll
C:\WINDOWS\system32\dlactfrm.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\scmt16.exe
C:\WINDOWS\system32\wqbvw.dll
C:\WINDOWS\system32\wybcheck.dll
C:\WINDOWS\Temp\bw2.com
C:\WINDOWS\tool2.exe
C:\WINDOWS\iconu.exe

Esta es la entrada 020 tambien eliminala con killbox:
C:\WINDOWS\system32\lv4009hme.dll

utiliza ambas herramientas aqui VX2 y Look2Me

Pasa estas herramientas:

el Spy Sweeper
Disk Cleaner
RegSeeker para limpiar el registro y su manual pasalo varias veces hasta q ya no te salga nada.

Instalate SpywareBlaster 3.4 manual

pasa dos antivirus online como Panda y Kaspersky.



Pones otro log para ver como esta todo y nos cuentas los resultados.
*Si tienes alguna duda,puedes imprimir las instrucciones.

Asunto resuelto ...
Tenia un respaldo reciente de mis archivos, asi que procedi a
formatear mi pc, (mas seguro y efectivo), ademas de que mi
equipo quedo mas rapido ... pues no tiene aplicaciones encima

En fin, con su ayuda logre casi solucionar el problema pues los
popups nunca dejaron de salir pero si elimine muchisimos virus,
cada que ejecutaba un antivirus me detectaba de 5 a 10 nuevos.

Gracias por su ayuda.

PD. Instale Kaspersky (AntiHacker, AntiSpam y AntiVirus), no voy a instalar el e-donkey2000 (por obvias razones), que otro software me recomiendan, kaspersky parece ser bueno (tengo buenas referencias) pero es version de prueba y necesito uno que me sirva siempre (antes usaba AVG Pro, con muy buenos resultados), en fin ustedes son los expertos ... todas las sugerencias son bienvenidas

bitdefender tambien es otro tambien esta el avast ambos antivirus gratuitos, todas las herramientas que te ofrezca http://www.infospyware.com para que no te vuelva ocurrir esto asi estaras mucho mas seguro navegando por la internet, emule es bueno, y tambien limewire para lo que descarga de archivos se refiere.

mucha suerte