Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola:
Desde hace varias días venimos padeciendo, mi computador y yo, un extraño virus que básicamente se muestra en la parte inferior izquierda de la barra de tareas de Windows (donde está el reloj) y es una presentación sobre temas relacioandos con el calentamento global, la tala de árboles y otros, es decir, emergencia ecológica en general a la vez que invita a visitar unas páginas. Ya le he pasado Nod32 y otras herramientas recomendadas por ustedes y nada. Este programita es desagradable en sí su contenido y además relentiza el compu y tb he notado que controla la activación de los archivos ocultos. ¿Me pueden ayudar?

Un gran saludo...de antemano muchas gracias.

Paso 1- Descarga estas herramientas pero no las ejecutes aun:

• DelPsguard
• MalwareByte's Antimalware

Paso 2- Reinicia he inicia en "Modo a prueba de fallos" (modo seguro con funciones a red)

Paso 3- Ejecuta estas herramientas, de a una:

• Ejecuta DelPsguard como lo indica su manual.
• Ejecuta MalwareByte's Antimalware y analiza el equipo completamente, eliminando todo lo que encuentre.

Paso 4- Descarga CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).


Paso 5- Realiza un analisis online con kaspersky online scanner como lo indica su manual y nos dejas su reporte.

Si usas Firefox como navegador recuerda usar la extencion IE Tab para poder realizar algun scanner online.

Reinicia y nos cuentas los resultados junto a los reportes generados por, MalwareByte's Antimalware, DelPsguard y Kaspersky online scanner.

Gracias por tu interés en ayudarme.
Siguiendo tu recomendación descargué los dos programas, pero solo funcionó el de Malware, el otro lo descargué y al intentar descomprimirse sale mensaje de error de no haber contenido (lo descargué tres veces). De cualquier manera te dejo los reportes de Malware y Kaspersky on-line:

NOTA: ESTE VIRUS ESTÁ EN TODOS LOS COMPUTADORES DE DONDE TRABAJO Y SE HA COPIADO POR LAS MEMORIAS USB. RECOMIENDENME UN BUEN PROCEDIMIENTO PARA EVITAR EN LO POSIBLE ESTOS CONTAGIOS. USHHHH!!! ME ESTOY ENLOQUECIENDO...

************************************************** ***************
Malwarebytes' Anti-Malware 1.28
Versión de la Base de Datos: 1134
Windows 5.1.2600 Service Pack 2

2008-09-25 02:52:44
inform malware-log-2008-09-25 (02-52-23).txt

Tipo de examen : Examen Completo (C:\|D:\|)
Objetos examinados: 204564
Tiempo transcurrido: 35 minute(s), 40 second(s)

Procesos en Memoria Infectados: 0
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 3
Valores del Registro Infectados: 0
Elementos de Datos del Registro Infectados: 0
Carpetas Infectadas: 0
Ficheros Infectados: 0

Procesos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{00000005-0000-0000-0000-100011000004} (Trojan.Downloader) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\The Weather Channel (Adware.Hotbar) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\W MPlayer\Schemes\f3pss (Adware.MyWebSearch) -> No action taken.

Valores del Registro Infectados:
(No se han detectado elementos maliciosos)

Elementos de Datos del Registro Infectados:
(No se han detectado elementos maliciosos)

Carpetas Infectadas:
(No se han detectado elementos maliciosos)

Ficheros Infectados:
(No se han detectado elementos maliciosos)

************************************************** ***************
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER INFORME
jueves, 25 de septiembre de 2008 0:57:23
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.1
Ultima actualización: 24/09/2008
Registros en la base antivirus: 1121644
-------------------------------------------------------------------------------

Configuración del análisis:
Analizar usando las siguientes bases: standard
Analizar archivos: verdadero
Analizar bases de correo: verdadero

Objetivo a analizar - Mi PC:
A:\
C:\
D:\
E:\
F:\

Estadísticas:
Número de objeros analizados: 156668
Virus encontrados: 2
Objetos infectados: 4 / 0
Objetos sospechosos: 0
Duración del análisis: 03:38:40

Bombre del objeto infectado / Nombre del virus / Última acción
C:\igu(v#G��XU(.exe Infectados: Worm.Win32.AutoRun.mhh saltado
D:\WINDOWS\system32\config\system.LOG Object is locked saltado
D:\WINDOWS\system32\config\software.LOG Object is locked saltado
D:\WINDOWS\system32\config\default.LOG Object is locked saltado
D:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
D:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
D:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\OSession.evt Object is locked saltado
D:\WINDOWS\system32\config\ODiag.evt Object is locked saltado
D:\WINDOWS\system32\config\SECURITY Object is locked saltado
D:\WINDOWS\system32\config\SOFTWARE Object is locked saltado
D:\WINDOWS\system32\config\SYSTEM Object is locked saltado
D:\WINDOWS\system32\config\DEFAULT Object is locked saltado
D:\WINDOWS\system32\config\SAM Object is locked saltado
D:\WINDOWS\system32\config\Internet.evt Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
D:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado
D:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado
D:\WINDOWS\system32\h323log.txt Object is locked saltado
D:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
D:\WINDOWS\wiaservc.log Object is locked saltado
D:\WINDOWS\wiadebug.log Object is locked saltado
D:\WINDOWS\WindowsUpdate.log Object is locked saltado
D:\WINDOWS\SchedLgU.Txt Object is locked saltado
D:\WINDOWS\Sti_Trace.log Object is locked saltado
D:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\Symantec\LiveUpdate\2008-09-24_Log.ALUSchedulerSvc.LiveUpdate Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\virlog.dat Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\warnlog.dat Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Charon\CACHE.NDB Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\ntuser.dat.LOG Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Cookies\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\ntuser.dat.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\NTUSER.DAT.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Historial\History.IE5\MSHist0120080924200809 25\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Ahead\Nero Home\bl.db Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Ahead\Nero Home\is2.db Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Mis documentos\La Ética y la Tecnología de la Información (pc-news_com).mht/[From <Guardado por Microsoft Internet Explorer 7>][Date Wed, 11 Jun 2008 03:05:00 -0500]/UNNAMED Infectados: Trojan-Downloader.HTML.IFrame.ij saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Mis documentos\La Ética y la Tecnología de la Información (pc-news_com).mht Mail: infectado - 1 saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Cookies\index.dat Object is locked saltado
D:\Archivos de programa\DAP\Log\DAP_REPORT.LOG Object is locked saltado
D:\Archivos de programa\DAP\History\Katina\_lasthist.dat Object is locked saltado
D:\System Volume Information\_restore{9A4243EE-9C00-4C1C-8339-0D7E697D767B}\RP142\change.log Object is locked saltado
D:\igu(v#G��XU(.exe Infectados: Worm.Win32.AutoRun.mhh saltado

Análisis completado.
************************************************** ***************

El paso con el Malwarebytes esta mal realizado ya que tenias que darle quitar lo seleccionado para que el borrado tuviera efecto, asi que pasa de nuevo las herramientas y un nuevo reporte de karspesky para poder evaluarlo.

OK...Espero que sea así:

************************************************** ***************
Malwarebytes' Anti-Malware 1.28
Versión de la Base de Datos: 1134
Windows 5.1.2600 Service Pack 2

2008-09-25 02:52:44
inform malware-log-2008-09-25 (02-52-23).txt

Tipo de examen : Examen Completo (C:\|D:\|)
Objetos examinados: 204564
Tiempo transcurrido: 35 minute(s), 40 second(s)

Procesos en Memoria Infectados: 0
Módulos en Memoria Infectados: 0
Claves del Registro Infectadas: 3
Valores del Registro Infectados: 0
Elementos de Datos del Registro Infectados: 0
Carpetas Infectadas: 0
Ficheros Infectados: 0

Procesos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Módulos en Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{00000005-0000-0000-0000-100011000004} (Trojan.Downloader) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\The Weather Channel (Adware.Hotbar) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\W MPlayer\Schemes\f3pss (Adware.MyWebSearch) -> No action taken.

Valores del Registro Infectados:
(No se han detectado elementos maliciosos)

Elementos de Datos del Registro Infectados:
(No se han detectado elementos maliciosos)

Carpetas Infectadas:
(No se han detectado elementos maliciosos)

Ficheros Infectados:
(No se han detectado elementos maliciosos)

************************************************** ***************

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER INFORME
jueves, 25 de septiembre de 2008 0:57:23
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.1
Ultima actualización: 24/09/2008
Registros en la base antivirus: 1121644
-------------------------------------------------------------------------------

Configuración del análisis:
Analizar usando las siguientes bases: standard
Analizar archivos: verdadero
Analizar bases de correo: verdadero

Objetivo a analizar - Mi PC:
A:\
C:\
D:\
E:\
F:\

Estadísticas:
Número de objeros analizados: 156668
Virus encontrados: 2
Objetos infectados: 4 / 0
Objetos sospechosos: 0
Duración del análisis: 03:38:40

Bombre del objeto infectado / Nombre del virus / Última acción
C:\igu(v#G��XU(.exe Infectados: Worm.Win32.AutoRun.mhh saltado
D:\WINDOWS\system32\config\system.LOG Object is locked saltado
D:\WINDOWS\system32\config\software.LOG Object is locked saltado
D:\WINDOWS\system32\config\default.LOG Object is locked saltado
D:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
D:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
D:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
D:\WINDOWS\system32\config\OSession.evt Object is locked saltado
D:\WINDOWS\system32\config\ODiag.evt Object is locked saltado
D:\WINDOWS\system32\config\SECURITY Object is locked saltado
D:\WINDOWS\system32\config\SOFTWARE Object is locked saltado
D:\WINDOWS\system32\config\SYSTEM Object is locked saltado
D:\WINDOWS\system32\config\DEFAULT Object is locked saltado
D:\WINDOWS\system32\config\SAM Object is locked saltado
D:\WINDOWS\system32\config\Internet.evt Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
D:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
D:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado
D:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado
D:\WINDOWS\system32\h323log.txt Object is locked saltado
D:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
D:\WINDOWS\wiaservc.log Object is locked saltado
D:\WINDOWS\wiadebug.log Object is locked saltado
D:\WINDOWS\WindowsUpdate.log Object is locked saltado
D:\WINDOWS\SchedLgU.Txt Object is locked saltado
D:\WINDOWS\Sti_Trace.log Object is locked saltado
D:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\Symantec\LiveUpdate\2008-09-24_Log.ALUSchedulerSvc.LiveUpdate Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\virlog.dat Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Logs\warnlog.dat Object is locked saltado
D:\Documents and Settings\All Users.WINDOWS\Datos de programa\ESET\ESET NOD32 Antivirus\Charon\CACHE.NDB Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\NetworkService.NT AUTHORITY\ntuser.dat.LOG Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\Cookies\index.dat Object is locked saltado
D:\Documents and Settings\LocalService.NT AUTHORITY\ntuser.dat.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\NTUSER.DAT Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\NTUSER.DAT.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Historial\History.IE5\MSHist0120080924200809 25\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Archivos temporales de Internet\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Ahead\Nero Home\bl.db Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Configuración local\Datos de programa\Ahead\Nero Home\is2.db Object is locked saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Mis documentos\La Ética y la Tecnología de la Información (pc-news_com).mht/[From <Guardado por Microsoft Internet Explorer 7>][Date Wed, 11 Jun 2008 03:05:00 -0500]/UNNAMED Infectados: Trojan-Downloader.HTML.IFrame.ij saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Mis documentos\La Ética y la Tecnología de la Información (pc-news_com).mht Mail: infectado - 1 saltado
D:\Documents and Settings\Katina.HOMEWORK-DDF169\Cookies\index.dat Object is locked saltado
D:\Archivos de programa\DAP\Log\DAP_REPORT.LOG Object is locked saltado
D:\Archivos de programa\DAP\History\Katina\_lasthist.dat Object is locked saltado
D:\System Volume Information\_restore{9A4243EE-9C00-4C1C-8339-0D7E697D767B}\RP142\change.log Object is locked saltado
D:\igu(v#G��XU(.exe Infectados: Worm.Win32.AutoRun.mhh saltado

Análisis completado.

A ver si nos entemos , lo que hicistes fue pegarme el mismo reporte anterior, cuando me refereia en que el paso esta malo es porque tenias que darle click al siguiente boton como sale en la imagen para que el borrado tuviera efecto.


Espero que captes la idea.

Hola...Me parece de que Fierwall tiene razon...Lo tenes que hacer como el dice...
Tambien si te bajas el Spyware Doctor desde un Programa que empieza con A***, el Spyware Doctor lo elimina, y encuentra otras amenazas exclusivas...
Saludos



Chau

Caballeros Firewall y Matyx...es aseguro que hice ese procedimiento al "Quitar selección", incluso cuando hice clic sobre ese botón el programa inmediatamente elaboró el informe ¿así no es que funciona?.....

Chicos, por cierto, se me olvidada, las imáganes que gener el virus ha ha ido creciendo y ya ocupa la mitad de la pantalla, supongo que la finalidad de esto ocupar todo el espacio de la pantalla y no dejar visualizar lo que uno esté trabajando.....

Si fueras echo lo correcto no saldria esto

HKEY_CURRENT_USER\SOFTWARE\The Weather Channel (Adware.Hotbar) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\W MPlayer\Schemes\f3pss (Adware.MyWebSearch) -> No action taken

No action taken