Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola, empiezo con este hilo mi andadura en este foro.
Di con el foro de manera casual, buscando informacion para eliminar un addware que es mi pesadilla.
He probado todos los programas habidos, he probado todas las indicaciones de limpieza que viene en este foro en la seccion que hay en la cual se habla de utilizar numerosos programas, de realizarlo en modo a prueba de fallos, en normal, de terminarlo con el reg cleaner..
Pero nada, de echo, programas como el antyspyware de microsoft me lo detecta, un Hijack que me tiene secuestrada la pagina de inicio.
A pesar de que cambio el nombre, y le doy a aceptar, y aplicar, al volverlo a ver, se encuentra la dichosa pagina http://www.hotoffers.info/185/
El mismo antispyware de microsoft, me da la opcion de cambiar el nombre, y poner lo que yo quiero, www.google.es, y a pesar de que el dicho programa, y como el todos los demas, como Add ware SE o Spy doctor, lo detectan
y lo eliminan..
Nada, no lo eliminan, siempre está.
No se, quien habrá sido el autor de ese addware, pero o es un addware nuevo, o el que lo ha creado es un genio....

Hola

Bueno, veamos si podemos hacer algo con eso...

Trata de mandarnos un reporte del HijackThis.

Felicidad

Ok, gracias, en cuanto he visto tu respuesta me he venido al curro donde tengo el pc infectado, espero que puedas ayudarme, este es el informe del hijackthis

Logfile of HijackThis v1.99.1
Scan saved at 15:16:40, on 03/02/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Pop up Blocker\pd.exe
C:\ARCHIV~1\PANICW~1\POP-UP~1\PSFree.exe
C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe
C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
c:\mIRC\mirc.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Documents and Settings\AULAPC2\Escritorio\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/cust...search/ie.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/cust.../www.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/185/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/cust.../www.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O1 - Hosts: 69.50.173.4 earthlink.net
O1 - Hosts: 69.50.173.4 www.earthlink.net
O1 - Hosts: 69.50.173.4 go.com
O1 - Hosts: 69.50.173.4 www.go.com
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_5_ 0.dll
O2 - BHO: SafeGuard Protect PCShield - {564FFB73-9EEF-4969-92FA-5FC4A92E2C2A} - C:\WINDOWS\system32\sfg.dll
O2 - BHO: Popup Blocker Pro - {A44B961C-8C36-470f-8555-EDA0EFC1E710} - C:\Archivos de programa\SafeGuard Pop-up Blocker Pro FREE Edition\popupblocker.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_5_ 0.dll
O4 - HKLM\..\Run: [PCShield] regsvr32 /s "C:\WINDOWS\system32\sfg.dll"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [Pop up Blocker] "C:\Archivos de programa\Pop up Blocker\pd.exe" Minimize
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\ARCHIV~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - HKCU\..\Run: [PCShield] regsvr32 /s "C:\WINDOWS\system32\sfg.dll"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html
O9 - Extra button: PD - {D1D071F5-AD91-4EF1-92E3-D6B768C49F18} - C:\Archivos de programa\Pop up Blocker\pd.exe
O9 - Extra button: Microsoft AntiSpyware helper - {D13CFD8C-3B4A-4CEA-A57E-DEF0B92AD4A1} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {D13CFD8C-3B4A-4CEA-A57E-DEF0B92AD4A1} - (no file) (HKCU)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://aeat.es/imagenes/comun/cactivex.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/is...53/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{22D143EC-0C78-4ED2-BA11-1956C26ABD4B}: NameServer = 80.58.0.33,80.58.32.97
O17 - HKLM\System\CS1\Services\Tcpip\..\{22D143EC-0C78-4ED2-BA11-1956C26ABD4B}: NameServer = 80.58.0.33,80.58.32.97
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe

Hola

Bueno, veamos ese reporte.

Recuerda seguir estos pasos para la reparación.

1. Ver los archivos ocultos de tu sistema
2. Desactivar la restauración del sistema
3. Iniciar el sistema en el modo «a prueba de fallos» o «modo seguro»

Deberás marcar estas líneas en el Hijackthis para reparar:

• R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/185/
• R3 - Default URLSearchHook is missing
• O1 - Hosts: 69.50.173.4 earthlink.net
• O1 - Hosts: 69.50.173.4 www.earthlink.net
• O1 - Hosts: 69.50.173.4 go.com
• O1 - Hosts: 69.50.173.4 www.go.com
• O2 - BHO: SafeGuard Protect PCShield - {564FFB73-9EEF-4969-92FA-5FC4A92E2C2A} - C:\WINDOWS\system32\sfg.dll
• O2 - BHO: Popup Blocker Pro - {A44B961C-8C36-470f-8555-EDA0EFC1E710} - C:\Archivos de programa\SafeGuard Pop-up Blocker Pro FREE Edition\popupblocker.dll
• O4 - HKLM\..\Run: [PCShield] regsvr32 /s "C:\WINDOWS\system32\sfg.dll"
• O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
• O4 - HKCU\..\Run: [PCShield] regsvr32 /s "C:\WINDOWS\system32\sfg.dll"
• O9 - Extra button: Microsoft AntiSpyware helper - {D13CFD8C-3B4A-4CEA-A57E-DEF0B92AD4A1} - (no file) (HKCU)
• O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {D13CFD8C-3B4A-4CEA-A57E-DEF0B92AD4A1} - (no file) (HKCU)

Si los encuentras, deberás borrar estos archivos y carpetas:

• C:\WINDOWS\system32\sfg.dll

Deberías desinstalar el popup blocker, es una utilidad dudosa.

Después de haber hecho esas reparaciones, no estaría de más que ejecutaras estas otras aplicaciones por si se le ha pasado algo al HijackThis:

• Ad-aware SE
• Rolleyes
• Disck Cleaner
• Spybot Search and Destroy
• RegSeeker. De este programa deberás usar principalmente la opción de «limpiar el registro»

También dberías revisar el mensaje en el que hablamos del archivo hosts, te ayudará a protegerte de ciertas cosas y ataques.

Tras estos pasos y reparaciones, cuéntanos como evoluciona el tema.

Felicidad

Holasss, ya acabo de llegar del trabajo, terminé de desifectarlo a las 5, un amigo mio me ayudó online.
Me parece que tambien con lo mismo que me has comentado, se que me dio un programa, que me hizo borrar un dll.
Acto seguido, instale el antispyware de microsoft, y pude ver como el malicioso virus aun seguia en sus treces.
Me salio un aviso de que me querian cambiar la pagina por el tal hotoffers otra vez, menos mal que ya tenia el programa de microsoft.
Lo bloqueó y acto seguido eliminó la intrusion, y creo que ya quedó eliminado del todo, pues le hice 4 analisis posteriores con resultado 0.
Gracias a ti tambien.

Perfecto,

Damos el tema por solucionado entonces.

Si tuviera cualquier otro problema, no dudes en pasar por aquí.

Felicidad