Mi problema es el siguiente: Se introdujo en el ordenador en mi ordenador un programa espia llamado “SpySheriff” que después de pasarle algunos programas ani-spyware he podido eliminar. Ahora tengo dos virus “Downloader Troyan” (filename: “tool3.exe” y “tool3[1].txt) que después de pasarle el antivirus NORTON tengo en cuarentena. Es decir, que en principio el problema también está solucionado.

Pero lo que me trae de cabeza es que no puedo eliminar de ninguna manera un ficlero llamado “occkya.exerun _reg”. He probado de todo y no he conseguido eliminarlo.

1) He apagado “Restaurar sistema” en Windows XP
2) He activado la opción “Mostar archivos ocultos”
3) He arrancado el S.O. en “Modo a prueba de fallos”
4) He pasado el programa “Spybot Destroy”
5) He eliminado manualmente con el programa “KillBox” las entradas que no he podido eliminar con “Spybot Destroy” por decirme que “los archivos implicados todavía están siendo usados (en memoria).
6) He pasado el programa “HijackThis” y eliminado la entrada que hace referencia al fichero “occkya.exe” (al final enviaré mi logfile). (antes del pasar el programa he ido al administrador de tareas de Windows para ver si se estaba ejecutando el proceso “occkya.exe” (no se estaba ejecuntando) pues parece ser que para eliminar las entradas “04” hay que desactivar primero los procesos).

Nada me ha dado resultado, puesto que el fichero vuelve a aparecer de nuevo.

La ruta donde se encuentra el fichero según los programas antispyware es C:/Windows/System32. He ido a ver si se encontraba allí y no aparece.

He buscado el fichero con la opción buscar de “Windows” y encuentra un fichero llamado “occkya.exe-0511F167.pf” en la carpeta C:\Windows\Prefetch (desconozco que tipo de ficheros son los “.pf”).

También he buscado en GOOGLE el fichero “occkya” y no aparece referencia alguna al mismo. En definitiva, que ya no se que hacer (pero soy muy cabezón y no me rindo). Si me podéis ayudar os lo agradecería infinito. Ya es una cuestión de cabezonería (además de que me sirve para aprender un montón).

Os envía mi logfile del que he eliminado la entrada del “occkya”, pero supongo que habrá otras que puedo eliminar aunque no estoy seguro.


Logfile of HijackThis v1.99.1
Scan saved at 11:54:12, on 04/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\QuickTime\qttask.exe
C:\Archivos de programa\iTunes\iTunesHelper.exe
C:\Archivos de programa\NavNT\vptray.exe
C:\Archivos de programa\iPod\bin\iPodService.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Alfonso\Menú Inicio\Programas\Antivirus_Spyware_Reg\HijackThis\ HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=ES_ES&c=Q305&bd=pavi lion&pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://es.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=ES_ES&c=Q305&bd=pavi lion&pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=ES_ES&c=Q305&bd=pavi lion&pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=ES_ES&c=Q305&bd=pavili on&pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4D91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [vptray] C:\Archivos de programa\NavNT\vptray.exe
O4 - HKLM\..\Run: [winsync] C:\WINDOWS\system32\occkya.exe reg_run
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra 'Tools' menuitem: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: ToolbarCop - {A349A035-E26F-454b-ABB4-5208E50E1BE7} - C:\Documents and Settings\Alfonso\Escritorio\prueba\toolbarcop.exe (HKCU)
O9 - Extra 'Tools' menuitem: ToolbarCop - {A349A035-E26F-454b-ABB4-5208E50E1BE7} - C:\Documents and Settings\Alfonso\Escritorio\prueba\toolbarcop.exe (HKCU)
O9 - Extra button: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm (HKCU)
O9 - Extra 'Tools' menuitem: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm (HKCU)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe

Descarga DelPSGuard y descomprimelo en el escritorio, pero no lo ejecutes aún.

Sigue estos pasos:

1) Apaga Restaurar Sistema

2) Ver archivos ocultos

3) Reinicia a prueba de fallos

4) Ejecuta HijackThis con todos los programas cerrados y dale Fix checked a:

O4 - HKLM\..\Run: [winsync] C:\WINDOWS\system32\occkya.exe reg_run

5) Busca y elimina:

C:\WINDOWS\system32\occkya.exe
C:\Windows\Prefetch --> todo lo que hay dentro de esta carpeta, pero no elimines la carpeta.

Para archivos que no se dejen eliminar usa KillBox

6) Sin reiniciar, ejecuta DelPSGuard.exe

7) Reinicia normal y finaliza con estos pasos:

- Pasa al menos 2 de estos Antivirus Online

- Limpia el registro con RegSeeker y pasa Ad-Aware actualizado.

- Elimina cookies y temporales con Disk Cleaner y vacía la papelera.

Vuelve a reiniciar y nos cuentas los resultados.

Saludos

PD// La carpeta Prefetch (Búsqueda anticipada) es una carpeta de Windows XP donde se almacena cierta información de algunos procesos con el objetivo de acelerar el acceso a los nuevos programas instalados, es por tanto una característica ventajosa de Win XP, sin embargo, con el tiempo, esta información queda obsoleta, por lo que se hace necesario de vez en cuando limpiar esta carpeta eliminando todo su contenido. La extensión .pf hace referencia a los archivos que se crean en Prefetch, y no hay ningún problema si se eliminan.

Muchas gracias por tu información. He hecho puntualmente todo lo que dices (lo unico que no he podido hacer es borrar el fichero occkya.exe (que todavía no se lo que es) en el directorio c:/windows//system32, puesto que no aparece en tal lugar). Parace que todo funciona en orden. De cualqueir manera de nuevo muchas gracias.
Un saludo
Alfonso

Analiza ese archivo en Virus Total y nos copias aquí los resultados...

Saludos

He hecho lo que me dices pero no se porque razón, después de poner la ruta del fichero (c\windows32\occkya.exe), "Virus total" me envía la siguiente respuesta:

I]"Por favor, revise el archivo y su tamaño.
Recuerde que Virustotal no aceptará archivos que excedan 10 Megabytes.
En caso de superar ese tamaño puede intentar reducirlo mediante compresión.
Gracias".[/i]

Por lo demás parece que el problema está resuelto.

Ló unico que veo extraño es que al ejecutar ]"msconfig" e ir a la pestaña "inicio" me aparece una entrada correspondiente al siguiente elemento de inicio "NvCpl" (que desconozco lo que es) que dice lo siguiente:

"RUNDLL32.EXE C:\WINDOWS\System32\Nvcpldll,NvStartup"

No se si será correcta (o no) pero "intuitivamente" no me gusta.
Saludos y muchas gracias.

Bueno, esto simplemente carga el panel de control de tu tarjeta gráfica Nvidia, es completamente normal.

En cuanto al archivo occkya.exe, trata de analizarlo con Kaspersky Online.

Si no se deja analizar pidele las propiedades al archivo y nos dices su tamaño.

Saludos