Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola: Tengo varios problemas con spyware, ya en una ocasion anterior habia seguido el procedimiento que señalan para deshacerse del spyware y habia obtenido resultados exitosos. Pero ahora nuevamente estoy invadido, intente siguiendo el procedimiento que señalan, pero no he logrado solucionar nada.

Los problemas que tengo son:
1. Cada que se abre windows, al iniciar la maquina, me aparece un programa llamado Desktop Search en la esquina inferior derecha del escritorio y solo puedo cerrarlos usando el administrador de tareas de windows (ctrl+alt+delete).
2. Cada que abro, la primera vez, el Iexplorer no me aparece una ventana, sino un mensaje de error, que pregunta si tengo spyware y me da la opcion de si y no y al escoger me permite continuar normalmente. Pero, usando el Iexplorer, repentinamente las ventanas se desaparecen (incluso no aparecen en la lista de procesos del aministrador de tareas. Luego de un tiempo reaparecen de gran tamaño y solo puedo cerrarlas con Ctrl+alt+delete.
3. Cuando dejo el PC quieto por un tiempo me aparecen montones de paginas tipicas de spyware (porno, promociones, etc)

Como les dije. he seguido los procedimientos: en modo a prueba de fallos, he usado ad-aware, spy-bot, CWSearch, About Buster, elistarA, y tengo el spyware blaster. Además estoy protegido con el Panda Antivirus Platinum, pero este no identifica ningun virus, pero al correr el antivirus de Online Panda, me registra muchos, muchos virus, pero no los arregla. Además, he identificado varios procesos en el administrador de tares que no son criticos para el sistema y que al finalizarlos dejan de aparecer los problemas que he mencionado, estos procesos son: desktop.exe, software.exe y pctspk.exe. No sé que relacion puedan tener, pero funciona. Aunque no es infalible, pues suelen aparecer nuevamente procesos identificados con numeros, como 245364.exe, y cosas por el estilo.

¿Que puedo hacer? Este es un urgente llamado de ayuda, añado el logfile del HijackThis. De antemano muchisimas gracias, por su tiempo y ayuda.

Logfile of HijackThis v1.99.1
Scan saved at 14:44:07, on 03/04/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\keyhook.exe
C:\WINDOWS\System32\pctspk.exe
C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe
C:\WINDOWS\isrvs\desktop.exe
C:\WINDOWS\System32\Software\software.exe
C:\Archivos de programa\SoftPhone\SoftPhone.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\Documents and Settings\Esteban\Mis documentos\My Received Files\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = C:\WINDOWS\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O2 - BHO: (no name) - {B75F75B8-93F3-429D-FF34-660B206D897A} - C:\WINDOWS\System32\boln.dll
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [hefcbb] c:\windows\system32\hefcbb.exe
O4 - HKLM\..\Run: [Software] C:\WINDOWS\System32\Software\software.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Systems Restart] Rundll32.exe boln.dll, DllRegisterServer
O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: SoftPhone.lnk = C:\Archivos de programa\SoftPhone\SoftPhone.exe
O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Similar Pages - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O12 - Plugin for .pdf: C:\Archivos de programa\Internet Explorer\PLUGINS\nppdf32.dll
O15 - Trusted Zone: *.awmdabest.com
O15 - Trusted Zone: *.c4tdownload.com
O15 - Trusted Zone: *.finefind.net
O15 - Trusted Zone: *.iframe.biz
O15 - Trusted Zone: *.overpro.com
O15 - Trusted Zone: *.sp2admin.biz
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted IP range: 67.19.185.246
O16 - DPF: {0BC3C41C-8363-7C15-889B-3EF616F3A349} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {16475236-BFB5-1300-E362-206B6F87A82A} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {16A0C74E-F691-73C6-69BD-4054189E911B} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {1CE82CF1-4D3E-6F35-CD2D-50134BDBAC98} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab30149.cab
O16 - DPF: {42D237F2-2378-499A-EFA4-70F145FDD502} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {4B2A5508-DF06-57A9-56B2-5DDF11ADB43B} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096655163390
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab30149.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {C2E4B57D-DF10-4B1C-8FD7-7A308B67C3EC} (GvDload2 Class) - http://www.everestpoker.com/dload/gvdload2.cab
O16 - DPF: {DA758BB1-5F89-4465-975F-8D7179A4BCF3} (WheelofFortune Object) - http://messenger.zone.msn.com/binary/WoF.cab31267.cab
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

1 - Apaga "Restaurar Sistema".
Las entradas 015 - Trusted puedes eliminarlas con la herramienta "TZ-Kill.inf"
Pasos: http://www.forospyware.com/showpost.php?p=50&postcount=7

2 - Con todos los programas cerrados, ejecuta HijackThis, marca las siguientes entradas y haces FIX:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = C:\WINDOWS\blank.htm

O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll

O2 - BHO: (no name) - {B75F75B8-93F3-429D-FF34-660B206D897A} - C:\WINDOWS\System32\boln.dll

O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [hefcbb] c:\windows\system32\hefcbb.exe
O4 - HKLM\..\Run: [Software] C:\WINDOWS\System32\Software\software.exe

O4 - HKLM\..\Run: [Systems Restart] Rundll32.exe boln.dll, DllRegisterServer

O16 - DPF: {0BC3C41C-8363-7C15-889B-3EF616F3A349} - http://82.179.166.72/1/gdnCO208.exe

O16 - DPF: {16475236-BFB5-1300-E362-206B6F87A82A} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {16A0C74E-F691-73C6-69BD-4054189E911B} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {1CE82CF1-4D3E-6F35-CD2D-50134BDBAC98} - http://82.179.166.72/1/gdnCO208.exe

O16 - DPF: {42D237F2-2378-499A-EFA4-70F145FDD502} - http://82.179.166.72/1/gdnCO208.exe
O16 - DPF: {4B2A5508-DF06-57A9-56B2-5DDF11ADB43B} - http://82.179.166.72/1/gdnCO208.exe

O16 - DPF: {C2E4B57D-DF10-4B1C-8FD7-7A308B67C3EC} (GvDload2 Class) - http://www.everestpoker.com/dload/gvdload2.cab

3 - Localiza y elimina (usa KillBox si es necesario):

C:\WINDOWS\System32\Software\software.exe
C:\WINDOWS\isrvs\ [carpeta]
c:\windows\system32\hefcbb.exe
C:\WINDOWS\System32\boln.dll

Luego limpia el registro con un programa como RegSeeker por ejemplo.

4 - Reinicia en "Modo a prueba de fallos" o "Modo seguro" y escanea el equipo con Ad-Aware SE y Spybot Search&Destroy.

5 - Usa el Disk Cleaner para limpiar cookies y temporales.

6 - Reinicia y nos cuentas los resultados.

Saludos.

Hice todo como me dijiste y ahora el computador esta corriendo como nuevo, ninguun spyware, ni virus, ni nada que se le parezca, tratare de mantenerlo así. :dedosarri

Por el tiempo, por la rapidez con la que me respondieron (en menos de un dia) y por la guerra decidida que mantienen contra el spyware y los demas males electronicos, muchas, muchisimas gracias.

De mi parte cuentan con mi admiracion y ayuda, siempre que la necesiten y me sea posible brindarla.
Gracias, Esteban.

Nos alegra que pudieras solucionarlo y damos el tema como tal.

Salu2