Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola, tengo un PC con WindowsXP-Pro con sp2, hace unos dias me di cuenta que no tenia

todos los privilegios de Administrador ni me realizaba el PC las actualizaciones automaticas.

Intente corregir entrando directamente, varias veces, a Actualizaciones de Windows pero tras

cargar (en algunas intentonas sin error y en otras con error) el prog. de Validacion KB892130
y seguir la Actualizacion, me sale la pagina con las recomendaciones de poner en "services.msc",

las actualizaciones automaticas y activarlas, "Servicio de transferencia inteligente en segundo

plano" iniciado en Manual (y sucesos que no se me cambia, pero si los otros dos services).

Realizo los pasos pero no se actualiza. Lavasoft Ad-Aware SE Plus, System Mechanic Professional 6

y Panda, pero aunque si me han devuelto en apariencia el control como Administrador del PC, me

han dejado otro problema. Este consiste en el aviso que me sale al de unos minutos de arrancar el

PC que dice:

WINLOGON.EXE Error de aplicacion
La instruccion en 0x7716c3e1 hace referencia a la memoria en 0x206f6963. La memoria no se puede

"read"
Haga clic en Aceptar para finalizar este programa
Haga clic en CANCELAR para depurar el programa

Y tanto si Acepto como si cancelo, el Sistema se cae con un cierre brusco, y solo si no

hago nada y paso a cerrar normal es cuando hace el cierre en apariencia normal.
El "hijackthis.log" es el adjunto.
No se el significado de algunas lineas como:
O20 - Winlogon Notify: ldr64 - C:\WINDOWS\SYSTEM32\ldr64.dll
O20 - Winlogon Notify: mloader32 - C:\WINDOWS\SYSTEM32\mloader32.dll
O15 - Trusted Zone: *.bay24.hotmail.msn.com (la quito de IE6seguridad pero vuelve)
O15 - Trusted Zone: *.bay7.hotmail.msn.com (la quito de IE6seguridad pero vuelve).




Logfile of HijackThis v1.99.1
Scan saved at 14:18:00, on 08/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\eMule\emule.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Plus\Ad-Watch.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\SYSTEM32\cidaemon.exe
C:\Documents and Settings\Administrador\Escritorio\Hijack\HijackThi s.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\ARCHIV~1\FRESHD~1\FRESHD~1\fdcatch.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O8 - Extra context menu item: Add To &Restricted Sites - C:\WINDOWS\web\add-restricted.htm
O8 - Extra context menu item: Add To &Trusted Sites - C:\WINDOWS\web\add-trusted.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FreshDownload - {05A94D41-397D-435D-AE8C-DFEA2356FBE8} - C:\Archivos de programa\FreshDevices\FreshDownload\fd.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Add To Restricted Sites - {214992E5-C7E7-45c5-9F15-EA9D2D9C550B} - C:\WINDOWS\Web\add-restricted.htm
O9 - Extra button: Add To Trusted Sites - {2301E3B1-B97F-4fdf-8622-D8828E699445} - C:\WINDOWS\Web\add-trusted.htm
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O15 - Trusted Zone: *.bay24.hotmail.msn.com
O15 - Trusted Zone: *.bay7.hotmail.msn.com
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) - http://das.microsoft.com/activate/cab/x86/i486/NTANSI/retail/DASAct.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{98C4E733-78CF-46FC-A543-1E44FF1A0602}: NameServer = 213.0.184.85 213.0.184.88
O20 - Winlogon Notify: ldr64 - C:\WINDOWS\SYSTEM32\ldr64.dll
O20 - Winlogon Notify: mloader32 - C:\WINDOWS\SYSTEM32\mloader32.dll

Descarga estas 2 herramientas y las ejecutas primero una, luego la otra:

• TZ-Kill.bat
• VundoFix

Después sigue estos pasos:

• Pasa al menos 2 de estos Antivirus Online
• Limpia el registro con RegSeeker y pasa Spy Sweeper actualizado.
• Elimina cookies y temporales con Disk Cleaner y vacía la papelera.

Reinicia, nos comentas los resultados y nos dejas un nuevo log.

Saludos

Hola Jereque y a todos, he seguido tus consejos y ya se elimino el error Winlogon, pero

la actualizacion del WXP-sp2 no lo hace, sale la pagina de abajo (de IE6 en

"Herramientas-Administrar complementos" antes me salia Windows genuine y ahora no). Pongo 1º el

actual log de HijackThis y luego la pagina de error al actualizar Windows.


Logfile of HijackThis v1.99.1
Scan saved at 11:15:41, on 10/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
C:\Archivos de programa\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\SYSTEM32\cidaemon.exe
C:\Archivos de programa\eMule\emule.exe
C:\cambiosY+\babyl.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Archivos de programa\Windows Media Player\wmplayer.exe
C:\Documents and Settings\Administrador\Escritorio\Hijack\HijackThi s.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de

programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} -

C:\ARCHIV~1\FRESHD~1\FRESHD~1\fdcatch.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O8 - Extra context menu item: Add To &Restricted Sites - C:\WINDOWS\web\add-restricted.htm
O8 - Extra context menu item: Add To &Trusted Sites - C:\WINDOWS\web\add-trusted.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel -

res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FreshDownload - {05A94D41-397D-435D-AE8C-DFEA2356FBE8} - C:\Archivos de

programa\FreshDevices\FreshDownload\fd.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Add To Restricted Sites - {214992E5-C7E7-45c5-9F15-EA9D2D9C550B} -

C:\WINDOWS\Web\add-restricted.htm
O9 - Extra button: Add To Trusted Sites - {2301E3B1-B97F-4fdf-8622-D8828E699445} -

C:\WINDOWS\Web\add-trusted.htm
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -

C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de

programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de

programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) -

http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) -

http://das.microsoft.com/activate/cab/x86/i486/NTANSI/retail/DASAct.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{98C4E733-78CF-46FC-A543-1E44FF1A0602}: NameServer =

213.0.184.85 213.0.184.88
O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing)
O20 - Winlogon Notify: mloader32 - mloader32.dll (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido

anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido

anti-malware\ewidoguard.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Archivos de

programa\Webroot\Spy Sweeper\WRSSSDK.exe




Server Error in '/FWLINK' Application.
--------------------------------------------------------------------------------

Runtime Error
Description: An application error occurred on the server. The current custom error settings for

this application prevent the details of the application error from being viewed remotely (for

security reasons). It could, however, be viewed by browsers running on the local server machine.

Details: To enable the details of this specific error message to be viewable on remote machines,

please create a <customErrors> tag within a "web.config" configuration file located in the root

directory of the current web application. This <customErrors> tag should then have its "mode"

attribute set to "Off".


<!-- Web.Config Configuration File -->

<configuration>
<system.web>
<customErrors mode="Off"/>
</system.web>
</configuration>


Notes: The current error page you are seeing can be replaced by a custom error page by modifying

the "defaultRedirect" attribute of the application's <customErrors> configuration tag to point to

a custom error page URL.


<!-- Web.Config Configuration File -->

<configuration>
<system.web>
<customErrors mode="RemoteOnly" defaultRedirect="mycustompage.htm"/>
</system.web>
</configuration>

Por favor, copia nuevamente el log ya que este lo copiaste entrecortado, por lo que en su análisis puede dar lugar a confusiones.

Saludos

Hay va el log actual

Logfile of HijackThis v1.99.1
Scan saved at 8:53:21, on 11/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\cisvc.exe
C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
C:\Archivos de programa\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\WINDOWS\SYSTEM32\cidaemon.exe
C:\Archivos de programa\eMule\emule.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Archivos de programa\Webroot\Spy Sweeper\SpySweeper.exe
C:\cambiosY+\babyl.exe
C:\Documents and Settings\Administrador\Escritorio\Hijack\HijackThi s.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\ARCHIV~1\FRESHD~1\FRESHD~1\fdcatch.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O8 - Extra context menu item: Add To &Restricted Sites - C:\WINDOWS\web\add-restricted.htm
O8 - Extra context menu item: Add To &Trusted Sites - C:\WINDOWS\web\add-trusted.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FreshDownload - {05A94D41-397D-435D-AE8C-DFEA2356FBE8} - C:\Archivos de programa\FreshDevices\FreshDownload\fd.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Add To Restricted Sites - {214992E5-C7E7-45c5-9F15-EA9D2D9C550B} - C:\WINDOWS\Web\add-restricted.htm
O9 - Extra button: Add To Trusted Sites - {2301E3B1-B97F-4fdf-8622-D8828E699445} - C:\WINDOWS\Web\add-trusted.htm
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) - http://das.microsoft.com/activate/cab/x86/i486/NTANSI/retail/DASAct.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{98C4E733-78CF-46FC-A543-1E44FF1A0602}: NameServer = 213.0.184.85 213.0.184.88
O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing)
O20 - Winlogon Notify: mloader32 - mloader32.dll (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Archivos de programa\Webroot\Spy Sweeper\WRSSSDK.exe


Saludos

Sigue estos pasos:

1) Apaga Restaurar Sistema

2) Ver archivos ocultos

3) Reinicia a prueba de fallos

4) Ejecuta HijackThis con todos los programas cerrados y dale Fix checked a:

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing)

O20 - Winlogon Notify: mloader32 - mloader32.dll (file missing)

5) Busca y elimina estos archivos si existen:

ldr64.dll
mloader32.dll

Para archivos que no se dejen eliminar usa KillBox

6) Reinicia normal y finaliza con estos pasos:

• Ejecuta VundoFix
• Pasa al menos 2 de estos Antivirus Online
• Limpia el registro con RegSeeker y pasa SpySweeper actualizado.
• Elimina cookies y temporales con Disk Cleaner y vacía la papelera.

Vuelve a reiniciar, deshaz los cambios 1) y 2) y nos cuentas los resultados.

Saludos

Hola Jereque, ya he realizado los pasos que me indicabas, pero si bien ahora si me aparece en IE6 de "Herramientas-Administrar complementos" el "Windows Genuine Advantage Validation Tool" dentro de complementos utilizados pero no en los cargados, no se quedan activas las opciones para realizar las acciones de Configurar y Actualizar. La actualizacion del WXP-sp2 sigo sin poderla realizar. La limpieza creo que no consigo hacerla bastante completa ya que esta muy lento el PC y a veces incluso me sale el aviso de limite de memoria virtual. Entrando en "compmgmt.msc" la descripciones del Visor de susesos parece un caos, pues si bien la Aplicación parece pasable, la Seguridad da "no hay elementos disponibles en esta vista", y Sistema da cantidad de errores y a partir del 05-03-2006 no da datos, diciendo resumido el ultimo lo siguiente: usuario "no disponible" y descripcion "No se encuentra la descripción del Id. de suceso ( 3 ) en el origen (IoloFilter ). Es posible que el equipo local no tenga la información de Registro o archivos DLL de mensajes necesarios para mostrar mensajes desde un equipo remoto. Es posible que pueda usar el indicador /AUXSOURCE= para recuperar esta descripción; consulte Ayuda y soporte técnico para obtener más detalles. La siguiente información es parte del suceso: ; IoloMountVolume Post failure.".
Saludos

Hola!!!

Pues parece ser que no tienes provilegios de administrador. Échale un vistazo a este artículo.

Sobre la memoria virtual ¿Cúal es tu cantidad de memoria física y cual es la cantidad de memoria virtual que tienes asignada?

Saludos

Hola Jereque, gracias por seguir aguantandome.

La cantidad de memoria física que tengo asignada es de 490992KB y la cantidad de memoria virtual sera la que por defecto asigne wxp pues, yo no la he tocado, el pc es modestito AMD 1600. Sigo pasando nuevos antivirus hasta que dejan de buscar nuevos virus, pero sigo, en efecto, sin coger el control total del pc. El prograna "iodo - System Mechanic Professional 6" me da mala espina, pues aunque lo desistale, me ha dejado mucho residuo y fue el que me dio la mayoria de los errores en el Visor de sucesos. La linea del HijackThis "O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)", que antes no salia, no se lo que sera. Quizas algun virus esta metido tan cerca de la Bios que no se le pueda atrapar pues el Sistema de seguridad de Windows me salta (menos de 1 segundo) al arrancar (aproximadamente al aparecer el escritorio), y luego cuando ya carga el antivirus, desaparece.

Hasta siempre!

Esta entrada pertenece al SpySweeper.

Deja un nuevo log para ver cómo quedó.

Saludos