Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Cómo están todos...
Hace unos días mi computador fue infectado con el spyware CoolWebSearch
con el cual he tenido problemas como la aparición de páginas emergentes, dirección principal de mi navegador como about:blank y ventanas que anuncian error con Rundll32. Aquí está mi Log, solicito ayuda por favor...

Logfile of HijackThis v1.99.1
Scan saved at 07:36:11 p.m., on 17/04/05
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\VIRUSSCAN\VSHWIN32.EXE
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\SYSTEM\SPOOLSRV32.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\LOADQM.EXE
C:\ARCHIVOS DE PROGRAMA\TUTOPIA EXTREMO\PROPELAC.EXE
C:\ARCHIVOS DE PROGRAMA\GENIUS NETSCROLL+ TRAVELER MOUSE\GNETMOUS.EXE
C:\WINDOWS\STARTER.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\ARCHIVOS DE PROGRAMA\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE
C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\ARCHIVOS DE PROGRAMA\MICROSOFT OFFICE\OFFICE\FINDFAST.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\ESCRITORIO\PROGRAMAS CONTRA SPYWARE\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://hot-search.biz/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://hot-search.biz/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://hot-search.biz/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://hot-search.biz/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://hot-search.biz/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/spage.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://hot-search.biz/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/spage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://hot-search.biz/search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://hot-search.biz/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Tutopia!
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=localhost:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: SearchHook Class - {D94AAA2A-C415-42E3-82B6-49FAB4EBFFE9} - C:\PROGRA~1\HALFLE~1\HALFLE~1.DLL
O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\ARCHIVOS DE PROGRAMA\DAP\DAPBHO.DLL
O2 - BHO: IE_PopupBlocker Class - {656EC4B7-072B-4698-B504-2A414C1F0037} - C:\ARCHIVOS DE PROGRAMA\TUTOPIA EXTREMO\PRPL_IEPOPUPBLOCKER.DLL (file missing)
O2 - BHO: (no name) - {44EB5501-AC43-11D9-A749-44455A72C0BA} - C:\WINDOWS\SYSTEM\DPCE.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\Archivos de programa\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\ARCHIVOS DE PROGRAMA\DAP\DAPIEBAR.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Vshwin32EXE] C:\Archivos de programa\McAfee\VirusScan\VSHWIN32.EXE
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [AdriLauncher] C:\AdriPsx\AdriLaunch.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Propel Accelerator] "C:\Archivos de programa\Tutopia Extremo\propelac.exe"
O4 - HKLM\..\Run: [mouseElf] C:\ARCHIV~1\GENIUS~1\GNETMOUS.EXE
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Vshwin32EXE] C:\Archivos de programa\McAfee\VirusScan\VSHWIN32.EXE
O4 - HKLM\..\RunServices: [SO5 Integrator Pass One] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\RunServices: [Srv32 spool service] C:\WINDOWS\System\spoolsrv32.exe
O4 - HKCU\..\Run: [Leib] C:\WINDOWS\Application Data\sbui.exe
O4 - HKCU\..\Run: [cvchost] c:\windows\svchost.exe
O4 - HKCU\..\Run: [Amsd] C:\WINDOWS\Application Data\oepa.exe
O4 - HKCU\..\Run: [Qce] C:\WINDOWS\SYSTEM\cizuj.exe
O4 - HKCU\..\Run: [Instant Access] rundll32.exe EGDACCESS_1058.dll,InstantAccess
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Inicio de Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA.EXE
O4 - Startup: PowerReg Scheduler.exe
O4 - Startup: Búsqueda rápida de Microsoft.lnk = C:\Archivos de programa\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: 2.lnk = C:\WINDOWS\STARTER.EXE
O8 - Extra context menu item: Realizar la búsqueda utilizando Copernic Agent - C:\Archivos de programa\Copernic Agent\Web\SearchExt.htm
O8 - Extra context menu item: &Download with &DAP - C:\ARCHIV~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\ARCHIV~1\DAP\dapextie2.htm
O8 - Extra context menu item: Refrescar pá&gina con calidad total - C:\Archivos de programa\Tutopia Extremo\pac-page.html
O8 - Extra context menu item: Permitir pop-ups desde este sitio - C:\Archivos de programa\Tutopia Extremo\pac-addwl.html
O8 - Extra context menu item: Refres&car imagen con calidad total - C:\Archivos de programa\Tutopia Extremo\pac-image.html
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\ARCHIVOS DE PROGRAMA\COPERNIC AGENT\COPERNICAGENT.EXE
O9 - Extra 'Tools' menuitem: Ejecutar Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\ARCHIVOS DE PROGRAMA\COPERNIC AGENT\COPERNICAGENT.EXE
O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\ARCHIVOS DE PROGRAMA\COPERNIC AGENT\COPERNICAGENT.EXE
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE
O12 - Plugin for .mid: C:\ARCHIV~1\INTERN~1\PLUGINS\npqtplugin.dll
O12 - Plugin for .mov: C:\ARCHIV~1\INTERN~1\PLUGINS\npqtplugin.dll
O12 - Plugin for .gif: C:\ARCHIV~1\INTERN~1\PLUGINS\npqtplugin.dll
O12 - Plugin for .avi: C:\ARCHIV~1\INTERN~1\PLUGINS\npqtplugin.dll
O12 - Plugin for .wav: C:\ARCHIV~1\INTERN~1\PLUGINS\npqtplugin.dll
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O18 - Filter: text/html - {6C6A3E10-AF65-11D9-A749-CA7A8569F173} - C:\WINDOWS\SYSTEM\DPCE.DLL
O18 - Filter: text/plain - {6C6A3E10-AF65-11D9-A749-CA7A8569F173} - C:\WINDOWS\SYSTEM\DPCE.DLL

Hola

Recuerda pasar por el windowsupdate.com regularmente y mantener tu sistema actualizado. Empieza por actualizar tu explorer lo antes posible.

Desinstala el Download acelerator plus, si quieres seguir usando un gestor de descagras, puedes utilizar, por ejemplo el TrueDownloader, libre de códigos extraños.

Bueno, veamos ese reporte.

Recuerda seguir estos pasos para la reparación.

1. Ver los archivos ocultos de tu sistema
2. Iniciar el sistema en el modo «a prueba de fallos» o «modo seguro»

Deberás marcar estas líneas en el Hijackthis para reparar:

• C:\WINDOWS\SYSTEM\SPOOLSRV32.EXE
• R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://hot-search.biz/search.html
• R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://hot-search.biz/search.html
• R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://hot-search.biz/search.html
• R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://hot-search.biz/search.html
• R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://hot-search.biz/search.html
• R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/spage.html
• R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://hot-search.biz/search.html
• R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/spage.html
• R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://hot-search.biz/search.html
• R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://hot-search.biz/search.html
• R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
• R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
• R3 - URLSearchHook: SearchHook Class - {D94AAA2A-C415-42E3-82B6-49FAB4EBFFE9} - C:\PROGRA~1\HALFLE~1\HALFLE~1.DLL
• O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\ARCHIVOS DE PROGRAMA\DAP\DAPBHO.DLL
• O2 - BHO: IE_PopupBlocker Class - {656EC4B7-072B-4698-B504-2A414C1F0037} - C:\ARCHIVOS DE PROGRAMA\TUTOPIA EXTREMO\PRPL_IEPOPUPBLOCKER.DLL (file missing)
• O2 - BHO: (no name) - {44EB5501-AC43-11D9-A749-44455A72C0BA} - C:\WINDOWS\SYSTEM\DPCE.DLL
• O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
• O4 - HKLM\..\RunServices: [Srv32 spool service] C:\WINDOWS\System\spoolsrv32.exe
• O15 - Trusted Zone: *.windupdates.com (HKLM)
• O15 - Trusted Zone: *.skoobidoo.com (HKLM)
• O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone
• O18 - Filter: text/html - {6C6A3E10-AF65-11D9-A749-CA7A8569F173} - C:\WINDOWS\SYSTEM\DPCE.DLL
• O18 - Filter: text/plain - {6C6A3E10-AF65-11D9-A749-CA7A8569F173} - C:\WINDOWS\SYSTEM\DPCE.DLL

Si los encuentras, deberás borrar estos archivos y carpetas:

• C:\WINDOWS\SYSTEM\SPOOLSRV32.EXE
• C:\WINDOWS\TEMP (Borra todo lo que esté en esta carpeta)
• C:\PROGRA~1\HALFLE~1\HALFLE~1.DLL
• C:\ARCHIVOS DE PROGRAMA\DAP\ (Borra esta carpeta)
• C:\WINDOWS\SYSTEM\DPCE.DLL

Esto no lo conozco, deberás revisar sus propiedades y ver si pertenece a algo que hayas instalado, si no es así, renómbralo y observa el funcionamiento de tu sistema durante un par de días, si nada va mal, bórralo. Si sabes que es o tiene alguna información que nos pueda servir, te la agradeceremos.

• C:\WINDOWS\Application Data\sbui.exe
• C:\WINDOWS\Application Data\oepa.exe
• C:\WINDOWS\SYSTEM\cizuj.exe

Si borras esos archivos, deberás marcar esto en el hijackthis para reparar

• O4 - HKCU\..\Run: [Leib] C:\WINDOWS\Application Data\sbui.exe
• O4 - HKCU\..\Run: [Amsd] C:\WINDOWS\Application Data\oepa.exe
• O4 - HKCU\..\Run: [Qce] C:\WINDOWS\SYSTEM\cizuj.exe

Después de haber hecho esas reparaciones, ejecuta estas otras aplicaciones por si se le ha pasado algo al HijackThis:

• Ad-aware SE
• Add on VX2 Cleaner del Ad-Aware SE
• Cwshredder
• Disck Cleaner
• Spybot Search and Destroy
• RegSeeker. De este programa deberás usar principalmente la opción de «limpiar el registro»

Tras estos pasos y reparaciones, cuéntanos como evoluciona el tema.

Felicidad

Agradezco el tiempo que ha invertido en solucionar mi problema, han sido de gran utilidad los pasos que ha recomendado para deshacerme de CoolWebSearch. ¡MUCHAS GRACIAS por esta gran ayuda!

Nos alegramos del resultado.
Damos el tema por solucionado, no dude en acudir de nuevo ante cualquier incidente.

Saludos.