Bueno, pues ahora si que tu pc esta verdaderamente infectada , aunque tus problemas con se.dll desaparecieron definitivamente.

Sigue estos pasos:

1) Ver archivos ocultos

2) Pasa al menos 2 de estos Antivirus Online

3) Reinicia a prueba de fallos

4) Desde panel de control/agregar o quitar programas desinstala si está:

RUTU
SPYSHERIFF

5) Ejecuta HijackThis con todos los programas cerrados y dale fix a:

O4 - HKLM\..\Run: [WindowsUpdate] C:\WINDOWS\SYSTEM\SVCHOST.EXE /s

O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\cmd32.exe internat.dll,LoadKeyboardProfile

O4 - HKLM\..\RunServices: [SystemTools] C:\WINDOWS\SYSTEM\kernels32.exe

O4 - HKCU\..\Run: [Uaai] C:\Archivos de programa\rutu\eosp.exe

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O4 - HKCU\..\Run: [SpySheriff] C:\PROGRAM FILES\SPYSHERIFF\SpySheriff.exe

O4 - HKCU\..\RunServices: [Uaai] C:\Archivos de programa\rutu\eosp.exe

O4 - HKCU\..\RunServices: [Windows installer] C:\winstall.exe

O4 - HKCU\..\RunServices: [SpySheriff] C:\PROGRAM FILES\SPYSHERIFF\SpySheriff.exe

O15 - Trusted IP range: 67.19.178.84
O15 - Trusted IP range: 67.19.178.84 (HKLM)

O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab?refid=3548

O21 - SSODL: OLE Module - {203B1C4D9-BC71-8916-38AD-9DEA5D213614} - C:\WINDOWS\SYSTEM\bre.dll

6) Busca y elimina estos archivos y/o carpetas:

C:\WINDOWS\SYSTEM\CMD32.EXE
C:\ARCHIVOS DE PROGRAMA\RUTU\
C:\PROGRAM FILES\SPYSHERIFF\
C:\WINDOWS\SYSTEM\VXGAME4.EXE
C:\WINDOWS\SYSTEM\VXGAMET2.EXE
C:\WINDOWS\SYSTEM\SVCHOST.EXE --> svchost es un archivo legítimo, pero debería estar en system32, por lo que con toda provabilidad este es un virus. Antes de eliminarlo te aconsejo que lo busques y lo mandes a analizar en Virus Total . Si resulta estar infectado eliminalo. NUNCA ELIMINES EL DE SYSTEM32.
C:\WINDOWS\SYSTEM\kernels32.exe
C:\winstall.exe

Para archivos que no se dejen eliminar usa KillBox

7) Limpia el registro con RegSeeker y pasa Ad-Aware actualizado.

8) Elimina cookies y temporales de internet con Disk Cleaner y vacia la papelera.

9) Reinicia normal y nos cuentas los resultados.

Saludos

Hola!! Parece q todo vuelve a la normalidad, al menos aparentemente...ya no tengo la dichosa pagina esa de inicio y el sheriff no da señales de vida. De todos modos el HijackThis no eliminó algunos de los items q me dijisteis, el de la IP 67.168...... no lo elimina, al menos seguía apareciendo antes. Os mando el log de como está la cosa ahora mismo y me decis?
Además hay otra cosilla. el ordenador se desconecta de internet cada dos por tres y antes no lo hacía...no se si tendrá algo que ver con esto..

Muchas Gracias!


Logfile of HijackThis v1.99.1
Scan saved at 15:18:57, on 17/06/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE
C:\ARCHIVOS DE PROGRAMA\TELEFONICA\KIT ADSL USB\DSLMON.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\HIJACKTHIS.EXE

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Consola KIT ADSL.lnk = C:\Archivos de programa\Telefonica\Kit ADSL USB\dslmon.exe
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - Trusted Zone: *.slotchbar.com (HKLM)
O15 - Trusted IP range: 67.19.178.84
O15 - Trusted IP range: 67.19.178.84 (HKLM)
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab33902.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (Control HouseCall) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

Bueno, pues ya falta menos, sólo hay que eliminar esas entradas 015.

Para eso emplea esta herramienta: TZ-Kill.inf .

Después en el HijackThis marca estas entradas si están:

O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com (HKLM)
O15 - Trusted Zone: *.skoobidoo.com (HKLM)
O15 - Trusted Zone: *.slotchbar.com (HKLM)
O15 - Trusted IP range: 67.19.178.84
O15 - Trusted IP range: 67.19.178.84 (HKLM)

Reinicia y nos cuentas los resultados.

Saludos

Hola!! estoy siguiendo vuestros ultimos consejos y me he quedado atascado en el paso de utilizar "TZ-Kill.inf" , le doy al boton derecho e instalar, despues de haberlo metido en la carpeta de HijackThis, y me dice q no ese archivo no tiene ningun programa asociado para efectuar esa acción....no se como ejecutarlo entonces...
Si me podeís indicar como sigo...muchas gracias!!

Hola

Revisa las instrucciones en este mensaje, verás que el programita ya ha hecho el trabajo que debe hacer.

Si aun tienes problemas, mándanos un nuevo reporte, si ya se solucionó, cunéntanoslo.

Estaremos pendientes.

Felicidad

Buf esto es desesperante, ha vuelto todo lo de search for, el about blank y todo eso, no lo entiendo porque no he visitado ninguna pagina mas q la vuestra durante la "curación" del pc. tb he utilizado el emule, no se si tendrá q ver. El ordenador no se conecta bien a internet, a difernecia de los minutos posteriores a procesar vuestras intruciones, en ese momento todo funciona bien, pero al rato todo se vuelve a estropear. conecta a internet al 4 o 5 intento, desactiva la proteccion permanmente del panda, manda publicidad continuamernte en ventanas, desconecta de internet solo....en fin, estoy desesperado, ya no se si esto tendrá solución...ya no se que hacer, me dan ganas de formatear, si no fuera porque supongo q el problema saldria otra vez tarde o temprano....
no se, si me podeis ayudar una vez mas...muchas gracias!! os mando el log por si os vale..
Logfile of HijackThis v1.99.1
Scan saved at 1:35:13, on 21/06/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE
C:\ARCHIVOS DE PROGRAMA\TELEFONICA\KIT ADSL USB\DSLMON.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {A5DF2F63-E179-11D9-8B51-4445128471E7} - C:\WINDOWS\SYSTEM\FOM.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Consola KIT ADSL.lnk = C:\Archivos de programa\Telefonica\Kit ADSL USB\dslmon.exe
O15 - Trusted IP range: 67.19.178.84
O15 - Trusted IP range: 67.19.178.84 (HKLM)
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab33902.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (Control HouseCall) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O18 - Filter: text/html - {A5DF2F62-E179-11D9-8B51-44457DC8D47C} - C:\WINDOWS\SYSTEM\FOM.DLL
O18 - Filter: text/plain - {A5DF2F62-E179-11D9-8B51-44457DC8D47C} - C:\WINDOWS\SYSTEM\FOM.DLL

Hola

Recuerda pasar por el windowsupdate.com regularmente y mantener tu sistema actualizado.

Parece que no estás usando ningún antivirus ni ningún firewall en tu sistema, deberías solucionar eso, te recomiendo esto:
Bitdefender Freee Edition v 7
Sygate Personal Firewall

Bueno, veamos ese reporte.

Recuerda seguir estos pasos para la reparación.

1. Ver los archivos ocultos de tu sistema
2. Iniciar el sistema en el modo «a prueba de fallos» o «modo seguro»
3. Haz los pasos con todos los programas cerrados salvo el que estés usando para la reparación o limpieza.

Deberás marcar estas líneas en el Hijackthis para reparar:

• R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
• R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
• O2 - BHO: (no name) - {A5DF2F63-E179-11D9-8B51-4445128471E7} - C:\WINDOWS\SYSTEM\FOM.DLL
• O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
• O15 - Trusted IP range: 67.19.178.84
• O15 - Trusted IP range: 67.19.178.84 (HKLM)
• O18 - Filter: text/html - {A5DF2F62-E179-11D9-8B51-44457DC8D47C} - C:\WINDOWS\SYSTEM\FOM.DLL
• O18 - Filter: text/plain - {A5DF2F62-E179-11D9-8B51-44457DC8D47C} - C:\WINDOWS\SYSTEM\FOM.DLL

Si los encuentras, deberás borrar estos archivos y carpetas:

• C:\WINDOWS\TEMP\ (borra todo lo que esté en esta carpeta)
• C:\WINDOWS\SYSTEM\FOM.DLL

Después de haber hecho esas reparaciones, ejecuta estas otras aplicaciones por si se le ha pasado algo al HijackThis:

• Ad-aware SE
• Disck Cleaner
• Spybot Search and Destroy
• RegSeeker. De este programa deberás usar principalmente la opción de «limpiar el registro»

Te recomiendo que revises el mensaje en el que hablo del archivo hosts y sustituyas el que tienes por el que allí menciono, una vez lo hayas hecho, márcalo como solo lectura, esto te ayudará a prevenir futuras molestias.

Tras estos pasos y reparaciones, cuéntanos como evoluciona el tema.

Felicidad

Hola!!! bueno lo primero muchisimas gracias de nuevo.
En cuanto a los "deberes" que me pusiste creo q los he hecho todos, o casi todos porque hay alguna cosilla q no se si ha quedado bien.
Te cuento por partes. Lo primero que hice fue intalar el firewall y el antivirus q tu me dijiste y parece q van genial, el caso es q yo si tenia un antivirus, el panda, pero es como si no estuviese porque ahabía algo q lo desactivaba y no tenia la protección permanente por eso. El caso es q espero q con este vaya todo mejor.
Despues con el HijackThis limpié todas esas entradas, pero hay dos q se siguen resistiendo:

O15 - Trusted IP range: 67.19.178.84
O15 - Trusted IP range: 67.19.178.84 (HKLM)

no puedo quitarlas, se supone q las quita pero al segundo escaneo otra vez y vuelven a aparecer...que puedo hacer para eliminarlas??

Luego también he instalado el Spybot Search and Destroy, tiene una pinta buenísima y he quitado alguna cosilla tambien gracias a el.

Por último, respecto al archivo hosts, hay una cosa q no me queda clara, el de mi sistema se llama hosts.sam, pero al añadirle lineas, ahora es de texto, eso esta bien? tampoco se si podría guardar directamente la pagina del enlace q pones en tu mensaje...en fin, no tengo muy claro como puedo guardar ese archivo tyan completo q hay en tu link, en mi ordenador, si pudieses explicarme alguna manera facililla...gracias!


Ah y otra cosa, ahora con el firewall, me salta de vez en cuando un aviso q dice q algo en el modulo kernell32 intenta no se q, será q hay algo aun en el pc q intenta ejecutarse y el firewall lo impide? puede tener algo q ver con lo de la 015 esa q no se borra? bueno no se, a lo mejor es una tonteria lo que digo.

Muchas gracias de nuevo, voy a mantenerme alerta y si ocurre algo extraño os lo cuento

Saludos!!

Hola

Bueno, lo importante ya está listo por lo que dices.

Ahora vamos a resolver las preguntas por partes.

Primero lo más importante, los mensajes del firewall, son para leerlos con cuidado, eso es lo único que te puede permitir tomar la decisión adecuada sobre si un programa debe o no tener acceso a internet.

En principio, puedes bloquear al kernel32, svchost y demás cosas similares, son archivos del sistema, pero no tienen porque salir a internet. Las únicas cosas que deben salir, son los programas que usas para navegar, por ejemplo explorer, firefox, opera, etc, programas de ftp (si tienes), programas como el spybot o el ad-aware que se actualizan por el puerto 80 (el mismo que se usa para navegar) y pocas cosas más. Siempre que tengas alguna duda, toma nota del archivo que te menciona, busca por internet, infórmate y entonces decide.

Puede parecer un paso largo y tedioso, pero es la única forma para esta rrealmente protegido y para aprender contra que protegerse.

Sobre las entradas peleonas, no hay problema, ejecuta esto:
TZ-Kill.inf
Add on VX2 Cleaner del Ad-Aware SE (necesitas el ad-aware)

Sobre el hosts, es un arhico sin extensión, de hecho, para abrirlo con el block de notas o cualquier otro editor, has de arrastrarlo sobre este o usar el botón derecho y la opción de "abrir con..." y ahí elegir el block de notas.

La idea, es que en tu sistema tengas un archivo llamado hosts con el contenido de aquí. en el mensaje que te citaba, explico en donde debería estar.

Si no lo tienes, puede que algún parásito lo haya borrado, así que si eso ha pasado, solo debes grabar el que te vinculo en este mensaje en la carpeta correcta. Recuerda que el archivo se llama hosts y no hosts.txt ni ninguna otra extensión, los que tengan extensiones, los ignoras. El que te vinculo tiene extensión simplemente para facilitar la descarga.

Creo que esto es todo, perosi me olvido de algo, no dudes en preguntar más, para eso estamos.

Ya nos contarás como sigue el sistema.

Felicidad