Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Que tal a todos..es un gusto estar por acá.....es mi primera vez aqui en este foro....lo estube recorriendo antes de postear para ver como era y para ir adelantando trabajo y hacrles las cosas mas fáciles....bueno...les cuanto resumido asi no los canso...
tengo 2 spyware que he logrado reconocer con el Zone Alarm y con el antispyware beta 1....tengo 2 particiones...una con 98SE y otra con win xp PROF con SP1.....conex adsl 512 kps....
les digo que me estan volviendo loco...primero no sabia que estaba pasando ya que cada vez que me conectaba con 98 ningun problema pero con xp..... y les digo....solo me conectaba....ni siquiera abría un explorer...era solo el hecho de conectarme y empezaba el calvario...pantallas por todos lados que yo no llamaba ......barras que se ponian solas en la barra de herramientas....la pc se enlentecia....no podia navegar mas..se me llenaba de virus a pesar que como les repito...no abria ningun explorer....bueno y mas cosas que no les cuento si no los canso.....
presenti que se trataba de algo raro....y con las 2 cosas que les dije antes los identifique y cada que navego los bloqueo solo asi lo puedo hacr si no bueno.....ni hablar....
las 2 basuras que he logrado identificar son....
NAVUPDATE64.EXE y ORWE.EXE.....creo....no se si hay mas pero esos 2 seguro...me queda la duda con uno que se llama "spooler.exe" porque he visto pr aca que parece que se puede trartar de algo relacionado con impresión....pero bueno..ustedes dirán
y saben que es lo peor?...que esto esta en el cd de instalación del xp... si no no se justifica que a penas me conecte pase eso....no sep....ustedes que dirán...a mi me parece eso....
bueno...leyendo por aca he bajado el HijackThis..que ustedes aconsejan......a continuación les pongo lo que me dice.....

Logfile of HijackThis v1.99.1
Scan saved at 2:51:04, on 20/05/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\system32\ZoneLabs\vsmon.exe
D:\WINDOWS\System32\navupdate64.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
D:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe
D:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe
D:\Archivos de programa\Winamp\Winampa.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\WINDOWS\System32\ctfmon.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\Documents and Settings\Enrique Bullevarcich\Datos de programa\orwe.exe
D:\Archivos de programa\WinZip\WZQKPICK.EXE
D:\Archivos de programa\PTI800\ADSL\CnxDslTb1.exe
D:\Archivos de programa\Microsoft AntiSpyware\gcasDtServ.exe
D:\WINDOWS\System32\wuauclt.exe
D:\WINDOWS\System32\wpabaln.exe
D:\Archivos de programa\Internet Explorer\iexplore.exe
D:\Archivos de programa\Internet Explorer\iexplore.exe
D:\Documents and Settings\Enrique Bullevarcich\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CnxDslTaskBar] D:\Archivos de programa\PTI800\ADSL\CnxDslTb.exe
O4 - HKLM\..\Run: [MS UniX] navupdate64.exe
O4 - HKLM\..\Run: [AVG7_CC] D:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] D:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Repair Registry Pro] D:\Archivos de programa\Repair Registry Pro\RepairRegistryPro.exe -s
O4 - HKLM\..\Run: [gcasServ] "D:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [Zone Labs Client] D:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [WinampAgent] "D:\Archivos de programa\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\RunServices: [MS UniX] navupdate64.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MS UniX] navupdate64.exe
O4 - HKCU\..\Run: [Udss] D:\Documents and Settings\Enrique Bullevarcich\Datos de programa\orwe.exe
O4 - Global Startup: WinZip Quick Pick.lnk = D:\Archivos de programa\WinZip\WZQKPICK.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{509DF677-CCF0-4B24-B597-573563C2822F}: NameServer = 200.42.0.108 200.42.0.109
O17 - HKLM\System\CS1\Services\Tcpip\..\{509DF677-CCF0-4B24-B597-573563C2822F}: NameServer = 200.42.0.108 200.42.0.109
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - D:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - D:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - D:\WINDOWS\system32\ZoneLabs\vsmon.exe

lo que les pongo en rojo es lo que reconoci......lo que esta an naranja es la duda...pero me parece que no por loque he visto en este foro y en otros....

mis preguntas son solo 2....
1....agradeceria que medijeran como me saco estas 2 basuras de encima y si es que hay aguna otra....
2....existe alguna forma de poder reconocer en es cd estas 2 porquerias.....si es posible eso...lo que voy a hacer es copiar todo el cd en el escritorio...limpiarlo de esas basuras y copiarlo nuevamente en otro cd nuebo y libre de estas porquerias....no sep...ustedes dirán....

desde ya muchas gracias a todos los que me puedan ayudar....

un saludo..

Te doy la bienvenida al Foro de Spyware, bien los archivos que encontraste efectivamente los tenes que eliminar siguiendo estos pasos.

En cuanto al otro que tenes dudas, tenes que tener mucho cuidado ya que estas poniendo nombres diferentes.

Por ej en tu mensaje pusiste el archivo spooler.exe el cual corresponde a un troyano llamado "Troj/Delf-JJ"

Pero en en log no sale ese y el que marcaste en naranja es el spoolsv.exe este efectivamente es un proceso legitimo de Windows aunque también hay un troyano que se copia con el mismo nombre.

En estos casos con dudas se puede hacer analizar online los archivos en "Virus-Total"

Después seguí estos pasos.

Paso 1- Apaga el "Restaurar Sistema"

Paso 2- Prende la opción de "Ver archivos ocultos y del sistema"

Paso 3- Con todos los programas cerrados ejecuta el HijackThis y dale "FIX Cheked" a estas entradas:

O4 - HKLM\..\Run: [MS UniX] navupdate64.exe

O4 - HKLM\..\RunServices: [MS UniX] navupdate64.exe

O4 - HKCU\..\Run: [MS UniX] navupdate64.exe

O4 - HKCU\..\Run: [Udss] D:\Documents and Settings\Enrique Bullevarcich\Datos de programa\orwe.exe

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c11.cab

Paso 4- Reinicia eh inicia en "Modo a prueba de fallos" (modo seguro)

Paso 5- Descarga el programa "KillBox" y elimina estos archivos.

D:\WINDOWS\System32\navupdate64.exe
D:\Documents and Settings\Enrique Bullevarcich\Datos de programa\orwe.exe

Paso 6- Usa el Disk Cleaner para limpiar cookies y temporales

Paso 7- Pásale Ad-Aware SE actualizado eh instala SpywareBlaster 3.3

Paso 8- Reinicia y nos contas los resultados.

Salu2

Muchas pero muchas gracias El Piedra....es un gusto preguntar en este foro y que te reciban asi...cálidamente y encima te ayuden....de veras gracias
bueno....bien...todo entendido y explicado perfectamente asi es que no tengo como perderme......YA mismo hago lo que me decis.....
solo me quedaria una cosa mas, abusando de tu buena voluntad, que si sos tan amable me pudieras responder....si es que se puede....se trata de la 2 pregunta que planteo...

decia así....¿existe alguna forma de poder reconocer en el cd estas 2 porquerias?.....si es posible eso...lo que voy a hacer es copiar todo el cd en el escritorio...limpiarlo de esas basuras y copiarlo nuevamente en otro cd nuevo y libre de estas porquerias....no sep...ustedes dirán....

nuevamente muchas gracias por tu ayuda...

Bueno si es un CD original no tendria que tener problemas, ahora si es seria cuestion de analizar con las mismas herramientas que analizastes tu disco para ver donde estaban los archivos infectados pero esta vez poniendo el CD y que lo escanen a el.

Salu2

Hola!...que tal El Piedra....bueno..acá nuevamente para mostrarte lo que has logrado com mi pc...que te puedo decir...te lo digo asi....te muestro el informe del HijackThis...el habla por si solo....mirá....

Logfile of HijackThis v1.99.1
Scan saved at 1:21:46, on 24/05/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\system32\ZoneLabs\vsmon.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
D:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
D:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe
D:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe
D:\Archivos de programa\Winamp\Winampa.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\WINDOWS\System32\ctfmon.exe
D:\WINDOWS\System32\RUNDLL32.EXE
D:\Archivos de programa\WinZip\WZQKPICK.EXE
D:\Archivos de programa\PTI800\ADSL\CnxDslTb1.exe
D:\Archivos de programa\Microsoft AntiSpyware\gcasDtServ.exe
D:\Documents and Settings\Enrique Bullevarcich\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CnxDslTaskBar] D:\Archivos de programa\PTI800\ADSL\CnxDslTb.exe
O4 - HKLM\..\Run: [AVG7_CC] D:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] D:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Repair Registry Pro] D:\Archivos de programa\Repair Registry Pro\RepairRegistryPro.exe -s
O4 - HKLM\..\Run: [gcasServ] "D:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [Zone Labs Client] D:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [WinampAgent] "D:\Archivos de programa\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - Global Startup: WinZip Quick Pick.lnk = D:\Archivos de programa\WinZip\WZQKPICK.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\MSMSGS.EXE
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - D:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - D:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - D:\WINDOWS\system32\ZoneLabs\vsmon.exe

ni rastros de esas 2 basuras...desaparecieron por completo de ahí y de la pc...seguí paso por paso tus indicaciones y acá vés el resultado...por supuesto todo mérito tuyo desde ya....yo solo seguí lo que sabiamente me dijiste que hiciera y bueno...acá esta....
demás esta decir que te estoy infinitamente agradecido por tu ayuda...deberas GRACIAS!! por ayudarme....sos un capo...
voy a recomendar este foro a todos los que conozco (que no son pocos,,,,jejeje) y a los que no...te felicito a vos y por tu intermedio a las auroridades de este foro.....foros y gente como esta de acá es la que hace falta...de nuevo gracias por todo....

un saludo...

Bueno después de tantas flores también tengo que decir gracias

Tu ultimo log esta limpio y si ya no hay mas problemas damos el tema por solucionado.

Nos alegra haberte servido de ayuda y esperamos que nos recomiendes por todos lados.

Salu2