Buen dia para Ustedes, Agradezco de antemano su atención con un pequeño y fastidioso problema que tengo SPYSHERIFF ha invadido mi pc. Anexo información al respecto:
1.- Como muestra del ataque, aparece en el escritorio, un fondo en color azul y un recuadro en negro y letras mayúsculas en rojo que advierten: SYSTEM STOPPED.

System has been stoped due to a serious malfunction.
Spyware activity has been detected.
It is recommeded to use spyware removal tool to prevent data loss.
Do not use the computer before al spyware removeded.

2.- Anexo el tag de Hijack This:


Logfile of HijackThis v1.99.1
Scan saved at 05:35:46 p.m., on 03/06/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\Java\jre1.5.0_02\bin\jusched.exe
C:\Archivos de programa\volumouse\volumouse.exe
C:\Archivos de programa\KWorld\MpegTV Station USBTV\CheckSch.exe
C:\Archivos de programa\3M\PSNLite\PsnLite.exe
C:\ARCHIV~1\3M\PSNLite\PSNGive.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\ARCHIV~1\WINZIP\winzip32.exe
C:\unzipped\HijackThis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Loader Class - {2E246FAE-8420-11D9-870D-000C2917DE7F} - C:\WINDOWS\SYSTEM\Loader.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es-mx\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] C:\Archivos de programa\Google\Gmail Notifier\gnotify.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [$Volumouse$] "C:\Archivos de programa\volumouse\volumouse.exe" /nodlg
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - Global Startup: MpegTV Station USBTV Timer.lnk = C:\Archivos de programa\KWorld\MpegTV Station USBTV\CheckSch.exe
O4 - Global Startup: Post-it® Software Notes Lite.lnk = C:\Archivos de programa\3M\PSNLite\PsnLite.exe
O8 - Extra context menu item: &Búsqueda en Google - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Traducir palabra inglesa - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\Microsoft Office\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\Messenger\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\Messenger\YPager.exe
O9 - Extra button: @C:\Archivos de programa\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Archivos de programa\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra button: Microsoft AntiSpyware helper - {18A8009D-35BD-43B6-8F29-D58A8414BFC9} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {18A8009D-35BD-43B6-8F29-D58A8414BFC9} - (no file) (HKCU)
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.windupdates.com (HKLM)
O16 - DPF: {8EDAD21C-3584-4E66-A8AB-EB0E5584767D} - http://toolbar.google.com/data/GoogleActivate.cab
O20 - Winlogon Notify: drct16 - drct16.dll (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: svchost.exe (moto) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)



Hasta pronto, quedo en espera de su valiosa información.

Reciban saludos desde México.

Antes de que alguno mas experto que yo te ayude, podrias hacerle un chequeo con algun programa antispyware , como por ejemplo el AD-Aware SE

Hola!!!

Sigue estos pasos:

1) Visita Windows Update y descarga las actualizaciones críticas y de seguridad (SP2).

2) Apaga Restaurar Sistema

3) Ver archivos ocultos

4) Pasa al menos 2 de estos Antivirus Online

5) Usa TZ-Kill.inf para eliminar las entradas 015-Trusted.

6) Ejecuta HijackThis con todos los programas cerrados y dale fix a:

O2 - BHO: Loader Class - {2E246FAE-8420-11D9-870D-000C2917DE7F} - C:\WINDOWS\SYSTEM\Loader.dll (file missing)

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)

O9 - Extra button: Microsoft AntiSpyware helper - {18A8009D-35BD-43B6-8F29-D58A8414BFC9} - (no file) (HKCU)

O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {18A8009D-35BD-43B6-8F29-D58A8414BFC9} - (no file) (HKCU)

O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.windupdates.com (HKLM)

O20 - Winlogon Notify: drct16 - drct16.dll (file missing)

O23 - Service: svchost.exe (moto) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

7) Reinicia a prueba de fallos

8) Busca y elimina estos archivos:

C:\WINDOWS\SYSTEM\Loader.dll
C:\winstall.exe
C:\WINDOWS\web\related.htm
drct16.dll
C:\WINDOWS\svchost.exe --> OJO!!! el archivo svchost.exe es legítimo, pero debe estas en la carpeta system32, por lo que este se trata de un troyano. No elimines el de system32!!!

Para archivos que no se dejen eliminar usa KillBox

9) Limpia el registro con RegSeeker y pasa Ad-Aware actualizado.

10) Elimina cookies y temporales de internet con Disk Cleaner y vacia la papelera.

11) Reinicia normal y nos cuentas los resultados.

Saludos

¿Hiciste ya los pasos?

Confirmanos para dar el tema por solucionado o continuar tratando tu problema.

Saludos

Hola:
Gracias x la informacion, a mi me acaba de pasar y lo he quitado en un momento gracias a esto, pero hay algunos pasos q no son obligatorios como pasar el antivirus online, no lo pase y se quito igualmente, es para ahorrar un poco de tiempo.
Salu2

Hola... gracias por las instrucciones...
a mi me ha sucedido lo mismo... y ya desaparecio ese program pero...
no se que sucede pero el escritorio quedó de color gris y no puedo volver a mi papel tapiz habitual ya que esta bloqueado esa parte en la configuracion de pantalla... y al iniciar sale un error del explorer.exe...

si alguien puede ayudarme a resolver esto y volver al funcionamiento normal de mi equipo... les agradezco.

Hola

Esto es para Shun, no pongas tu problema dentro de otro post puesto q éste

ya esta solucionado, y no se va a responder aqui.

Pon un post nuevo,explicando q has tenido el SPYSHERIFF y diciendo lo q te

pasa ahora.

De todas formas pon un log del *HijackThis en el nuevo post

muchisimas gracias a mi tb me ha ayudado a pesar d lo k habia exo.... ahora solo me keda eliminar un popup que me sale que se llama "Aurora" y por el simbolito lo tengo localizado en C:\WINDOWS\zwzulqkwme.exe q puedo hacer? no me deja eliminarlo con ningun programa, antivirus, ni a modo a prueba de fallos, ni hijackthis...