Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola, soy uno de los tantos que tiene el problema del robo de la pagina de inicio, por momentos lo tengo controlado pero por momentos me sale esa pagina search for y la ventanita de warning. Tengo windows 98, macfee 7.0 y usaba kerio firewall pero desde que se me armo este kilombo cambie a outpost. Despues tengo instalados ad-aware 1,05 build, spybot, spy sweeper, xoft spy, regcleaner, hijack this (aun no lo use) y chwshreder, todos actualizados. El xoftspy me detecta "trojan cws combo" en protocols/filter/text/plain y /html. El spybot "allcybersearch", el spysweeper "trojan a-spooner". Y aparece ese archivito sp.dll y se.dll que por mas que intente borrarlos no se borran.
Que puedo hacer? llevo varios dias tratando de solucionarlo, les agradeceria muchisimo que me den una mano... saludos

MI LOG ES ESTE:

Logfile of HijackThis v1.99.0
Scan saved at 04:27:25 p.m., on 15/02/05
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\AVSYNMGR.EXE
C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\OUTPOST.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\WINDOWS\ptsnoop.exe
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE SHARED COMPONENTS\INSTANT UPDATER\RULAUNCH.EXE
C:\ARCHIVOS DE PROGRAMA\WEBROOT\SPY SWEEPER\SPYSWEEPER.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\VSSTAT.EXE
C:\WINDOWS\SYSTEM\WBEM\CIMOM.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\NOTEPAD.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
D:\ARCHIVOS DE PROGRAMA\HIJACKTHIS\HIJACKTHIS.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com.ar
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\ARCHIV~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\VSCSHELLEXTENSION.DLL
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [CountrySelection] pctptt.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [mdac_runonce] C:\WINDOWS\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [McAfeeVirusScanService] C:\Archivos de programa\McAfee\McAfee VirusScan\AVSYNMGR.EXE
O4 - HKLM\..\RunServices: [Outpost Firewall] C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\outpost.exe /service
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SPYSWEEPER.EXE" /0
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab30149.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} - http://messenger.zone.msn.com/binary...r.cab30149.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/Ms...Downloader.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

Bienvenido al Foro de Spyware, para solucionar tu problema segui los siguientes pasos.

1- Inicia en "Modo a prueba de fallos" (modo seguro)

2- Prende la opción de "Ver archivos ocultos y del sistema"

3- Chequea precionando Ctrl+Alt+Sup que no tengas este proceso abierto y si esta cortalo -> ptsnoop.exe

4- Con todos los programas cerrados ejecuta el HijackThis y dale "FIX Cheked" a estas entradas:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall

5- Busca y elimina estos archivos manualmente

C:\WINDOWS\ptsnoop.exe

6- Usa el Disk Cleaner para limpiar cookies y temporales

7- Pásale Ad-Aware SE actualizado y Panda Online

8- Reinicia y después nos contas los resultados.

Salu2

Hola, que tal... inicie la pc en modo a prueba de fallos, borre las cosas que me dijiste pero al llegar al punto que dice pasar el panda online, no pude seguir porque el modo a prueba de fallos no me permite conectarme a internet. Entonces, reinicie la pc y observe lo siguiente: por un lado, el archivo ptsnoop ya no esta mas. Pero por el otro, las entradas esas del registro que borre me vuelven a aparecer. Entonces trate de conectarme con la configuracion normal para pasar el panda online (a proposito... donde bajo ese active x que me solicita?), me conecte y al toque me aperece un aviso del antivirus macfee sobre el virus "startpage.DU.dll"
que se intenta cargar desde c:/windows/temp. No pude limpiarlo, eliminarlo ni ponerlo en cuarentena asi que le pongo detener y enseguida vuelve a aparecer el cartel.
1) tengo que modificar algo para poder conectarme en modo a prueba de fallos? como se hace?
2) algo mas tengo que hacer?
Aca les envio mi log, que sufrio algunos cambios respecto al del mensaje anterior:

Logfile of HijackThis v1.99.0
Scan saved at 0355 a.m., on 21/02/05
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\AVSYNMGR.EXE
C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\OUTPOST.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE SHARED COMPONENTS\INSTANT UPDATER\RULAUNCH.EXE
C:\ARCHIVOS DE PROGRAMA\WEBROOT\SPY SWEEPER\SPYSWEEPER.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\VSSTAT.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\VSHWIN32.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\AVCONSOL.EXE
C:\WINDOWS\SYSTEM\WBEM\CIMOM.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
D:\ARCHIVOS DE PROGRAMA\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\ARCHIV~1\SPYBOT~1\SDHELPER.DLL
O2 - BHO: (no name) - {E06A5A49-8357-11D9-A6ED-D9E19681451D} - C:\WINDOWS\SYSTEM\HDEJIA.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\ARCHIVOS DE PROGRAMA\MCAFEE\MCAFEE VIRUSSCAN\VSCSHELLEXTENSION.DLL
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [CountrySelection] pctptt.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [mdac_runonce] C:\WINDOWS\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [McAfeeVirusScanService] C:\Archivos de programa\McAfee\McAfee VirusScan\AVSYNMGR.EXE
O4 - HKLM\..\RunServices: [Outpost Firewall] C:\ARCHIVOS DE PROGRAMA\AGNITUM\OUTPOST FIREWALL 1.0\outpost.exe /service
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Archivos de programa\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - HKCU\..\Run: [SpySweeper] "C:\Archivos de programa\Webroot\Spy Sweeper\SPYSWEEPER.EXE" /0
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab30149.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} - http://messenger.zone.msn.com/binary...r.cab30149.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} - http://messenger.msn.com/download/Ms...Downloader.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O18 - Filter: text/html - {7F049923-83B4-11D9-A6ED-A8745CFB7786} - C:\WINDOWS\SYSTEM\HDEJIA.DLL
O18 - Filter: text/plain - {7F049923-83B4-11D9-A6ED-A8745CFB7786} - C:\WINDOWS\SYSTEM\HDEJIA.DLL

Desde ya muchas gracias y saludos...

Bien para poder pasar el antivirus en linea entrando en modo a prueba de fallos, tenes que elegir (si la tiene) la opcion de "Modo a prueba de fallos con conexion a la Red"

Ejecuta el Hijackthis y dale fix a estas entradas.

O2 - BHO: (no name) - {E06A5A49-8357-11D9-A6ED-D9E19681451D} - C:\WINDOWS\SYSTEM\HDEJIA.DLL

O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall

O18 - Filter: text/html - {7F049923-83B4-11D9-A6ED-A8745CFB7786} - C:\WINDOWS\SYSTEM\HDEJIA.DLL

O18 - Filter: text/plain - {7F049923-83B4-11D9-A6ED-A8745CFB7786} - C:\WINDOWS\SYSTEM\HDEJIA.DLL

En caso que no tengas la opcion de arriba hace esto en modo normal y luego en modo a prueba de fallos.

Despues nos contas los resultados.

Salu2

Holassss... para escanear con el panda me pide que baje los controladores ActiveX, donde los puedo bajar? no los encuentro por ningun lado. Teoricamente corresponden los Microsoft ActiveX Technology, no se si otro andara.
Graciasss...

Hola, pude escanear con el panda, me detecto el virus, lo desinfecto y con el pude eliminar el resto de los archivos maliciosos... piedra, muchisimas gracias!!!!

Muy bien nos alegramos y damos el tema por solucionado :dedosarri

Salu2