Holas!
Bueno.. primero ke todo les cuento ke por varias razones formatie mi pc...(estaba lentisimo,, el antivirus NOD32 no se actualizaba.. se reiniciaba el equipo al hacerlo correr, no cargaban paginas que habitualmente yo visitaba...)
Luego del formateo... comence a instalar los programas... creo ke mi error fue istallar con el pc conectado a inet y usando inicialnte IE (aun no reinstalaba mozilla) cuando de pronto sala el NOD 32 con un troyano llamado TROJAN.PROXY RANKY. Luego de eso pase miles de cosas.. el NOD 32 una y otra vez-- hice el panda y kasperky on line, pase el ad-aware y entre las cosas ke pille ademas de varios troyanos mas ke no recuerdo y en procesos activos virus como el svcchot, systembin, Isass, serv454....(los cuales desactive del inicio)

hice varias cosas,, desactive restaurar sistema,, y pase el ad-aware y nod 32... y asi kedo el log... no pude reiniciar a prueba de fallo... ya que el menu me salia en frances ni idea pk y no encontre la opcion!

Logfile of HijackThis v1.99.1
Scan saved at 5:15:27, on 21-04-2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\RunServices: [Rout111] serv454.exe
O4 - HKLM\..\RunServices: [systemscroot] systembin.exe
O4 - HKLM\..\RunServices: [msvccc66] svcchosst.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunServices: [systemscroot] systembin.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

espero ke me ayuden a de alguna forma sacar por completo los virus y troyanos y demases...
gracais de antemano....

Tambien queria provechar de preguntarles como activo el Firewall, ya que con esta nueva version de windows no me da la opcion...(si eso debo preguntarlo en otro lado.. ok..lo hare :D)

gracias y saludos!

Hola y Bienvenid@ a forospyware

Visita windowsupdate, para que actualices el Windows e instala el service pack 2

El sp2 contiene el firewall, también puedes instalar un firewall mas robusto como OutPost

Vota por el mejor Firewall del 2007

Descarga y Actualiza todas las herramientas antes de comenzar

1.- Desactiva Restaurar Sistema

2.- Activa Ver Archivos Ocultos

3.- Cierra todos los programas, luego ejecuta el HijackThis, marca y les das "Fix Checked" a las siguientes entradas:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\RunServices: [Rout111] serv454.exe

O4 - HKLM\..\RunServices: [systemscroot] systembin.exe

O4 - HKLM\..\RunServices: [msvccc66] svcchosst.exe

O4 - HKCU\..\RunServices: [systemscroot] systembin.exe

4.- Busca y elimina estos archivos, en caso de que no los puedas eliminar utilizas la herramienta FileASSASSIN

serv454.exe
systembin.exe
systembin.exe
svcchosst.exe <--- "Cuidado" no elimines el archivo svchost.exe

5.- Analiza el sistema con SpyBot Search & Destroy y con el AVG Anti-spyware - Manual

6.- Utiliza el Ccleaner - Manual para eliminar las cookies y temporales

7.- Utiliza el Regseeker - Manual para limpiar el registro

8.- Reinicia, entra en modo normal y analiza el sistema con Kaspersky online - Manual

Nota* Al terminar vuelve a activar restaurar sistema y esconde los archivos ocultos

Me cuentas los resultados y pegas un nuevo log de HijackThis

salu2

Hola! muchas gracias por tu ayuda..
mira.. resulta ke buscando por este foro.. segui las incicaciones ke les daban a otros (que fueron las mismas ke me indicas tu, a excepcion de instalar el sp2, pk estaba esperando una confirmacion para hacerlo) y elimine las entradas ke me dijiste...
el log del hijack me dio asi (se ve limpio, creo yo)

Logfile of HijackThis v1.99.1
Scan saved at 15:17:20, on 22-04-2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32krn.exe
C:\Archivos de programa\Eset\nod32kui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\taskmgr32.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
C:\WINDOWS\System32\msiexec.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Windows Service Agent] taskmgr32.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] taskmgr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Windows Service Agent] taskmgr32.exe
O4 - HKCU\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe




Pero luego de esto.. el nod sigui saltando... se apago el ekipo con la info de ke system32/Isass era e ke habia dado la orden.. segui los pasos para eliminar el Sasser (que por lo ke averigue ese era el culpable) y no aparecio nada.. pero dejo de pasar..
luego salto el nod de nuevo indicando un par de bichos ke decian rookit (y algo mas) .. intente hacer un scan online: hice el ewido y borro uno.. pero el panda no me fuinciono pk IE no me deja abrir ventanas emergentes..
hice el kasperky y esto me dejo...


KASPERSKY ONLINE SCANNER INFORME
domingo, 22 de abril de 2007 15:05:55
Sistema operativo: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.0
Ultima actualización: 22/04/2007
Registros en la base antivirus: 282969
Configuración del análisis
Analizar usando las siguientes bases standard
Analizar archivos verdadero
Analizar bases de correo verdadero
Objetivo a analizar Mi PC
A:\
C:\
D:\
E:\
Estadísticas
Número de objeros analizados 19914
Virus encontrados 4
Objetos infectados 5 / 0
Objetos sospechosos 0
Duración del análisis 00:26:25

Bombre del objeto infectado Nombre del virus Última acción
C:\Archivos de programa\ESET\cache\CACHE.NDB Object is locked saltado
C:\Archivos de programa\ESET\cache\FND0.NFI Infectados: Backdoor.Win32.Rbot.gen saltado
C:\Archivos de programa\ESET\infected\310FJ0AA.NQF Infectados: Backdoor.Win32.PoeBot.c saltado
C:\Archivos de programa\ESET\infected\EQSKB3BA.NQF Infectados: Backdoor.Win32.Wootbot.dn saltado
C:\Archivos de programa\ESET\infected\P4T13ABA.NQF Infectados: Backdoor.Win32.Rbot.gen saltado
C:\Archivos de programa\ESET\logs\virlog.dat Object is locked saltado
C:\Archivos de programa\ESET\logs\warnlog.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \Cache\_CACHE_001_ Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \Cache\_CACHE_002_ Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \Cache\_CACHE_003_ Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \Cache\_CACHE_MAP_ Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Historial\History.IE5\MSHist0120070422200704 23\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Lavasoft\Ad-Aware\Logs\AWEVLOG.txt Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \cert8.db Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \formhistory.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \history.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \key3.db Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Mozilla\Firefox\Profiles\trlt3hv2.default \parent.lock Object is locked saltado
C:\Documents and Settings\Gabiota\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\Gabiota\NTUSER.DAT.LOG Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado
C:\WINDOWS\Debug\oakley.log Object is locked saltado
C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
C:\WINDOWS\SchedLgU.Txt Object is locked saltado
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\default Object is locked saltado
C:\WINDOWS\system32\config\default.LOG Object is locked saltado
C:\WINDOWS\system32\config\SAM Object is locked saltado
C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\SECURITY Object is locked saltado
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
C:\WINDOWS\system32\config\software Object is locked saltado
C:\WINDOWS\system32\config\software.LOG Object is locked saltado
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\system Object is locked saltado
C:\WINDOWS\system32\config\system.LOG Object is locked saltado
C:\WINDOWS\system32\h323log.txt Object is locked saltado
C:\WINDOWS\system32\i Infectados: Trojan-Downloader.BAT.Ftp.ab saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
Análisis completado.



los primeros 4 creo ke son los ke pillo el nod32 y los dejo en cuarentena... (comolos elimino de ahi?) y el otro.. uf.. intente eliominarlo pèp el equipo se reinicio y me dijo ke se habioa recuperado de un error grave...:S

bueno... eso es todo.. me pongo ahora a instalar el sp2 y paso el Spybot S&D que era lo ke me faltaba...

muchas gracias!!!
========================

edito...
instale sp2 y de inmediato el firewaal me blokeo el taskmgr32 y ad-aware hizo lo mismo...
aca va el log del hijacth

Logfile of HijackThis v1.99.1
Scan saved at 15:57:22, on 22-04-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\msiexec.exe
C:\Archivos de programa\Eset\nod32kui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\taskmgr32.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
C:\Archivos de programa\Mozilla Firefox\firefox.exe
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Windows Service Agent] taskmgr32.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] taskmgr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - HKCU\..\Run: [Windows Service Agent] taskmgr32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

otra pregunta... ke firewall es bueno y ocupa menos recursos? lo ke pasas eske tengo muy poca ram y una vez ke instale el zone alarm .. el pc casi ni funcionaba :S

muchas gracias de nuevo!

Hola

Es importantes que realices todos los pasos a las ves, para que se complementen y logren limpiar el sistema, si los haces de apoco es probable que no logren mucho y además tendrás que realizar nuevamente pasos que ya haz realizado anteriormente

Ahora, si no tienes un firewall que impida que estos malware entren a tu sistema, no lograras solucionar el problema

Te sugiero hacer lo siguiente

Instala el Sp2 o algún firewall como los de esta encuesta, luego que tengas listo este paso, pegas un nuevo log de HijackThis y hacemos todos los pasos de una vez, así no los tendras que repetir

salu2

oks :)

SP2 instalado con firewall activado
aca va el log

Logfile of HijackThis v1.99.1
Scan saved at 16:12:17, on 22-04-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\WINDOWS\system32\taskmgr32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
C:\WINDOWS\system32\taskmngr32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Windows Service Agent] taskmngr32.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] taskmngr32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - HKCU\..\Run: [Windows Service Agent] taskmngr32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Muy bien, una vez que empieces a realizar los pasos, desconecta internet y no te conectes hasta el paso 9, también realiza los pasos con calma

Descarga y Actualiza todas las herramientas antes de comenzar

1.- Desactiva Restaurar Sistema

2.- Activa Ver Archivos Ocultos

3.- Reinicia el pc en Modo a Prueba de Fallos

4.- Cierra todos los programas, luego ejecuta el HijackThis, marca y les das "Fix Checked" a las siguientes entradas:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [Windows Service Agent] taskmngr32.exe

O4 - HKLM\..\RunServices: [Windows Service Agent] taskmngr32.exe

O4 - HKCU\..\Run: [Windows Service Agent] taskmngr32.exe

A estas entradas 06, dale fix checked, solo si tu no colocaste estas restricciones

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present

5.- Busca y elimina este archivo, en caso de que no lo pueda eliminar utilizas la herramienta FileASSASSIN

De preferencia busca este archivo en C:\WINDOWS\system32

taskmngr32.exe <--- "Cuidado" no elimines el archivo taskmngr.exe

6.- Analiza el sistema con SpyBot Search & Destroy y con el AVG Anti-spyware - Manual

7.- Utiliza el Ccleaner - Manual para eliminar las cookies y temporales

8.- Utiliza el Regseeker - Manual para limpiar el registro

9.- Reinicia, entra en modo normal y analiza el sistema con Kaspersky online - Manual y con Ewido Online - Manual

Nota* Al terminar vuelve a activar restaurar sistema y esconde los archivos ocultos

Me cuentas los resultados y pegas un nuevo log de HijackThis

salu2

Holas de nuevo!
hice todo lo ke me dijiste y con calma =)
mi unic roblema fue ke no encontre el archivo taskmgr32 y bsucando pille este TASKMGR32.exe - 2FD34404.pf en la ruta C:/WINDOWS/Prefetan no hice na con el :S

aca va el log


Logfile of HijackThis v1.99.1
Scan saved at 18:48:41, on 22-04-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

y aca va al log del kasperky (pillo 4 virus)

KASPERSKY ONLINE SCANNER INFORME
domingo, 22 de abril de 2007 18:45:59
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.0
Ultima actualización: 23/04/2007
Registros en la base antivirus: 282990
Configuración del análisis
Analizar usando las siguientes bases standard
Analizar archivos verdadero
Analizar bases de correo verdadero
Objetivo a analizar Mi PC
A:\
C:\
D:\
E:\
Estadísticas
Número de objeros analizados 21427
Virus encontrados 4
Objetos infectados 4 / 0
Objetos sospechosos 0
Duración del análisis 00:19:52

Bombre del objeto infectado Nombre del virus Última acción
C:\Archivos de programa\ESET\cache\CACHE.NDB Object is locked saltado
C:\Archivos de programa\ESET\infected\310FJ0AA.NQF Infectados: Backdoor.Win32.PoeBot.c saltado
C:\Archivos de programa\ESET\infected\EQSKB3BA.NQF Infectados: Backdoor.Win32.Wootbot.dn saltado
C:\Archivos de programa\ESET\infected\P4T13ABA.NQF Infectados: Backdoor.Win32.Rbot.gen saltado
C:\Archivos de programa\ESET\logs\virlog.dat Object is locked saltado
C:\Archivos de programa\ESET\logs\warnlog.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\gabiota_8@hotmail.com\real\members.stg Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Datos de programa\Microsoft\Windows Live Contacts\gabiota_8@hotmail.com\shadow\members.stg Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Historial\History.IE5\MSHist0120070422200704 23\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Temp\~DF60A7.tmp Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Temp\~DF60B5.tmp Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Temp\~DF6E20.tmp Object is locked saltado
C:\Documents and Settings\Gabiota\Configuración local\Temp\~DF6E25.tmp Object is locked saltado
C:\Documents and Settings\Gabiota\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\Gabiota\Datos de programa\Lavasoft\Ad-Aware\Logs\AWEVLOG.txt Object is locked saltado
C:\Documents and Settings\Gabiota\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\Gabiota\NTUSER.DAT.LOG Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado
C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
C:\WINDOWS\SchedLgU.Txt Object is locked saltado
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\default Object is locked saltado
C:\WINDOWS\system32\config\default.LOG Object is locked saltado
C:\WINDOWS\system32\config\SAM Object is locked saltado
C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\SECURITY Object is locked saltado
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
C:\WINDOWS\system32\config\software Object is locked saltado
C:\WINDOWS\system32\config\software.LOG Object is locked saltado
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\system Object is locked saltado
C:\WINDOWS\system32\config\system.LOG Object is locked saltado
C:\WINDOWS\system32\i Infectados: Trojan-Downloader.BAT.Ftp.ab saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
C:\WINDOWS\WindowsUpdate.log Object is locked saltado
Análisis completado.


los primero creo ke son del nod32 ..pero no se como eliminar la cuarentena de este...
muchas gracias por su ayuda =)

Hola

Ups¡¡¡ se me olvido incluir los archivos en cuarentena

1.- Desactiva Restaurar Sistema

2.- Activa Ver Archivos Ocultos

3.- Reinicia el pc en Modo a Prueba de Fallos

4.- Configuración Nod32 y eliminas los archivos en cuarentena

5.- Busca y elimina estos archivos, en caso de que no los puedas eliminar utilizas la herramienta FileASSASSIN

C:\WINDOWS\system32\i
C:\WINDOWS\Prefetch\TASKMGR32.exe - 2FD34404.pf

Luego me cuentas

salu2

=) ya.. todo hecho.. lo unico ke no encontre el archivo taskmgr32 por niun lado... al menos no ha vuelto a molestar...

el log limpiecito..

Logfile of HijackThis v1.99.1
Scan saved at 16:29:10, on 23-04-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe
C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\slserv.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Gabiota\Escritorio\utorrent.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Outpost Firewall] C:\ARCHIV~1\Agnitum\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [OutpostFeedBack] C:\ARCHIV~1\Agnitum\OUTPOS~1.0\feedback.exe /dump:os_startup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AWMON] "C:\Archivos de programa\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Barra de Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\ARCHIV~1\Agnitum\OUTPOS~1.0\Plugins\BrowserBar\ ie_bar.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\ARCHIV~1\Agnitum\OUTPOS~1.0\wl_hook.dll
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Archivos de programa\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum - C:\ARCHIV~1\Agnitum\OUTPOS~1.0\outpost.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe



mil gracias!!!
por la paciencia tb:P
se pasaron... muy agradecida =)

Hola

Muy bien, el log no muestra ningún malware

Damos el problema por solucionado

saluy2