Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Ante todo quisiera agradeceros el trabajo que hacéis. Acabo de registrarme y en pocos dias estoy aprendiendo mucho sobre el tema.

Intentaré ser breve y claro. Voy a detallar los pasos seguidos. Al final añado el log del hijackthis. Si no sirve la información os la podéis saltar y pasar directamente al log:

Síntomas:
* Al arrancar el equipo se inicia internet explorer de forma automática mostrando una página en blanco (about:blank).
* Al iniciar manualmente internet explorer aparece la citada página en blanco (aunque se haya modificado en página de inicio) y muestra otra ventana con publicidad.
* Internet explorer se cierra a los pocos segundos automáticamente.

Procedimientos seguidos:
* Antivirus viruscan detecta starpage-du.dll (el que crea los problemas, en los ficheros jwuwk.dll y lyzng.dll) y newpoly.win32 (creo que virus no reconocido, en fichero msvx32.exe)
* Se arrancó en modo seguro y se pasaron varias herramientas (spybot, ad-aware, etc) eliminando el problema. Se pasó luego el disk-cleaner y al reiniciar parecía funcionar, pero luego volvía el problema (de nuevo el troyano y el virus).
*De nuevo arrancamos en modo seguro. Le pasamos el EliStarA. Nos pide que le mandemos copia de varios ficheros (aparecen luego en el log) y que ha eliminado el troyano. Pasamos el disk cleaner. Al reiniciar todo parece funcionar (ni siquiera arranca solo el iexplorer), pero al arrancar el internet explorer vuelve a las andadas.
*finalmente reiniciamos en modo seguro y usamos el hijackthis. El informe es el siguiente:

LOG DE HIJACKTHIS:

Logfile of HijackThis v1.99.1
Scan saved at 17:59:37, on 08/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Ana Amalia\Escritorio\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Terra Conexión
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Class - {35E34195-6EC7-9FF7-74E1-8DBD6B07E389} - C:\WINDOWS\system32\iedv.dll
O2 - BHO: Class - {565D9CD0-2D1B-B265-3401-B4D542904CEA} - C:\WINDOWS\system32\ntew32.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll
O2 - BHO: Class - {F2938D55-FF24-9FAE-0746-FFB05994C97B} - C:\WINDOWS\system32\javajx.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [KM9801U] C:\ARCHIV~1\KM9801U\MMHotKey.EXE
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb0 7.exe
O4 - HKLM\..\Run: [bwprnmon.exe] C:\BITWARE\NT\bwprnmon.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Archivos de programa\Archivos comunes\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Archivos de programa\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Archivos de programa\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKLM\..\Run: [Opware12] "C:\Archivos de programa\ScanSoft\OmniPagePro12.0\Opware12.exe"
O4 - HKLM\..\Run: [Amigo] C:\Archivos de programa\Amigo\Amigo.exe
O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [iexplore.exe] C:\Archivos de programa\Internet Explorer\iexplore.exe
O4 - HKLM\..\Run: [ipme32.exe] C:\WINDOWS\system32\ipme32.exe
O4 - HKLM\..\Run: [apihr.exe] C:\WINDOWS\apihr.exe
O4 - HKLM\..\Run: [ntlh.exe] C:\WINDOWS\system32\ntlh.exe
O4 - HKLM\..\Run: [msrp.exe] C:\WINDOWS\system32\msrp.exe
O4 - HKLM\..\Run: [iexn.exe] C:\WINDOWS\system32\iexn.exe
O4 - HKLM\..\Run: [javaiz.exe] C:\WINDOWS\javaiz.exe
O4 - HKLM\..\Run: [sdkan.exe] C:\WINDOWS\sdkan.exe
O4 - HKLM\..\Run: [netoy.exe] C:\WINDOWS\netoy.exe
O4 - HKLM\..\Run: [sdkxm.exe] C:\WINDOWS\system32\sdkxm.exe
O4 - HKLM\..\Run: [sdkkv32.exe] C:\WINDOWS\sdkkv32.exe
O4 - HKLM\..\Run: [crys32.exe] C:\WINDOWS\crys32.exe
O4 - HKLM\..\Run: [mfcze.exe] C:\WINDOWS\mfcze.exe
O4 - HKLM\..\RunOnce: [appvj32.exe] C:\WINDOWS\system32\appvj32.exe
O4 - HKLM\..\RunOnce: [ntnx.exe] C:\WINDOWS\system32\ntnx.exe
O4 - HKLM\..\RunOnce: [d3mo32.exe] C:\WINDOWS\system32\d3mo32.exe
O4 - HKLM\..\RunOnce: [apibq32.exe] C:\WINDOWS\system32\apibq32.exe
O4 - HKLM\..\RunOnce: [winmp32.exe] C:\WINDOWS\winmp32.exe
O4 - HKLM\..\RunOnce: [addwe32.exe] C:\WINDOWS\addwe32.exe
O4 - HKLM\..\RunOnce: [crvl.exe] C:\WINDOWS\crvl.exe
O4 - HKLM\..\RunOnce: [iejr32.exe] C:\WINDOWS\system32\iejr32.exe
O4 - HKLM\..\RunOnce: [mfcdx.exe] C:\WINDOWS\system32\mfcdx.exe
O4 - HKLM\..\RunOnce: [ntzv32.exe] C:\WINDOWS\system32\ntzv32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://bin.mcafee.com/molbin/shared/mcinsctl/es/4,0,0,76/mcinsctl.cab
O16 - DPF: {4FCFF034-6F56-4D65-8C31-70D98C475428} (ddm_download.ddm_control) - http://bins.dynamicdesktopmedia.com/cab/ddm_control.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AF8713AD-F340-46D4-A085-BCA5F8059715}: NameServer = 212.79.128.18,212.79.128.3
O23 - Service: Network Security Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\appvj32.exe" /s (file missing)
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

¿Podríais ayudarme?. Muchas gracias.

Hola, te doy la bienvenida al Foro de InfoSpyware, seguí estos pasos.

Paso 1- Descarga el programa About:Buster 5.0 , Actualízalo pero no lo ejecutes aun.

Paso 2- Con todos los programas cerrados ejecuta el HijackThis y dale "FIX Cheked" a estas entradas:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\lyzng.dll/sp.html#37049
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch

O2 - BHO: Class - {35E34195-6EC7-9FF7-74E1-8DBD6B07E389} - C:\WINDOWS\system32\iedv.dll
O2 - BHO: Class - {565D9CD0-2D1B-B265-3401-B4D542904CEA} - C:\WINDOWS\system32\ntew32.dll

O2 - BHO: Class - {F2938D55-FF24-9FAE-0746-FFB05994C97B} - C:\WINDOWS\system32\javajx.dll

O4 - HKLM\..\Run: [Amigo] C:\Archivos de programa\Amigo\Amigo.exe

O4 - HKLM\..\Run: [iexplore.exe] C:\Archivos de programa\Internet Explorer\iexplore.exe
O4 - HKLM\..\Run: [ipme32.exe] C:\WINDOWS\system32\ipme32.exe
O4 - HKLM\..\Run: [apihr.exe] C:\WINDOWS\apihr.exe
O4 - HKLM\..\Run: [ntlh.exe] C:\WINDOWS\system32\ntlh.exe
O4 - HKLM\..\Run: [msrp.exe] C:\WINDOWS\system32\msrp.exe
O4 - HKLM\..\Run: [iexn.exe] C:\WINDOWS\system32\iexn.exe
O4 - HKLM\..\Run: [javaiz.exe] C:\WINDOWS\javaiz.exe
O4 - HKLM\..\Run: [sdkan.exe] C:\WINDOWS\sdkan.exe
O4 - HKLM\..\Run: [netoy.exe] C:\WINDOWS\netoy.exe
O4 - HKLM\..\Run: [sdkxm.exe] C:\WINDOWS\system32\sdkxm.exe
O4 - HKLM\..\Run: [sdkkv32.exe] C:\WINDOWS\sdkkv32.exe
O4 - HKLM\..\Run: [crys32.exe] C:\WINDOWS\crys32.exe
O4 - HKLM\..\Run: [mfcze.exe] C:\WINDOWS\mfcze.exe
O4 - HKLM\..\RunOnce: [appvj32.exe] C:\WINDOWS\system32\appvj32.exe
O4 - HKLM\..\RunOnce: [ntnx.exe] C:\WINDOWS\system32\ntnx.exe
O4 - HKLM\..\RunOnce: [d3mo32.exe] C:\WINDOWS\system32\d3mo32.exe
O4 - HKLM\..\RunOnce: [apibq32.exe] C:\WINDOWS\system32\apibq32.exe
O4 - HKLM\..\RunOnce: [winmp32.exe] C:\WINDOWS\winmp32.exe
O4 - HKLM\..\RunOnce: [addwe32.exe] C:\WINDOWS\addwe32.exe
O4 - HKLM\..\RunOnce: [crvl.exe] C:\WINDOWS\crvl.exe
O4 - HKLM\..\RunOnce: [iejr32.exe] C:\WINDOWS\system32\iejr32.exe
O4 - HKLM\..\RunOnce: [mfcdx.exe] C:\WINDOWS\system32\mfcdx.exe
O4 - HKLM\..\RunOnce: [ntzv32.exe] C:\WINDOWS\system32\ntzv32.exe

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {4FCFF034-6F56-4D65-8C31-70D98C475428} (ddm_download.ddm_control) - http://bins.dynamicdesktopmedia.com/cab/ddm_control.CAB

O23 - Service: Network Security Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\appvj32.exe" /s (file missing)

Paso 3- Sin reiniciar con el programa "KillBox" elimina estos archivos:

C:\WINDOWS\lyzng.dll
C:\WINDOWS\system32\javajx.dll
C:\WINDOWS\system32\ntew32.dll
C:\WINDOWS\system32\appvj32.exe
C:\WINDOWS\system32\ipme32.exe
C:\WINDOWS\apihr.exe
C:\WINDOWS\system32\ntlh.exe
C:\WINDOWS\system32\msrp.exe
C:\WINDOWS\system32\iexn.exe
C:\WINDOWS\javaiz.exe
C:\WINDOWS\sdkan.exe
C:\WINDOWS\netoy.exe
C:\WINDOWS\system32\sdkxm.exe
C:\WINDOWS\sdkkv32.exe
C:\WINDOWS\crys32.exe
C:\WINDOWS\mfcze.exe
C:\WINDOWS\system32\appvj32.exe
C:\WINDOWS\system32\ntnx.exe
C:\WINDOWS\system32\d3mo32.exe
C:\WINDOWS\system32\apibq32.exe
C:\WINDOWS\winmp32.exe
C:\WINDOWS\addwe32.exe
C:\WINDOWS\crvl.exe
C:\WINDOWS\system32\iejr32.exe
C:\WINDOWS\system32\mfcdx.exe
C:\WINDOWS\system32\ntzv32.exe


Paso 4- Ejecuta About:Buster 5.0

Paso 5- Usa el Disk Cleaner para limpiar cookies y temporales

Reinicia y nos contas los resultados.

Salu2

Ante todo quisiera agradecerle lo rápido de la respuesta y pedir disculpas por haber tardado tanto en responder de nuevo.

Por desgracia, el equipo había modificado los ficheros y las entradas en el registro, y lo que aparecía no tenía ningún parecido a lo que os envié en su dia. Sin embargo, gracias a las explicaciones que me dió pude intuir qué debía borrar y, siguiendo los pasos que me detallaba, pude arreglar el problema. Me temo que también eliminé alguna cosa que no debía, pero no pasó nada grave.

Le estoy muy agradecido. De no ser por usted me habría quedado atascado.

Un saludo.