Buenas antes de poner el log, querria explicarle antes algunas cosas para que asi quizas comprendan que es lo que le pasa al ordenador.

Generalmente siempre he usado el pandaantivirus online para revisar mi ordenador, hace unas semanas, el antivirus encontro varios registros en windows, que la verdad no recuerdo si eran virus, spywarez o el que, la cuestion es que el antiguo panda online, daba exactamente los registros en los que habia el problema, asi que yo (seguramente en mi ignorancia), me puse a borrar todos los registros que me daban problemas y la verdad todo parecia que habia quedado solucionado.

Ayer hice de nuevo otro chequeo, y me salio que tenia el cw.homesearch assistant, en una clave del registro, la cuestion es que el panda que lo acaban de actualizar, no da exactamente en que parte del registro esta el problema asi que no lo pude solucionar. (Yo siempre he tenido como pagina de inicio la pagina en blanco....asi que si he tenido el virus desde hace mucho o poco, o si lo tenia desde hace semanas no lo se porque nunca he tenido una pagina de inicio determinada).

Ahora viene lo "raro", me baje la version de evaluacion de panda, y chequee de nuevo el sistema, y me puso que habia borrado el spyware (la cuestion es que despues de borrarme el virus, panda automaticamente me pone como pagina por defecto al arrancar el explorer el google, supongo que sera normal, la cosa es que si vuelvo a poner de forma manual, a pagina en blanco, cuando hago de nuevo el chequeo me dice que el virus esta de nuevo y que lo ha borrado, pero si dejo la pagina en google, o en cualquiera otra yahoo etc etc, panda antivirus me dice que todo esta bien......).

O sea para entendernos si dejo como pagina de inicio, cualquier pagina todo esta bien (y se queda en esa pagina o sea solo no se me cambia a pagina en blanco), pero si lo cambio por mi mismo (como ya he dicho solo no se cambia o sea que por este lado parece que no tengo el virus....), vuelve a decir el panda que lo tengo....

Por todo esto ya no se si quizas al borrar algunos registros por mi mismo hace varias semanas, quizas borre el virus en si pero deje algunos rastros en el registro que cuando panda ve que esta la pagina en blanco chequea y dice que lo tengo, o no se que es lo que puede pasar :/
(Por cierto quiero recordar, porque no me acuerdo bien, que uno de los registros que quite a lo burro, fue la de pagina de inicio en el registro de explorer, o sea que quizas he quitado una clave que deberia estar?). (recuerdo que cuando borre todo ese tema borre los registros y ademas algunos archivos que tambien me decia el antivirus).

Perdon por toda esta parrafada pero no se como explicarlo para que entendais que quiero decir :P

Pongo aqui el log del hijackthis (que por cierto aunque panda con pagina en blanco diga que existe virus y sin ella que no, el log sigue siendo el mismo ya este la pagina de inicio como este).

Muchas gracias de antemano, espero que podais ayudarme, hasta luego :)






Logfile of HijackThis v1.99.1
Scan saved at 2:40:50, on 12/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\csrss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
E:\programas\panda_antivirus_share\PavProt.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
E:\programas\panda_antivirus_share\Firewall\PavFir es.exe
D:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
E:\programas\powerdvd\PDVDServ.exe
E:\programas\panda_antivirus_share\APVXDWIN.EXE
D:\WINDOWS\System32\devldr32.exe
E:\programas\panda_antivirus_share\PavFnSvr.exe
E:\programas\panda_antivirus_share\Pavkre.exe
D:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
E:\programas\panda_antivirus_share\pavsrv51.exe
E:\programas\panda_antivirus_share\AVENGINE.EXE
E:\programas\panda_antivirus_share\prevsrv.exe
E:\programas\panda_antivirus_share\PsImSvc.exe
E:\programas\panda_antivirus_share\WebProxy.exe
E:\programas\hijacjthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\programas\adobe_reader_pdf\Reader\ActiveX\AcroI EHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\cosas_copiar\cosas_antivirus_spys_etc\spybot_se arch_and_destroy\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] D:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] D:\Archivos de programa\Telefonica Kit ADSL USB\CnxDslTb.exe
O4 - HKLM\..\Run: [RemoteControl] E:\programas\powerdvd\PDVDServ.exe
O4 - HKLM\..\Run: [APVXDWIN] "E:\programas\panda_antivirus_share\APVXDWIN.E XE" /s
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123769056406
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3196A203-B903-44E8-A3A3-4DA993E208F2}: NameServer = 80.58.0.33,80.58.32.97
O17 - HKLM\System\CS1\Services\Tcpip\..\{3196A203-B903-44E8-A3A3-4DA993E208F2}: NameServer = 80.58.0.33,80.58.32.97
O17 - HKLM\System\CS2\Services\Tcpip\..\{3196A203-B903-44E8-A3A3-4DA993E208F2}: NameServer = 80.58.0.33,80.58.32.97
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - E:\programas\panda_antivirus_share\Firewall\PavFir es.exe
O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software - E:\programas\panda_antivirus_share\PavFnSvr.exe
O23 - Service: Panda Pavkre (Pavkre) - Panda Software - E:\programas\panda_antivirus_share\Pavkre.exe
O23 - Service: Panda PavProt (PavProt) - Panda Software - E:\programas\panda_antivirus_share\PavProt.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - D:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - E:\programas\panda_antivirus_share\pavsrv51.exe
O23 - Service: Panda Preventium+ Service (PREVSRV) - Panda Software - E:\programas\panda_antivirus_share\prevsrv.exe
O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software Internacional - E:\programas\panda_antivirus_share\PsImSvc.exe

Hola , te doy la bienvenida al Foro de InfoSpyware.

Tu log aparece totalmente limpio de malwares y por lo que comentas puede que se trate de alguna función en tu antivirus Panda que tengas que deshabilitar ya que parece que te esta protegiendo tanto de los posibles cambios que no te deja ni cambiarla a vos.

Puede que sea también algún falso positivo del Panda donde detecte a la pagina en blanco que es about:blank.html como un parásito y por eso la bloque directamente si examinar el archivo.

Vamos a probar con un rastreador de malware llamado MWAV.exe . Esta herramienta no elimina en su versión gratuita pero genera un log donde te dirá los archivos infectados. Este log es muy largo por lo que te pido que sólo copies los archivos reconocidos como infectados.

Salu2

Muchas gracias por la rapida respuesta, el programa que me dio para realizar el chequeo ha dado con un spyware, que no se si es el mismo homesearch u otro nuevo quizas que el panda confunda la verda ya no se que puede ser, la parte del log que dice lo del spywarez encontrado es este;


Fri Aug 12 03:29:41 2005 => ***** Scanning Registry and File system for Adware/Spyware *****
Fri Aug 12 03:29:41 2005 => Loading Spyware Signatures from FIXED Database...
Fri Aug 12 03:29:58 2005 => System found infected with iSearch Spyware/Adware (patch.exe)! Action taken: No Action Taken.

Fri Aug 12 03:29:58 2005 => ***** Scanning Registry for errors created because of Adware/Spyware *****




EDIT; Despues de hacer ese scaneo hice de nuevo otro marcando todos los archivos y todas las unidades y tambien me salio este;

E:\programas\MIRC_WXP\MIRC.EXE
Fri Aug 12 05:12:10 2005 => Archivo E:\programas\MIRC_WXP\MIRC.EXE marcado como not-a-virus:Client-IRC.Win32.mIRC.60. No se tomó acción.

(Este creo que no es realmente un virus verdad? ya que lo marca como "not a virus" ?).




No se si esto es lo que puede provocar el problema de que panda se crea que tengo el homesearch assistant, pero la verdad creo que no, ya que seguramente despues de quitar todo esto me siga dando el mismo problema.

Espero su respuesta :)

De nuevo gracias por todo :) Hasta luego.

Idea; a parte del post anterior, solo queria decir una idea de lo que quizas puede que este pasando;

Como ya dije en un post anterior hace varias semanas borre varias keys del registro que contenian virus, y entre ellas si no recuerdo mal, creo que borre una del explorador de windows, que era algo asi como "pagina de inicio", entonces mis dudas son;

1- Podria ser que al haber borrado esta key del sistema, el virus no sea capaz de cambiar la pagina de inicio?, y que por ello yo pueda cambiarla, sin que vuelva atras?.

2- Si lo anterio fuera cierto, podria darse el caso de que los antivirus cuando chequeen por el virus, lo primero que hagan sea mirar si la pagina de inicio es distinta de :blank , y si lo es entonces no siguen mirando?.

3- Si los 2 puntos anteriores fueran ciertos, podria darse el caso de que aunque los antivirus no lo detecten al ver una pagina de inicio que no es :blank, pero que sin embargo exista el virus que aunque no me cambie la pagina, si este ejecutando comandos malignos en mi ordenador?.


Por ultimo solo queria preguntar si se sabe si este spyware el homesearch assistant, solo esta hecho con fines publicitarios? o tambien se da el caso de que intente robar claves, contraseñas etc?.

Bueno perdon por la parrafada esta y la anterior del primer post :P , pero realmente estoy agobiado con esto :P empece a intentar quitarlo ayer por la mañana y ya son las 6 de la madrugada y aqui sigo, creo que es hora de ir a la cama :)


Bueno muchas gracias por la ayuda que prestan a la comunidad y a mi en particular en este tema :)

Hasta luego :=)

Bueno vamos por partes, para empezar si tuvieras el Home Search activo en tu maquina tendría que aparecer algo en el log de HijackThis cosa que no es así por lo que me inclino mas en la hipótesis que te marque mas arriba.

El tema es que tanto Panda como otros Antivirus están recién incursionando con sus primeros pasos en la eliminación y protección antes este tipo de spyware y secuestradores de navegador y como ya tuvimos oportunidad hace un tiempo donde pudimos corroborar que algunos puede que estén dando falsos positivos en este campo.

Sigo pensando que el programa al ver la pagina de inicio "about:blank" automáticamente te tira que se trata de un spyware ya que hay muchos que cambian a esta pagina sin mirar mas aya

Por eso todavía recomendamos el uso de Antispyware para los spywares y Antivirus para los virus únicamente.

Para estar mas seguros pedí otra opinión a dos Antispyware que son reconocidos por poder eliminar este parásito que son
About Buster 5.0 y Ewido Security Suite 3.5

Despues nos contas los resultados.

Salu2

Buenas de nuevo :) , escribo tan tarde porque al final decidi este mediodia en formatear el ordenador y hasta ahora no lo he dejado mas o menos en condiciones, los dos programas que me has dado los use ayer y ninguno de ellos lo detectaba.

La cuestion es que creo que tienes razon en cuanto a lo que es una falsa alarma, ya que cuando formatee el ordenador e instalar todo lo primero que puse fue el panda antivirus y..... ya te imaginas seguia diciendo que tenia el virus (cuando los hd estaban completamente formateados antes de instalar windows etc), y de nuevo cuando cambio la pagina de inicio dice que no.....y ningun otro antivirus o antispyware lo detecta asi que creo que esta claro que era una falsa alarma....y al final el problema no me lo ha dado un virus si no un antivirus :P


Por cierto te mando aqui el log del ordenador ahora ya formateado para ver si esta todo bien, si ves un log limpio supongo que puedes cerrar este enlace porque supuestamente lo habre "solucionado".




Logfile of HijackThis v1.99.1
Scan saved at 23:33:11, on 12/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
D:\antivirus\panda_shareware\PavProt.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\antivirus\panda_shareware\Firewall\PavFires.exe
D:\antivirus\panda_shareware\APVXDWIN.EXE
C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\devldr32.exe
D:\antivirus\panda_shareware\PavFnSvr.exe
D:\antivirus\panda_shareware\Pavkre.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
D:\antivirus\panda_shareware\pavsrv51.exe
D:\antivirus\panda_shareware\AVENGINE.EXE
D:\antivirus\panda_shareware\prevsrv.exe
D:\antivirus\panda_shareware\PsImSvc.exe
D:\antivirus\panda_shareware\WebProxy.exe
C:\WINDOWS\System32\wuauclt.exe
D:\antivirus\hijackthis\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.es/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.pandasoftware.com/redirec...pdate&lang=spa
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\antivirus\spybot_search_and_destroy\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [APVXDWIN] "D:\antivirus\panda_shareware\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Archivos de programa\Telefonica Kit ADSL USB\CnxDslTb.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B090945-7376-412B-B139-09EF32301AEF}: NameServer = 80.58.0.33,80.58.32.97
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - D:\antivirus\panda_shareware\Firewall\PavFires.exe
O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software - D:\antivirus\panda_shareware\PavFnSvr.exe
O23 - Service: Panda Pavkre (Pavkre) - Panda Software - D:\antivirus\panda_shareware\Pavkre.exe
O23 - Service: Panda PavProt (PavProt) - Panda Software - D:\antivirus\panda_shareware\PavProt.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - D:\antivirus\panda_shareware\pavsrv51.exe
O23 - Service: Panda Preventium+ Service (PREVSRV) - Panda Software - D:\antivirus\panda_shareware\prevsrv.exe
O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software Internacional - D:\antivirus\panda_shareware\PsImSvc.exe






El archivo ctfmon.exe que aparece en el log es un archivo normal? y el wuauclt.exe? supongo que si pero como no estaban en los otros los logs que te mande me parecio raro (pero claro los otros logs eran con un hd que llevaba tiempo corriendo, no como este que esta ahora limpio).



Bueno si ves el log limpio supongo que puedes cerrar el enlace y darlo por solucionado, si ves algo raro aqui espero la respuesta :)


Bueno sinceramente muchas gracias por todo, haceis un gran trabajo por la comunidad de internet y haceis que cuando la gente se encuentra con un problema como este no se sienta sola ante el :P


Muchas gracias de nuevo :) Hasta luego :)

Si queres podes ponernos una captura de pantalla de la alerta de Panda Antivirus y bien que versión estas usando y demas para que se lo podamos comunicar a ellos y evalúen este problema.

En cuanto al log como es de suponerse después de un formateo esta completamente limpio.

ctfmon.exe -> Es parte de la barra de lenguaje del Microsoft Office
wuauclt.exe -> Es un proceso legitimo de Win que se encarga de las actualizaciones automáticas del sistema.

Salu2